Претензия к компании Альпари (Alpari) от natalivit

[Kadet2002]

Тогда, думаю, и это не исключение.


А на будущее, можно смену телефона подтверждать только после звонка из офиса. Не так часто их меняют, мороки не много.
Тогда таких случаев вообще не будет.

Думали об этом, но с нашей клиентской базой получается много.
На самом деле случаи единичные и не возникают, если не дать возможность войти в ЛК.

 

[Kadet2002]

Вы же серьёзная компания! Вот и пробейте номер

Это могут делать только правоохранительные органы. Как Вам уже было объяснено при общении по телефону.

 

[Hochuh]

Было бы спокойней, если бы вывод был доступен по умолчанию только на те реквизиты, которые использовались при вводе. А подключение новых ЭПС было возможно только при подтвердждении личности клиента. Отправкой, например, клиентом копии паспорта.

Копия паспорта - это вообще самая никакая защита,т.к. у многих ДЦ вообще все загруженные документы доступны из ЛК для просмотра. Для высочайшей степени защиты теле\смс подтверждений выше крыши. Просто если сам клиент отдает каким-то образом(умышленно,либо нет) свои данные третьим лицам тут ничего не поможет - разве что личный визит сотрудника Альпари на дом к клиенту с вопросом он ли заказывал смену данных,вывод средств...

 

[Elena MS]

Копия паспорта - это вообще самая никакая защита,т.к. у многих ДЦ вообще все загруженные документы доступны из ЛК для просмотра.

Вариантов масса. Возможность вывода на новую подключенную ЭПС, с которой не было ввода, через неделю с момента подключения, например. С отправкой клиенту уведомления о подключении новой ЭПС. За это время, если реквизиты чужие, владелец успеет предъявить претензии.

 

[zQuant]

Да это все понятно.
Чел же пишет, что ваще СМС не получал...

У меня на днях при регистрации в Альпах тоже были проблемы с получением смс.. Может специально подобрали такой период. Кто знает. Он бы с таким же успехом и код из смс-ки бы сказал

 

[zQuant]

Вариантов масса. Возможность вывода на новую подключенную ЭПС, с которой не было ввода, через неделю с момента подключения, например. С отправкой клиенту уведомления о подключении новой ЭПС. За это время, если реквизиты чужие, владелец успеет предъявить претензии.

Кстати, да. Те же WebMoney дают менять реквизиты только через 3 дня на запрос. 3 дня большинству людей хватит заподозрить неладное. Хотя при доступе к emaiL, можно и письмо с уведомлением удалить.
Но если при входе в ЛК при этом будет висеть большое красное предупреждение о запросе смены платежной системы/реквизитов.. То 3 дня более чем.

 

[officialboob]

У меня на днях при регистрации в Альпах тоже были проблемы с получением смс.. Может специально подобрали такой период. Кто знает. Он бы с таким же успехом и код из смс-ки бы сказал

Ну, скорее всего так и было.

Не с кофейной же гущи мошенник код взял.

Думали об этом, но с нашей клиентской базой получается много.
На самом деле случаи единичные и не возникают, если не дать возможность войти в ЛК.

Способов доп. аутентификации много есть.

При смене номера надо что-то еще прикрутить.

2 разных способа подтверждения обойти почти нереально.

 

[natalivit]

Зайти в ЛК,имея пароль на руках - не проблема. Качая всякую шляпу из интернета(от друзей и т.п.) пароль отдать хакеру проще простого. Единственная проблема Альп при авторизации - отсутствие таймаута при вводе пароля,что упрощает работу брутерам.

Странно,что natalivit утверждает,что СМС не получал от Альп(те,что на запросы отправлялись). Иначе бы звонившему не было смысла звонить ему, если он и без СМС мог все поменять. Если на 1 отправленный ограничение на неверный ввод хотя бы не более 3 раз, то кто-то недоговаривает вероятно.

Просмотрите распечатку, СМС из альпари не было

 

[Hochuh]

Просмотрите распечатку, СМС из альпари не было

Сразу не понял вообще что это, думал от Альп что-то. Хм. странно - у меня только с другими некоторыми ДЦ проблемы бывали,а с Альп всегда СМС приходили(даже вторизация в кабинете,пока не отключил)...тогда странно все.

 

[Kadet2002]

Ну, скорее всего так и было.

Не с кофейной же гущи мошенник код взял.





Способов доп. аутентификации много есть.

При смене номера надо что-то еще прикрутить.

2 разных способа подтверждения обойти почти нереально.

Если клиент сообщает код по телефону сам, то сколько способов не делай, не поможет. Но это не значит что мы не думаем о безопасности, уже сейчас блокируется ЛК и работает капча.

 

[Rihter]

Р.С звонок был с указанного номера , но они хотели , чтобы я пополнил счёт хотя бы до 1000 долларов , но я отказался, объяснил что в РБ ситуация не очень,и денег нет . На этом разговор был окончен . Через некоторое время они опять звонили , но я не ответил , в детализации это видно

"С указанного номера" - насколько я понял, это имеется в виду тот номер, на который сменили тел. номер в ЛК (т.е. +79691414945).
Действительно, в распечатке (точнее, в pdf-файле) и ранее на скриншоте (всё это уже выложено в этой ветке) видно два звонка с этого номера:
- первый звонок имеет продолжительность 3:09 (это, видимо, когда просили до 1000$ пополнить - чтоб побольше упереть, наверно ))) );
- второй звонок имеет продолжительность 36 секунд, а не "не ответил" - 36 секунд теоретически как раз достаточно, чтобы продиктовать код...
((!) кстати, оригинальный ход со стороны мошенников - сперва звонят, просят пополнить - ну а при втором звонке тот же голос, и жертва уже однозначно верит, что это Альпари - ведь голос-то тот же ))) )

Вот эти строки из pdf-файла (просто скопировал их оттуда, сам файл был выше):

04.02.2016 13:12:42   <--+79691414945      телефония   3:09
04.02.2016 13:15:37   <--+486990575977       sms i     1
04.02.2016 13:19:33   <--+79691414945      телефония   0:36

СМС в промежутке между этими звонками была действительно лишь одна, "с контакта", если верить примечанию на скриншоте, ну и если верить pdf-файлу, конечно...

 

[Rihter]

Просмотрите распечатку, СМС из альпари не было

Там где-то выше вроде говорили, что было две смс, и плюс ещё два звонка с кодом... вот этот пост:

Для смены номера телефона запросил 4 раза код подтверждения – 2 раза по SMS, 2 раза в виде звонка.

На 4-й раз вводится код подтверждения и меняет номер телефона с +37529292**** на +79691414945 в 2016-02-04 13:19:45.

С этим пока не ясно...

 

[Elvis Burunduk]

Я думаю что тут утекания денег наружу, третьим лицам нет.
Здесь либо сам ТС лоханул и отдал код, либо сидит внутри ДЦ крыса...

Почему так думаю, третьему лицу переводить ЛК на другой номер не надо, если знаешь номер прикрученный к ЛК. Клонирование симки - дело несложное для спеца, сам делал клон своей симки. Просто тогда магнитолы с блютус были недоступны. А в моей машине был сотовый телефон. Склонировал симку, постапвил в машину. Принцип работы такой, сажусь в машину , завожу мотор, включается телефон.
И тут главное!!! В сети будет работаь симка которая зарегистрировалась в сети последней, а это симка из машины и ей идут вызовы!!!
Глушу машину, телефон в машине выключается с вынимаем ключа, выхожу и беру сотку и она регится в сети по новой и звонки идут уже ей. Это работало для меня.

Но такой подход к облапошиванию клиентов ДЦ конечно не для тупых барсеточников, а для красивой работы. Легче устроится на работу манагером и делать свое черное дело изнутри.

 

[Fierce]

Это могут делать только правоохранительные органы. Как Вам уже было объяснено при общении по телефону.

Kadet2002, а что Альпари не может сделать официальный запрос в МВД Белоруссии на номер телефона описав ситуацию ?
Так же можно сделать официальный запрос в Яндекс-Деньги на кошельки которых были переведены клиентские деньги мошенническим путём.

Вы же официальная компания, у вашего клиента увели деньги с его личного кабинета. При желании можно всё выяснить "на раз", если конечно у самой компании есть такое желание.
Ну и заодно всё сразу выясниться.

Думали об этом, но с нашей клиентской базой получается много.
На самом деле случаи единичные и не возникают, если не дать возможность войти в ЛК.

Даже если злоумышленник и войдёт в личный кабинет зная логин и пароль, то он не сможет поменять данные клиента ( номер телефона ) и снять деньги без подтверждения кодом СМС который приходит только на номер сотового телефона самого клиента ( хозяина личного кабинета ).
И только после подтверждения клиентом, меняется номер телефона на другой.

Вопрос, как у клиента в личном кабинете смогли поменять номер его телефона и снять деньги со счёта, если сам клиент не получал СМС-кода на свой телефон ?

Этот же телефон установлен до сих пор – +79691414945.

Вы же серьёзная компания! Вот и пробейте номер

Это билайновский код, номер может быть анонимный ( купил симок штук двадцать по дешёвке в каком нибудь грязном чепке ( для разводов ), использовал и выбросил ).

Другое дело кошельки в Яндекс-Деньгах куда были переведены деньги.
Если владелец российский гражданин, то он обязан был с мая 2014 пройти идентификацию.
Если владелец иностранный гражданин, то он может быть анонимен - не идентифицирован.

 

[Fierce]

С этим пока не ясно...

А что тут не ясно ?

Клиент пишет что никакого СМС-пароля для подтверждения смены номера телефона в его личном кабинете от Альпари ему не приходило.
И даже в качестве доказательства приводит детализированный отчёт своего номера телефона ( с 31.01.2016 по 08.02.2016 ).

Спойлер

Kadet2002 пишет другое, что 04.02.2016 года кто-то зашёл с анонимного IP, пошарился по кабинету клиента, сделал 4 запроса на смену номера ( 2 СМС и 2 звонка ), потом получил СМС-код, поменял телефон и через него снял все клиентские деньги.

Из детализированного отчёта видно что небыло никаких СМС от Альпари на номер клиента, а значит менять номер телефона дилинг не имел никакого права.

 

[GITARIST]

Думаю Компаниям можно обезопаситься еще отсканированной подписью клиента , как в банке , маленькая закорючка влево-право банк заставляет переписывать . При регистрации надо отправлять скан подписи в заявлении.

А пере адресация СМС нету такого сервиса в телефонных компаниях ?

 

[natalivit]

А что тут не ясно ?

Клиент пишет что никакого СМС-пароля для подтверждения смены номера телефона в его личном кабинете от Альпари ему не приходило.
И даже в качестве доказательства приводит детализированный отчёт своего номера телефона ( с 31.01.2016 по 08.02.2016 ).

Спойлер

Kadet2002 пишет другое, что 04.02.2016 года кто-то зашёл с анонимного IP, пошарился по кабинету клиента, сделал 4 запроса на смену номера ( 2 СМС и 2 звонка ), потом получил СМС-код, поменял телефон и через него снял все клиентские деньги.

Из детализированного отчёта видно что небыло никаких СМС от Альпари на номер клиента, а значит менять номер телефона дилинг не имел никакого права.

Я рад , что хоть кто то это заметил. Второй звонок был, я не отрицаю , но я услышал тот же голос и сбросил звонок. А СМС с моего телефона не было

 

[natalivit]

Даже если злоумышленник и войдёт в личный кабинет зная логин и пароль, то он не сможет поменять данные клиента ( номер телефона ) и снять деньги без подтверждения кодом СМС который приходит только на номер сотового телефона самого клиента ( хозяина личного кабинета ).
И только после подтверждения клиентом, меняется номер телефона на другой.

Вопрос, как у клиента в личном кабинете смогли поменять номер его телефона и снять деньги со счёта, если сам клиент не получал СМС-кода на свой телефон ?

И скажите в чём моя вина ?

 

[Afftar]

Я считаю, что было бы правильным и компания заслужила бы большего доверия и уважения, если провела собственное расследование, сделала бы соответствующие запросы в полицию и яндекс-деньги и по возможности восстановила бы средства (не такие уж и большие деньги) клиента, а из сообщений Kadeta - видно, что они не виноваты - а виноват сам клент, ну и понятно они и будут открещиваться

 

[natalivit]

Если так легко зайти и сменить данные ,следующий могут увести не 300$ , 300000$. Что потом будете говорить клиенту ?- "Извините ,но ваш кабинет был взломан злоумышленниками " И все проблемы повесите на клиента ? Хороший подход , ни чего не скажешь. В ситуации из жизни , если бы Вам товарищ одолжил N сумму , а у Вас её увели, Вы бы не сказали ему ,что деньги украли и я тебе долг не отдам . Верно? Просто народ теперь подумает стоит ли связываться с вашей компанией . если Вы не можете защитить клиента от взлома и воровства