Рассказали: с ВТБ угнали 300к рублей, никто не виноват

[AntiDuck]

Есть Update, кратко внёс его в оригинальное сообщение, полностью тут
Я выяснил доп. подробности (см. выше). Во время посещения магазина, клиент ВТБ общалась по телефону голосом. Телефон Xiaomi Redmi 5+, было установлено приложение банк-клиент ВТБ, по словам поддержки ВТБ, в нем есть встроенный антивирус (как у Сбера)

Во время тлф. разговора приходили некие SMS (телефон тренькал), и после оплаты покупки (вроде бы с физической карты, не с тлф), тоже пришло очередное - но когда тлф. разговор был закончен, обнаружилось, что снятий было много (4 "неправильных" на протяжении 10 минут, каждое по 90 000 рублей + 1 оплата покупки).

За пару дней до события клиент вынужден был поменять пароль на онлайн банк - со старым вдруг перестало пускать, замена пароля потребовала посещения отделения банка. В день события телефон вёл себя нестандартно, "фонил", при разговорах были слышны какие-то шумы, помехи.

Похоже на то, что банк-клиент поставили на другом устройстве, ввели ранее украденные логин/пароль, вошли в систему (тут клиент должен быть подтвердить вход по SMS, авторизуя новое устройство, так?) ... а уже после входа, получается, из банк-клиента можно делать переводы без SMS - просто по паролю разблокировки/безопасности _от нового устройства_ или по _touch id нового устройства_.

Что посоветовать людям, писать заявление в банк на предмет хотя бы логов авторизации _устройств_ (и приложения) в период совершения мошеннических операций?

[Andrew SWH]

Вообще заявления писать надо однозначно. И свои логи тоже смотреть!!! Клиенту должны быть видны ИП адреса и привязанные устройства. У меня во всех банк-клиентах таковые функции есть

[AntiDuck]

Вообще заявления писать надо однозначно.

Я же писал выше - в тот же день, было написано и принято заявление в полицию, с информацией, что оно принято - в банк - и ничего. Далее еще всякие телодвижения с банком - но в конце концов банк снова прислал официальный отказ аннулировать платежи.
Нужно подавать исковое заявление в суд, но клиент (ка), после мытарств с наследством, и вдруг еще такого удара - просто сил в себе не нашла двигаться дальше - дело было в ноябре 2019-го года.

Что для меня принципиально важно - если действительно 1 украденный пароль позволяет запустить приложение банк-клиента на новом мобильном устройстве, указав вместо логина тупо номер телефона или номер карты (а не уникальный логин!), и как-то обойти вопрос с подтверждением нового входа - тогда совсем труба с безопасностью.

Как злоумышленники получили авторизацию входа в приложение на новом устройстве? Как совпало, что через 2 дня после _вынужденной_ замены пароля на банк-клиет, визитом в банк - произошла кража денег со счета?

Я не знаю, до кучт не хватает только информации о том, как в этом отделении ВТБ в Питере был уволен до окончания испытательного срока студент-стажер, двоюродный дядя которого снимал в Татарстане деньги

И свои логи тоже смотреть!!! Клиенту должны быть видны ИП адреса и привязанные устройства. У меня во всех банк-клиентах таковые функции есть

Своих логов у клиента нет и быть не может (если только в недрах телефона?).
В банк-клиенте я настойчиво предложил смотреть логи авторизации за ноябрь, но там история через третьи руки - женщина-клиент и так переживала, и эмоционально дальнейшие разборки с банком не смогла осилить - что и ужасно, по-моему

[AntiDuck]

На vc.ru нашлась тема https://vc.ru/claim/192963
"Мошенники, действующие от имени банка ВТБ,
оформили кредит на 2 млн рублей и вывели
с накопительного счета 500 тысяч"

Сама по себе история очень непонятная - но в комментах обнаружилось изрядно пострадавших, которые позволяют сказать, что в приложении ВТБ как минимум на Android есть огромная дыра, которой активно пользуются, выполняя ряд действий при неавторизованном доступе к приложению даже без клиента банка, и обращаясь к клиенту только когда суммы операций выше 0.5 млн рублей.

Либо у них с кадровой политикой алес кандебобер, либо с IT безопасностью швах