Быстрый и слишком открытый
Максим Буйлов об переводах через СБП
Перед 1 сентября традиционно активизируются родительские комитеты. Вот и мне скинули незнакомый номер, на который надо было перевести деньги. При его наборе в мобильном приложении, чтобы сделать перевод через Систему быстрых платежей (СБП), я обнаружил, что у абонента есть два банка, куда можно отправить средства. Эксперименты с номерами других людей, которым я никогда не отправлял переводы, показали разный результат: у кого-то приложение показывало один банк, у кого-то — два, а то и сразу три.
Фото: Дмитрий Лебедев, Коммерсантъ
Фото: Дмитрий Лебедев, Коммерсантъ
СБП разрешает клиенту указать один банк, который при вводе его номера телефона будет отображаться как доступный для перевода. В банке, чье приложение я использовал, пояснили, что реализовали опцию показа нескольких банков, чтобы «переводы были еще удобнее и быстрее». Там уточнили, что в списке появляются банки, в которые по конкретному номеру телефона уже уходили переводы.
Опытным путем удалось вычислить минимум четыре крупных банка, у которых реализована эта удобная опция — Альфа-банк, ВТБ, Райффайзенбанк и «Тинькофф». Также выяснилось, что как минимум у половины из них приложение показывает все банки, где у получателя есть счет, даже если в них деньги никогда не отправлялись. Источник “Ъ” в одном из банков говорит, что сервис реализован несколько месяцев назад.
Но та же опция оказывается удобна и для мошенников, которые, имея приложение одного из банков, могут спокойно проверять, в каких кредитных организациях есть счета у владельцев телефонных номеров, интересующих злоумышленников. Это вполне ценная информация для разных стратегий социальной инженерии.
Справедливости ради надо сказать, что после проверки 10–15 номеров в приложении появилась надпись, что лимит запросов исчерпан, и сервис блокировался. Но через час он опять становился доступным.
Как пояснили в крупном банке, НСПК рекомендует банкам блокировать на сутки переводы после трех ошибок в выборе банка конкретного получателя денег и после пяти запросов разных номеров телефонов без отправки денег. Однако банки считают такой лимит слишком суровым и смягчают его. Кроме того, после отправки средств счетчик ошибок, как правило, обнуляется. То есть мошенник, однажды выяснив, сколько раз можно ошибиться, потом просто вовремя отправляет 10 руб. сообщнику и продолжает перебор телефонных номеров.
Получается, что банки придумали, как сделать услугу для клиента удобнее, ускорив процесс перевода денег через СБП, но, как это нередко бывает, кроме клиентов своя порция удобства досталась и мошенникам. Как здесь не вспомнить слова Михаила Жванецкого: «Тщательней надо, ребята. Общим видом овладели, теперь подробности не надо пропускать».