http://forum.razved.info//index.php?t=6013 ru http://forum.razved.info//index.php?t=6013&p=57450#pp57450 http://forum.razved.info//index.php?t=6013&p=57450#pp57450 <b>Как узнать баланс чужой банковской карты, зная её номер?</b><br /><br />Мошенники, когда звонят доверчивым владельцам карт и представляются службой безопасности банка, заинтересованным покупателем, сотрудником госорганов или ещё кем-то важным, наверняка выбирают себе жертв, не тратя времени на тех клиентов, у кого мало средств на счету.<br /><br />Оказывается, узнать баланс чужой карты очень просто.<br /><br />Вся информация предоставлена исключительно в ознакомительных целях. Я не несу ответственности за любой возможный вред, причиненный материалами этой статьи<br /><br />Как узнать чужой баланс? Для этого нужно знать только номер карты – 16 цифр (иногда меньше) – и дату рождения.<br /><br />Зная номер карты (или его часть, дальше детальнее) и дату рождения владельца, достаточно позвонить с любого телефона на горячую линию банка и в меню IVR выбрать пункт вида «проверка баланса карты в автоматическом режиме».<br /><br />Одно дело, когда баланс озвучивается владельцу карты, звонящему в банк со своего телефона.<br /><br />Но проблема, которую я хочу донести, заключается в том, что банки для удобства клиентов предоставляют такую возможность даже с непривязанных, не принадлежащих данному клиенту, телефонов.<br /><br />Я проанализировал ТОП-10 банков Украины по количеству активных пластиковых карт на возможность получения баланса карты при звонке с незарегистрированного (нефинансового) номера телефона. Уверен, в России ситуация аналогичная.<br />Банки по защищённости, от худшего к лучшему: <br /><br />Банк Количество активных карт Возможность проверки с незарегистрированного номера телефона<br />Ощадбанк 5,41 миллиона До конца марта 2017-го — да: номер карты + дата рождения. Сейчас с незарегистрированного телефона это невозможно<br />ПУМБ 667 тысяч Да: 6 первых цифр + 4 последних + дата рождения. В ответ получаем баланс и последнюю операцию по карте, включая дату её совершения<br />Укрсоцбанк (UniCreditBank) 595 тысяч Да: Номер карты + дата рождения<br />Укрсиббанк 1,04 миллиона Да: Номер карты + срок действия + дата рождения<br />Альфа-Банк 1,14 миллиона Да: 4 последних цифры карты + номер паспорта<br />Райффайзен Банк Аваль 2,11 миллиона Да: 8 последних цифр карты + номер идентификации; или Номер идентификации, секретный код и последние 4 цифры<br />ПриватБанк 17,08 миллионов Нет, с незарегистрированного телефона это невозможно<br />А-Банк 461 тысяча Нет, с незарегистрированного телефона это невозможно<br /><br />Такие банки, как Укргазбанк (725 тысяч активных карт) и Укрэксимбанк (401 тысяча) не предоставляют такой возможности в IVR.<br /><br />Как видим, больше всего клиентов, чей баланс карты так просто узнать – у Ощадбанка – 5,41 миллиона активных платёжных карт (до конца марта 2017-го. На данный момент с незарегистрированного телефона это невозможно. Статья могла быть опубликована много месяцев назад и называться «Как узнать баланс чужой карты Ощадбанка» – я ждал, пока банк исправит ситуацию).<br /><br />И клиенты именно этого банка страдают (страдали) от недостаточной финансовой грамотности вкупе с социальной инженерией – ведь именно в Ощадбанке среди держателей карт больше всего, по сравнению с другими банками, пенсионеров, переселенцев, а также тех, кто получает социальные выплаты…<br /><br />Приведу комментарии пользователей Хабрахабра из других постов, к чему может привести ситуация, когда ваш баланс известен третьему лицу.<br /><br />К примеру, из статьи "Tinkoff скомпрометировал данные о балансе карт своих клиентов":<blockquote><div style="height:1px;width:1px;overflow:hidden">[q]</div>На самом деле это ж для мошенников раздолье. «Мы вам звоним из техподдержки банка, на вашем счету сейчас N руб. Но для *придумать действия* нам еще нужны дата действия карты и код с обратной стороны». <div style="height:1px;width:1px;overflow:hidden">[/q]</div></blockquote><br />Комментарий к моей предыдущей статье "Уязвимость в Альфа-Банк Украина: получение ФИО клиента по номеру телефона":<blockquote><div style="height:1px;width:1px;overflow:hidden">[q]</div>Можно позвонить этому абоненту, назвать его по имени-отчеству, представиться работником банка и убедить совершить какие-либо действия с картой или счетом. Социальная инженерия, google://Кевин_Митник<div style="height:1px;width:1px;overflow:hidden">[/q]</div></blockquote><br />Помимо мошенников, ваш баланс могут узнать любопытные коллеги.<br /><br />Или подчинённые могут узнать зарплату своего начальника, проверив баланс его карты в день поступления средств.<br /><br />Примеров, кому может понадобиться узнать сумму средств на чужой карте, много.<br />В любом случае, это конфиденциальная информация, и её нельзя так просто разглашать. В меню IVR многих банков доступны и другие операции, которые можно совершить в автоматическом режиме. В рамках этого материала они не учитывались. Также я не рассматривал возможность проверки баланса и совершения других действий при звонке с принадлежащего клиенту номера телефона – при наличии чужого телефона возможно совершить действия и пострашнее. Берегите свой телефон.<br /><br />P.S.: Просьба к банкам – сделайте проверку баланса и другие действия в IVR с того номера телефона, который не принадлежит клиенту, невозможным.<br /><br />Так делают крупнейшие ПриватБанк/А-Банк и сделал Ощадбанк, спустя много месяцев после моего обращения.<br /><br />Или сделайте хотя бы сложнее – чтобы вместо даты рождения нужно было указывать номер паспорта (мне понравился такой подход в Альфа-Банке) или номер карты идентификации (как в Райффайзен Банке Аваль). <br /><br />Источник: habrahabr.ru/post/335634/ tungus1973 Tue, 22 Aug 2017 13:26:21 +0300