Данная статья не является инструкцией, написана в ознакомительных целях. Уязвимость устранена.
Осенью 2015 года теневые площадки заполнились объявлениями о продаже бонусных баллов М.Видео. Данными баллами можно было оплачивать до 100% от стоимости покупки. Цены были демократические. Аккаунты с 500 и 1000 бонусами продавали за 5 и 15 рублей соответсвенно. Большего номинала продавали за 10% от баланса аккаунта. К декабрю количество продавцов аккаунтов увеличилось в несколько раз. М . видео отрицало факт несовершенства системы безопасности. Но конце ноября 2015 года запретила возможность онлайн списания бонусов, оставив возможность расплачиваться только в магазина. Как же происходил процесс покупки через эти аккаунты?
Человек покупал аккаунт на сайте, после этого менял номер своего телефона. В магазине выбирал интересующий товар и шёл с ним на кассе. На кассе он сообщал, что забыл карту дома и хочет расплатиться бонусами через смс. На новый привязанный номер приходило смс с кодом, который было необходимо сообщить кассиру.
К концу года "школьники" и другие желающие подзаработать массово начали использовать данную брешь. В интернете начали появлятся сообщения о краже бонусных рублей с карт добросовестных покупателей.
8 Января М . видео запретила смену номера через личный кабинет на сайте, но уже через несколько дней появился способ смены номера с помощью редактирования кода страницы. Через 2 недели эту ошибку закрыли и смена номера была окончательно приостановлена. Чтобы изменить номер покупателям было необходимо обратиться в магазин с паспортом и чеком за покупку.
Через некоторое время магазин разрешил смену номера, но только через подтверждение электронной почты. Из-за этого цена на аккаунты поднялась до 40-50% от номинала. Дыра просуществовала до июля 2016 года, пока не ввели подтверждение о замене номера по старому телефону или через магазин.
Юридически факт кражи доказать нереально т.к бонусные рубли являются скидкой, не подлежат обмену на наличные денежные средства, при возврате стоимости за товар при определении суммы возврата не учитываются. Следовательно и факта кражи нет.
Как защитить свои аккаунты от взлома? Соблюдать компьютерную грамотность. Не использовать лёгкие пароли от аккаунта и почты, не переходить по сомнительным ссылкам, не устанавливать неизвестные программы.
Ещё раз напоминаю, что данная статья не является инструкцией, написана в ознакомительных целях. Уязвимость устранена.