Звонки клиентам банков с подмененных номеров стали массовыми

"Пока же решение проблемы подменных номеров не найдено, клиенты банков должны сохранять бдительность"

"Дело помощи утопающим ...". А как же юристы банков и обращения банков в полицию (суд)?

А в 2015 и про идентификацию по телефону дополнил:

Цитата

tempur пишет: Системы ДБО, идентифицирующие клиента (полностью или частично) по номеру телефона с которого он позвонил на номер системы "голосового" обслуживания тоже в опасности, поскольку номер звонящего тоже может быть подделан. Пример из комментариев по ссылке: Цитата У Приватбанка есть голосовое меню по номеру 3700, которое позволяет пополнять любой телефон, введя просто последние 4 цифры своей карты. Т.е. я могу позвонит на голосовое меню Приватбанка, подменив номер на любой реальный, который является клиентом банка и просто по IVR меню пополнить любой телефон с карты того клиента? Последние 4 цифры карты можно сбрутфорсить, у них нет ограничений на количество попыток.

Может пора и власть употребить и запретить всякие новомодные бирюльки и законодатльно предписать перейти на карты кодов? (и другие автономные источники разовых кодов - софт и хард)
При входящих звонках законодательно разрешать клиентам отвечать только "Да" или "Нет" и не более четырех ответов в ходе одного звонка. Сейчас по закону банк при подозрении на выполнение операции не клиентом ДОЛЖЕН срочно связаться и запросить подтвердение проведение операции клиентом.
При этом четырех ДА-ДА-Нет-Да в ответе вполне достаточно. Дальше пусть клиент сам звонит.

Цитата
auni пишет: При входящих звонках законодательно разрешать клиентам отвечать только "Да" или "Нет" и не более четырех ответов в ходе одного звонка.

Хм... Ведь выкрутятся!

Цитата

На ваш вопрос ответил Карлсон, который жил на крыше. На утверждение фрекен Бок, что на любой вопрос можно ответить да или нет, он спросил: Вы уже перестали пить коньяк каждый день? Отвечайте только да или нет. Используя методику Карлсона, можно задавать вопросы типа: Вы давно перестали быть агентом ЦРУ? или Вы грабите одиноких старушек только по выходным? (ответ нет подразумевает, что и в будни тоже). И так далее. Другими словами, нельзя ответить да или нет на вопрос, формулировка которого содержит утверждение, не изменяемое вариантом ответа (что фрекен Бок пьет коньяк, что отвечающий был агентом ЦРУ или что он грабит одиноких старушек).

Ну и потом, Вы же помните, чем самое знаменитое "да-да-нет-да" закончилось? Ни к чему хорошему точно не привело.

Здесь корень зла в том, что люди по определению верят банкам. И как следствие - верят тем, кто представляется банками. Решать это возможно а) подрывая доверие (чем в том числе вот такие вот махинаторы, выдающие себя за представителей банка и занимаются) б) предусмотрев взаимную двустороннюю аутентификацию, но это долго (а значит снижается производительность труда банковского клерка, за смену он сможет обслужить меньше клиентоа), кроме того, для многих клиентов это приведёт к произнесению знаменитой фразы "Слишком сложно. До свидания!!!".

@.

Вся социальная инженерия строится на иллюзии осведомленности когда звонящий мошенник называет абонента по имени- отчеству и представляется сотрудником банка клиентом которого является абонент. "здравствуйте Какой-то Какойтович, я сотрудник банка АБСД. У вас несанкционированные списания" расчет на панику.Если подумать какие списания?! Люди смартфоны покупают, всякие Pay заводят,а посмотреть в реальном времени выписку сообразить не могут! Насчет версии "зэки развлекаются" Зэки обычно разводят на "мама я попал в аварию" или на смс "вышли денег на этот номер"( для сезона отпусков). У мошенников есть база данных с номером телефона ФИО и привязкой номера к сервисам банков. Вполне вероятно что могут быть замешаны сотрудники банков или оператора связи( у них стопудово такие базы есть) Да это печально но с этим никто не борется. Простое правило "Информацию слил тот, кто имеет к ней доступ" никто не отменял.
Подмена номеров стала возможным когда изобрели нецифровые номера. Это когда вместо номера -слово или название.В угоду игровой индустрии
Мошенники очевидно научились делать буквы чтобы они выглядели как цифры-это самое логичное объяснение.
В любом случае мошенничество если вам звонит "представитель" банка разговаривать по телефону с ним не надо

Цитата
vasilisk30 пишет: Вся социальная инженерия строится на иллюзии осведомленности когда звонящий мошенник называет абонента по имени- отчеству и представляется сотрудником банка клиентом которого является абонент.

Видимо, инфоповодом к нынешней заметке стали многочсленнные звонки клиентам Совкомбанка по карте Халва. Дело в том, что там для входа используется номер телефона. И нет никакой CAPTCHA, которая могла бы защитить от перебора. Злоумышленники просто пробуют все номера подряд, и кода сообщение "не клиент" сменится на "введите код для входа", набирают именно этот номер. Человек явно является клиентом банка по данному продукту, остаётся только разыграть правдоподобный спектакль.

Цитата
vasilisk30 пишет: Подмена номеров стала возможным когда изобрели нецифровые номера. Это когда вместо номера -слово или название.В угоду игровой индустрии Мошенники очевидно научились делать буквы чтобы они выглядели как цифры-это самое логичное объяснение.

В данном конкретном случае - идёт подмена кода страны. Вместо +7800хххххх используется +8800хххххх. Никаких букв, просто другая цифра Покупался ли реально этот номер в Бангладеше или сделана подмена номера - вот не готов сказать.
В принципе, подменить номер в служебной информации, передаваемой при вызове, - очень даже возможно. Собственно, оборудование любого более-менее серьёзного оператора связи способно такое проделать. Как со звонком, инициированным из инфраструктуры этого оператора, так и со звонком, который транзитом проходит через коммутаторы. Почему не делают? Потому что лицензия на оказание услуг связи стоит таки подороже, чем потенциальные профиты от несанкционированной модификации заголовка. Кто делает подмену идентификатора вызывающего абонента легально, - операторы IP-телефонии. У некоторых из них есть возможность при приземлении вызова из цифровой среды на сети ТФОП указать не номер своего шлюза, а номер абонента. Важно, что оператор перед тем как настроить представление номера абонента, обязательно должен удостовериться, что будет указан номер, реально принадлежащий данному клиенту. В случае юридического лица это скорее всего будет договор на использование указанного стационарного (или виртуального) номера. В случае если это частное лицо, то я сталкивался с вариантами, когда принадлежность номера подтверждалась вводом контрольных цифр, которые были направлены на нужный номер (путём СМС или голосовым вызовом), или же когда требовалось указать последние 4 цифры номера, который определился при контрольном прозвоне клиентского телефона, подлежащего верификации.

@.

Цитата

@mike (@mike) пишет: Цитата auni пишет: При входящих звонках законодательно разрешать клиентам отвечать только "Да" или "Нет" и не более четырех ответов в ходе одного звонка. Хм... Ведь выкрутятся! Цитата На ваш вопрос ответил Карлсон, который жил на крыше. На утверждение фрекен Бок, что на любой вопрос можно ответить да или нет, он спросил: Вы уже перестали пить коньяк каждый день? Отвечайте только да или нет. @.

Астрид, не ответила, пила ли Фрекен Бок коньяк по утрам, и тем более пеерстала ли она его пить в это время суток, но вопрос был: перестали вы что-то делать? (А не: Делали ли вы это?)

Если вы этого не делали, то перестать не можете - потому ответ нет.
Если вы это делали и не перестали - ответ также нет.
Если вы это делали и перестали - ответ да.


Увы, до логического парадокса не дотянуло, а реакция Фрекен Бок вполне оправдана -с Карлсонами только мухобойкой, пр и любом вопросе.

Цитата
@mike пишет: В данном конкретном случае - идёт подмена кода страны. Вместо +7800хххххх используется +8800хххххх. Никаких букв, просто другая цифра

Ээээ. в смысле Вы имели ввиду наоборот? вместо 8-800 "+7800"? Просто 8 вроде как внутренний код Да если так ,это способ еще проще

Цитата
Кто делает подмену идентификатора вызывающего абонента легально, - операторы IP-телефонии

. Получается ip телефонией пользоваться нельзя для идентификации. Вот интересно. а обычная стационарная телефония от этого защищена?.... Тогда физлицу надо не торопиться снимать стационарные....

Цитата
auni пишет: "Вы сейчас проводите операцию" - Да - У вас есть трудности кроме тех, которые вам создал наш банк заблокировав ее? Нет - Вы ее проводите доброй волей -Да - Будете писать жалобу за эту блокировку (Да, Нет, зависит от темперамента) - Банк ее разблокировал, проводите дальше

"Антисоветские вещи говорите" (с).
В таком варианте вообще человек не нужен, с задачей вполне справится автоматическая голосовая система. Это что ж получается - сотрудников уволить? Десятки тысяч "мы тоже не лишние люди" сотрудников - на улицу??? "Женщину вытащили, автомат поставили" (с)

В принципе, банки умеют в "Да-нет". Есть такая штука "Авторизация по коду 10", с которой кассир на торговой точке звонит в голосовой центр авторизации, если с оплатой по карте что-то не так. Со стороны выглядит действительно так, что кассир говорит в трубку только "Да" или "Нет".

@.

Цитата
@mike пишет: Я вот честно не стал бы тратить своё время и деньги на телефоне

Так я и не говорю, что надо перезванивать по любому поводу, если банк и в самом деле сам вам звонит, то он только делает вам предложение, он никогда не просит вас предоставить какие-либо данные, а это значит, что такой звонок вам не может навредить, мошеннику так делать смысла нет. А вот если вам звонят и просят сообщить какие-то данные, то очевидно это или мошенник или от такого банка надо сразу же уходить. Даже, когда фактически подозрение на фрод они звонят и говорят, что вы проводите, сообщая вам что, и единственное, что от вас ждут это да или нет, ни суммы, ни места ничего спрашивать не должны. Ну во всяком случае не представляю себе, чтобы банк так делал.

Если это предложение о кредите, то я даю им 10 секунд, чтоб меня заинтересовать и прощаюсь.

Цитата
vasilisk30 пишет: Вполне вероятно что могут быть замешаны сотрудники банков или оператора связи( у них стопудово такие базы есть) Да это печально но с этим никто не борется. Простое правило "Информацию слил тот, кто имеет к ней доступ" никто не отменял.

Ну а как с этим бороться-то? Даже если слившего поймают, база-то уже ушла. Люди просто должны считать невозможным такое поведение...