Мошенники, когда звонят доверчивым владельцам карт и представляются службой безопасности банка, заинтересованным покупателем, сотрудником госорганов или ещё кем-то важным, наверняка выбирают себе жертв, не тратя времени на тех клиентов, у кого мало средств на счету.
Оказывается, узнать баланс чужой карты очень просто.
Вся информация предоставлена исключительно в ознакомительных целях. Я не несу ответственности за любой возможный вред, причиненный материалами этой статьи
Как узнать чужой баланс? Для этого нужно знать только номер карты – 16 цифр (иногда меньше) – и дату рождения.
Зная номер карты (или его часть, дальше детальнее) и дату рождения владельца, достаточно позвонить с любого телефона на горячую линию банка и в меню IVR выбрать пункт вида «проверка баланса карты в автоматическом режиме».
Одно дело, когда баланс озвучивается владельцу карты, звонящему в банк со своего телефона.
Но проблема, которую я хочу донести, заключается в том, что банки для удобства клиентов предоставляют такую возможность даже с непривязанных, не принадлежащих данному клиенту, телефонов.
Я проанализировал ТОП-10 банков Украины по количеству активных пластиковых карт на возможность получения баланса карты при звонке с незарегистрированного (нефинансового) номера телефона. Уверен, в России ситуация аналогичная.
Банки по защищённости, от худшего к лучшему:БанкКоличество активных картВозможность проверки с незарегистрированного номера телефонаОщадбанк5,41 миллионаДо конца марта 2017-го — да: номер карты + дата рождения.
Сейчас с незарегистрированного телефона это невозможно
ПУМБ667 тысячДа: 6 первых цифр + 4 последних + дата рождения.
В ответ получаем баланс и последнюю операцию по карте, включая дату её совершения
Укрсоцбанк (UniCreditBank)595 тысячДа: Номер карты + дата рожденияУкрсиббанк1,04 миллионаДа: Номер карты + срок действия + дата рожденияАльфа-Банк1,14 миллионаДа: 4 последних цифры карты + номер паспортаРайффайзен Банк Аваль2,11 миллионаДа: 8 последних цифр карты + номер идентификации
или
Номер идентификации, секретный код и последние 4 цифры
ПриватБанк17,08 миллионовНет, с незарегистрированного телефона это невозможноА-Банк461 тысячаНет, с незарегистрированного телефона это невозможноТакие банки, как Укргазбанк (725 тысяч активных карт) и Укрэксимбанк (401 тысяча) не предоставляют такой возможности в IVR.
Как видим, больше всего клиентов, чей баланс карты так просто узнать – у Ощадбанка – 5,41 миллиона активных платёжных карт (до конца марта 2017-го. На данный момент с незарегистрированного телефона это невозможно. Статья могла быть опубликована много месяцев назад и называться «Как узнать баланс чужой карты Ощадбанка» – я ждал, пока банк исправит ситуацию).
И клиенты именно этого банка страдают (страдали) от недостаточной финансовой грамотности вкупе с социальной инженерией – ведь именно в Ощадбанке среди держателей карт больше всего, по сравнению с другими банками, пенсионеров, переселенцев, а также тех, кто получает социальные выплаты…
Приведу комментарии пользователей Хабрахабра из других постов, к чему может привести ситуация, когда ваш баланс известен третьему лицу.
К примеру, из статьи "Tinkoff скомпрометировал данные о балансе карт своих клиентов":
На самом деле это ж для мошенников раздолье. «Мы вам звоним из техподдержки банка, на вашем счету сейчас N руб. Но для *придумать действия* нам еще нужны дата действия карты и код с обратной стороны».
Комментарий к моей предыдущей статье "Уязвимость в Альфа-Банк Украина: получение ФИО клиента по номеру телефона":
Можно позвонить этому абоненту, назвать его по имени-отчеству, представиться работником банка и убедить совершить какие-либо действия с картой или счетом. Социальная инженерия, google://Кевин_Митник
Помимо мошенников, ваш баланс могут узнать любопытные коллеги.
Или подчинённые могут узнать зарплату своего начальника, проверив баланс его карты в день поступления средств.
Примеров, кому может понадобиться узнать сумму средств на чужой карте, много.
В любом случае, это конфиденциальная информация, и её нельзя так просто разглашать.
В меню IVR многих банков доступны и другие операции, которые можно совершить в автоматическом режиме. В рамках этого материала они не учитывались. Также я не рассматривал возможность проверки баланса и совершения других действий при звонке с принадлежащего клиенту номера телефона – при наличии чужого телефона возможно совершить действия и пострашнее. Берегите свой телефон.
P.S.: Просьба к банкам – сделайте проверку баланса и другие действия в IVR с того номера телефона, который не принадлежит клиенту, невозможным.
Так делают крупнейшие ПриватБанк/А-Банк и сделал Ощадбанк, спустя много месяцев после моего обращения.
Или сделайте хотя бы сложнее – чтобы вместо даты рождения нужно было указывать номер паспорта (мне понравился такой подход в Альфа-Банке) или номер карты идентификации (как в Райффайзен Банке Аваль).