Sicherheitsproblem in UMS: wie lange?

Je weiter du gehst, desto mehr überkommt dich das Gefühl der "Bosheit". Ich verstehe, dass dies nicht passieren sollte und kann, aber welche Art von Serie solcher Verluste haben unschuldige Abonnenten? Mit den "linken" Inhaltsabonnements haben sie es anscheinend irgendwie geklärt und sogar das Geld an alle Opfer zurückgezahlt, also gibt es jetzt Bankprobleme. Und dort sind es erfahrungsgemäß keine 20 Rubel mehr. pro Tag für Inhalte, aber ganz unterschiedliche Beträge mit vielen Nullen.

Es ist gut zu hoffen, dass das Schließen dieses speziellen "Lochs" das Ende der Probleme mit dem avantgardistischen SMS-Nachrichtensystem von MegaFon bedeutet. Letztes Mal wurde uns jedoch auch ein zufälliges „einmaliges“ Ereignis und die ergriffenen Maßnahmen zugesichert, aber der Rückfall geschah genau einen Monat später. Vielleicht sollte man das arme UMS-Tier nicht weiter quälen, sondern sofort und für immer töten? Und das ist belastend. Diesmal standen mehrere Millionen Rubel auf dem Spiel, die sie fast (oder teilweise?) gestohlen hätten, aber was wird in der nächsten Folge der UMS-Serie passieren? In solchen Fällen sagte mein verstorbener Vater: "Wenn das Experiment zu Exkrementen wird, dann ist es wichtig, Zeit zu haben, um rechtzeitig aufzuhören." Und das UMS-Experiment ist offenbar bereits zuversichtlich in die oben beschriebene Phase eingetreten.

Zurück zu den Nachrichten »

Finanzielle Turbulenzen unter Tinkoff-Einlegern. Kreditsysteme»

Man kann es natürlich nicht als Epidemie bezeichnen, aber es gibt genug unangenehme Fälle. Im banki.ru-Forum schreiben sie über sechs Opfer, ich habe dort fünf sehr ähnliche Rezensionen über technisch erfolgreiche Versuche gelesen, Geld von Konten zu „stehlen“. Vielleicht ist die sechste Rezension einfach nicht ins Auge gefallen, aber das Schema ist immer noch dasselbe. Wie Sie verstehen, wird weit, sehr weit nicht jeder Kunde der Bank zu einem spezialisierten Forum gehen, um seine Missgeschicke zu beschreiben, so dass die tatsächliche Anzahl derer, die auf diese Probleme gestoßen sind, nur Bankspezialisten bekannt ist. Ich werde es nicht riskieren, das „Ausmaß der Katastrophe“ einzuschätzen, es kann sowohl Dutzende als auch Hunderte von Investoren geben.

Als "Punktierung über i". Soweit ich verstanden habe, haben sich die Bankangestellten in dieser Situation höherer Gewalt sehr effektiv und professionell verhalten, es scheint, dass keiner der Einleger finanziell gelitten hat. Ich hoffe, dass es keine Herzinfarkte gab, obwohl die Anzahl der verlorenen Nervenzellen nur geschätzt werden kann. Die Konten der Betrüger, auf denen das gestohlene Geld „zusammengeführt“ wurde, wurden gesperrt, die Transaktionen storniert und das gestohlene Geld an die Einzahler zurückgegeben. Trotz der Tatsache, dass der betrügerische "Überfall" auf die Konten während der Feiertage vom 3. bis 4. Mai organisiert wurde. Ob die Bank selbst gelitten hat (ein Teil des gestohlenen Geldes hätte ausgezahlt werden können), wissen wir nicht und werden es wahrscheinlich auch nicht herausfinden, Pressemitteilungen zu solchen Themen werden nicht veröffentlicht.

Unten ist eine der Ereignisbeschreibungen, leicht abgekürzt. Die restlichen "Berichte" über das Geschehene sind weltweit ähnlich, unterscheiden sich jedoch in Details und dem Grad der Emotionalität.

„Ehrlich gesagt hätte ich nie gedacht, dass ich Opfer von dreistem Betrug und Gelddiebstahl von Konten werden würde. Anscheinend müssen wir auf alles vorbereitet sein. Ich habe (d.h. hatte) bei der TCS Bank mehrere dringende Konten in Rubel und ein Kartenkonto. Ich habe keine anderen Produkte verwendet, wie mir die Abrechnungs- und Spar-TCS bis zu diesem Zeitpunkt gefallen haben.

Am 4. Mai gegen 18:00 Uhr, als ich friedlich in einem Friseur saß, rief mich ein Mitarbeiter der TCS Bank an und fragte, ob ich nur zwei Überweisungen über die Internetbank zugunsten eines Mannes und einer Frau getätigt hätte. Als ich ihm versicherte, dass ich es nicht bin und dass mir die betreffenden Personen unbekannt seien, wurde ich darüber informiert, dass meine Konten gesperrt wurden und eine Untersuchung eingeleitet wurde. Als ich nach Hause zurückkehrte und alleine bei der Bank anrief, bot sich mir folgendes Bild, das mich erschreckte. Jemand hat am Tag zuvor über die Internetbank alle meine Termineinlagen geschlossen und am nächsten Tag in zwei Zahlungen Geld (mehrere hunderttausend Rubel) auf die Konten von zwei Personen überwiesen, Kunden der TCS Bank (wenn trotz der Urlaub, interne Zahlungen zwischen Kunden funktionieren, es ist wahrscheinlich, dass das Geld bereits ausgezahlt wurde). Ich habe KEINE SMS oder Bestätigungscodes erhalten (später verstand ich warum). Wegen Betrugs habe ich eine Beschwerde bei der Bank eingereicht (telefonisch und per E-Mail dupliziert). Dann wandte ich mich an den Teilnehmerdienst meines Megaphones, wo ich herausfand, dass "ich" gestern angeblich die Weiterleitung eingehender SMS-Nachrichten auf eine mir unbekannte Nummer eingestellt hatte. Über die Tatsache, dass ich mein persönliches Konto gehackt und betrogen habe, habe ich eine Erklärung beim Sicherheitsdienst des Mobilfunkbetreibers hinterlassen.

Vorwarnfragen: 1) Ich hielt mich für einen fortgeschrittenen Benutzer (wahrscheinlich vergebens), das Passwort in der Internetbank war gemäß den üblichen Empfehlungen von mittlerer Komplexität, dieses Passwort wurde nirgendwo anders verwendet, mit einem Namen usw . in keiner Weise verbunden 2) auf dem Telefon (Android), von zu Hause und bei der Arbeit in die Internetbank eingeloggt. Ich habe ein Antivirenprogramm und eine Firewall auf meinem Heimcomputer installiert, ich versuche, keine verdächtigen Websites zu besuchen, ich führe keine verdächtigen Dateien aus. Es gibt kein Antivirenprogramm auf dem Telefon, ich habe keine verdächtigen Dateien gestartet, ich habe speziell ein Verbot von SMS an Kurznummern festgelegt. 3) Das Passwort im Megafon Service Guide war numerisch (dort können nur Zahlen verwendet werden). Die SMS-Weiterleitung an die "linke" Nummer erfolgte nicht aus dem Service Guide, sondern aus einem bisher unbekannten Dienst - messages.megafon.ru, der das Passwort aus dem Service Guide verwendet. Ich wurde in keiner Weise über die Verbindung der Weiterleitung informiert, niemand bat um Bestätigung. Passwörter, Logins usw. Ich habe es niemandem erzählt, ich habe es nirgendwo aufgeschrieben, ich habe es nicht im Browser gespeichert. Mit einem Wort, ich habe wahrscheinlich irgendwo Mist gebaut, aber ich sehe nicht, wo ich nachlässiger war als der durchschnittliche Bankkunde. Eine Aussage bei der Polizei geschrieben, nur nach Hause zurückgekehrt. Um ehrlich zu sein, ist es wie ein lebendiger Albtraum.

Die Maiferien erwiesen sich als heiße Zeit für IT-Spezialisten und Kundenbetreuer der Bank. Sie müssen es leid gewesen sein, die Folgen eines Angriffs auf Einlegerkonten zu „reparieren“, Kunden anzurufen, auf mehrseitige Diskussionen in Foren zu antworten und gleichzeitig zu versuchen, die entdeckte Lücke im Schutz dringend zu schließen. "Ende gut alles gut"? Was den Bankbetrug betrifft, so ist das Gute, dass er nicht begonnen hat. Denn die finanziellen Folgen können sowohl für die Bank selbst als auch für ihre Kunden verheerend sein.

Eine kurze, aber sehr prägnante "Zusammenfassung" der Sicherheitslücken, die auf der Ebene einer einzelnen Bank zur "May Day Katastrophe" geführt haben. Soweit ich weiß, wurde durch gemeinsame Anstrengungen ein konkretes „Loch“ gestopft, und nun können die Kunden der Bank für einige Zeit ruhig schlafen. Bis Betrüger eine weitere Schwachstelle im Bankmanagement/Verifizierungsverfahren und/oder im UMS-Internetportal finden und implementieren. Oder bis MegaFon einen weiteren innovativen Dienst einführt, der einen individuellen und relativ sicheren SMS-Austausch in einen Internetdienst verwandelt, der potenziell für Betrüger zugänglich ist.

Wie es gemacht wurde

Ein inoffizieller Kommentar eines (?) MegaFon-Mitarbeiters im Forum:

„Wir haben die möglichen Risiken analysiert, die zu einer solchen Situation führen könnten. Alle Systeme von MegaFon funktionieren normal, es sind keine Fehler aufgetreten. Der Zugriff auf die Dienste Message Portal, UMS und Service Guide ist ausreichend geschützt. Der Datenverkehr läuft über einen sicheren Kanal, es ist auch unmöglich, ein Passwort von einem Roboter abzugreifen - es gibt Sperrmechanismen.

  • Im obigen Fall war offensichtlich, dass auf die Daten der Internetbank und möglicherweise auf die Bankkartennummer zugegriffen wurde, da nur in diesem Fall der Zugriff auf die Kontoführungsfunktionen des Kunden möglich ist. Diese Daten werden von der Bank nicht im SMS gemeldet und können nicht im Archiv vorhanden sein.
  • Wenn ein Angreifer Zugriff auf die Zugangsdaten unserer Dienste hätte, könnte er nur die bereits getätigten Transaktionen von der Internetbank bestätigen. Und der Zugriff auf die Internetbank ist nur nach Autorisierung darin unter Verwendung der Details der Internetbank möglich.

Internet-Banking-Details könnten durchgesickert sein, entweder wenn der Kunde sie selbst geteilt hat, oder aufgrund der physischen Schwachstelle der verwendeten Geräte, die die Details enthalten (Viren, Verlust, Diebstahl, Hacking, Root, Jailbreak)".

Sie können Trojaner, Jailbreaks, Nachlässigkeit der Benutzer usw. für alles verantwortlich machen. Und in vielen Fällen werden die Vorwürfe gerechtfertigt sein. Zusätzliche Schutzebenen und eine SMS-Verifizierung werden geschaffen, um all dieses Durcheinander zu verhindern. Experten werden die wahren Gründe herausfinden, aber in diesem speziellen Fall könnten sie gut auf Trojaner und andere Hightech- "Spionagetricks".

Zum Beispiel erlebte das UMS-Messaging-Portal in MegaFon vor etwa einem Monat einen ziemlich groß angelegten Hack mit der Massenverbindung von Abonnements für kostenpflichtige Inhalte. Unsere Bewertung dieses Ereignisses kann hier gelesen werden. Das Fehlen eines angemessenen Schutzes ermöglichte es Angreifern, Passwörter durch einfache Brute-Force-Methoden zu „errechnen“ und die vollständige Kontrolle über die SMS-Korrespondenz von Hunderten (wenn nicht Tausenden) von Abonnenten zu erlangen. Das Mined wurde verwendet, um kostenpflichtige Abonnements zu verbinden, anscheinend im automatischen „Carpet Bombing“-Modus. 20 reiben. pro Tag aus der „Abonnentenseele“ war die individuelle Arbeit mit jedem Kunden kaum wert. Nach dieser Episode führten sie einen Schutz gegen Brute-Force-Berechnung von Passwörtern ein und das Geld wurde allen Opfern zurückerstattet.

Der Rest war nicht sehr schwierig. Soweit ich verstanden habe, hat die Bank in einigen eingehenden SMS die Vertragsnummer gesendet, und diese Nummer konnte verwendet werden, um ein neues Passwort für den Zugang zum Internet-Banking-System und sogar für Finanztransaktionen zu erhalten. Vorausgesetzt, dass Befehle von der Telefonnummer des Bankkunden gesendet werden.

Der UMS-Dienst von MegaFon bietet volle Kontrolle über die SMS-Korrespondenz. Alle eingehenden und bereits empfangenen Nachrichten können gelesen, noch nicht empfangen - an jedes andere Telefon weitergeleitet und die Zustellung von SMS-Nachrichten an das Telefon des aktuellen Kontoinhabers blockiert werden. Damit ein Mensch ruhig schläft und sich nicht umsonst Gedanken darüber macht, was mit seinem Geld passiert. Leider können Sie mit UMS auch Nachrichten an die Bank „als ob“ vom Telefon des Kontoinhabers senden. Den bruchstückhaften Kommentaren nach zu urteilen, ersetzt der wunderbare UMS-Dienst auch die korrekte IMSI-Nummer oder bestätigt anderweitig die "Legitimität" des Absenders. Die Frage ist, warum brauchen wir mysteriöse Jailbreaks und Trojaner, wenn ohne sie alles so gut und bequem organisiert ist? Auch die Kreditkartennummer muss nicht erhoben werden, alles Nötige ist bereits „zur Hand“.

Das ist natürlich nur meine Hypothese, nur Experten, die sich mit diesem Problem befassen, kennen die Wahrheit. Aber wir sind regelmäßig davon überzeugt, dass sich die einfachste Vermutung bewahrheitet.

Wie wird gekämpft?

Das ist definitiv eine Frage für die Spezialisten der Bank und des Betreibers, die wissen es besser. Zum Beispiel gab es unter anderem die Idee, Flash-SMS zur Verifizierung zu verwenden, die (scheinbar) nicht weitergeleitet werden können, die nur für eine Weile auf dem Telefonbildschirm erscheinen und nicht automatisch im Speicher des Telefons gespeichert werden können nicht auf allen Geräten und häufiger nur manuell speichern.< /p>

Das Problem ist, dass Flash-SMS mit Zahlungspasswörtern, die von der Bank gesendet werden, perfekt im UMS-Dienst von MegaFon gespeichert werden. Zumindest bis vor kurzem waren sie es. Dies ist eine persönliche Erfahrung, wenn auch mit einer anderen Bank.

Andererseits, wenn der UMS-„Dienst“ verbunden ist, werden die gleichen Banking-Flash-SMS, die das UMS-Portal durchlaufen, in Form eines unlesbaren Abrakadabras an das Telefon weitergeleitet, auch dies ist eine persönliche Erfahrung. Dadurch wird ein Betrüger, der in Ihr UMS-Portal eingestiegen ist, alle SMS von der Bank perfekt lesen, einschließlich des Zahlungspassworts. Und Sie erhalten eine mysteriöse Nachricht mit einer Girlande aus seltsamen Symbolen auf Ihrem Telefon. Ein normaler Mensch wird mit den Schultern zucken und nichts ahnen, viel Müll fällt auf das Telefon. Bequem, einverstanden.

Fragen

Selbstbedienungssysteme von Banken haben ihre eigenen Probleme, sie funktionieren damit. Aber wir diskutieren hier über Telekommunikationsbetreiber. Ich persönlich möchte der bedingt anständigen Firma MegaLabs nicht „alle Hunde aufhängen“, aber Fragen stellen sich irgendwie von selbst. Und ich halte es für notwendig, zumindest einige dieser Fragen zu stellen.

  • Wie konnten Profis (wenn sie Profis sind) so dumm (korrigiert von einem Literaturredakteur) ein offenes Loch zum Knacken von Passwörtern betrügen? Oder umgekehrt, haben sie nicht sehr professionell „profundiert“?
  • Für wen genau wurde die wunderbare Möglichkeit der automatischen Verbindung (ohne Wissen des Benutzers) des UMS „Dienstes“ entwickelt und hergestellt? Es ist namentlich und ohne Bescheinigungen vom Finanzamt möglich.
  • Welche anderen nicht identifizierten "Löcher" sind strukturell in UMS oder anderen "supermodernen" Diensten eingebettet, die von dem Unternehmen entwickelt wurden? Als Abonnent möchte ich vorab über solche "Neuerungen" informiert werden.

Zusammenfassung

Jeder versucht, den Dienst "SMS-Nachrichten" zu monetarisieren. Dieser Service kostet den Betreiber nichts, aber die Leute nutzen ihn gerne, also lassen Sie ihn bezahlen. Es gibt keine Beschwerden, und das ist nicht die Frage.

Das Problem ist, dass Banken und viele andere Organisationen SMS als absolutes, vertrauenswürdiges und letztes Mittel zur Bestätigung des Namens und der Identität des Absenders ansehen. Mit dem Aufkommen von UMS und ähnlichen "progressiven" Diensten ist die SMS-Validierung keinen Cent mehr wert, aber die Banken haben dies noch nicht erkannt.

Dementsprechend verlieren Sie und ich Geld (viel Geld!) und erlauben jedem, unsere SMS zu lesen. Gute Frage. Wofür? Für ein Unternehmen, das einen „Avantgarde“-Service entwickelt und einen Haufen „Schwachstellen“ eingebaut hat? Oder für ein Dutzend Geeks, die gerne SMS von einem Computer aus versenden? Mir scheint, dass diese „SMS-Portale“ unter den harten Bedingungen der russischen Realität gnadenlos geschlossen werden müssen. Auf einmal, bedingungslos. Suchen Sie nicht hektisch, wer wen bezahlt hat, und versuchen Sie, den Schuldigen Geld wegzuschnappen, sondern schließen Sie es einfach. Zeitraum.

Ein ähnlicher Dienst wurde in MTS entwickelt, aber sie machten sich zunächst Sorgen um Bank-SMS-Nachrichten. Es ist nicht einmal das. Die Menschen glauben an den SMS-Schutz, die Banken glauben auch daran. Keine Notwendigkeit, sich Software-"Krücken" und Super-Duper-Schutz auszudenken. Lassen Sie SMS einfach in Ruhe und suchen Sie nicht nach zusätzlicher "Monetarisierung" dieses Dienstes. Reichen Ihnen zwei bis fünf Rubel für jede versendete Nachricht nicht? Machen Sie bereits einen „superprofitablen Einzelpreis“ von 10 Rubel. für SMS an alle Nummern und beruhigen. Sie müssen nicht an der Lieferung des heiligen Feuers von Kasan nach Moskau teilnehmen, kümmern Sie sich einfach um Ihre eigenen Angelegenheiten. Zur Abwechslung.

Sicherheitsproblem in UMS: wie lange?

Je weiter du gehst, desto mehr überkommt dich das Gefühl der "Bosheit". Ich verstehe, dass dies nicht passieren sollte und kann, aber welche Art von Serie solcher Verluste haben unschuldige Abonnenten? Mit den "linken" Inhaltsabonnements haben sie es anscheinend irgendwie geklärt und sogar das Geld an alle Opfer zurückgezahlt, also gibt es jetzt Bankprobleme. Und dort sind es erfahrungsgemäß keine 20 Rubel mehr. pro Tag für Inhalte, aber ganz unterschiedliche Beträge mit vielen Nullen.

Es ist gut zu hoffen, dass das Schließen dieses speziellen "Lochs" das Ende der Probleme mit dem avantgardistischen SMS-Nachrichtensystem von MegaFon bedeutet. Letztes Mal wurde uns jedoch auch ein zufälliges „einmaliges“ Ereignis und die ergriffenen Maßnahmen zugesichert, aber der Rückfall geschah genau einen Monat später. Vielleicht sollte man das arme UMS-Tier nicht weiter quälen, sondern sofort und für immer töten? Und das ist belastend. Diesmal standen mehrere Millionen Rubel auf dem Spiel, die sie fast (oder teilweise?) gestohlen hätten, aber was wird in der nächsten Folge der UMS-Serie passieren? In solchen Fällen sagte mein verstorbener Vater: "Wenn das Experiment zu Exkrementen wird, dann ist es wichtig, Zeit zu haben, um rechtzeitig aufzuhören." Und das UMS-Experiment ist offenbar bereits zuversichtlich in die oben beschriebene Phase eingetreten.

Zurück zu den Nachrichten »

Finanzielle Turbulenzen unter Tinkoff-Einlegern. Kreditsysteme»

Man kann es natürlich nicht als Epidemie bezeichnen, aber es gibt genug unangenehme Fälle. Im banki.ru-Forum schreiben sie über sechs Opfer, ich habe dort fünf sehr ähnliche Rezensionen über technisch erfolgreiche Versuche gelesen, Geld von Konten zu „stehlen“. Vielleicht ist die sechste Rezension einfach nicht ins Auge gefallen, aber das Schema ist immer noch dasselbe. Wie Sie verstehen, wird weit, sehr weit nicht jeder Kunde der Bank zu einem spezialisierten Forum gehen, um seine Missgeschicke zu beschreiben, so dass die tatsächliche Anzahl derer, die auf diese Probleme gestoßen sind, nur Bankspezialisten bekannt ist. Ich werde es nicht riskieren, das „Ausmaß der Katastrophe“ einzuschätzen, es kann sowohl Dutzende als auch Hunderte von Investoren geben.

Als "Punktierung über i". Soweit ich verstanden habe, haben sich die Bankangestellten in dieser Situation höherer Gewalt sehr effektiv und professionell verhalten, es scheint, dass keiner der Einleger finanziell gelitten hat. Ich hoffe, dass es keine Herzinfarkte gab, obwohl die Anzahl der verlorenen Nervenzellen nur geschätzt werden kann. Die Konten der Betrüger, auf denen das gestohlene Geld „zusammengeführt“ wurde, wurden gesperrt, die Transaktionen storniert und das gestohlene Geld an die Einzahler zurückgegeben. Trotz der Tatsache, dass der betrügerische "Überfall" auf die Konten während der Feiertage vom 3. bis 4. Mai organisiert wurde. Ob die Bank selbst gelitten hat (ein Teil des gestohlenen Geldes hätte ausgezahlt werden können), wissen wir nicht und werden es wahrscheinlich auch nicht herausfinden, Pressemitteilungen zu solchen Themen werden nicht veröffentlicht.

Unten ist eine der Ereignisbeschreibungen, leicht abgekürzt. Die restlichen "Berichte" über das Geschehene sind weltweit ähnlich, unterscheiden sich jedoch in Details und dem Grad der Emotionalität.

„Ehrlich gesagt hätte ich nie gedacht, dass ich Opfer von dreistem Betrug und Gelddiebstahl von Konten werden würde. Anscheinend müssen wir auf alles vorbereitet sein. Ich habe (d.h. hatte) bei der TCS Bank mehrere dringende Konten in Rubel und ein Kartenkonto. Ich habe keine anderen Produkte verwendet, wie mir die Abrechnungs- und Spar-TCS bis zu diesem Zeitpunkt gefallen haben.

Am 4. Mai gegen 18:00 Uhr, als ich friedlich in einem Friseur saß, rief mich ein Mitarbeiter der TCS Bank an und fragte, ob ich nur zwei Überweisungen über die Internetbank zugunsten eines Mannes und einer Frau getätigt hätte. Als ich ihm versicherte, dass ich es nicht bin und dass mir die betreffenden Personen unbekannt seien, wurde ich darüber informiert, dass meine Konten gesperrt wurden und eine Untersuchung eingeleitet wurde. Als ich nach Hause zurückkehrte und alleine bei der Bank anrief, bot sich mir folgendes Bild, das mich erschreckte. Jemand hat am Tag zuvor über die Internetbank alle meine Termineinlagen geschlossen und am nächsten Tag in zwei Zahlungen Geld (mehrere hunderttausend Rubel) auf die Konten von zwei Personen überwiesen, Kunden der TCS Bank (wenn trotz der Urlaub, interne Zahlungen zwischen Kunden funktionieren, es ist wahrscheinlich, dass das Geld bereits ausgezahlt wurde). Ich habe KEINE SMS oder Bestätigungscodes erhalten (später verstand ich warum). Wegen Betrugs habe ich eine Beschwerde bei der Bank eingereicht (telefonisch und per E-Mail dupliziert). Dann wandte ich mich an den Teilnehmerdienst meines Megaphones, wo ich herausfand, dass "ich" gestern angeblich die Weiterleitung eingehender SMS-Nachrichten auf eine mir unbekannte Nummer eingestellt hatte. Über die Tatsache, dass ich mein persönliches Konto gehackt und betrogen habe, habe ich eine Erklärung beim Sicherheitsdienst des Mobilfunkbetreibers hinterlassen.

Vorwarnfragen: 1) Ich hielt mich für einen fortgeschrittenen Benutzer (anscheinend vergebens), das Passwort in der Internetbank war gemäß den üblichen Empfehlungen von mittlerer Komplexität, dieses Passwort wurde nirgendwo anders verwendet, mit einem Namen usw . in keiner Weise verbunden 2) auf dem Telefon (Android), von zu Hause und bei der Arbeit in die Internetbank eingeloggt. Ich habe ein Antivirenprogramm und eine Firewall auf meinem Heimcomputer installiert, ich versuche, keine verdächtigen Websites zu besuchen, ich führe keine verdächtigen Dateien aus. Es gibt kein Antivirenprogramm auf dem Telefon, ich habe keine verdächtigen Dateien gestartet, ich habe speziell ein Verbot von SMS an Kurznummern festgelegt. 3) Das Passwort im Megafon Service Guide war numerisch (dort können nur Zahlen verwendet werden). Die SMS-Weiterleitung an die "linke" Nummer erfolgte nicht aus dem Service Guide, sondern aus einem bisher unbekannten Dienst - messages.megafon.ru, der das Passwort aus dem Service Guide verwendet. Ich wurde in keiner Weise über die Verbindung der Weiterleitung informiert, niemand bat um Bestätigung. Passwörter, Logins usw. Ich habe es niemandem erzählt, ich habe es nirgendwo aufgeschrieben, ich habe es nicht im Browser gespeichert. Mit einem Wort, ich habe wahrscheinlich irgendwo Mist gebaut, aber ich sehe nicht, wo ich nachlässiger war als der durchschnittliche Bankkunde. Eine Aussage bei der Polizei geschrieben, nur nach Hause zurückgekehrt. Um ehrlich zu sein, ist es wie ein lebender Albtraum.

Wie es gemacht wurde

Ein inoffizieller Kommentar eines (?) MegaFon-Mitarbeiters im Forum:

„Wir haben die möglichen Risiken analysiert, die zu einer solchen Situation führen könnten. Alle Systeme von MegaFon funktionieren normal, es sind keine Fehler aufgetreten. Der Zugriff auf die Dienste Message Portal, UMS und Service Guide ist ausreichend geschützt. Der Datenverkehr läuft über einen sicheren Kanal, es ist auch unmöglich, ein Passwort von einem Roboter abzugreifen - es gibt Sperrmechanismen.

  • Im obigen Fall war offensichtlich, dass auf die Daten der Internetbank und möglicherweise auf die Bankkartennummer zugegriffen wurde, da nur in diesem Fall der Zugriff auf die Kontoführungsfunktionen des Kunden möglich ist. Diese Daten werden von der Bank nicht im SMS gemeldet und können nicht im Archiv vorhanden sein.
  • Wenn ein Angreifer Zugriff auf die Zugangsdaten unserer Dienste hätte, könnte er nur die bereits getätigten Transaktionen von der Internetbank bestätigen. Und der Zugriff auf die Internetbank ist nur nach Autorisierung darin unter Verwendung der Details der Internetbank möglich.

Internet-Banking-Details könnten durchgesickert sein, entweder wenn der Kunde sie selbst geteilt hat, oder aufgrund der physischen Schwachstelle der verwendeten Geräte, die die Details enthalten (Viren, Verlust, Diebstahl, Hacking, Root, Jailbreak)".

Sie können Trojaner, Jailbreaks, Nachlässigkeit der Benutzer usw. für alles verantwortlich machen. Und in vielen Fällen werden die Vorwürfe gerechtfertigt sein. Zusätzliche Schutzebenen und eine SMS-Verifizierung werden geschaffen, um all dieses Durcheinander zu verhindern. Experten werden die wahren Gründe herausfinden, aber in diesem speziellen Fall könnten sie gut auf Trojaner und andere Hightech- "Spionagetricks".

Zum Beispiel erlebte das UMS-Messaging-Portal in MegaFon vor etwa einem Monat einen ziemlich groß angelegten Hack mit der Massenverbindung von Abonnements für kostenpflichtige Inhalte. Unsere Bewertung dieses Ereignisses kann hier gelesen werden. Das Fehlen eines angemessenen Schutzes ermöglichte es Angreifern, Passwörter durch einfache Brute-Force-Methoden zu „errechnen“ und die vollständige Kontrolle über die SMS-Korrespondenz von Hunderten (wenn nicht Tausenden) von Abonnenten zu erlangen. Das Mined wurde verwendet, um kostenpflichtige Abonnements zu verbinden, anscheinend im automatischen „Carpet Bombing“-Modus. 20 reiben. pro Tag aus der „Abonnentenseele“ war die individuelle Arbeit mit jedem Kunden kaum wert. Nach dieser Episode führten sie einen Schutz gegen Brute-Force-Berechnung von Passwörtern ein und das Geld wurde allen Opfern zurückerstattet.

Der Rest war nicht sehr schwierig. Soweit ich verstanden habe, hat die Bank in einigen eingehenden SMS die Vertragsnummer gesendet, und diese Nummer konnte verwendet werden, um ein neues Passwort für den Zugang zum Internet-Banking-System und sogar für Finanztransaktionen zu erhalten. Vorausgesetzt, dass Befehle von der Telefonnummer des Bankkunden gesendet werden.

Der UMS-Dienst von MegaFon bietet volle Kontrolle über die SMS-Korrespondenz. Alle eingehenden und bereits empfangenen Nachrichten können gelesen, noch nicht empfangen - an jedes andere Telefon weitergeleitet und die Zustellung von SMS-Nachrichten an das Telefon des aktuellen Kontoinhabers blockiert werden. Damit ein Mensch ruhig schläft und sich nicht umsonst Gedanken darüber macht, was mit seinem Geld passiert. Leider können Sie mit UMS auch Nachrichten an die Bank „als ob“ vom Telefon des Kontoinhabers senden. Den bruchstückhaften Kommentaren nach zu urteilen, ersetzt der wunderbare UMS-Dienst auch die korrekte IMSI-Nummer oder bestätigt anderweitig die "Legitimität" des Absenders. Die Frage ist, warum brauchen wir mysteriöse Jailbreaks und Trojaner, wenn ohne sie alles so gut und bequem organisiert ist? Auch die Kreditkartennummer muss nicht erhoben werden, alles Nötige ist bereits „zur Hand“.

Das ist natürlich nur meine Hypothese, nur Spezialisten, die sich mit diesem Problem befassen, kennen die Wahrheit. Aber wir sind regelmäßig davon überzeugt, dass sich die einfachste Vermutung bewahrheitet.

Wie wird gekämpft?

Das ist definitiv eine Frage für die Spezialisten der Bank und des Betreibers, die wissen es besser. Zum Beispiel gab es unter anderem die Idee, Flash-SMS zur Verifizierung zu verwenden, die (scheinbar) nicht weitergeleitet werden können, die nur für eine Weile auf dem Telefonbildschirm erscheinen und nicht automatisch im Speicher des Telefons gespeichert werden können Speichern Sie es nicht auf allen Geräten und häufiger nur manuell.< /p>

Das Problem ist, dass Flash-SMS mit Zahlungspasswörtern, die von der Bank gesendet werden, perfekt im UMS-Dienst von MegaFon gespeichert werden. Zumindest bis vor kurzem waren sie es. Dies ist eine persönliche Erfahrung, wenn auch mit einer anderen Bank.

Andererseits, wenn der UMS-„Dienst“ verbunden ist, werden die gleichen Banking-Flash-SMS, die das UMS-Portal durchlaufen, in Form eines unlesbaren Abrakadabras an das Telefon weitergeleitet, auch dies ist eine persönliche Erfahrung. Dadurch wird ein Betrüger, der in Ihr UMS-Portal eingestiegen ist, alle SMS von der Bank perfekt lesen, einschließlich des Zahlungspassworts. Und Sie erhalten eine mysteriöse Nachricht mit einer Girlande aus seltsamen Symbolen auf Ihrem Telefon. Ein normaler Mensch wird mit den Schultern zucken und nichts ahnen, viel Müll fällt auf das Telefon. Bequem, einverstanden.

Fragen

Selbstbedienungssysteme von Banken haben ihre eigenen Probleme, sie funktionieren damit. Aber wir diskutieren hier über Telekommunikationsbetreiber. Ich persönlich möchte der bedingt anständigen Firma MegaLabs nicht „alle Hunde aufhängen“, aber Fragen stellen sich irgendwie von selbst. Und ich halte es für notwendig, zumindest einige dieser Fragen zu stellen.

  • Wie konnten Profis (wenn sie Profis sind) so dumm (korrigiert von einem Literaturredakteur) ein offenes Loch zum Knacken von Passwörtern betrügen? Oder umgekehrt, haben sie nicht sehr professionell „profundiert“?
  • Für wen genau wurde die wunderbare Möglichkeit der automatischen Verbindung (ohne Wissen des Benutzers) des UMS „Dienstes“ entwickelt und hergestellt? Es ist namentlich und ohne Bescheinigungen vom Finanzamt möglich.
  • Welche anderen nicht identifizierten "Löcher" sind strukturell in UMS oder anderen "supermodernen" Diensten eingebettet, die von dem Unternehmen entwickelt wurden? Als Abonnent möchte ich vorab über solche "Neuerungen" informiert werden.

Zusammenfassung

Jeder versucht, den Dienst "SMS-Nachrichten" zu monetarisieren. Dieser Service kostet den Betreiber nichts, aber die Leute nutzen ihn gerne, also lassen Sie ihn bezahlen. Es gibt keine Beschwerden, und das ist nicht die Frage.

Das Problem ist, dass Banken und viele andere Organisationen SMS als absolutes, vertrauenswürdiges und letztes Mittel zur Bestätigung des Namens und der Identität des Absenders ansehen. Mit dem Aufkommen von UMS und ähnlichen "progressiven" Diensten ist die SMS-Validierung keinen Cent mehr wert, aber die Banken haben dies noch nicht erkannt.

Dementsprechend verlieren Sie und ich Geld (viel Geld!) und erlauben jedem, unsere SMS zu lesen. Gute Frage. Wofür? Für ein Unternehmen, das einen „Avantgarde“-Service entwickelt und einen Haufen „Schwachstellen“ eingebaut hat? Oder für ein Dutzend Geeks, die gerne SMS von einem Computer aus versenden? Mir scheint, dass diese „SMS-Portale“ unter den harten Bedingungen der russischen Realität gnadenlos geschlossen werden müssen. Auf einmal, bedingungslos. Suchen Sie nicht hektisch, wer wen bezahlt hat, und versuchen Sie, den Schuldigen Geld wegzuschnappen, sondern schließen Sie es einfach. Zeitraum.

Ein ähnlicher Dienst wurde in MTS entwickelt, aber sie machten sich zunächst Sorgen um Bank-SMS-Nachrichten. Es ist nicht einmal das. Die Menschen glauben an den SMS-Schutz, die Banken glauben auch daran. Keine Notwendigkeit, sich Software-"Krücken" und Super-Duper-Schutz auszudenken. Lassen Sie SMS einfach in Ruhe und suchen Sie nicht nach zusätzlicher "Monetarisierung" dieses Dienstes. Reichen Ihnen zwei bis fünf Rubel für jede versendete Nachricht nicht? Machen Sie bereits einen „superprofitablen Einzelpreis“ von 10 Rubel. für SMS an alle Nummern und beruhigen. Sie müssen nicht an der Lieferung des heiligen Feuers von Kasan nach Moskau teilnehmen, kümmern Sie sich einfach um Ihre eigenen Angelegenheiten. Zur Abwechslung.

Sicherheitsproblem in UMS: wie lange?

Je weiter du gehst, desto mehr überkommt dich das Gefühl der "Bosheit". Ich verstehe, dass dies nicht passieren sollte und kann, aber welche Art von Serie solcher Verluste haben unschuldige Abonnenten? Mit den "linken" Inhaltsabonnements haben sie es anscheinend irgendwie geklärt und sogar das Geld an alle Opfer zurückgezahlt, also gibt es jetzt Bankprobleme. Und dort sind es erfahrungsgemäß keine 20 Rubel mehr. pro Tag für Inhalte, aber ganz unterschiedliche Beträge mit vielen Nullen.

Es ist gut zu hoffen, dass das Schließen dieses speziellen "Lochs" das Ende der Probleme mit dem avantgardistischen SMS-Nachrichtensystem von MegaFon bedeutet. Letztes Mal wurde uns jedoch auch ein zufälliges „einmaliges“ Ereignis und die ergriffenen Maßnahmen zugesichert, aber der Rückfall geschah genau einen Monat später. Vielleicht sollte man das arme UMS-Tier nicht weiter quälen, sondern sofort und für immer töten? Und das ist belastend. Diesmal standen mehrere Millionen Rubel auf dem Spiel, die sie fast (oder teilweise?) gestohlen hätten, aber was wird in der nächsten Folge der UMS-Serie passieren? In solchen Fällen sagte mein verstorbener Vater: "Wenn das Experiment zu Exkrementen wird, dann ist es wichtig, Zeit zu haben, um rechtzeitig aufzuhören." Und das UMS-Experiment ist offenbar bereits zuversichtlich in die oben beschriebene Phase eingetreten.

Zurück zu den Nachrichten »

Finanzielle Turbulenzen unter Tinkoff-Einlegern. Kreditsysteme»

Man kann es natürlich nicht als Epidemie bezeichnen, aber es gibt genug unangenehme Fälle. Im banki.ru-Forum schreiben sie über sechs Opfer, ich habe dort fünf sehr ähnliche Rezensionen über technisch erfolgreiche Versuche gelesen, Geld von Konten zu „stehlen“. Vielleicht ist die sechste Rezension einfach nicht ins Auge gefallen, aber das Schema ist immer noch dasselbe. Wie Sie verstehen, wird weit, sehr weit nicht jeder Kunde der Bank zu einem spezialisierten Forum gehen, um seine Missgeschicke zu beschreiben, so dass die tatsächliche Anzahl derer, die auf diese Probleme gestoßen sind, nur Bankspezialisten bekannt ist. Ich werde es nicht riskieren, das „Ausmaß der Katastrophe“ einzuschätzen, es kann sowohl Dutzende als auch Hunderte von Investoren geben.

Als "Punktierung über i". Soweit ich verstanden habe, haben sich die Bankangestellten in dieser Situation höherer Gewalt sehr effektiv und professionell verhalten, es scheint, dass keiner der Einleger finanziell gelitten hat. Ich hoffe, dass es keine Herzinfarkte gab, obwohl die Anzahl der verlorenen Nervenzellen nur geschätzt werden kann. Die Konten der Betrüger, auf denen das gestohlene Geld „zusammengeführt“ wurde, wurden gesperrt, die Transaktionen storniert und das gestohlene Geld an die Einzahler zurückgegeben. Trotz der Tatsache, dass der betrügerische "Überfall" auf die Konten während der Feiertage vom 3. bis 4. Mai organisiert wurde. Ob die Bank selbst gelitten hat (ein Teil des gestohlenen Geldes hätte ausgezahlt werden können), wissen wir nicht und werden es wahrscheinlich auch nicht herausfinden, Pressemitteilungen zu solchen Themen werden nicht veröffentlicht.

Unten ist eine der Ereignisbeschreibungen, leicht abgekürzt. Die restlichen "Berichte" über das Geschehene sind weltweit ähnlich, unterscheiden sich jedoch in Details und dem Grad der Emotionalität.

„Ehrlich gesagt hätte ich nie gedacht, dass ich Opfer von dreistem Betrug und Gelddiebstahl von Konten werden würde. Anscheinend müssen wir auf alles vorbereitet sein. Ich habe (d.h. hatte) bei der TCS Bank mehrere dringende Konten in Rubel und ein Kartenkonto. Ich habe keine anderen Produkte verwendet, wie mir die Abrechnungs- und Spar-TCS bis zu diesem Zeitpunkt gefallen haben.

Am 4. Mai gegen 18:00 Uhr, als ich friedlich in einem Friseur saß, rief mich ein Mitarbeiter der TCS Bank an und fragte, ob ich nur zwei Überweisungen über die Internetbank zugunsten eines Mannes und einer Frau getätigt hätte. Als ich ihm versicherte, dass ich es nicht bin und dass mir die betreffenden Personen unbekannt seien, wurde ich darüber informiert, dass meine Konten gesperrt wurden und eine Untersuchung eingeleitet wurde. Als ich nach Hause zurückkehrte und alleine bei der Bank anrief, bot sich mir folgendes Bild, das mich erschreckte. Jemand hat am Tag zuvor über die Internetbank alle meine Termineinlagen geschlossen und am nächsten Tag in zwei Zahlungen Geld (mehrere hunderttausend Rubel) auf die Konten von zwei Personen überwiesen, Kunden der TCS Bank (wenn trotz der Urlaub, interne Zahlungen zwischen Kunden funktionieren, es ist wahrscheinlich, dass das Geld bereits ausgezahlt wurde). Ich habe KEINE SMS oder Bestätigungscodes erhalten (später verstand ich warum). Wegen Betrugs habe ich eine Beschwerde bei der Bank eingereicht (telefonisch und per E-Mail dupliziert). Dann wandte ich mich an den Teilnehmerdienst meines Megaphones, wo ich herausfand, dass "ich" gestern angeblich die Weiterleitung eingehender SMS-Nachrichten auf eine mir unbekannte Nummer eingestellt hatte. Über die Tatsache, dass ich mein persönliches Konto gehackt und betrogen habe, habe ich eine Erklärung beim Sicherheitsdienst des Mobilfunkbetreibers hinterlassen.

Die Maiferien erwiesen sich als heiße Zeit für IT-Spezialisten und Kundenbetreuer der Bank. Sie müssen es leid gewesen sein, die Folgen eines Angriffs auf Einlegerkonten zu „reparieren“, Kunden anzurufen, auf mehrseitige Diskussionen in Foren zu antworten und gleichzeitig zu versuchen, die entdeckte Lücke im Schutz dringend zu schließen. "Ende gut alles gut"? In Bezug auf betrügerische Transaktionen im Bankwesen ist das Gute, dass es nicht begonnen hat. Denn die finanziellen Folgen können sowohl für die Bank selbst als auch für ihre Kunden verheerend sein.

Eine kurze, aber sehr prägnante "Zusammenfassung" der Sicherheitslücken, die auf der Ebene einer einzelnen Bank zur "May Day Katastrophe" geführt haben. Soweit ich weiß, wurde durch gemeinsame Anstrengungen ein konkretes „Loch“ gestopft, und nun können die Kunden der Bank für einige Zeit ruhig schlafen. Bis Betrüger eine weitere Schwachstelle im Bankmanagement/Verifizierungsverfahren und/oder im UMS-Internetportal finden und implementieren. Oder bis MegaFon einen weiteren innovativen Dienst einführt, der einen individuellen und relativ sicheren SMS-Austausch in einen Internetdienst verwandelt, der potenziell für Betrüger zugänglich ist.

Wie es gemacht wurde

Ein inoffizieller Kommentar eines (?) MegaFon-Mitarbeiters im Forum:

„Wir haben die möglichen Risiken analysiert, die zu einer solchen Situation führen könnten. Alle Systeme von MegaFon funktionieren normal, es sind keine Fehler aufgetreten. Der Zugriff auf die Dienste Message Portal, UMS und Service Guide ist ausreichend geschützt. Der Datenverkehr läuft über einen sicheren Kanal, es ist auch unmöglich, ein Passwort von einem Roboter abzugreifen - es gibt Sperrmechanismen.

  • Im obigen Fall war offensichtlich, dass auf die Daten der Internetbank und möglicherweise auf die Bankkartennummer zugegriffen wurde, da nur in diesem Fall der Zugriff auf die Kontoführungsfunktionen des Kunden möglich ist. Diese Daten werden von der Bank nicht im SMS gemeldet und können nicht im Archiv vorhanden sein.
  • Wenn ein Angreifer Zugriff auf die Zugangsdaten unserer Dienste hätte, könnte er nur die bereits getätigten Transaktionen von der Internetbank bestätigen. Und der Zugriff auf die Internetbank ist nur nach Autorisierung darin unter Verwendung der Details der Internetbank möglich.

Internet-Banking-Details könnten durchgesickert sein, entweder wenn der Kunde sie selbst geteilt hat, oder aufgrund der physischen Schwachstelle der verwendeten Geräte, die die Details enthalten (Viren, Verlust, Diebstahl, Hacking, Root, Jailbreak)".

Sie können Trojaner, Jailbreaks, Nachlässigkeit der Benutzer usw. für alles verantwortlich machen. Und in vielen Fällen werden die Vorwürfe gerechtfertigt sein. Zusätzliche Schutzebenen und eine SMS-Verifizierung werden geschaffen, um all dieses Durcheinander zu verhindern. Experten werden die wahren Gründe herausfinden, aber in diesem speziellen Fall könnten sie gut auf Trojaner und andere Hightech- "Spionagetricks".

Zum Beispiel erlebte das UMS-Messaging-Portal in MegaFon vor etwa einem Monat einen ziemlich groß angelegten Hack mit der Massenverbindung von Abonnements für kostenpflichtige Inhalte. Unsere Bewertung dieses Ereignisses kann hier gelesen werden. Das Fehlen eines angemessenen Schutzes ermöglichte es Angreifern, Passwörter durch einfache Brute-Force-Methoden zu „errechnen“ und die vollständige Kontrolle über die SMS-Korrespondenz von Hunderten (wenn nicht Tausenden) von Abonnenten zu erlangen. Das Mined wurde verwendet, um kostenpflichtige Abonnements zu verbinden, anscheinend im automatischen „Carpet Bombing“-Modus. 20 reiben. pro Tag aus der „Abonnentenseele“ war die individuelle Arbeit mit jedem Kunden kaum wert. Nach dieser Episode führten sie einen Schutz gegen Brute-Force-Berechnung von Passwörtern ein und das Geld wurde allen Opfern zurückerstattet.

Die Frage ist, ob das wahre "Ausmaß der Katastrophe" ermittelt wurde? Waren alle "gehackten" Clients mit Abonnements verbunden? Und was war das weitere Schicksal der riesigen Nutzerbasis, die mit bereits „berechneten“ Passwörtern in die Fänge von Betrügern geriet und den UMS-Dienst ohne deren Wissen verbunden hatte? MegaFon sollte zumindest die Passwörter aller Teilnehmer ausnahmslos "zurücksetzen", aber dies wurde (meiner Meinung nach) nicht getan. Alle meine anderen Schlussfolgerungen und Überlegungen mögen in Frage gestellt werden, aber das ist eine unverzeihliche Gleichgültigkeit. Oder zahlen Sie Bosheit, lassen Sie den Sicherheitsdienst das klären und sich damit befassen.

Nach einem kurzen Exkurs zurück zum Thema. Ich wäre überhaupt nicht überrascht, wenn MegaFons Datenbank mit Telefonnummern und Passwörtern in UMS an kriminelle „Spezialisten“ mit einem anderen Profil weiterverkauft und nun erfolgreich zum Hacken von Bankkonten verwendet würde. Technisch gesehen mussten die Betrüger TCS nur von der Datenbank der TCS-Bankeinleger isolieren, indem sie SMS-Nachrichten verwendeten, die auf dem Portal von einer bestimmten (Bank-)Nummer gespeichert wurden.

Der Rest war nicht sehr schwierig. Soweit ich verstanden habe, hat die Bank in einigen eingehenden SMS die Vertragsnummer gesendet, und diese Nummer konnte verwendet werden, um ein neues Passwort für den Zugang zum Internet-Banking-System und sogar für Finanztransaktionen zu erhalten. Vorausgesetzt, dass Befehle von der Telefonnummer des Bankkunden gesendet werden.

Der UMS-Dienst von MegaFon bietet volle Kontrolle über die SMS-Korrespondenz. Alle eingehenden und bereits empfangenen Nachrichten können gelesen, noch nicht empfangen - an jedes andere Telefon weitergeleitet und die Zustellung von SMS-Nachrichten an das Telefon des aktuellen Kontoinhabers blockiert werden. Damit ein Mensch ruhig schläft und sich nicht umsonst Gedanken darüber macht, was mit seinem Geld passiert. Leider können Sie mit UMS auch Nachrichten an die Bank „als ob“ vom Telefon des Kontoinhabers senden. Den bruchstückhaften Kommentaren nach zu urteilen, ersetzt der wunderbare UMS-Dienst auch die korrekte IMSI-Nummer oder bestätigt anderweitig die "Legitimität" des Absenders. Die Frage ist, warum brauchen wir mysteriöse Jailbreaks und Trojaner, wenn ohne sie alles so gut und bequem organisiert ist? Auch die Kreditkartennummer muss nicht erhoben werden, alles Nötige ist bereits „zur Hand“.

Das ist natürlich nur meine Hypothese, nur Experten, die sich mit diesem Problem befassen, kennen die Wahrheit. Aber wir sind regelmäßig davon überzeugt, dass sich die einfachste Vermutung bewahrheitet.

Wie wird gekämpft?

Das ist definitiv eine Frage für die Spezialisten der Bank und des Betreibers, die wissen es besser. Zum Beispiel gab es unter anderem die Idee, Flash-SMS zur Verifizierung zu verwenden, die (scheinbar) nicht weitergeleitet werden können, die nur für eine Weile auf dem Telefonbildschirm erscheinen und nicht automatisch im Speicher des Telefons gespeichert werden können nicht auf allen Geräten und häufiger nur manuell speichern.< /p>

Das Problem ist, dass Flash-SMS mit Zahlungspasswörtern, die von der Bank gesendet werden, perfekt im UMS-Dienst von MegaFon gespeichert werden. Zumindest bis vor kurzem waren sie es. Dies ist eine persönliche Erfahrung, wenn auch mit einer anderen Bank.

Andererseits, wenn der UMS-„Dienst“ verbunden ist, werden die gleichen Banking-Flash-SMS, die das UMS-Portal durchlaufen, in Form eines unlesbaren Abrakadabras an das Telefon weitergeleitet, auch dies ist eine persönliche Erfahrung. Dadurch wird ein Betrüger, der in Ihr UMS-Portal eingestiegen ist, alle SMS von der Bank perfekt lesen, einschließlich des Zahlungspassworts. Und Sie erhalten eine mysteriöse Nachricht mit einer Girlande aus seltsamen Symbolen auf Ihrem Telefon. Ein normaler Mensch wird mit den Schultern zucken und nichts ahnen, viel Müll fällt auf das Telefon. Bequem, einverstanden.

Fragen

Selbstbedienungssysteme von Banken haben ihre eigenen Probleme, sie funktionieren damit. Aber wir diskutieren hier über Telekommunikationsbetreiber. Ich persönlich möchte der bedingt anständigen Firma MegaLabs nicht „alle Hunde aufhängen“, aber Fragen stellen sich irgendwie von selbst. Und ich halte es für notwendig, zumindest einige dieser Fragen zu stellen.

  • Wie konnten Profis (wenn sie Profis sind) so dumm (korrigiert von einem Literaturredakteur) ein offenes Loch zum Knacken von Passwörtern betrügen? Oder umgekehrt, haben sie nicht sehr professionell „profundiert“?
  • Für wen genau wurde die wunderbare Möglichkeit der automatischen Verbindung (ohne Wissen des Benutzers) des UMS „Dienstes“ entwickelt und hergestellt? Es ist namentlich und ohne Bescheinigungen vom Finanzamt möglich.
  • Welche anderen nicht identifizierten "Löcher" sind strukturell in UMS oder anderen "supermodernen" Diensten eingebettet, die von dem Unternehmen entwickelt wurden? Als Abonnent möchte ich vorab über solche "Neuerungen" informiert werden.

Zusammenfassung

Jeder versucht, den Dienst "SMS-Nachrichten" zu monetarisieren. Dieser Service kostet den Betreiber nichts, aber die Leute nutzen ihn gerne, also lassen Sie ihn bezahlen. Es gibt keine Beschwerden, und das ist nicht die Frage.

Das Problem ist, dass Banken und viele andere Organisationen SMS als absolutes, vertrauenswürdiges und letztes Mittel zur Bestätigung des Namens und der Identität des Absenders ansehen. Mit dem Aufkommen von UMS und ähnlichen "progressiven" Diensten ist die SMS-Validierung keinen Cent mehr wert, aber die Banken haben dies noch nicht erkannt.

Dementsprechend verlieren Sie und ich Geld (viel Geld!) und erlauben jedem, unsere SMS zu lesen. Gute Frage. Wofür? Für ein Unternehmen, das einen „Avantgarde“-Service entwickelt und einen Haufen „Schwachstellen“ eingebaut hat? Oder für ein Dutzend Geeks, die gerne SMS von einem Computer aus versenden? Mir scheint, dass diese „SMS-Portale“ unter den harten Bedingungen der russischen Realität gnadenlos geschlossen werden müssen. Auf einmal, bedingungslos. Suchen Sie nicht hektisch, wer wen bezahlt hat, und versuchen Sie, den Schuldigen Geld wegzuschnappen, sondern schließen Sie es einfach. Zeitraum.

Ein ähnlicher Dienst wurde in MTS entwickelt, aber sie machten sich zunächst Sorgen um Bank-SMS-Nachrichten. Es ist nicht einmal das. Die Menschen glauben an den SMS-Schutz, die Banken glauben auch daran. Keine Notwendigkeit, sich Software-"Krücken" und Super-Duper-Schutz auszudenken. Lassen Sie SMS einfach in Ruhe und suchen Sie nicht nach zusätzlicher "Monetarisierung" dieses Dienstes. Reichen Ihnen zwei bis fünf Rubel für jede versendete Nachricht nicht? Machen Sie bereits einen „superprofitablen Einzelpreis“ von 10 Rubel. für SMS an alle Nummern und beruhigen. Sie müssen nicht an der Lieferung des heiligen Feuers von Kasan nach Moskau teilnehmen, kümmern Sie sich einfach um Ihre eigenen Angelegenheiten. Zur Abwechslung.

Sicherheitsproblem in UMS: wie lange?

Je weiter du gehst, desto mehr überkommt dich das Gefühl der "Bosheit". Ich verstehe, dass dies nicht passieren sollte und kann, aber welche Art von Serie solcher Verluste haben unschuldige Abonnenten? Mit den "linken" Inhaltsabonnements haben sie es anscheinend irgendwie herausgefunden und sogar das Geld an alle Opfer zurückgezahlt, also gibt es jetzt Bankprobleme. Und dort sind es erfahrungsgemäß keine 20 Rubel mehr. pro Tag für Inhalte, aber ganz unterschiedliche Beträge mit vielen Nullen.

Es ist gut zu hoffen, dass das Schließen dieses speziellen "Lochs" das Ende der Probleme mit dem avantgardistischen SMS-Nachrichtensystem von MegaFon bedeutet. Letztes Mal wurde uns jedoch auch ein zufälliges „einmaliges“ Ereignis und die ergriffenen Maßnahmen zugesichert, aber der Rückfall geschah genau einen Monat später. Vielleicht sollte man das arme UMS-Tier nicht weiter quälen, sondern sofort und für immer töten? Und das ist belastend. Diesmal standen mehrere Millionen Rubel auf dem Spiel, die sie fast (oder teilweise?) gestohlen hätten, aber was wird in der nächsten Folge der UMS-Serie passieren? In solchen Fällen sagte mein verstorbener Vater: "Wenn das Experiment zu Exkrementen wird, dann ist es wichtig, Zeit zu haben, um rechtzeitig aufzuhören." Und das UMS-Experiment ist offenbar bereits zuversichtlich in die oben beschriebene Phase eingetreten.

Unten ist eine der Ereignisbeschreibungen, leicht abgekürzt. Die restlichen "Berichte" über das Geschehene sind weltweit ähnlich, unterscheiden sich jedoch in Details und dem Grad der Emotionalität.

„Ehrlich gesagt hätte ich nie gedacht, dass ich Opfer von dreistem Betrug und Gelddiebstahl von Konten werden würde. Anscheinend müssen wir auf alles vorbereitet sein. Ich habe (d.h. hatte) bei der TCS Bank mehrere dringende Konten in Rubel und ein Kartenkonto. Ich habe keine anderen Produkte verwendet, wie mir die Abrechnungs- und Spar-TCS bis zu diesem Zeitpunkt gefallen haben.

Am 4. Mai gegen 18:00 Uhr, als ich friedlich in einem Friseur saß, rief mich ein Mitarbeiter der TCS Bank an und fragte, ob ich nur zwei Überweisungen über die Internetbank zugunsten eines Mannes und einer Frau getätigt hätte. Als ich ihm versicherte, dass ich es nicht bin und dass mir die betreffenden Personen unbekannt seien, wurde ich darüber informiert, dass meine Konten gesperrt wurden und eine Untersuchung eingeleitet wurde. Als ich nach Hause zurückkehrte und alleine bei der Bank anrief, bot sich mir folgendes Bild, das mich erschreckte. Jemand hat am Tag zuvor über die Internetbank alle meine Termineinlagen geschlossen und am nächsten Tag in zwei Zahlungen Geld (mehrere hunderttausend Rubel) auf die Konten von zwei Personen überwiesen, Kunden der TCS Bank (wenn trotz der Urlaub, interne Zahlungen zwischen Kunden funktionieren, es ist wahrscheinlich, dass das Geld bereits ausgezahlt wurde). Ich habe KEINE SMS oder Bestätigungscodes erhalten (später verstand ich warum). Wegen Betrugs habe ich eine Beschwerde bei der Bank eingereicht (telefonisch und per E-Mail dupliziert). Dann wandte ich mich an den Teilnehmerdienst meines Megaphones, wo ich herausfand, dass "ich" gestern angeblich die Weiterleitung eingehender SMS-Nachrichten auf eine mir unbekannte Nummer eingestellt hatte. Über die Tatsache, dass ich mein persönliches Konto gehackt und betrogen habe, habe ich eine Erklärung beim Sicherheitsdienst des Mobilfunkbetreibers hinterlassen.

Vorwarnfragen: 1) Ich hielt mich für einen fortgeschrittenen Benutzer (wahrscheinlich vergebens), das Passwort in der Internetbank war gemäß den üblichen Empfehlungen von mittlerer Komplexität, dieses Passwort wurde nirgendwo anders verwendet, mit einem Namen usw . in keiner Weise verbunden 2) auf dem Telefon (Android), von zu Hause und bei der Arbeit in die Internetbank eingeloggt. Ich habe ein Antivirenprogramm und eine Firewall auf meinem Heimcomputer installiert, ich versuche, keine verdächtigen Websites zu besuchen, ich führe keine verdächtigen Dateien aus. Es gibt kein Antivirenprogramm auf dem Telefon, ich habe keine verdächtigen Dateien gestartet, ich habe speziell ein Verbot von SMS an Kurznummern festgelegt. 3) Das Passwort im Megafon Service Guide war numerisch (dort können nur Zahlen verwendet werden). Die SMS-Weiterleitung an die "linke" Nummer erfolgte nicht aus dem Service Guide, sondern aus einem bisher unbekannten Dienst - messages.megafon.ru, der das Passwort aus dem Service Guide verwendet. Ich wurde in keiner Weise über die Verbindung der Weiterleitung informiert, niemand bat um Bestätigung. Passwörter, Logins usw. Ich habe es niemandem erzählt, ich habe es nirgendwo aufgeschrieben, ich habe es nicht im Browser gespeichert. Mit einem Wort, ich habe wahrscheinlich irgendwo Mist gebaut, aber ich sehe nicht, wo ich nachlässiger war als der durchschnittliche Bankkunde. Eine Aussage bei der Polizei geschrieben, nur nach Hause zurückgekehrt. Um ehrlich zu sein, ist es wie ein lebendiger Albtraum.

Die Maiferien erwiesen sich als heiße Zeit für IT-Spezialisten und Kundenbetreuer der Bank. Sie müssen es leid gewesen sein, die Folgen eines Angriffs auf Einlegerkonten zu „reparieren“, Kunden anzurufen, auf mehrseitige Diskussionen in Foren zu antworten und gleichzeitig zu versuchen, die entdeckte Lücke im Schutz dringend zu schließen. "Ende gut alles gut"? Was den Bankbetrug betrifft, so ist das Gute, dass er nicht begonnen hat. Denn die finanziellen Folgen können sowohl für die Bank selbst als auch für ihre Kunden verheerend sein.

Eine kurze, aber sehr prägnante "Zusammenfassung" der Sicherheitslücken, die auf der Ebene einer einzelnen Bank zur "May Day Katastrophe" geführt haben. Soweit ich weiß, wurde durch gemeinsame Anstrengungen ein konkretes „Loch“ gestopft, und nun können die Kunden der Bank für einige Zeit ruhig schlafen. Bis Betrüger eine weitere Schwachstelle im Bankmanagement/Verifizierungsverfahren und/oder im UMS-Internetportal finden und implementieren. Oder bis MegaFon einen weiteren innovativen Dienst einführt, der einen individuellen und relativ sicheren SMS-Austausch in einen Internetdienst verwandelt, der potenziell für Betrüger zugänglich ist.

Wie es gemacht wurde

Ein inoffizieller Kommentar eines (?) MegaFon-Mitarbeiters im Forum:

„Wir haben die möglichen Risiken analysiert, die zu einer solchen Situation führen könnten. Alle Systeme von MegaFon funktionieren normal, es sind keine Fehler aufgetreten. Der Zugriff auf die Dienste Message Portal, UMS und Service Guide ist ausreichend geschützt. Der Datenverkehr läuft über einen sicheren Kanal, es ist auch unmöglich, ein Passwort von einem Roboter abzugreifen - es gibt Sperrmechanismen.

  • Im obigen Fall war offensichtlich, dass auf die Daten der Internetbank und möglicherweise auf die Bankkartennummer zugegriffen wurde, da nur in diesem Fall der Zugriff auf die Kontoführungsfunktionen des Kunden möglich ist. Diese Daten werden von der Bank nicht im SMS gemeldet und können nicht im Archiv vorhanden sein.
  • Wenn ein Angreifer Zugriff auf die Zugangsdaten unserer Dienste hätte, könnte er nur die bereits getätigten Transaktionen von der Internetbank bestätigen. Und der Zugriff auf die Internetbank ist nur nach Autorisierung darin unter Verwendung der Details der Internetbank möglich.

Internet-Banking-Details könnten durchgesickert sein, entweder wenn der Kunde sie selbst geteilt hat, oder aufgrund der physischen Schwachstelle der verwendeten Geräte, die die Details enthalten (Viren, Verlust, Diebstahl, Hacking, Root, Jailbreak)".

Sie können Trojaner, Jailbreaks, Nachlässigkeit der Benutzer usw. für alles verantwortlich machen. Und in vielen Fällen werden die Vorwürfe gerechtfertigt sein. Zusätzliche Schutzebenen und eine SMS-Verifizierung werden geschaffen, um all dieses Durcheinander zu verhindern. Experten werden die wahren Gründe herausfinden, aber in diesem speziellen Fall könnten sie gut auf Trojaner und andere Hightech-"Spionagetricks" verzichten.

Sie können Trojaner, Jailbreaks, Unachtsamkeit der Benutzer usw. für alles verantwortlich machen. Und in vielen Fällen werden die Vorwürfe gerechtfertigt sein. Zusätzliche Schutzebenen und eine SMS-Verifizierung werden geschaffen, um all dieses Durcheinander zu verhindern. Experten werden die wahren Gründe herausfinden, aber in diesem speziellen Fall könnten sie gut auf Trojaner und andere Hightech verzichten "Spionagetricks".

Zum Beispiel erlebte das UMS-Messaging-Portal in MegaFon vor etwa einem Monat einen ziemlich groß angelegten Hack mit der Massenverbindung von Abonnements für kostenpflichtige Inhalte. Unsere Bewertung dieses Ereignisses kann hier gelesen werden. Das Fehlen eines angemessenen Schutzes ermöglichte es Angreifern, Passwörter durch einfache Brute-Force-Methoden zu „errechnen“ und die vollständige Kontrolle über die SMS-Korrespondenz von Hunderten (wenn nicht Tausenden) von Abonnenten zu erlangen. Das Mined wurde verwendet, um kostenpflichtige Abonnements zu verbinden, anscheinend im automatischen „Carpet Bombing“-Modus. 20 reiben. pro Tag aus der „Abonnentenseele“ war die individuelle Arbeit mit jedem Kunden kaum wert. Nach dieser Episode führten sie einen Schutz gegen Brute-Force-Berechnung von Passwörtern ein und das Geld wurde allen Opfern zurückerstattet.

Die Frage ist, ob das wahre "Ausmaß der Katastrophe" ermittelt wurde? Waren alle "gehackten" Clients mit Abonnements verbunden? Und was war das weitere Schicksal der riesigen Nutzerbasis, die mit bereits „berechneten“ Passwörtern in die Fänge von Betrügern geriet und den UMS-Dienst ohne deren Wissen verbunden hatte? MegaFon sollte zumindest die Passwörter aller Teilnehmer ausnahmslos "zurücksetzen", aber dies wurde (meiner Meinung nach) nicht getan. Alle meine anderen Schlussfolgerungen und Überlegungen mögen in Frage gestellt werden, aber das ist eine unverzeihliche Gleichgültigkeit. Oder zahlen Sie Bosheit, lassen Sie den Sicherheitsdienst das klären und sich damit befassen.

Nach einem kurzen Exkurs zurück zum Thema. Ich wäre überhaupt nicht überrascht, wenn MegaFons Datenbank mit Telefonnummern und Passwörtern in UMS an kriminelle „Spezialisten“ mit einem anderen Profil weiterverkauft und nun erfolgreich zum Hacken von Bankkonten verwendet würde. Technisch gesehen mussten die Betrüger TCS nur von der Datenbank der TCS-Bankeinleger isolieren, indem sie SMS-Nachrichten verwendeten, die auf dem Portal von einer bestimmten (Bank-)Nummer gespeichert wurden.

Der Rest war nicht sehr schwierig. Soweit ich verstanden habe, hat die Bank in einigen eingehenden SMS die Vertragsnummer gesendet, und diese Nummer konnte verwendet werden, um ein neues Passwort für den Zugang zum Internet-Banking-System und sogar für Finanztransaktionen zu erhalten. Vorausgesetzt, dass Befehle von der Telefonnummer des Bankkunden gesendet werden.

Der UMS-Dienst von MegaFon bietet volle Kontrolle über die SMS-Korrespondenz. Alle eingehenden und bereits empfangenen Nachrichten können gelesen, noch nicht empfangen - an jedes andere Telefon weitergeleitet und die Zustellung von SMS-Nachrichten an das Telefon des aktuellen Kontoinhabers blockiert werden. Damit ein Mensch ruhig schläft und sich nicht umsonst Gedanken darüber macht, was mit seinem Geld passiert. Leider können Sie mit UMS auch Nachrichten an die Bank „als ob“ vom Telefon des Kontoinhabers senden. Den bruchstückhaften Kommentaren nach zu urteilen, ersetzt der wunderbare UMS-Dienst auch die korrekte IMSI-Nummer oder bestätigt anderweitig die "Legitimität" des Absenders. Die Frage ist, warum brauchen wir mysteriöse Jailbreaks und Trojaner, wenn ohne sie alles so gut und bequem organisiert ist? Auch die Kreditkartennummer muss nicht erhoben werden, alles Nötige ist bereits „zur Hand“.

Das ist natürlich nur meine Hypothese, nur Experten, die sich mit diesem Problem befassen, kennen die Wahrheit. Aber wir sind regelmäßig davon überzeugt, dass sich die einfachste Vermutung bewahrheitet.

Wie wird gekämpft?

Das ist definitiv eine Frage für die Spezialisten der Bank und des Betreibers, die wissen es besser. Zum Beispiel gab es unter anderem die Idee, Flash-SMS zur Verifizierung zu verwenden, die (scheinbar) nicht weitergeleitet werden können, die nur für eine Weile auf dem Telefonbildschirm erscheinen und nicht automatisch im Speicher des Telefons gespeichert werden können nicht auf allen Geräten und häufiger nur manuell speichern.< /p>

Das Problem ist, dass Flash-SMS mit Zahlungspasswörtern, die von der Bank gesendet werden, perfekt im UMS-Dienst von MegaFon gespeichert werden. Zumindest bis vor kurzem waren sie es. Dies ist eine persönliche Erfahrung, wenn auch mit einer anderen Bank.

Andererseits, wenn der UMS-„Dienst“ verbunden ist, werden die gleichen Banking-Flash-SMS, die das UMS-Portal durchlaufen, in Form eines unlesbaren Abrakadabras an das Telefon weitergeleitet, auch dies ist eine persönliche Erfahrung. Dadurch wird ein Betrüger, der in Ihr UMS-Portal eingestiegen ist, alle SMS von der Bank perfekt lesen, einschließlich des Zahlungspassworts. Und Sie erhalten eine mysteriöse Nachricht mit einer Girlande aus seltsamen Symbolen auf Ihrem Telefon. Ein normaler Mensch wird mit den Schultern zucken und nichts ahnen, viel Müll fällt auf das Telefon. Bequem, einverstanden.

Fragen

Selbstbedienungssysteme von Banken haben ihre eigenen Probleme, sie funktionieren damit. Aber wir diskutieren hier über Telekommunikationsbetreiber. Ich persönlich möchte der bedingt anständigen Firma MegaLabs nicht „alle Hunde aufhängen“, aber Fragen stellen sich irgendwie von selbst. Und ich halte es für notwendig, zumindest einige dieser Fragen zu stellen.

  • Wie konnten Profis (wenn sie Profis sind) so dumm (korrigiert von einem Literaturredakteur) ein offenes Loch zum Knacken von Passwörtern betrügen? Oder umgekehrt, haben sie nicht sehr professionell „profundiert“?
  • Für wen genau wurde die wunderbare Möglichkeit der automatischen Verbindung (ohne Wissen des Benutzers) des UMS „Dienstes“ entwickelt und hergestellt? Es ist namentlich und ohne Bescheinigungen vom Finanzamt möglich.
  • Welche anderen nicht identifizierten "Löcher" sind strukturell in UMS oder anderen "supermodernen" Diensten eingebettet, die von dem Unternehmen entwickelt wurden? Als Abonnent möchte ich vorab über solche "Neuerungen" informiert werden.

Zusammenfassung

Jeder versucht, den Dienst "SMS-Nachrichten" zu monetarisieren. Dieser Service kostet den Betreiber nichts, aber die Leute nutzen ihn gerne, also lassen Sie ihn bezahlen. Es gibt keine Beschwerden, und das ist nicht die Frage.

Das Problem ist, dass Banken und viele andere Organisationen SMS als absolutes, vertrauenswürdiges und letztes Mittel zur Bestätigung des Namens und der Identität des Absenders ansehen. Mit dem Aufkommen von UMS und ähnlichen "progressiven" Diensten ist die SMS-Validierung keinen Cent mehr wert, aber die Banken haben dies noch nicht erkannt.

Dementsprechend verlieren Sie und ich Geld (viel Geld!) und erlauben jedem, unsere SMS zu lesen. Gute Frage. Wofür? Für ein Unternehmen, das einen „Avantgarde“-Service entwickelt und einen Haufen „Schwachstellen“ eingebaut hat? Oder für ein Dutzend Geeks, die gerne SMS von einem Computer aus versenden? Mir scheint, dass diese „SMS-Portale“ unter den harten Bedingungen der russischen Realität gnadenlos geschlossen werden müssen. Auf einmal, bedingungslos. Suchen Sie nicht hektisch, wer wen bezahlt hat, und versuchen Sie, den Schuldigen Geld wegzuschnappen, sondern schließen Sie es einfach. Zeitraum.

Ein ähnlicher Dienst wurde in MTS entwickelt, aber sie machten sich zunächst Sorgen um Bank-SMS-Nachrichten. Es ist nicht einmal das. Die Menschen glauben an den SMS-Schutz, die Banken glauben auch daran. Keine Notwendigkeit, sich Software-"Krücken" und Super-Duper-Schutz auszudenken. Lassen Sie SMS einfach in Ruhe und suchen Sie nicht nach zusätzlicher "Monetarisierung" dieses Dienstes. Reichen Ihnen zwei bis fünf Rubel für jede versendete Nachricht nicht? Machen Sie bereits einen „superprofitablen Einzelpreis“ von 10 Rubel. für SMS an alle Nummern und beruhigen. Sie müssen nicht an der Lieferung des heiligen Feuers von Kasan nach Moskau teilnehmen, kümmern Sie sich einfach um Ihre eigenen Angelegenheiten. Zur Abwechslung.