Привет Хабр!

Сегодня я хочу рассказать вам об одном удивительном месте. Называть его явно не буду, а то назовут злопыхателем и нехорошей редиской.

В общем, волею судеб оказался я в одном из самых популярных белорусских банков. Задача была тривиальна — срок действия пластиковой карты подходил к концу и мне нужно было сделать новую.
Начал я с того, что позвонил в Центр Банковских Услуг (ЦБУ). По телефону мне перечислили что нужно взять с собой: Карту, паспорт; предупредили, что мою карту — изымут (хоть до ее конца еще 2 недели) ну, надо так надо. Собрался и поехал.
По приезду я зашел в здание ЦБУ и приятно удивился — в огромном и красивом здании я не увидел ни одного клиента. «Ну быстро разберусь» — пришла ко мне радостная мысль.

Не совсем негодую, просто остался какой-то неприятный осадок от одной истории, связанной с компанией HP. Косвенно или напрямую — решать вам.

C 20 сентября по 9 октября компания HP проводила на хабре конкурс под названием «Рабочее место мечты». Условия у него были достаточно простые — нужно было всего лишь рассказать, чего жизненно необходимого не хватает на рабочем месте айтишника и хорошенько пропиарить свою идею среди друзей и в социальных сетях. Победитель выбирался исходя из рейтинга — простой суммы всех лайков и ретвитов.

Призы были обещаны аж для 20 лучших идей, в том числе самые вкусные — неплохой ноутбук Probook 4720s и монитор.

Я, толком ни в каких конкурсах не участвующий, собрался занять первое место и забрать ноутбук. Ну, не доверяю я конкурсам, но тут авторитет и хабра, и HP перевесили. Собственно, первый пункт плана удался — нужное количество лайков было набрано достаточно быстро. А вот с реализацией второго возникли трудности.

Только недавно отшумели страсти по сомнительной акции на групоне с немецко-китайскими пылесосами (http://habrahabr.ru/links/122136) как снова наступаем на те же грабли.



Теперь с электронными книгами.

QIWI является наиболее инновационной IT-компанией в России. В последнее время она совершила настоящий рывок, предложив новые удобные сервисы и технологии. В любом уголке страны можно встретить синий или оранжевый терминал с логотипом QIWI.

К сожалению, обратной стороной внедрения новых сервисов является появление новые ошибок неизбежно возникающих в передовых продуктах. Особенно чувствительны сбои безопасности в платежных системах, при этом популярность системы может превратить такой сбой в кошмар.

На форуме специализированного провайдерского портале nag.ru недавно появился гневный топик одного пользователя, у которого была слита существенная сумма с QIWI-кошелька. Оказалось, что специалисты QIWI почитывают тему, и, после некоторых препирательств, вопрос был решен в пользу пострадавшего, что косвенно указывает на проблему компании.

Однако, спустя некоторое время, тема попала в поисковики и в нее потянулись обиженные и пострадавшие в надежде на помощь. Ниже оригинальные цитаты пострадавших, грамматика и пунктуация в них сохранена!

Update
Размещен официальный ответ от QIWI

Update2
Мой следующий пост будет посвящен платежной системе Манибукерс.

Update3
По просьбе сотрудников QIWI изменен заголовок поста. Также меня заверили о готовности обсуждения поднятых вопросов, и что никто целенаправленно не пытается прятать информацию. Это хорошо. Спасибо тем кто поддержал этот пост, был момент когда мне показалось что остается всего несколько минут и я просто не успею внести апдейт.

15 августа 2011 — 19:56
Да, ребята, подскажите плиз, как исковое заявление составить?
Следствие, похоже, успешно слило мою заяву - следак позвонил бухой в субботу вечером, требовал чтобы я немедленно срочно явился к нему в логово, а потом заявил что у него сегодня кончается срок когда он обязан отписку дать, с тех пор ни слуху ни духу.
Fraud@ тоже заявило что после возврата трети украденных денег они ничего сделать не могут - они попросили у банка деньги вернуть, а банк послал их на...

20 августа 2011 — 13:56
17 августа 2011 г. я обнаружил, что не могу войти в персональный раздел сайта используя свои аутентификационные данные (логин и пароль). Воспользовавшись функцией сайта по получению но­вого пароля, я обнаружил, что в период с 09.08.2011 г. по 11.08.2011 г. мошенниками были совершены транзак­ции, в результате которых все денежные средства, хранившиеся на балансе моего электронного ко­шелька были переведены на несколько номеров чужих QIWI кошельков, владельцы которых также мне не известны. Сумма денежных средств украденных из моего кошелька составляет 485 126,50 рублей.

На основе отчёта, сформированного на сайте сервиса, можно сделать вывод, что лица, мошенническим образом получившие права на мои денежные средства, сделали это путём смены пароля доступа к моему пер­сональному разделу сайта, а не с помощью завладения моим паролем (в отчёте указана операция "Подтверждающий звонок"). При этом Служба безопасности сервиса «QIWI кошелёк» бездоказательно предположила, что пароль для управления кошельком был похищен с моего компьютера с использованием вирусного программного обеспечения, что не соответствует действительности.

Если Вы тоже столкнулись с мошенничеством, то присылайте на antiqiwi [собачка] yandex.ru описания случаев мошенничества при работе с сервисом QIWI-кошелек, а также ваши контактные данные (желательно № телефона для связи) с целью подготовки коллективного обращения в правоохранительные органы и суд.
Связанные с этим новости вы сможете узнать из сайта инициативной группы, который планируется создать в ближайшее время. Адрес сайта будет отправлен на ваш адрес электронной почты.

20 августа 2011 — 14:26
Тоже склоняюсь к тому что киви лажанулись, судя по данной теме... т.к. вчера увели 420 р., а сегодня ВНЕЗАПНО у них появляется услуга подтверждения транзакции по смс...

24 августа 2011 — 03:34
Здравствуйте все!

Прочитал заглавное сообщение про кражу денег с кошелька КИВИ... у меня несколько дней назад было тоже самое!
Украли около 1000 рублей, при этом дело было так:
Всё как описал автор этой темы, та же самая ситуация с паролем, не мог зайти в свой аккаунт, потом перезаслал пароль к себе на телефон, зашёл в КИВИ и увидел что денег то на счёте ноль!
Посмотрел отчёты о платежах. Увидел что 17-го августа ко мне на счёт пришло откуда-то 325 рублей. Эти деньги лежали целых 2 дня! Далее 19-го августа с кошелька ушло 1450 рублей (из которых целых 1100р - мои). Ушли деньги на чужой КИВИ-кошелек. Позвонил по номеру на который этот кошелек зареган - номер активен! Я сначала удивился, но потом понял всё. Завтра может созвонюсь с этим человеком. У него наверное тоже украли деньги.

Написал на fraud@qiwi.ru. Пришёл быстрый ответ:
Цитата
Здравствуйте.
К сожалению, средства с указанного кошелька уже были выведены из системы. Удалось сохранить только 430 руб.
В данной ситуации Вам необходимо обратиться в правоохранительные органы. По их запросу мы предоставим имеющуюся информацию и окажем содействие.
Компания "КИВИ кошелек", со своей стороны, займется решением вопроса по возможности возврата денежных средств.

Далее они написали, что необходимо им прислать скан-копию талона-уведомления из полиции, копии паспорта и договора на сим-карту. И тогда возможно вернут деньги.Вот так.
В полицию к сожалению смогу сходить только через 3 недели, так как уезжаю в отпуск на днях и времени абсолютно сейчас нет.

А ещё интересно, что же такое случилось с QIWI, что столько аккаунтов поломано???
Я свой пароль нигде не светил, заходил только с винды домашнего компа.
Либо вирус, что врядли, так как Доктор Веб у меня, либо тупо подбор пароля на сайте.
Либо что то в системе безопасности QIWI.

27 августа 2011 — 11:35
Да, меня тоже ломанули.. деньги сняли 16-го.. 1200 рублей.. сейчас вернулся с дачи, восстановил пароль (в смысле дали новый) и обнаружил.. больше всего раздражает, что контора пытается ситуацию замять.. приходится искать инфу на каких-то левых форумах.. ну, блин, написали бы у себя в новостях честно что ломанули, делаем то-то и то-то.. больше было бы доверия.. все под богом ходим.. а так ждут жалоб и пытаются мне втереть что это у меня "вредоносное ПО".. типа, ты клиент, сам дурак и иди в жопу.. В результате непонятно что делать - искать новую платежку - где гарантия что будет лучше?.. Сидеть спокойно и ждать следующего взлома?..

Жалобы в тему продолжают поступать. Таким образом, есть все основания говорить о действительно массовой проблеме. В связи с этим, обращаюсь к официальным лицам QIWI и прошу разъяснить ситуацию. Хотелось бы увидеть ответ содержащий следующее:

1. Информацию о сути сбоя и его масштабах, сколько абонентов могли пострадать?
2. Инструкцию для абонентов с описанием как проверить, как подстраховаться и куда обращаться если что
3. Отчет о мерах принятых для недопущения повторения сбоев

Чтобы помочь администрации оценить масштаб и принять нужные меры, в комментариях открываем горячую линию с жалобами на QIWI.

Официальный ответ от Qiwi

переслал efads

Добрый день,

Я представляю компанию QIWI Кошелек, которой был посвящен ваш крайний на Хабре пост. Публикация такой информации не вызывает радости.
Распространяется информация о якобы массовых взломах обиженным нас пользователем, который скорее всего, увы, использовал систему для приема платежей не за совсем легальные продукты.

Касательно ваших вопросов:

1. Информацию о сути сбоя и его масштабах, сколько абонентов могли пострадать?

Сбоя в системе не было. Вирусы, к сожалению, пользователи хватают, что иногда приводит к потерям средств.

2. Инструкцию для абонентов с описанием как проверить, как подстраховаться и куда обращаться если что

Писать в техническую поддержку через форму обратной связи на сайте и приложениях. При малейших подозрениях менять пароль — это можно сделать с помощью просто СМС команды или на том же сайте. Для экстренной смены пароля нужно отправить SMS с текстом pass или password на номер 7494: в ответ вы получите SMS, содержащее новый пароль.

3. Отчет о мерах принятых для недопущения повторения сбоев

СМС подтверждения и сертификаты для платежных приложений, которые готовились к выпуску последние 2 месяца, пришлось ввести принудительно, а не добровольно, как планировалось. Вот это действительно вызвало шквал негодования и наплыв обращений в техническую поддержку.

Если у вас возникнут вопросы – пишите!

Я тестировщик. Поэтому, я тестирую весь мир вокруг себя, это неизбежно, это карма, это стиль жизни. А ещё я тренер и провожу вебинары, поэтому работала со многими продуктами для проведения вебинаров.

Раньше я пользовалась русским сервисом Comdi.com. У них очень понятный интерфейс, который нравится участникам вебинаров, поэтому я терпела их даже несмотря на обрывы связи и даже несмотря на их привычку накатывать нерабочие апдейты в пятницу вечером (Сложно передать количество гневных писем, написанных в шоке за выходные, на которые запланированы тренинги — но ответов я так и не получила даже в будни после фиксов).

Но речь не об этом, а об огромной дыре в их безопасности. Записи всех вебинаров доступны по ссылкам типа:
my.comdi.com/record/*****/, где последние 5 цифр можно указывать ручками, все вебинары нумеруются по порядку в момент создания встречи (доступны только те записи, которые не удалены с сервиса пользователями и срок оплаты которых не истёк). Эти записи доступны всем, для их просмотра не надо регистрироваться. Среди доступных к просмотру записей — дорогие платные вебинары, закрытые корпоративные совещания, ночные проверки сервиса в трусах, и прочая и прочая.

Хабралюди! Будьте бдительны!

Читаю Хабр и удивляюсь: неужели мне одному некомфортно от таких безграмотных текстов. И темы интересные, и авторы пишут вроде затейливо, живо, но трудно продираться сквозь некорректные применения слов: «так же», «на пример», «не знакомый» (update-пояснение: эти слова можно писать как слитно, так и раздельно, но при этом они несут различный смысл). Можно ещё понять личное творчество в персональных блогах, но уж в корпоративных-то будьте добры проверить текст у профессионального редактора/корректора, если уж русский язык вам неподвластен.

Я не требую ото всех немедленно стать абсолютно грамотными (хотя было бы неплохо), но прошу хотя бы уделять этому внимание и прикладывать усилия, учиться на своих ошибках.

Спасибо всем авторам Хабрахабра за статьи (особенно за статьи с рейтингом 100+) :-)