Названы способы мошенников узнать баланс карты

Лента новостей

Все новости »

Это метод социальной инженерии и уязвимости в банковских приложениях

Мошенники могут выяснить баланс банковской карты потенциальной жертвы несколькими способами. При этом они используют не только метод социальной инженерии, выведывая у человека эту информацию, но и уязвимости в банковских приложениях. Об этом сообщает РИА Новости со ссылкой на экспертов.

Полученные данные мошенники могут использовать для дальнейших схем по хищению средств.

По словам главы отдела анализа защищенности веб-приложений Positive Technologies Ярослава Бабина, проблемы с недостаточной авторизацией выявлялись в 2020 году в каждом третьем приложении. Благодаря этим уязвимостям можно узнать сумму на счетах других клиентов, посмотреть выписки, шаблоны операций или предыдущие переводы.

Преподаватель кафедры банковского дела университета «Синергия» Дмитрий Ферапонтов отмечает, что самый распространенный способ получения персональных данных — втереться в доверие человеку или добыть информацию с помощью манипуляций. При этом информация, необходимая мошенникам, чтобы выйти на клиента банка и попытаться выяснить у него баланс карты, попадает в их руки из-за утечек персональных данных. Подобные инциденты возможны в том числе при использовании сервисов доставки, такси, каршеринга. Кроме-того, в преступном сговоре с мошенниками могут состоять и недобросовестные банковские сотрудники, которые предоставляют злоумышленникам информацию о своих клиентах.

При этом самый банальный способ узнать баланс карты — «подглядывание из-за спины», когда человек выводит баланс счета на экран банкомата или пользуется банковским приложением в людных местах, отмечают эксперты.

Источник

Как узнать баланс чужой банковской карты, зная её номер?

Мошенники, когда звонят доверчивым владельцам карт и представляются службой безопасности банка, заинтересованным покупателем, сотрудником госорганов или ещё кем-то важным, наверняка выбирают себе жертв, не тратя времени на тех клиентов, у кого мало средств на счету.

Оказывается, узнать баланс чужой карты очень просто.

Вся информация предоставлена исключительно в ознакомительных целях. Я не несу ответственности за любой возможный вред, причиненный материалами этой статьи

Как узнать чужой баланс? Для этого нужно знать только номер карты – 16 цифр (иногда меньше) – и дату рождения.

Зная номер карты (или его часть, дальше детальнее) и дату рождения владельца, достаточно позвонить с любого телефона на горячую линию банка и в меню IVR выбрать пункт вида «проверка баланса карты в автоматическом режиме».

Одно дело, когда баланс озвучивается владельцу карты, звонящему в банк со своего телефона.

Но проблема, которую я хочу донести, заключается в том, что банки для удобства клиентов предоставляют такую возможность даже с непривязанных, не принадлежащих данному клиенту, телефонов.

Я проанализировал ТОП-10 банков Украины по количеству активных пластиковых карт на возможность получения баланса карты при звонке с незарегистрированного (нефинансового) номера телефона. Уверен, в России ситуация аналогичная.

Банки по защищённости, от худшего к лучшему:

Банк	Количество активных карт	Возможность проверки с незарегистрированного номера телефона
Ощадбанк	5,41 миллиона	До конца марта 2017-го — да: номер карты + дата рождения. Сейчас с незарегистрированного телефона это невозможно
ПУМБ	667 тысяч	Да: 6 первых цифр + 4 последних + дата рождения. В ответ получаем баланс и последнюю операцию по карте, включая дату её совершения
Укрсоцбанк (UniCreditBank)	595 тысяч	Да: Номер карты + дата рождения
Укрсиббанк	1,04 миллиона	Да: Номер карты + срок действия + дата рождения
Альфа-Банк	1,14 миллиона	Да: 4 последних цифры карты + номер паспорта
Райффайзен Банк Аваль	2,11 миллиона	Да: 8 последних цифр карты + номер идентификации или Номер идентификации, секретный код и последние 4 цифры
ПриватБанк	17,08 миллионов	Нет, с незарегистрированного телефона это невозможно
А-Банк	461 тысяча	Нет, с незарегистрированного телефона это невозможно

Такие банки, как Укргазбанк (725 тысяч активных карт) и Укрэксимбанк (401 тысяча) не предоставляют такой возможности в IVR.

Как видим, больше всего клиентов, чей баланс карты так просто узнать – у Ощадбанка – 5,41 миллиона активных платёжных карт (до конца марта 2017-го. На данный момент с незарегистрированного телефона это невозможно. Статья могла быть опубликована много месяцев назад и называться «Как узнать баланс чужой карты Ощадбанка» – я ждал, пока банк исправит ситуацию).

И клиенты именно этого банка страдают (страдали) от недостаточной финансовой грамотности вкупе с социальной инженерией – ведь именно в Ощадбанке среди держателей карт больше всего, по сравнению с другими банками, пенсионеров, переселенцев, а также тех, кто получает социальные выплаты…

Приведу комментарии пользователей Хабрахабра из других постов, к чему может привести ситуация, когда ваш баланс известен третьему лицу.

На самом деле это ж для мошенников раздолье. «Мы вам звоним из техподдержки банка, на вашем счету сейчас N руб. Но для *придумать действия* нам еще нужны дата действия карты и код с обратной стороны».

Можно позвонить этому абоненту, назвать его по имени-отчеству, представиться работником банка и убедить совершить какие-либо действия с картой или счетом. Социальная инженерия, google://Кевин_Митник

Помимо мошенников, ваш баланс могут узнать любопытные коллеги.

Или подчинённые могут узнать зарплату своего начальника, проверив баланс его карты в день поступления средств.

Примеров, кому может понадобиться узнать сумму средств на чужой карте, много.
В любом случае, это конфиденциальная информация, и её нельзя так просто разглашать. В меню IVR многих банков доступны и другие операции, которые можно совершить в автоматическом режиме. В рамках этого материала они не учитывались. Также я не рассматривал возможность проверки баланса и совершения других действий при звонке с принадлежащего клиенту номера телефона – при наличии чужого телефона возможно совершить действия и пострашнее. Берегите свой телефон.

P.S.: Просьба к банкам – сделайте проверку баланса и другие действия в IVR с того номера телефона, который не принадлежит клиенту, невозможным.

Так делают крупнейшие ПриватБанк/А-Банк и сделал Ощадбанк, спустя много месяцев после моего обращения.

Или сделайте хотя бы сложнее – чтобы вместо даты рождения нужно было указывать номер паспорта (мне понравился такой подход в Альфа-Банке) или номер карты идентификации (как в Райффайзен Банке Аваль).

Источник

Эксперты перечислили способы мошенников узнать баланс банковской карты

Данные о балансе банковской карты мошенники могут узнать не только методом социальной инженерии, выведав у владельцев данные, но и через уязвимости мобильных приложений. Об этом сообщает 6 февраля «РИА Новости» со ссылкой на экспертов.

Как рассказал руководитель отдела анализа защищенности веб-приложений Positive Technologies Ярослав Бабин, ошибки приложений встречаются постоянно. К ним относятся проблемы недостаточной авторизации в онлайн-банкинге. Это бывает в каждом третьем приложении.

«Часто эти уязвимости приводят к тому, что злоумышленник может узнать сумму счетов других клиентов, посмотреть выписки, узнать шаблоны операций или предыдущие переводы», — отметил он. Проблемы встречаются в любых других приложениях, разработанных банками.

«Например, был случай, когда в сервисе card2card (переводы с карты на карту. — Ред.) можно было ввести номер карты и сумму, а в ответ сервис мог указать, что сумма на счету недостаточна для перевода или условно «все ок, такие деньги тут есть, можно переводить», — добавил эксперт, отметив, что этого достаточно для примерного определения баланса средств на карте.

По-прежнему самым простым способом остается втереться в доверие человеку или добыть информацию, манипулируя им. Так полагает преподаватель кафедры банковского дела университета «Синергия» Дмитрий Ферапонтов. При этом информация попадает мошенникам в руки из-за утечек персональных данных.

Такие инциденты возможны при пользовании гражданами различными сервисами, будь то доставка, такси, каршеринг или маркетплейс.

Также в сговоре с мошенниками могут быть сотрудники банков. Они могут предоставлять им информацию о своих клиентах. Наиболее старым способом узнать баланс также остается подглядывание у экрана банкомата.

Накануне сообщалось, что злоумышленники стали предлагать россиянам получить выплату от имени Банка России, которая якобы направлена на поддержку в период пандемии. Также эксперты рассказали о новом способе мошенничества с помощью Telegram. В мессенджере появился бот, который позволяет подменять номера исходящих вызовов и менять голос.

Источник

Названы способы узнать баланс чужой карты

У мошенников есть несколько способов узнать баланс банковской карты чужого человека, причем не от всех из них можно защититься. Опрошенные РИА Новости эксперты описали ситуации, при которых чувствительная для граждан информация может оказаться в чужих руках.

Глава отдела анализа защищенности веб-приложений Positive Technologies Ярослав Бабин назвал основным вариантом уязвимости в банковских приложениях. По его оценкам, в последнее время проблемы встречаются в каждом третьем приложении, а годом ранее их можно было найти в двух из трех.

Материалы по теме

«Это была сильнейшая пирамида»

Сорвали покровы

Из-за них злоумышленники зачастую могут посмотреть сумму счетов других клиентов или же получить доступ к выпискам, шаблонам операций и предыдущим переводам.

Иногда речь идет даже не об уязвимостях, а о критических ошибках в принципах работы. Например, один из сервисов перевода с карты на карту, разработанный банком, выводил сообщение о нехватке средств на карте для перевода до запроса каких-либо других данных. То есть любой мог ввести номер карты и узнать, больше или меньше на ней средств. В этом случае клиент вообще не мог хоть как-то повлиять на сохранность своих данных.

Старший преподаватель кафедры банковского дела университета «Синергия» Дмитрий Ферапонтов отметил, что социальная инженерия также остается действенным методом. Мошенники втираются в доверие к человеку и манипулируют им. Хотя перед этим они должны получить какую-то информацию о клиенте банка, а это случается в результате утечек.

Данные преступникам предоставляют различные площадки — доставка, такси, каршеринг, маркетплейсы. Торговать персональными данными могут и нечистоплотные банковские сотрудники, хотя последние случаи, подчеркнул эксперт, случаются все реже и реже. Как правило, каждый из них заканчивается массовым исходом клиентов, даже лояльных, так что кредитные организации все плотнее занимаются безопасностью.

Самым простым, но работающим способом Ферапонтов назвал подглядывание из-за спины на экран банкомата или в смартфон во время использования его в людных местах. Из-за этого банки начали вводить функцию «скрыть остатки».

Ранее Центробанк предупредил о новой мошеннической рекламе, в рамках которой гражданам обещают выплату от имени регулятора. Для этого ему предлагают перейти на сайт с символикой ЦБ и ввести все данные своей карты, в том числе CVC-код.

Источник

Россиянам рассказали, как мошенники узнают баланс на чужой карте

У мошенников есть несколько способов узнать баланс банковской карты россиянина, и не от всех из них можно защититься.

Как рассказал руководитель отдела анализа защищенности Positive Technologies Ярослав Бабин, один из способов это ошибки приложений, которых злоумышленники могут получить конфиденциальную информацию о других пользователях. Благодаря таким уязвимостям можно узнать сумму счетов других клиентов, посмотреть выписки, узнать шаблоны операций или предыдущие переводы, отметил специалист.

При этом он предупредил, что проблемы могут быть не только в , но и в другом приложении, которое разработала финансовая организация. И в таких случаях клиент ничего не может сделать, чтобы избежать этого, так как все зависит от банка.

Самым простым способом узнать баланс карты остается втереться в доверие человеку или добыть информацию, манипулируя им, считает старший преподаватель кафедры банковского дела университета «Синергия» Дмитрий Ферапонтов.

Он уточнил, что информация, необходимая злоумышленникам для того, чтобы выйти на клиента банка, попадает в их руки утечек персональных данных. Такие инциденты возможны при использовании сервисов доставки, такси, каршеринга. Торговать персональными данными могут и недобросовестные сотрудники банков, хотя такие случаи, как отметил Ферапонтов, случаются все реже.

Эксперт также добавил, что наиболее банальным способом узнать, сколько денег на карте, является «подглядывание спины», когда человек выводит баланс счета на экран банкомата или использует банковское приложение в людных местах. При этом сейчас банки стараются этому противодействовать, создавая в приложениях функцию «скрыть остатки».

Источник