[ {

"id" : "+380987654321",

"name" : "+380987654321",

"CONTRACT_ID" : "42577459",

"CLIENT_NAME" : "ИМЯ Ф.",

"PAN" : "5167********3489"

} ]

нового

тут же активирует карту,

подключит SMS-информирование на этот номер телефона,

и автоматически зарегистрирует карту в «Ощад 24/7».

Картинки в плохом качестве















У меня накопилось несколько найденных проблем в различных сервисах Ощадбанка, одного из крупнейших украинских банков.Ощадбанк добавил новую функцию в свой интернет-банкинг «Ощад 24/7» — перевод с карты на карту по номеру телефона: чтобы перевести средства, необязательно знать номер карты получателя.Ранее я рассмотрел проблемы в реализации данной функции в другом украинском банке — Уязвимость в Альфа-Банк Украина: получение ФИО клиента по номеру телефона Здесь уязвимость меньше — на самом деле возможно получение не всего ФИО, а только имени и первой буквы фамилии, но это не отменяет того факта, что теперь можно узнать настоящее имя человека, скрывающегося за анонимным номером телефона (в Украине SIM-карты выдаются без привязки к паспорту).Т.е. если вас интересует, к примеру, имя звонившего вам человека, а поиск в социальных сетях не даёт результатов, или вы сомневаетесь в их валидности (часто в соцсетях указывают выдуманные ФИО), то с помощью Ощадбанка вы можете попробовать узнать его настоящее имя.Что за поиск в социальных сетях? Его уже описывали много раз, но, думаю, не лишним будет напомнить «фичу»: если нужно узнать ФИО человека, можно попытаться «восстановить» учётные данные в социальных сетях.Например, можно нажать «Забыли аккаунт?» на Facebook, ввести желаемый номер телефона и, если человек регистрировался с данным телефоном, то доступны будут следующие данные:— Маскированный адрес почты;— Аватар пользователя в виде ссылки www.facebook.com/profile/pic.php?cuid=XYZ&square_px=50 , который можно открыть в бОльшем разрешении, увеличивая параметр square_px;— Имя и фамилию, под которыми пользователь зарегистрировался.Так вот, если указанные в одной из социальных сетей имя и фамилия вызывают сомнения в их подлинности, на помощь приходит Ощадбанк с его почти 5,5 млн активных банковских карт (это второй банк по количеству активных карт в Украине):В Ощад 24/7 выбираем: Платежи и переводы, Переводы между картами, По номеру телефона:В случае нахождения системой клиента видим его имя, первую букву фамилии и маскированный номер карты:Или можно воспользоваться GET-запросом на https://online.oschadbank.ua/wb/api/v2/catalogs/CONTRACT_BY_PHONE?filterCode=BY_PHONE&PHONE_NUMBER=380987654321 В ответ получим:Да, Ощадбанк блокирует на некоторое время возможность перевода при попытках перебора несуществующих номеров телефонов.Однако это не такая проблема, если учесть вторую уязвимость Ощадбанка.Предоплаченная карта (оформляется без предоставления документов) активируется с любым номером телефона: при выдаче карты Ощадбанк никак не сопоставляет номер телефона клиента с картой — клиент самостоятельно привязывает её к любому номеру мобильного.Таким образом, чтобы получить аккаунт в Ощад 24/7, можно не покупать такую платёжную карту Ощадбанка, а просто перебором правильного номера карты попытаться активировать её в автоматическом меню колл-центра.В меню IVR нет ограничения на количество неудачных попыток такого подбора и, если 16-ти значный номер карты окажется «свободным» (эта карта не была никем активирована), то банк:Всё это без наличия пластиковой карты у вас на руках.Соответственно, и войти в интернет-банкинг можно будет, ни разу не появившись в отделении.Хорошо, а как тогда лучше реализовать перевод по номеру телефона, чтобы и безопасно было, и клиентам удобно? — Повторно укажу на предыдущую статью: Уязвимость в Альфа-Банк Украина: получение ФИО клиента по номеру телефона . Мне нравится финальная реализация сервиса Альфа-Банком: часть фамилии маскирована звёздочками, а имя и отчество указаны только первыми буквами.Ещё одна проблема с картами Visa, она не указана в заголовке.Когда Ощадбанк запускал продажу Visa Prepaid на своём сайте, они не позаботились о настройках доступа и отображения каталогов.Например, на одной из https-страниц можно было перебором получить форму чужого заказа, где в коде страницы указаны e-mail клиента, номер его заказа и ФИО:Остальные страницы были на http, а не на https, и на них, без авторизации, были доступны папки, файлы и логи оплаты клиентами за данные карты:Логи оплат:Ответа на моё сообщение об уязвимости на этом сайте, кроме дежурного «будет передано», не было, её тихо исправили и не сказали даже «Спасибо».Зная номер мобильного телефона клиента Ощадбанка, можно получить доступ к операциям, совершаемым им в платёжных терминалах.В меню терминала (фото не будет) для входа в личный кабинет нужно ввести мобильный номер телефона.В ПриватБанке и терминалах других платёжных компаний после ввода номера телефона на него отправляется одноразовый код, который необходимо ввести для авторизации, или авторизация происходит другим способом.В Ощадбанке же никакой авторизации нет — вы просто вводите номер телефона и получаете доступ к сохранённым платежам, закреплённым за данным номером телефона клиента.Есть у меня ещё что сказать про терминалы. В принципе, следующая проблема с терминалами похожа на ту, которую я описывал в статье «5 нажатий на экран терминала — и открывается любая папка» В одном из платёжных терминалов Ощадбанка мне как-то открылся рабочий стол.Мало того, что можно было походить по папкам системного диска и настроить практически любые параметры Windows (хотя это, конечно, та ещё проблема), так ещё и в папке с незамысловатым названием «Customer» на диске C: лежат логи операций в этом терминале с расширением «jrn» (а по факту — plain text).Файлы создаются каждый день и содержат такую информацию: какие операции были проведены в данном терминале, какая сумма была внесена для пополнения карты, какая — для пополнения мобильного (с указанием полного номера телефона), на какую сумму и когда была инкассация терминала, какими купюрами и т.д…Кстати, файлы логов клиентских операций можно было изменять и удалять. Про проблему в терминале я в банк сообщил, но чем кончилось — не знаю (как видно из предыдущих пунктов, банк не считает нужным сообщать клиентам о решении их запросов).Bug bounty, благодарности, хотя бы просто обратная связь? Не, не слышали.Такие дела.