Pull to refresh

Дыра в двухфакторной авторизации Сбербанка?

Доброго времени суток, уважаемые.



Verified By Visa — разработанный платежной системой VISA стандарт, поддерживающий технологию по аутентификации держателя карты посредством ввода секретного слова/пароля. Данный стандарт позволяет проводить оплаты по пластиковым картам на сайтах интернет-магазинов по безопасному протоколу 3-D Secure.

Секретный пароль Verified By Visa/MasterCard SecureCode (далее — Пароль), известный только Вам, обеспечивает Вашу карту дополнительной защитой от несанкционированного использования в интернет-магазинах, участвующих в программе Verified By Visa/MasterCard SecureCode (далее — Программа).

Интернет-магазин, поддерживающий данную технологию, как правило размещает логотип Verified By Visa/MasterCard SecureCode на своей стартовой/платежной странице, чтобы клиент мог определить, поддерживает ли интернет-магазин данную технологию.

С терминологией вроде бы покончили.
Ну так вот, данный стандарт используется в том числе для банковских карт, выпущенных Сбербанком России.

Достаточно продолжительное время оплачиваю все услуги через интернет (услуги связи, ЖКХ и прочее).
Считаю, что безопасность проведения платежей в онлайне никогда не бывает лишней. Поэтому, казалось бы, двухфакторная авторизация тут очень кстати. Заполняешь все необходимые формы, жмёшь «Оплатить» — но не тут-то было, после этого на мобильный телефон отправляется шестизначный одноразовый код, только введя который можно провести платёж до конца.

Или не обязательно?

В общем, вот видео о том, как легко данная авторизация падает. Показано на примере оплаты услуг связи компании Уфанет с использованием системы электронных платежей PayOnline.
В поддержку Сбербанка России было сообщено 10 августа 2013 года, в день обнаружения. Какого-либо ответа с того времени не последовало.
По запросу могу в комментариях приложить скриншот с телефона, где сначала пришло СМС о снятии денег с карты, а следом за ним СМС с одноразовым паролем.

Tags:
Hubs:
You can’t comment this publication because its author is not yet a full member of the community. You will be able to contact the author only after he or she has been invited by someone in the community. Until then, author’s username will be hidden by an alias.