ВТБ24 «слетели пароли» клиент-банка для юрлиц / Хабр
Сегодня около 16-30 мы не смогли войти в систему онлайн-клиента банка ВТБ24, клиентом которой является компания, в которой я работаю. При вводе логина и пароля система сообщила, что произошла ошибка авторизации.
Естественно, мы стали звонить в службу поддержки этой интернет-системы. Молодой человек заявил, что у них «слетели пароли». На вопрос, возможно ли восстановление системы, ну например завтра, нам сообщили, что это вряд ли возможно. Однако молодой человек отверг предположение, что пароли можно украсть, повторяя одну и ту же фразу о «прошедших паролях».
И тут началось самое интересное. Мы спросили, что теперь делать. Внезапно оказалось, что систему можно обойти, т.е. по сути войти в личный кабинет без пароля (это оказалось сделать очень просто), а оттуда заменить этот пароль — нужно знать кодовое слово заменить его. Также неожиданно выяснилось, что в нашем договоре с банком не прописано кодовое слово — оказалось, что этот раздел появился в договоре совсем недавно, а договор мы заключили в конце 2008 года.
Естественно, нам так и не сказали в банке, что нужно было заключать доп соглашение и создавать такое слово. В итоге сотрудник техподдержки предположил (он точно не знает), что нам придется идти в банк, писать заявление о выдаче секретного слова и, естественно, ждать его выдачи. Все это время доступ к аккаунту будет для нас закрыт.
Я не специалист в области безопасности банковских приложений, но у меня много претензий к онлайн-системе этого банка. Во-первых, еще при ее установке в 2008 году выяснилось, что система, несмотря на заявления специалистов банка, может быть размножена на значительно большем количестве компьютеров, чем указано в договоре — в ней нет (заявленной) защиты от копирования. программа. Хотя техподдержка утверждала, что на каждого клиента можно установить только один компьютер (два при двух подписях), а если нужно больше, то нужно написать заявление, обосновывающее такую необходимость, и дождаться его одобрения. Видимо, расчет на честность клиентов.
Далее: где-то в середине 2009 года ввели новую систему безопасности — стали рассылать СМС на телефоны клиентов.
Также по одному номеру на клиента. Но при регистрации можно было заполнить несколько полей с номером телефона — это никак не контролировалось и не ограничивалось. Кстати, наличие такой системы вызвало еще один вопрос — реально ли оповещать клиентов о сложностях с СМС-рассылкой при возникновении проблемы, описанной в начале поста? .. Еще несколько нюансов: система работает исключительно с IE, не позволяет искать платежные документы ни по названию плательщика, ни по номеру счета — только по дате или по номеру документа.
В общем все это лирика, а сейчас мы сидим вместе и гадаем, что нам готовит грядущий день и будет ли чем завтра платить сотрудникам…
PS Около 20 часов появилось сообщение, что работа с системой невозможна по техническим причинам. Расчетное время восстановления — час ночи.
|
— (ACN Newswire) — Gemalto, мировой лидер в области цифровой безопасности, поставляет ВТБ24 свое безопасное программное приложение Ezio Mobile Protector для смартфонов, которое обеспечивает безопасное создание одноразовых паролей (OTP) для проверки дистанционные банковские операции через удобное приложение, работающее на мобильном устройстве клиента. ВТБ24 является ключевым игроком на российском рынке банковских услуг, и это внедрение было осуществлено в сотрудничестве с российским ИТ-интегратором КомпьюТел. Ezio Mobile Protector от Gemalto предлагает надежное и экономичное решение для аутентификации для онлайн-банкинга, которое делает эти услуги особенно удобными для клиентов и обеспечивает расширенный доступ к этим услугам. ВТБ24, у которого более 1000 отделений в 72 регионах России, в марте этого года начал внедрение новой услуги под брендом Токен ВТБ24-Онлайн. Новая услуга доступна для физических лиц через систему ВТБ24-Онлайн, а в ближайшее время будет доступна для юридических лиц и индивидуальных предпринимателей через систему «Банк-клиент онлайн».
Центр аутентификации ВТБ24, интегрирующий сервер регистрации и предоставления услуг (EPS) Ezio от Gemalto, гарантирует безопасную удаленную регистрацию новых мобильных токенов и выполняет проверки одноразовых паролей. Высокая степень гибкости и масштабируемости решения позволит банку внедрить в Ezio Mobile Protector дополнительные функции, такие как QR-коды и биометрическая аутентификация.
