Финансовый неУч

Из одной запрещённой сети: [Пишут тут...] Мы нашли модуль удаленного управления в мессенджере MAX. https://x.com/vpn_liberty/status/2032360479608254700 Слухи о том, что это приложение — троян, ходили давно. Но фактуры о наличии шпионских функций практически не было, только косвенные указания. Сначала контекст (то, что раскопали на форуме NTC и что уже облетело СМИ): Мессенджер MAX странно пробивает ваш IP. Вместо своего STUN-сервера он стучится сразу к 6 разным чекерам (3 российских, 3 зарубежных). Зачем ему это? Всё просто: MAX проверяет доступность заблокированных Telegram и WhatsApp. Сверяя ваши IP-адреса, он палит наличие VPN и сплит-роутинга. Затем JSON-отчет со строчкой VPN: yes/no улетает на трекеры VK и Одноклассников. Пресс-служба MAX всё отрицает (классика). Мы получили дампы трафика еще до публикации в СМИ и пошли дальше. Пережевывать старое — не в нашем стиле. Анализируя логи, мы нашли аномалию: шпионские проверки запускаются далеко не у всех. Разница крылась в домене http://st.max.ru. Если его нет в трафике — проверок нет. 17:46:54 — уходит крошечный запрос (8 КБ) к http://st.max.ru. 17:47:11 — MAX открывает 8 параллельных HTTPS-соединений и выкачивает 1,06 МБ данных! Для служебной команды мегабайт — это размер книги. Приложение буквально качает тяжелый скрипт. 17:47:29 — получив этот «мегабайт», MAX послушно запускает проверки IP и запрещенки. Затем сливает собранный JSON на http://api.oneme.ru. Чтобы не спалиться, мессенджер не создает новую сессию, а хитро подмешивает отчет в свой легитимный трафик. Главный вывод, который упустили все: http://st.max.ru — это домен удаленного управления. Сервер буквально руководит приложением в вашем смартфоне: присылает команды (что сделать, кого проверить) и форму отчета. Поскольку эта функция запускается точечно и инициируется удаленно, мы делаем однозначный вывод — перед нами управляемый бэкдор. А выводы для себя делайте сами.

#Новости Завтра, 30 января, вступают в силу обновленные протоколы контроля P2P-транзакций. Если раньше под прицел мониторинга попадали преимущественно аномальные объемы, то теперь критерии «подозрительности» становятся максимально размытыми, что дает банкам карт-бланш на блокировки. Что конкретно меняется в механике контроля: Принудительный холдирование: Банк получает право приостановить транзакцию на срок до 48 часов для «дополнительной проверки». Это уже не просто борьба с фродом, а инструмент контроля за движением ликвидности. Запрос документации в режиме реального времени: Если алгоритм посчитает перевод нетипичным, вам придется оперативно предоставить документальное подтверждение происхождения средств. Отказ или игнорирование запроса автоматически ведет к ограничению дистанционного банковского обслуживания (ДБО). Пересмотр тарифов «на лету»: Банкам разрешили в одностороннем порядке корректировать лимиты и комиссии, если профиль клиента меняется с «транзакционного» на «высокорисковый». Причинно-следственная связь и последствия Эти меры — не просто техническая надстройка, а системное изменение ландшафта розничных платежей. Вот к чему это приведет в ближайшей перспективе: 1. Рост популярности «кэша»: Усиление контроля неизбежно выдавит часть мелкого бизнеса и частных расчетов обратно в наличность. Когда стоимость и риск транзакции в «цифре» превышают удобство, рынок выбирает банкноты. 2. Отток депозитной базы: Риск получить блокировку всех счетов из-за одного неудачного перевода заставит людей забирать деньги из-под управления банков и диверсифицировать активы в сторону физических активов или альтернативных инструментов. 3. Кризис доверия к банковской системе: Банк из сервиса по хранению и трансляции капитала превращается в надзорный орган. Это фундаментально меняет психологию потребителя: деньги на счете в банке перестают восприниматься как «свои» в полной мере. Как минимизировать риски? 1. Снижайте количество мелких хаотичных транзакций между разными физлицами. 2. Храните подтверждающие документы по крупным поступлениям (договоры купли-продажи, справки о доходах) в быстром доступе. 3. Держите часть операционного капитала вне банковского контура. Государство планомерно делает прозрачными все финансовые потоки, но побочным эффектом станет снижение скорости обращения денег и локальный откат к экономике наличных.

#ЯндексБанк Не забываем принять 2000 баллов за Активацию провалившейся накануне Акции. С Наступающим вас!

#ЯндексБанк Яндекс Пэй: 5 минут хайпа или технический дефолт лояльности? 29 декабря Яндекс Банк провел самый агрессивный эксперимент в истории российского финтеха — 100% кешбэк в пятиминутном окне (20:25–20:30 МСК). Результат: идеальный кейс того, как техническая неготовность инфраструктуры может обнулить гигантский маркетинговый бюджет. 1. Инфраструктурный коллапс: QR и NFC Основной удар пришелся на платежные шлюзы. Пользователи сообщают о массовых ошибках при попытке оплаты по QR-кодам: терминалы выдавали отказ, либо «вставали» намертво. Следствие: Те, кто выбрал кассы самообслуживания (КСО), оказались в выигрышном положении из-за отсутствия «человеческого фактора» в виде нервных кассиров, но даже там оплата стикерами и СБП часто не проходила. 2. Эффект «Карета в тыкву»: Фантомные баллы Самый болезненный момент для лояльности — исчезновение уже начисленных баллов. У многих участников кешбэк отобразился в приложении сразу после покупки, но спустя час обнулился. Причины могут быть две: Исчерпание лимита: В правилах был пункт об ограничении общего бюджета акции. Вероятно, «счетчик» остановился раньше, чем прошли транзакции у части пользователей. Технический откат: Из-за двойных и тройных списаний система могла уйти в режим массового сторно для ручного разбора. 3. Юридический аспект: Деньги vs «Фантики» В чатах активно обсуждают жалобы в ЦБ РФ. Однако здесь кроется главная юридическая ловушка: акционные баллы — это не денежные средства, а «технические условные единицы». Возврат денег: Если транзакция прошла, но чек не вылез — это безусловный повод для чарджбэка. Неначисление баллов: Оспорить это в правовом поле крайне сложно, так как организатор оставляет за собой право менять условия «на лету» при исчерпании бюджета. 4. Проблемы с конвертацией Новая фича по обмену баллов на рубли 1 к 1 также показала «детские болезни». Пользователи сталкиваются с тем, что система не видит подходящих для компенсации покупок, даже если они соответствуют условиям по сумме. Это указывает на сырость алгоритмов маппинга МСС-кодов в новом функционале. Итоговый вердикт: Яндекс Банк рискнул репутацией ради краткосрочного стресс-теста системы. С точки зрения маркетинга — это успех (огромный охват), с точки зрения лояльности — провал. Главный урок для «кешбэк-хантеров»: В таких акциях выигрывает тот, кто платит физическим пластиком (NFC) на КСО в первые 10 секунд окна. QR-коды и стикеры в моменты пиковой нагрузки — самое слабое звено цепи. PS: Есть над чем подумать в общем и над Яндексом в частности...

#ЯндексБанк Яндекс Пэй: Компенсация покупок баллами 1 к 1 Теперь накопленные баллы можно обменять на рубли, просто «закрыв» ими уже совершенные транзакции по карте Пэй. Технические детали и условия: Курс обмена: Строго 1 балл = 1 ₽. Никаких скрытых дисконтов, как это бывает у классических банковских программ лояльности. Скорость: Средства зачисляются на баланс карты Пэй в течение часа (максимум — в тот же день). Порог входа: Компенсировать можно покупки стоимостью от 100 рублей, совершенные за последние 30 дней. Ограничения: MCC-коды операции не должны входить в список исключений (обычно это переводы, налоги, госуслуги). Почему это важно: Раньше мы были заперты внутри сервисов Яндекса (Маркет, Такси, Еда). Теперь цикл замыкается: вы получаете живые деньги на карту и можете тратить их в любой торговой точке, не ограничиваясь экосистемой. Лайфхак для 29 декабря: Если 29 декабря вы успешно «заберете» свои 10 000 баллов кешбэка, их можно будет сразу вывести в рубли через этот функционал. Главное — иметь в истории покупок за последние 30 дней операции на соответствующую сумму. Проверьте наличие кнопки «Компенсировать». Если её нет — принудительно обновите приложение до последней версии.

#ЯндексБанк 100% кешбэк от Яндекс Пэй: аттракцион на 5 минут. Яндекс Банк выкатил крайне агрессивную, но краткосрочную акцию. Суть: возврат 100% баллами Плюса за любые покупки на кассе (offline), совершенные через Яндекс Пэй. Критические условия: Тайминг: 29 декабря, строго с 20:25 до 20:30 по МСК. Окно всего 5 минут. Лимит: до 10 000 баллов (в пределах вашего остатка месячного лимита). Тип оплаты: Только покупки на кассах (NFC, QR-код или физическая карта Пэй). Онлайн-оплата в это окно не засчитывается. Обязательно: 1. Нажать кнопку «Активировать» в приложении Пэй. 2. Иметь активную подписку Яндекс Плюс. 3. Пройти идентификацию через Госуслуги. Что сделать сейчас? Предложение индивидуальное, так что первым делом проверьте наличие баннера в приложении Яндекс Пэй. Если он есть — жмите активацию и ставьте будильник на 20:23 29 декабря, чтобы успеть добежать до ближайшей кассы. Полные правила для любителей мелкого шрифта: yandex.ru/.../ru/