Перейти до вмісту

Рекомендовані повідомлення

Уязвимость в платёжном сервисе Платинум Банка (Украина)

Цитата

Не так давно я решил протестировать очередной банк или платёжную компанию на предмет наличия простой, но от этого не менее популярной уязвимости вида «Возможность просмотра операций других клиентов».

Почему я пишу, что эта уязвимость простая? Потому что украинская электронная платёжная система Portmone.com в прошлом году имела такую ошибку. Как и Фидобанк (пост на Хабрахабр). Впрочем, как и упомянутые там же Qiwi или Тинькофф Банк — примеров множество. А сколько ещё не найдено, не опубликовано…

Итак, с целью разминки мозга мне захотелось проверить кого-то ещё. А в конце августа "Platinum Bank представил новый платежный портал pay.ptclick.com.ua". Вот его я и решил проверить на очевидную уязвимость. Регистрация на портале pay.ptclick.com.ua предельно проста — e-mail + пароль и поле для капчи.

af880b48352649eda166a0ef23ac6018.PNG

Так как я думал найти конкретную ошибку — просмотр информации об оплатах других клиентов — мне нужно было от чего-то отталкиваться.

После регистрации я сделал какую-то оплату вроде пополнения мобильного и, после проведения операции, зашёл в раздел «История».

В «Истории» существует возможность:

1) посмотреть данные об операции по ссылке вида pay.ptclick.com.ua/ru/history/paymentdetails/XXXX
2) повторить данную операцию, нажав на pay.ptclick.com.ua/ru/biller/payment/XXXX
3) скачать квитанцию в PDF по ссылке pay.ptclick.com.ua/ru/biller/receipt/XXXXXXXX
4) отправить квитанцию на e-mail по ссылке pay.ptclick.com.ua/ru/history/sendreceipt/XXXXXXXX

Так вот, простым перебором числового параметра XXXX в любой из ссылок выше можно получить информацию об операциях других клиентов. XXXXXXXX подбирается чуть сложнее, но при переборе таких операций не требуется даже авторизация (!) на платёжном портале.

Примеры некоторых операций:

Скрытый текст

571cad58777c4e9bb50feb1d987ab81d.PNG

ab8f5bde62fd4ae4bdcd4df8612e15f0.PNG

65141bd28ae94dc59db0cad852b989bb.PNG

Таким образом, на портале можно получить информацию обо всех операциях всех клиентов, которые воспользовались pay.ptclick.com.ua — платежи за коммунальные услуги, интернет, мобильный, Skype и прочее:

65266cb53f3b450190ee8d73232f5e74.png

Письмо про данную ситуацию я отправлял неоднократно, первое сообщение в банк по найденным адресам было отправлено мной в первых числах октября, два месяца назад. Изначально я просил связаться со мной ответственного специалиста, не указывая конкретных данных об ошибке, дабы не распространять её среди тех, кому этого знать не следует.

Но со стороны Банка постоянно приходил ответ в духе «Для того, чтобы с Вами связался наш представитель, пожалуйста, укажите Ваши контактные данные и время, когда Вам удобно будет получить звонок» (т.е. моей почты недостаточно для связи, им необходим именно телефон).

Позже, укоротив ссылки через bit.ly (позволяет видеть, сколько человек кликнут по ним), я указал, где именно проблема. На сегодняшний день по каждой из ссылок было около 6-7 переходов.

Что интересно, первые переходы по ссылкам были совершены только 17-18-го октября, когда я ещё раз напоминал о проблеме, а никак не в начале октября, когда писал им впервые.

Отсюда вытекает, что первые сообщения с ссылками об ошибке, отправленные мной в начале октября, не передавались ответственным лицам около двух недель.

Затем были остальные переходы по ссылкам — в ноябре, а именно на следующий день после того, как я вспомнил о проблеме, нашёл рабочий e-mail руководителя, который ответственен за этот портал, и отправил письмо лично ему.

 

В сухом остатке: не смотря на мои уведомления о проблеме по разным каналам, ошибка до сих пор, через два (!) месяца после первого сообщения, Платинум Банком не исправлена.

 

(c) Habrahabr

Змінено користувачем FAFNIR
  • Подобається 3

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

Залишився один банк з негативним капіталом.

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах
В 11.06.2016 в 19:07, Mozart сказал:

Если у кого-то ВДРУГ там больше 200000 - экстренно разрывайте и выводите излишки или даже все. Я не шучу. Поверьте, команду "Разрывать договора" без крайней нужды я давать не стал бы... 

Прошло шесть месяцев...

А воз и ныне там...

  • Подобається 1

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

Капитал Публичного акционерного общества «Platinum Bank» увеличен на 120 млн гривен

Об этом сообщает пресс-служба банка.

Увеличение капитала было осуществлено в рамках ранее заявленной акционерами программы капитализации, разработанной для обеспечения соответствия деятельности банка и его экономических показателей нормативам Национального банка Украины.

Platinum Bank относится к І группе банков, согласно рейтинга НБУ и занимает 31 место в рейтинге устойчивости банков Украины.

 

Ось такі справи...

А писали  відомі економісти, що до НР банку капець...

Так, що загибель титана, відкладається на деякий час.:clapping:

  • Подобається 2

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

ПАТ "Платинум Банк" віднесено до категорії неплатоспроможних

https://bank.gov.ua/control/uk/publish/article?art_id=41903326&cat_id=55838

  • Подобається 4

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

Не пройшло й трьох років ;)

  • Подобається 1

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

Ну ось довго очікуваний - кінець. 

Сьогодні прочитав: 

Платинум фигурировал и среди лидеров украинского рынка по затратам на рекламу. По итогам третьего квартала на маркетинг и рекламу банк потратил 33,380 млн гривен — это второй показатель по рынку после Привата, затраты которого за квартал составили 43,914 млн грн. 

Сам спостерігав восени їхню рекламну кампанію, коли всі підїзди, рекламні афіші, обклеїні - ми даєм до 50 000₴ майже кожному.

  • Подобається 1

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

"На сайте Фонда гарантирования вкладов физлиц появилось сообщение о вводе с 11 января временной администрации в ПАО "Платинум Банк".

Временная администрация введена сроком на 1 месяц - с 11 января до 10 февраля 2017 года включительно. Уполномоченным лицом Фонда гарантирования вкладов назначен Ирклиенко Юрий Петрович - тот же чиновник Фонда, который в свое время был назначен главой временной администрации в банке "Михайловский"."

Ирклиенко еще был в Ситикоммерце, там вкладчикм тоже очень невесело было.

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах
3 години тому, neokam сказав:

Ирклиенко еще был в Ситикоммерце, там вкладчикм тоже очень невесело было.

А ще в Террі. Відомий та заслужений кадр понду!

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

Поділитися повідомленням


Посилання на повідомлення
Поділитися на інших сайтах

Створіть акаунт або увійдіть у нього для коментування

Ви маєте бути користувачем, щоб залишити коментар

Створити акаунт

Зареєструйтеся для отримання акаунта. Це просто!

Зареєструвати акаунт

Увійти

Вже зареєстровані? Увійдіть тут.

Увійти зараз

  • Зараз на сторінці   0 користувачів

    Немає користувачів, які переглядають цю сторінку.

×