ВТБ. Опасно vs безопасно

Так случилось, что мне пришлось озаботиться вопросом безопасности моих денежных средств, размещаемых в коммерческих банках. Причина, по которой я занялся данным вопросом – попал на мошенников, которые «подломив» мой личный кабинет в банке увели за 5 минут 60000 рублей. Для входа в личный кабинет банка мошенниками использовался номер карты, который я им дал (т.к. это не запрещено), а также код из sms (под убеждением, что всё безопасно).

Данную потерю воспринял, как оплата «практического курса» по информационной безопасности. По завершению курса задумался: «Где лучше хранить свои денежные средства?». С сайта ЦБ взял список системно значимых кредитных организаций. Т.к. живу в не большом городе, то из списка исключил кредитные организации, у которых отсутствует офис в городе. Также по субъективному мнению «заминусовал» Сбер и Альфа банк. В результате остановился на банке ВТБ.

ВТБ привлек тем, что у него есть:

• мастер-счет – банковский (текущий) счет физического лица, предусматривающий совершение операций, не связанных с осуществлением предпринимательской деятельности, открываемый Клиенту при заключении ДКО на основании договора банковского счета;

• текущий счет.

Также ВТБ заинтересовал:

• широкий список ограничений операций на перевод и платежи;

• возможность открыть 5 счетов бесплатно.

В моей картинке мира сложилось, что в ВТБ:

• мастер-счет – это администратор системы, который имеет полный доступ к личному кабинету Банка и может выполнять все легитимные действия без ограничений.

• текущий счет – это пользователи системы, которые могут выполнять действия согласно их доступам и ролям.

Следовательно, мои ожидания при работе с ВТБ Онлайн и мобильного приложения ВТБ (далее МП ВТБ) были следующими:

Для подтверждения своей гипотезы к мастер-счету я получил карту в банке ВТБ. К текущему счету открыл основную (именную). Дополнительно к мастер-счету и текущему счету открыл соответственно виртуальную карту.

В рамках проверки моих ожиданий предлагаю ввести термины:

• пользователь мастер-счета – это клиент Банка, у которого есть основная и/или дополнительная карта, которая привязана к мастер-счету;

• пользователь счета – это клиент Банка, у которого есть основная и/или дополнительная карта, которая привязана к текущему счету.

Выполнил проверки (см. Таблица 2) в ВТБ Онлайн и МБ ВТБ.

Выводы для ВТБ Онлайн

Положительные моменты:

• Есть двухфакторная аутентификация.

Отрицательные моменты:

• отсутствует возможность установить отдельный пароль для пользователя мастер-счета и пользователя счета, т.к. используется единый пароль (см. п. 1.1);

• отсутствуют ограничения по доступу к информации по счетам в ВТБ Онлайн (см п. 1.3);

• присутствует разная логика работы ВТБ Онлайн с работой МП ВТБ;

• отсутствует подтверждение на изменение лимитов по счетам клиента.

Выводы для МП ВТБ

Положительные моменты:

• вход в МП ВТБ через номер виртуальной карты запрещен.

Отрицательные моменты:

• отсутствует двухфакторная аутентификация;

• пользователь счета может изменять лимиты по переводам и платежам(!);

• отсутствуют ограничения по доступу к информации по счетам в ВТБ Онлайн;

• присутствует разная логика работы МП ВТБ с работой ВТБ Онлайн;

• отсутствует подтверждение на изменение лимитов по счетам клиента.

Общие выводы

ВТБ Онлайн и МП ВТБ – это дуршлаг из уязвимостей. Этот вывод подтверждают новости от ВТБ за 30.03.2023 и 07.04.2023. В головах ВТБ хаос и нет общей концепции работы ВТБ Онлайн и МП ВТБ. Есть зачатки по разделению доступов, но это на столько не очевидные вещи, что можно сказать, что их в настоящее время нет.

Единственный положительный момент моих изысканий — вход в МП ВТБ через номер виртуальной карты запрещен. Надеюсь это не погубят в следующих доработках.

Вывод: при текущей реализации ВТБ Онлайн и МП ВТБ опасно для хранения денежных средств в банке ВТБ.

Не много эмоций по текущей теме

ВТБ по каким-то причинам не желает отвадить мошенников от своих клиентов. ВТБ приятнее написать портрет клиентов, которые попадаются на уловки мошенников, чем составить портрет мошенника и включить этот портрет в антифрод.

ВТБ, вы действительно считаете «… рассказывать об активности мошенников – важная превентивная мера, которая позволяет уберечь других клиентов от хищений»? А вы не задумались, что для защиты клиентов от мошенников в ВТБ Онлайн и МП ВТБ добавить:

• добавить двухфакторную аутентификацию для МП ВТБ;

• изменение лимитов с sms-подтверждением, как это сделано в банке «Открытие»;

• разграничение доступов мастер-счета и текущего счета, как это сделано в Альфа-Банк;

• разграничение входа в ВТБ Онлайн и МП ВТБ для мастер-счета и текущего счета;

• freezing-период для списаний со счетов при входе в ВТБ Онлайн и МП ВТБ с новых устройств и подтверждением через телефонный звонок клиенту?

Как по мне, то реализация freezing-период (например, от 2 до 5 рабочих дней) для списаний со счетов при входе в ВТБ Онлайн и МП ВТБ с новых устройств и подтверждением через телефонный звонок клиенту позволит сохранить денежные средства ваших клиентов. Что мешает добавить в вашу систему в антифрод проверки на вход ВТБ Онлайн и МП ВТБ с новых устройств с подтверждением этих операций через звонок (да еще зная портрет мошенников)?

ВТБ в новости от 07.04.2023 заявил, что «планирует предоставить клиентам возможность самостоятельно устанавливать самоограничения на дистанционное кредитование». Заявление хорошее, но только техническая поддержка ВТБ ничего про это не знает и не может назвать дату анонса. Буду следить за данной темой и обязательно ею воспользуюсь при первой же возможности.

Прошу представителей ВТБ под статьей не извиняться за сложившуюся ситуацию. Я всего лишь выполнил вашу работу по тестированию ВТБ Онлайн и МП ВТБ на предмет безопасности. Очень хочу видеть от представителей ВТБ сообщения типа: «Устранена такая-то уязвимость. Рекомендуем обновить МП ВТБ до версии ХХ.XX.X.X.», а не ваши извинения.

Таблица 2. Результаты проверок по состоянию на 12.03.2023

Примечание:
1. Проверка не выполнялась.