Альфа-банк: безопасности бывает слишком много

[vitus_wagner]

Некоторое время назад я тут купил себе новый телефон. И тут же пошел и поменял сим-карту, поскольку новый телефон умел 4G, а старая сим-карта - нет.

Когда я после этого попытался залогиниться в интернет банк, мне сказали "обнаружена смена сим-карты, не пустим". Ну в общем, вполне разумная мера безопасности.
Нужно либо звонить в колл-центр и доказывать там свою идентичность кодовым словом, либо идти с паспортом в отделение банка.

Кодового слова я, естественно, не помнил, пошел в отделение банка. Там меня заставили переставить на телефоне приложение (и вводить в него заново номер карочки) и выдали мне новый пароль к интерент-банку. Который нужно было немедленно поменять

Ну вроде все работает. В интернет-банк пускают, одноразовый пароль в СМС-ке присылают, приложение логинится, в яндекс деньги можно перекинуть денег.

Но оказалось не все. Платить по шаблонам, которые не требуют дополнительного SMS-подтверждения - можно, а при платеже, которому требуется подтверждение "Обнаружена смена сим-карты". При попытке дозвониться в колл-центр я выяснил, что во-первых ключевого слова я не помню, а во-вторых, то что я помню не удовлетворяет требованиям к ключевым словам. Видимо требования за 7 лет поменялись.

Что-то они там перемудрили с безопасностью. Я пришел в отделение банка с паспортом и телефоном с этой самой новой сим-картой, а они не могут сразу во всех базах прописать, что моя сим-карта теперь вот эта. Хотя казалось-бы - пришли мне SMS-кой одноразовый пароль и попроси предъявить тому сотруднику, который только что проверил мой паспорт и карточку.

Comments

[nasse]

Мне не так давно клиент-банк выдал, что у меня симка поменялась, хотя она этого не делала. По счастью, в результате звонка в техподдержку оказалось, что это что-то поменялось у мобильного оператора, а кодовое слово я вспомнила.

[shadowfoto]

сбер еще хуже.
и вообще у банков какая-то нездоровая тенденция считать пользователя еще большим идиотом и олигофреном чем он в среднем есть. начиная с жесткого требования стоковой прошивки и отсутствия рута там, где оно вообще пофиг, и кончая вот этими вот идиотизмами при смене симки. извините, у операторов и так на 24 часа блокируются смс при перевыдаче карты и это вроде как не обходится никаким образом, а вы-то куда еще со своим свиным рылом?

[spqr-voldi.livejournal.com]

А почему оно блокируется на 24 часа?

[shadowfoto]

защита от "левой" выдачи симок по поддельным документам.

[scarab.livejournal.com]

> у операторов и так на 24 часа блокируются смс при перевыдаче карты

Это у кого оно блокируется и с какого бы перепугу?
У билайна, по крайней мере, смс начинает ходить сразу, у МТС тоже.

А банки правильно делают, что блокируют, потому что уже неоднократно были случаи перевыпуска карт по поддельным документам или по сговору с сотрудниками салона, с последующим хищением средств.
Что не оправдывает Альфу по теме поста, естественно - база IMSI должна быть единая.

[inkelyad]

А банки правильно делают, что блокируют, потому что уже неоднократно были случаи перевыпуска карт по поддельным документам или по сговору с сотрудниками салона, с последующим хищением средств.

Банки начнут правильно делать, когда вообще перестанут телефонные карточки и телефонную инфраструктуру в любом виде для авторизации использовать. У них свои токены авторизации есть.

Ну вот, например, что, так трудно напечатать банкоматом (со вставленной туда банковской картой) бумажку с QR-кодом для инициализации генератора одноразовых паролей? Так нет, по умолчанию все именно SMS шлют.

[vitus_wagner]

А еще банки используют для авторизации паспорта, выданные государством.

На мой взгляд в современном мире все дело идет к тому что Subsciber identification module мобильной связи превратится в Citizen Identification module, а государство просто зааутсурсит задачу выдачи аутентификационных токенов мобильным операторам.

[inkelyad]

Эта чип мобильной связи больно залочен и огорожен. Черт с ним, пусть используется, но ведь нельзя (вроде бы) программно пообщаться с ним и тот же одноразовый пароль сгенерировать. Чтобы в оффлайне работало. Вместо этого пароль генерируется и шлется через дикое количество внешних интерфейсов.

[livelight]

А ещё бывали случаи с фальшивыми регистрациями абонента в роуминге и редиректом направленных ему СМС-ок злоумышленнику.

[unreal-undead.livejournal.com]

Именно у билайна сутки не ходят, перевыпускал симку в начале года. Разумная дополнительная степень предосторожности, не все банки следят за IMSI.

[shadowfoto]

кроме банков есть еще мессенджеры всякие, тоже завязанные на мобилу, которым никто "SIM Changed" говорить не будет

[unreal-undead.livejournal.com]

Да, согласен, плюс ещё механизмы восстановления пароля. Так что мера правильная.

[shadowfoto]

билайн, мегафон московские - точно. все смс или только короткие номера - не помню, я смс почти не пользуюсь.

"музыкой навеяло"...

[de_nada]

У мну тут банк переходит на новую систему ДБО, так там подтверждение операции сделано через СМС, а в старой было через код под стираемым слоем с карточки.

Сцуко, больше десятка лет пользовался кодами и всё было чики-пуки, а теперь поди знай - дойдёт тебе СМСка с кодом подтверждения, или как (и провы тупят, случается, и встрять можно с отсутствием связи где-нито - когда проводная есть для стационара с ДБО, а мобильная "гуляет").

Тьху! :(

С уважением.

[dikem]

Ибанк с телефона? Не, я еще не дозрел. Подожду пока банки сами не начнут выдавать свои аппараты под это дело . Или реализуют платежный функционал в универсальных ошейниках системы активный-пассивный гражданин.

[vitus_wagner]

Там двухфакторная аутентификация. Логинишься с компьютера, а на телефон приходит SMS-кой одноразовый пароль, который нужно ввести В ДОПОЛНЕНИЕ к постоянному паролю, который вводишь на сайте.

[dikem]

Извиняйте, недопонял. Двухфакторка да, стоит, и на банк и на прочий гугль. Про то что замена симки создает такие трудности - спасибо, буду знать.

[filin]

Это если компьютер, с которого ты логинишься, не является тем же самым телефоном...

А то двухфакторная авторизация вида "сами читаем смску и сами себе вводим второй фактор из нее" уже в ходу...

[vitus_wagner]

Такое там тоже есть. Но кое-какие меры защиты в виде отдельного пинкода на банковское приложение там приняты.
При этом этот пин-код используется для расшифровки ключа, который используется при логине приложения на сайт банка.
А одноразовые пароли из SMS-ок приложение читает для подтверждения отдельных операций.

А для инициализации приложения нужен еще и номер кредитной карты.

[livelight]

Это тоже имеет смысл: подтверждаем, что банковское мобильное приложение работает 1)на авторизованном смартфоне, 2)в который в данный момент воткнута симка, подключенная к авторизованному номеру.
Если смартфон украли, а хозяин заблокировал симку, то злоумышленник не сможет ничего сделать из банковского приложения.

[cross_join]

А в браузере интернет-банк разве не работает?

[vitus_wagner]

Вот в браузере-то он и выдает сообщение "операция не может быть произведена, обнаружена смена СИМ-карты".
При попытке отправить SMS с одноразовым паролем на операцию.

[cross_join]

Т.е. скрипт на веб-страничке имеет доступ к кишкам вашего телефона?

[phd_ru]

Программа на сервера банка имеет доступ к кишкам опсоса. А уже скрипт на страничке общается с программой.

[edo-rus.livejournal.com]

Кодового слова я, естественно, не помнил, пошел в отделение банка

надо было просто поменять кодовое слово.