Украинский программист сообщил ПриватБанку о найденной уязвимости, а в ответ получил обвинение в мошенничестве

Программист из Киева Алексей Мохов, бывший сотрудник украинского Samsung и Viewdle, нашел уязвимость в Android—приложении «Приват24» (технические подробности здесь: ain.ua/2013/09/04/137788 ) и сообщил в банк о найденной дыре в безопасности.

В ПриватБанке Алексея приняли и выслушали. Но потом на всякий случай обвинили в попытке украсть средства со счетов клиентов банка: www.capital.ua/. a-vzloma-i-krazhi-sredstv.

Здесь Алексей подробно рассказывает, как нашел уязвимость и почему, по его мнению, обвинения со стороны банка безосновательны: kpishnik.kpi.ua/archives/1114.

Интересно, чем эта история закончится.

До обраного В обраному 0

Схожі топіки Найкращі коментарі пропустити

Банкомат Приватбанку:— Вставте картку— Вставив— Оберіть мову— Українська.— Введіть пінкод— ****— Лотерея — виграй стопітцот мільйонів— Ні!— Виберіть пункт меню— Зняти готівку— Введіть сумму— 150— Бажаєте оплатити мобільник?— Ні.— Пожертвувати гроші безголовим діткам?— Ні.— Ви впевнені, що хочете зняти бабло?— ТАК!— Виберіть пункт меню— Зняти готівку— Введіть сумму— 150— Бажаєте оплатити мобільник?— Ні.— Пожертвувати гроші безголовим діткам?— Ні.— Ви впевнені, що хочете зняти бабло?— ТАК!— Хочете купити авто в кредит?— НІ С. — Виберіть мову інтрфейсу.— УКРАЇНСЬКА КУРВА Я ВЖЕ ЦЕ ВИБИРАВ. — Спробуйте наш новий сервіс — смс у пекло за 0.99 грн.— ТА ЙДИ НА. ДАВАЙ БАБЛО С. — Видрукувати чек?— НІ. — Вибачте, сталася помилка, спробуйте ще раз

© Авторство не моё, но где взял не помню.

Всю PR службу разогнать к чертям. Я понимаю, что безопасники — это карающие органы, и по-другому они не умеют. Но что произошло фактически:

Банк выпустил дырявое приложение. Заведомо дырявое.
Банк не нанял специалистов, не делающих столь глупых ошибок. Сэкономил.
Банк нанял и пооощрил специалистов, делающих быстро и красиво.
Банк не имеет технологии исправления ошибок. Любая найденная ошибка ведёт не к исправлению, а к поиску виноватых и деланью вида что их нет.
Банк не имеет работающей технологии стимулирования качества. В любом промежуточном звене отработка ошибок наказуема. Поощряется «замятие» вопроса, это считается решением.

Банк принял в штыки, и даю гарантию 200% попытался отбрехаться общими фразами.
Банк посчитал проблемой не ошибку, а факт её нахождения.
Более серьёзной проблемой банк посчитал человека.
Банк наказал человека. Обвинение — это уже наказание, и реакция последовала.
Банк сделал всё, чтобы показать что он «всегда прав». Клиент всегда неправ.
Банк приложит максимальные усилия, чтобы доказать что все неправы. В лучшем случае «неправильно поняли».
Банк наверняка накажет непричастных. Скорее всего одного человека. И уволит по собственному желанию. Так уже было, можете погуглить скандал о Юниор-картах и показ по ОРТ.

Как надо было сделать:

Дать премию! Публично!

К сожалению данный случай не исключение, можете поспрошать Хабр насчёт Приват-24. И какое было отношение к нашедшему.Итого: в банке люди хорошие, но кадровый вопрос их немножко испортил. А ведь лозунг «клиент всегда прав» первым в Украине появился именно у Приватбанка. И это были времена его расцвета.

— У Вас дыра в безопасности!— Слава Богу, хоть что-то у нас в безопасности.

Ни одно доброе дело не останется безнаказанным.

Очень странно, у них только недавно висели банеры на сайте найди «дыру получи 10000», учитывая сколько глюков встречал при работе с П24, даже посмотрел условия, в принципе всё с чем я сталкивался не подпадало под условия вознаграждения. Судя по всему у Мохова получилось сорвать джек-пот, но «казино» с деньгами не расстанется.

164 коментарі

какое мимими, бозе-бозе, прям слезки умиления из глазонек

пи-пи-пи. ц © живой классик

вот то-то что сей плод нечистого бениного семени (я за превед-банк, ежели что) ни делает — все кпсс получается

а пацанчик хорош, чисто канкретнопопомните мое слово — хорошую карьеру в этой стране сделает

Я вот лично после того, как увидел, как работают американские банки с транзакциям по кредитным картам, вообще в шоке с отечественных банков. Вот у нас, например, как: если с твоей карты стырили деньги — значит, сам дурак. Даже если карту украли, а потом все с нее вынесли — это личное горе пострадавшего. Т.е., изначально презумпция виновности. А там не так совсем (и из-за чего добавляется головняка на написание антифрод-системы). Там если ты видишь, что какую-то транзакцию не проводил, особенно если украли карту, и не успел ее заблокировать, — ты просто ее оспариваешь, хоть даже в телефонном режиме. И сразу же тебе банк эту сумму возвращает. А потом уже идет анальная кара: или могут наказать мерчанта, которому по этой транзакции сумма зачислилась, как минимум — забрать деньги обратно, или посадить в тюрьму заявителя за мошенничество + пожизненный бан ему в кредитную историю. Итого: оплачивается предоплаченный сервис ворованной кредиткой, его использовали, а потом БАЦ — и с мерчанта забирают эту же сумму на ровном месте ) Страдают там компании — мерчанты от фродстеров и кардеров довольно сильно. А не простые смертные граждане.

Не забывайте про законодательное урегулирование в США этих рисков — $50 максимум.Electronic Fund Transfer Act

А Украина богатая страна — 1500 грнПро здійснення операцій з використанням спеціальних платіжних засобів6.9. Користувач, як виняток, до часу подання повідомлення та/або заяви емітенту несе збитки, обумовлені незаконними діями/сумнівними операціями зі спеціальними платіжними засобами, які відбулися в результаті використання втраченого спеціального платіжного засобу, до максимальної суми, яка не може перевищувати 1 500 гривень, крім випадків, коли користувач діяв з порушенням правил використання спеціального платіжного засобу або умисно, у разі чого така максимальна сума не застосовується.

Причем и даже это не работает. В договоре с ПриватБанком описана полная ответственность клиента ( 1.1.5.13 из privatbank.ua/. /01092013ru.pdf )

Плюс такой момент как подача заявки через Приват24 на открытие карты для каких-то рисковых стран — это до договору принятие клиентом ответственности за все операции ( 2.1.1.9.7. и 2.1.1.9.8.)

Также как и установка лимита для оплаты в Интернет — тоже ПриватБанк договором снимает с себя риски ( 2.7.6.10.12. )

честно говоря просто за такое приложение привату должно быть стыдно. оно работает через пень колоду. слава богу что не крешится на каждом шагу.

Кто сказал что не крешится? Крешится на айфоне еще как.А еще недавно логин в Приват24 приложение на телефоне упростили, типа зачем присылать при логине смс-ку на телефон с которого собственно человек и так логинится. Все вроди бы логично, только при этом забыли поставить проверку что телефонный номер того телефона с которого логинятся совпадает с телефонным номером акаунта, в которых производят вход.

Итог — можно логиниться в приложение Приват24 под любым юзером зная только его первый пароль.

На Android часто вылетает, особенно после апдейта на маркете

На хабре появилосьhabrahabr.ru/post/193204Комменты порадовали:Прикол из жизни.Я завел в аккаунт ПБ свою штатовскую карту, а через 12 часов мне позвонили из Визы за разрешением блокировать карту — ею уже пытались уплатить на украинской автозаправке.

Вы еще в паре мест ваше сообщение продублируйте. Ну так, для надежности. А то вдруг, мало ли что бывает. Сами знаете.

Пошёл он в жопу этот приват.Почему люди туда до сих пор добровольно идут клиентами быть?

Ну по расчетно-кассовому обслуживанию ему нет равных, к сожалению

Костя, а почему «к сожалению»?

И, кстати, история немного переврана СМИшниками kpishnik.kpi.ua/archives/1114Думаю, парню заплатят таки за обнаружение дыры, а виновных сильно покарают

Ну просто если бы были достойные альтернативы, то я бы уже давно сменил банк. Но их пока нет. А в остальном, что касается других банковских услуг, то приват по сути аутсайдер

С точки зрения удобства пользования — не вижу проблем кроме банкоматов подтупливающих. А так — всё достаточно удобно и наглядно. С безопасностью тоже проблем нет. Мне кажется, что у тебя остались предубеждения ещё с тех пор, когда Приват действительно не думал о своих клиентах =)

Простите за оверквотинг, но спёрто с Хабра:=Прикол из жизни.Я завел в аккаунт ПБ свою штатовскую карту, а через 12 часов мне позвонили из Визы за разрешением блокировать карту — ею уже пытались уплатить на украинской автозаправке. =

я ж это только что прочитал тут выше. и на хабру не ходи =)

В тех поддержки привата работает быдло, могут послать или просто выйти из чата

Денис, насколько мне известно, каждый клиент имеет возможность поставить оценку компетентности обслуживающего его сотрудника банка — после обращения в колл-центр клиенту поступает автоматический звонок с просьбой оценить работу. И не совсем понятно, почему вы пишете о «быдле» тут, а не сообщаете в горячую линию ПриватБанка.

С таким же успехом можно позвонить в рельсу, которая висит при входе.

Ок. Тогда расскажу для примера свой случай. Был в очереди в одном из отделений банка на получение карты. Передо мной 6 человек. Ждал около получаса. Когда подошла моя очередь, девушка сказала, что у неё перерыв и отказалась меня обслуживать. В принципе, она полностью права. Ноя отправил смс на указанный на двери в отделение номер. После чего мне перезвонил какой-то дядя, выслушал ситуацию и пообещал перезвонить после выяснения. Через два дня я получил от него же звонок с информацией о том, что девушку депремировали на сколько-то там процентов. Если ничего не делать — вы и не получите качественное обслуживание. Это как с услугами ЖКХ. Или вы ожидаете, что в банках работаю не такие же люди, как во всей нашей Уркаине?

Не раскрыта тема связи между качеством обслуживания и депремированием девушки, которая в принципе права? ИМХО вы просто ей отомстили за неудобства. Банк же как и в ситуации описанной в посте — просто назначил крайнего.

А депримировать по идее должны были не её а старшего в отделении. при очереди в 6 человек в кассу, не помешает открыть ещё одну кассу и устроить между ними лоадбалансинг :)

Начинал читать, думал что история про заправку =))

Я пробовала, с меня спросили «id чат-сессии». А его нет, ибо разговор в чате не считается активностью в приват24, и если ты не ходишь по страницам, тебя может внезапно выкинуть из системы с потерей чат-сессии.

ну нормально, а вы их разве не посылаете?)

На прошлой неделе нужно было перевести n-ную сумму денег в американский банк. Перезвонил в несколько банков крупных, везде надо было идти в банк. Зашел в Приват24 и все сделал за 5 минут. Деньги пришли на следующий день.

Ну, якщо крім Привата24 не бути підключеним до інших систем, то альтернатив таки не буде.

Я подключен к трем крупным банкам. Из них только в Приват24 можно зайти онлайн и сразу отправить деньги в любую точку мира. В других нужны какие-то дополнительные действия, например идти в банк и активировать эту возможность.

А по какой системе отправить? SWIFT?

При всём богатстве выбора — альтернативы нет.

Более того, у одного венгерского банка в Украине — SWIFT можно отправить даже по телефону (первый раз шаблон правда сложно диктовать, а потом всё просто).Причем сделаете это именно Вы — а не тот кто час назад востановил СИМку. Используется генератор паролей в виде брелока + пароль.

Вот из-за таких людей — которые наивно верят:* У банка 8000 банкоматов по всей Украине. vs. А Вам надо все 8000? Или достаточно возле дома и офиса чтобы был? Плюс в некоторых тарифах других банков есть бесплатные снятия в любом банкомате Украины.

* У ПриватБанка 51% депозитов — он не упадёт. vs. В банке большая доля депозитов физических лиц в активах и поэтому выплата депозита в полной сумме в случае банкротства будет осложнена из-за осутствия активнов других очередей банкротства. Также в банке велика доля кредитов выданых аффилированным компаниям.

* Более удобного инет банка не видел vs. А вообще какие видили и когда смотрели?

* У него полно отделений по Украине vs. А не проще ли пройди еще 500 метров и зайти в другой банк сделать платёж на любой счёт, чем стоять в очереди час?

Вообще если основываться на статистике, то Вам может показатся что все мы дышим азотом, потому как его >70% в том что вдыхаем. Но пользу на самом деле основную приносят нам только 20% кислорода. Так и с Приватом — статистика класная, но кому от этого лучше — банку или клиенту?

не слышали, что азот-то как раз можно заместить, например, гелием?

Поэтому на «Джемини» и «Аполлонах» астронавты дышали чистым кислородом?

На Apollo уменьшали давление почти в два раза, а это равноценно концентрации в дыхательной смеси где-то 60% кислорода и 40% азота по земным меркам. При земном давлении космонавты бы «сгорели» за сутки.

Конечно. Но ничего, кроме кислорода, в атмосфере Аполлона не было

— У Вас дыра в безопасности!— Слава Богу, хоть что-то у нас в безопасности.

Уязвимость это когда любая домохозяйка может взломать не нарушая лицензии об использовании, а здесь реальный хакинг с дизасемблированием и подменой параметров. Закроют Мохова на N лет или пожизненно отрабатывать в банке.

Стаття 24. Вільне копіювання, модифікація і декомпіляція комп’ютерних програм

1. Особа, яка правомірно володіє правомірно виготовленим примірником комп’ютерної програми, має право без згоди автора або іншої особи, яка має авторське право на цю програму: ( Абзац перший частини першої статті 24 із змінами, внесеними згідно із Законом N ( ) від 22.05.2003 )

1) внести до комп’ютерної програми зміни (модифікації) з метою забезпечення її функціонування на технічних засобах особи, яка використовує ці програми, і вчинення дій, пов’язаних з функціонуванням комп’ютерної програми відповідно до її призначення, зокрема запис і збереження в пам’яті комп’ютера, а також виправлення явних помилок, якщо інше не передбачено угодою з автором чи іншою особою, яка має авторське право;

Я не читал лицензионное соглашение приветбанка, но уверен, что там есть запрет на реверс-инжиниринг.

если и не было, то уже скорее всего есть =)

Там не було виправлення помилки, а навпаки використання помилки для обману системи. Може для когось помилка що программа не працюэ в повному обсязi без лiцензiйного ключа можна теж декомпiлювати i модифiкувати?

Скорее всего, кто-то, кто несёт ответственность за безопасность и прочее, понял свой про(job) и попытался выгородить себя, свалив вину на другого человека. Позор тем, кто это сделал.

А представляете если бы приват выплатил ему за это. или через суд. Имхо это их единственный правильный выход с данной ситуации, а людям надо смотреть шире, дело то далеко не в гуманности. Хотя и не верится мне, что человек не начал пытаться пользоваться «находкой» и потом, осознав, в панике попытался спастись под видом помощи. безликому существу. Это тоже имхо.

Трушный банкомат привата должен спрашивать пинкод после каждой интерации — вдруг это не вы, а тот парень из очереди за степухой не успел подсмотреть.

Забыли упомянуть про паузы по 15 секунд между каждым новым сообщением и идиотскую особенность отдавать бабло, но не отдавать карточку (в большинстве сначала забираешь карточку, что бы не забыть, а потом деньги).

это как раз плюс. может, я не только за баблом пришел а еще хочу операции сделать? телефон там пополнить или еще что.а те торопливые банкоматы, которые заставляют спешно ловить карту, пихать в кошелек, чтобы успеть забрать деньги — пусть снятся в кошмарах своим разработчикам.

Как дважды прошедший через 7 кругов ада восстановления забытой в таком «замечательном» банкомате карточки — не могу с вами согласитьсяИ я не помню ни единого за многие года пользования банкоматами случая, что бы мне надо было еще что-то делать после снятия налички. Можно примеры?

примеры. разумеется.1. я хочу снять несколько определенных сумм.например, 170 грн папе, 140 грн маме и 190 грн детскому дому.не хочу получить одну бумажку и резать на части, хочу, чтобы железный ящик поделил деньги для меня.

но никакие примеры не вылечат от склероза рассеяности.

мне удобнее сам принцип, когда я решаю, что пришло время забрать деньги — и не спеша их прячу. спрятав, я так же решаю, что теперь мне удобно забрать карточку и положить её в кармашек.

поэтому банкоматы, заставляющие в спешке и двумя руками манипулировать тремя предметами (кошелек, карточка, пачка денег) — мне не нравятся.

банкомат мог бы предоставить опцию выбора набора купюр. забытая в банкомате карта — это намного большая боль, чем боль утраты

я не хочу считать, какие наборы купюр у меня войдут в 175 грн. боль утраты — это ваше личное халатное отношение к своим документам (банковской карте). которая, опять же, восстанавливается за полчаса.

За 10 рабочих дней вообще-то

Хм, зависит от банка, наверное. В том самом, «адовом» ПБ уходишь через 15 минут с карточкой, которая активируется через сутки.

Даже visa buisness?

ну это другая пьянка :). С другой стороны, держать все деньги на часто юзабельной карточке — плохой тон. Особенно, если её долго востанавливать.

Хотя на кройняк, в том же ПБ вам довольно шустро откроют обычную карточку (моментальная. чтоли?) куда можно запросто перевести деньги — и юзай на здоровье.

В будь-якому банку ідеш за лічені хвилини із карткою, якщо ти нормальний клієнт.

у вас, наверное, какая-то мажористая карточка или зряплатная.

и разумеется, все эти 10 рабочих дней вы с 9 до 18 обязаны провести в офисе привата, а снимать деньги с паспортом в кассе — низзя и ай-яй-яй.

7 кругов ада — это зайти в банк и забрать новую карточку? (я бываю довольно несобранным, и в один месяц «восстанавливал» карточку 3 раза).

номер тот же остается?

забывыл, восстанавливал, научен.на самом деле, почти все банкоматы там работают. Из тех, с которыми сталкивался, только Авалевский и Кредобанковский дают карту, а потом — деньги

Эксим тоже. Пока не извлечешь, даже считалка купюр не запускается.

Они хозяева своего слова: слово дали — слово забрали :)

Вот тут 50 на 50. Сталкивался и с тем и с другим.

Для этого надо было подать через нужный канал.Кстати, естть люди получившие такое вознаграждение, и Приватбанк вплоне охотно платит по таким программам. Если кто знает — можете пробовать, рекомендую. Но как правильно заметили, банк в самих условиях описал что не является багами (читай — так и надо).

Ну тогда всё ясно, Мохов попал в стандартную проблему корпораций, когда есть строгая политика и все знают, что делать (кого обвинять или поощрять), но чуть ситуация не соответствует правилам, начинается бардак и зачастую не адекватные решения.

Он попал по яйцам корпорации :)Так как сделал он — делать нельзя. В смысле публиковать в твитере. Это можно делать лишь в одном случае — хочешь погубить организацию и готов к тому что она ответит. В данном случае — легко отделался. А ведь могли и убить. Не организация — вполне конкретный человек мог быть жестоко наказан внутри банка, и не имея возможности ответить банку — заказал бы Алексея.

Да, это противозаконно. Но люди подчиняются не закону, а интстинкту. И убивают, и это происходит каждый день. И лучше не проверять эти стимулы на практике.

Вы слишком омрачаете нашу действительность.Вы бы знали какое количество мошеннических операций в день приходится рассматривать банкам, тут бы уже были реки крови.Распространенная схема, это когда звонят Вам по объявлению в инете, говорят, что готовы у Вас купить то, что продаете, только назовите номер приватовской карты для перевода денег. Вы называете, потом у Вас «случайно» пополняется счет на 5 грн, раздаются два ошибочных звонка и далее через несколько часов у Вас блокируется симка. Потом у Вас пропадают с карточного счета 2К гривни. Причем нигде не взламывается система, все работает так как должно работать, но деньги уходят в чужие руки. Не знаю, может уже побороли эту схему, но полгода назад у меня знакомые попались.

А Приватбанк устраивала схема с мошенничеством через «Экстренные деньги». Они ж даже продолжают считать % по кредиту с украденых средств!

05 липня 2013 року. Справа № 592/4805/13-к Ковпаківський районний суд м. Суми. Вирок:ОСОБА_2 просив стягнути з потерпілого 1623 грн., з яких 1400 грн. сума спричиненої шкоди злочином, 223 грн. відсотки за обслуговування кредитної суми.Позов ОСОБА_2 підлягає задоволенню частково у сумі 1456 грн., тобто у розмірі прямої шкоди завданої злочином. Законних підстав для стягнення відсотків за користування кредитом немає. . Реалізуючи свій злочинний намір, досягнутий з ОСОБА_1, 07.01.2013 року невстановлена особа з метою незаконного заволодіння грошовими коштами, підшукала в Інтернеті оголошення з продажу фотоапарату, яке розмістив мешканець міста Запоріжжя ОСОБА_2. Після цього невстановлена особа зателефонувала потерпілому. Видаючи себе за добросовісного покупця, виявила бажання придбати запропонований для продажу товар та запропонувала здійснити розрахунок шляхом грошового переказу на банківський рахунок в ПАТ КБ «ПриватБанку». Будучи введеним в оману стосовно дійсних намірів невстановленої особи, ОСОБА_2, не будучи обізнаним про можливість використання банківської послуги «Екстренні гроші» і не допускаючи можливості заволодіння своїми коштами, розцінюючи свої дії як правомірні та вигідні для нього, повідомив невстановленій особі особисті дані та номер банківського рахунку ПАТ КБ «ПриватБанк». Після цього невстановлена особа зателефонувала ОСОБА_2 та розіграла заплановану злочинну комбінацію, видала себе за працівника банку, запевнила ОСОБА_2 в наявності грошового переказу, на який він очікує. Впевнившись в наявності на рахунку потерпілого коштів та верифікованості сім-карти потерпілого до його банківського рахунку НОМЕР_1, невстановлена особа ввійшовши в довіру до ОСОБА_2, використовуючи його необізнаність про порядок використання банківських послуг, запевнила, що потерпілий має їй повідомити комбінацію цифр, надіслану банком на його мобільний телефон, яку ОСОБА_2 з власної необачності повідомив невстановленій особі. Даний код невстановлена особа повідомила ОСОБА_1, який ввів його на клавіатурі банкомату та отримав доступ до банківського рахунку ОСОБА_2 і за вказівкою невстановленої особи, будучи обізнаним про його злочинні дії та діючи повторно за попередньою змовою з невстановленою особою, в 14.58 год. в банкоматі міста Суми по вул. Троїцька, 26, викрав з рахунку ОСОБА_2 гроші в сумі 1400 грн.. Частину коштів відразу ж переказав на вказаний невстановленою особою банківський рахунок. Таким чином ОСОБА_1, діючи за попередньою змовою з невстановленою особою, таємно викрав з рахунку ОСОБА_2 гроші в сумі 1400 грн. та, з урахуванням стягнутих банківських комісій, спричинив потерпілому матеріального збитку на суму 1456 грн.

Самый большой прикол — что отключить услугу «Экстренные деньги» по просьбе клиента нельзя. Но из-за массовости (более 60 случаев) мошеничества теперь ПриватБанк может ее отключить сам в случае замены СИМки (как-то через часть ОКС-7 протокола узнают? служебные СМСки?).Вот так в самый неожиданый момент услуга может быть недоступна когда нужна, а зато когда не нужна — включена.

📎📎📎📎📎📎📎📎📎📎