Перейти к публикации

Рекомендованные сообщения

Уязвимость в платёжном сервисе Платинум Банка (Украина)

Цитата

Не так давно я решил протестировать очередной банк или платёжную компанию на предмет наличия простой, но от этого не менее популярной уязвимости вида «Возможность просмотра операций других клиентов».

Почему я пишу, что эта уязвимость простая? Потому что украинская электронная платёжная система Portmone.com в прошлом году имела такую ошибку. Как и Фидобанк (пост на Хабрахабр). Впрочем, как и упомянутые там же Qiwi или Тинькофф Банк — примеров множество. А сколько ещё не найдено, не опубликовано…

Итак, с целью разминки мозга мне захотелось проверить кого-то ещё. А в конце августа "Platinum Bank представил новый платежный портал pay.ptclick.com.ua". Вот его я и решил проверить на очевидную уязвимость. Регистрация на портале pay.ptclick.com.ua предельно проста — e-mail + пароль и поле для капчи.

af880b48352649eda166a0ef23ac6018.PNG

Так как я думал найти конкретную ошибку — просмотр информации об оплатах других клиентов — мне нужно было от чего-то отталкиваться.

После регистрации я сделал какую-то оплату вроде пополнения мобильного и, после проведения операции, зашёл в раздел «История».

В «Истории» существует возможность:

1) посмотреть данные об операции по ссылке вида pay.ptclick.com.ua/ru/history/paymentdetails/XXXX
2) повторить данную операцию, нажав на pay.ptclick.com.ua/ru/biller/payment/XXXX
3) скачать квитанцию в PDF по ссылке pay.ptclick.com.ua/ru/biller/receipt/XXXXXXXX
4) отправить квитанцию на e-mail по ссылке pay.ptclick.com.ua/ru/history/sendreceipt/XXXXXXXX

Так вот, простым перебором числового параметра XXXX в любой из ссылок выше можно получить информацию об операциях других клиентов. XXXXXXXX подбирается чуть сложнее, но при переборе таких операций не требуется даже авторизация (!) на платёжном портале.

Примеры некоторых операций:

Скрытый текст

571cad58777c4e9bb50feb1d987ab81d.PNG

ab8f5bde62fd4ae4bdcd4df8612e15f0.PNG

65141bd28ae94dc59db0cad852b989bb.PNG

Таким образом, на портале можно получить информацию обо всех операциях всех клиентов, которые воспользовались pay.ptclick.com.ua — платежи за коммунальные услуги, интернет, мобильный, Skype и прочее:

65266cb53f3b450190ee8d73232f5e74.png

Письмо про данную ситуацию я отправлял неоднократно, первое сообщение в банк по найденным адресам было отправлено мной в первых числах октября, два месяца назад. Изначально я просил связаться со мной ответственного специалиста, не указывая конкретных данных об ошибке, дабы не распространять её среди тех, кому этого знать не следует.

Но со стороны Банка постоянно приходил ответ в духе «Для того, чтобы с Вами связался наш представитель, пожалуйста, укажите Ваши контактные данные и время, когда Вам удобно будет получить звонок» (т.е. моей почты недостаточно для связи, им необходим именно телефон).

Позже, укоротив ссылки через bit.ly (позволяет видеть, сколько человек кликнут по ним), я указал, где именно проблема. На сегодняшний день по каждой из ссылок было около 6-7 переходов.

Что интересно, первые переходы по ссылкам были совершены только 17-18-го октября, когда я ещё раз напоминал о проблеме, а никак не в начале октября, когда писал им впервые.

Отсюда вытекает, что первые сообщения с ссылками об ошибке, отправленные мной в начале октября, не передавались ответственным лицам около двух недель.

Затем были остальные переходы по ссылкам — в ноябре, а именно на следующий день после того, как я вспомнил о проблеме, нашёл рабочий e-mail руководителя, который ответственен за этот портал, и отправил письмо лично ему.

 

В сухом остатке: не смотря на мои уведомления о проблеме по разным каналам, ошибка до сих пор, через два (!) месяца после первого сообщения, Платинум Банком не исправлена.

 

(c) Habrahabr

Изменено пользователем FAFNIR
  • Нравится 3

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Залишився один банк з негативним капіталом.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
В 11.06.2016 в 19:07, Mozart сказал:

Если у кого-то ВДРУГ там больше 200000 - экстренно разрывайте и выводите излишки или даже все. Я не шучу. Поверьте, команду "Разрывать договора" без крайней нужды я давать не стал бы... 

Прошло шесть месяцев...

А воз и ныне там...

  • Нравится 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Капитал Публичного акционерного общества «Platinum Bank» увеличен на 120 млн гривен

Об этом сообщает пресс-служба банка.

Увеличение капитала было осуществлено в рамках ранее заявленной акционерами программы капитализации, разработанной для обеспечения соответствия деятельности банка и его экономических показателей нормативам Национального банка Украины.

Platinum Bank относится к І группе банков, согласно рейтинга НБУ и занимает 31 место в рейтинге устойчивости банков Украины.

 

Ось такі справи...

А писали  відомі економісти, що до НР банку капець...

Так, що загибель титана, відкладається на деякий час.:clapping:

  • Нравится 2

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Ну ось довго очікуваний - кінець. 

Сьогодні прочитав: 

Платинум фигурировал и среди лидеров украинского рынка по затратам на рекламу. По итогам третьего квартала на маркетинг и рекламу банк потратил 33,380 млн гривен — это второй показатель по рынку после Привата, затраты которого за квартал составили 43,914 млн грн. 

Сам спостерігав восени їхню рекламну кампанію, коли всі підїзди, рекламні афіші, обклеїні - ми даєм до 50 000₴ майже кожному.

  • Нравится 1

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

"На сайте Фонда гарантирования вкладов физлиц появилось сообщение о вводе с 11 января временной администрации в ПАО "Платинум Банк".

Временная администрация введена сроком на 1 месяц - с 11 января до 10 февраля 2017 года включительно. Уполномоченным лицом Фонда гарантирования вкладов назначен Ирклиенко Юрий Петрович - тот же чиновник Фонда, который в свое время был назначен главой временной администрации в банке "Михайловский"."

Ирклиенко еще был в Ситикоммерце, там вкладчикм тоже очень невесело было.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
3 години тому, neokam сказав:

Ирклиенко еще был в Ситикоммерце, там вкладчикм тоже очень невесело было.

А ще в Террі. Відомий та заслужений кадр понду!

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.

Войти сейчас

  • Сейчас на странице   0 пользователей

    Нет пользователей, просматривающих эту страницу.

×