О взломе онлайн банков через перевыпуск SIM карт (на примере Сбербанка)
2024-01-14 08:10:47
Почему от Суточного лимита на платежи и переводы через Сбербанк Онлайн нет толка?
1. Потому что откроется доступ к номерам карт и CVV для вывода денег через онлайн платежи. А если карт нет, то можно создать карточный счет и уже распоряжаться им до получения карты.
2. Потому что можно снять деньги через банкомат без карты, воспользовавшись мобильным приложением
Почему банк виноват при взломе онлайн банка с перевыпуском SIM а не оператор? (На примере Сбербанка)
Потому что Банк установил одним из этапов аутентификации только номер карты (вместо пары логин/пароль), что очень ненадежно. (Мобильное приложение)
Потому что Банк выбрал способ восстановления пароля удаленным и простым что сделало пароль фикцией.
Потому что владелец банковского аккаунта не сообщал никому свой логин/пароль. Банк сам третьему лицу позволил их заменить беспрепятственно.
Как видите вина банка из за отсутствия препятствий для восстановлении доступа. Удобней сервисы — больше операций, больше прибыль. НО! Мы же не каждый день восстанавливаем доступ!
Поясню вот что: когда вы СМС-ками подтверждаете платежи в этом нет ничего такого, просто дополнительная опция для надежности, она даже и не обязательная, когда то такого не было. но когда речь идет о восстановлении полного доступа к сервисам, а Сбербанк Онлайн это куда более полный доступ к сервисам, то кто придумал такую норму, что идентифицировать человека теперь не надо. А ведь тоже и про Госуслуги. Ну забыли вы пароль от Госуслуг, ну всё, начнем сначала, с идентификации личности по паспорту!(Но так там такая же дыра) Попробуйте от Налогового кабинета забыть пароль.
Решение может быть таким:
Когда мы забыли пароль: (а на примере Сбербанка защиты паролем вообще нет, используется номер карты который известен например сотрудникам банка, то есть я к тому что уникальный пароль известный только пользователю и не сгенерированный должен быть обязательно иначе не получится)
Банк на странице восстановления доступа просит нас отправиться к банкомату, например в настройках безопасности банкомата реализовать опцию временной возможности удаленного восстановления пароля, которую пользователь должен включить (по умолчанию выключена) и которая остается включенной в течении определенного времени. Далее через СМС и ввода нового пароля как и прежде.
То есть добавление этапа аутентификации через банкомат.
Подробнее https://smart-lab....