Блог им. Muzikant

Сберброкер озадачил. Может кто в курсе?

Сегодня сберброкер выкинул новое коленце. Запускаю КВИК, ввожу пароль. Появляется сообщение, что соединение установлено. ОК, жду появления окошка с сообщением о двухфакторной идентификации и СМС-ку с кодом. Вместо этого появляется сообщение, что двухфакторная идентификация пройдена. Как? Подключили?! Так быстро! Не может быть!!! Не веря своему счастью, начинаю проверять — всё работает! Ура! Да, но СМС-ку то я не получал, код не вводил и энту самую хренвыговоришькак фикацию не проходил. У меня начинают возникать неприятные вопросы о безопасности и о сохранности  моих, нажитых непосильным трудом, инвестиций. А ежели хто несознательный, обуреваемый жаждой лёгких денег, у меня пароль стырит и получит доступ к моему счёту?  Чё делать? Как деньги сохранить? Как на пенсию, хотя бы в 65, и с не голой ж… й выйти? Позвонил по 900. Соединили быстро. Обрисовал ситуацию, сказали, что переключают на отдел брокерского обслуживания. Переключили. Прождал полчаса!!!))) Сколько ещё ждать-хрен знает. Звоню ещё раз, объясняю по второму кругу. Девочка-оператор предложила составить обращение. Согласился, составили. Получил СМС-ку с номером обращения. Срок рассмотрения до 09.04.2020. Буду ждать.
У меня вопрос к сообществу. Это вообще как, серьёзная угроза? Как это в плане безопасности? Чем грозит? Что делать? Проверять счет ежедневно или какие блокировки поставить? Кто нибудь сталкивался с подобным? Буду благодарен за помощь.

P.S Вчера про «Открытие» писали, сегодня Сбер меня, в очередной раз, обрадовал. Что с ними происходит? Может вирус где подхватили? Или на удалёнке перепились?

С уважением, Muzikant.
★1
44 комментария
обсуждали такое раньше, с квика деньги украсть очень сложно, разве что в малоликвидные акции запулить, да и отследить это можно. Сделайте пароль подлиннее и не оставляйте его в компьютере, пусть в голове будет или там, где никто не увидит
avatar
profynn, в компе паролей вообще нет. Да и пароль нормальной длины))) 
avatar
У меня так бывает, только после первой авторизации. Например, вошел. Потом сеанс прервался. Вновь вхожу просто введя пароль.
Опасность существует, но потерять деньги. Вывести со счетов можно только на свой, но остается возможность адресной сделки, а это палево. Риск, что кто-то, обладающий паролем, совершит адресную сделку, либо совершит сделки, которые приведут к убыткам по счету.
Не раскрывая пароль третьим лицам, можно свести риск к минимуму. То есть, соблюдение простых правил обращения с компьютером сведет риски к минимуму. Оптимально, использовать компьютер только для трейдинга. Все остальные операции осуществлять на другом компьютере. Не использовать почту, браузер и т. д. на рабочем компьютере.
Антон Пономарёв, проще несколько операционок поставить, чем несколько компутеров, фаерволл еще не повредит, у меня после посещения этого сайта часто атаки происходят, к чему бы это?
avatar
profynn, какие такие атаки? любое дополнительное ПО может содержать уязвимость. Давно не слышал о вредоносном ПО, основанном на буфер оверфлоу, а с остальным штатная защита виндоус справится. Компьютер лучше иметь отдельный, чтобы злобный вирус в жирное тело в бутсектор не записал )
Антон Пономарёв, простое сканирование портов, ПО сейчас слишком наглое стало, все время просится в интернет, и что ему там надо, интересно?
avatar
Антон Пономарёв, и что, и в груб сможет записать? КВик для линукса был бы ваще агонь, только разработчикам этого не нать. Вирус для линукса это малореально, так что вторую операционку просто линуксовую иметь и все, хотя несколько компутеров это круто, будешь как настоящий трейдер)
avatar
profynn, старый смешной стих — злобный вирус робко прячет тело жирное в бут-сектор.
Антон Пономарёв, русский вирус залезет и в биос) а вообще не верю, что через линукс вирус такое сможет 
avatar
Антон Пономарёв, была такая мысль про отдельный комп. Возможно так и придётся сделать. А правила безопасности соблюдаю конечно. Не параноидально конечно, но всё, что нужно делаю.
Деньги то конечно на свой счёт выводятся, но сама ситуация непонятная. Что это — баг в системе безопасности, или просто глюк одноразовый? 
avatar
Muzikant, установите вторую операционку линуксовую, убунту например, если в квике не целый день сидите
avatar
profynn, слышал про такой вариант. Надо будет разобраться. Спасибо за идею. 
avatar
profynn, мой товарищ был условно судим за то, что су переписал в дистрибутиве для провайдера. Потом диалап-пароли чужие раздавал.
Антон Пономарёв, русские программеры вообще лучшими считаются, но вот на линуксе у меня ни разу вирусов не было, хотя конечно, доступ к компу при большом желании получить можно, от этого фаервол дополнительно нужно настраивать
avatar
ваще хрень тупая это всё… ни кто не будет так запариваца чтоб увести твои хулиарды…
massa1604, ну это от суммы зависит, могут и запариться. А вообще я жадным стал. Старею наверное. 
avatar
massa1604, точно. Проще маски продавать. Лох не мамонт, лох не вымрет. Хотя ничего по нынешним временам гарантировать нельзя.
massa1604, не стоит недооценивать ботов и школоту. 
avatar
Сроки выхода на пенсию сдвигаются) Меткое замечание про голую жопу)
Евгений Че, с каждым самолетом вероятность выжить снижается.
Антон Пономарёв, каким самолётом, простите?
Я такое заметил, но еще только не разобрался. Все дело в мобильном приложении. Вошел по «пальцу» в мобильное приложение, с этого же IP входим через QUICK и никаких sms не надо.
avatar
Mantis, с ноута входил. КВИК обычный. 
avatar
у сбера это в порядке вещей) там рандомное подключение. может придти, а может нет, могут вообще смс не прислать и в квик не войти… беги от них… беги)
Евгений Горюнов, то что не войти, не удивляет, было уже на большой воле. Код в СМС -ке всегда присылали. А тут и подключили и код не прислали)))  Слишком хорошо для Сбера))) 
Рандомное, вы имеете в ввиду — случайное, те не регулярное? 
avatar
Muzikant, да, случайное) особенно на вечерке. без смс вход идет. точь в точь как ты описал. я ушел от них, вот не давно когда на рынках паника началась… т.к они не справлялись. толи серваки толи еще что то…
у брокера О. только при смене сервера СМС приходит, а так нет если ниче не меняеться СМС не приходят.
Владимир Гончаров, у сбера 1 сервак)))
бывает если коннектишься второй раз в тот же день.
avatar
Kapeks, и у меня.
Kapeks,  Про второй знаю, было. Вход первый был, поэтому и удивило. 
avatar
Тоже напрягла однофакторная авторизация, без уведомлений от брокера. Напишите, пожалуйста, как получите официальный ответ. 
avatar
user_n, ок, напишу обязательно. 
avatar
Бывает прикольней. При реконнекте просит пин, но я не у компа, пин не ввожу. Вылетает сеть второй раз, снова реконнект и вуаля — впустило :)

Я перевёл авторизацию на ключи, т.о. надо воровать файлы-ключи, пароль к ним и телефон для смс :)
avatar
Денис Г., а поменять, если что, можно? 
avatar
Muzikant, ключи поменять? Да, это просто обычные RSA-ключи в виде двух файлов, меняются отправкой публичного ключа сберу через сайт, регистрируют довольно быстро. Не 5 минут, конечно, но в час кажется влезли.

Для этого нужно либо новый квик скачать у них, либо просто настройки в старом поменять.

Смски при этом не отменяются, но хотя бы пароль не шлётся на сервер при логине :)
avatar
Денис Г., надо будет посмотреть повнимательней. Спасибо. 
avatar
Денис Г., расскажите, пожалуйста чуть подробнее, как можно перейти на такой способ верификации?
avatar
user_n, https://www.sberbank.ru/ru/person/investments/broker_service/quik

Почти в самом низу: Подключение QUIK c двухфакторной аутентификацией по ключам (RSA), там есть пдфка с картинками-инструкциями. Никаких обращений в офис не нужно, просто сделать ключи и послать через форму, там автоматика. После некоторого времени клиент заработает.

Сам клиент можно переставить по инструкции, но если в своём много чего настроено, можно и его переделать под ключи.
avatar
Денис Г., спасибо! А каким способом переделать уже установленный Квик на ключи, подскажите? 
avatar
user_n, пробуйте так (при отключении от сервера):

Настройки — Программа — Шифрование. У вас там multipurpose sspi, вам надо qcrypto32. И указать в ней ваши ключи, если там этого нет (вроде есть уже, не помню). И тогда в окне логина квика надо будет уже данные ключа вводить, а не аккаунта сбера.
avatar
Денис Г., благодарю, попробую! На ваш взгляд такой способ авторизации гораздо более надёжный, чем просто вход по паролю?
avatar
user_n, моё мнение — да.

Но я не уверен, что на данный момент брокерские счета вообще в зоне риска, т.к. вывести деньги можно только на свой же счёт, да и то те же акции продаются в режиме Т+2, т.е. до фактического вывода денег ещё два-три отчёта придут на почту.

Куда проще социальной инженерией дербанить карточки, там контингент в разы менее грамотный.
avatar
В webquik есть настройка в которой ввод пинкода можно отключить
avatar

теги блога Muzikant

....все тэги



UPDONW
Новый дизайн