Author: Alan Tobagua

  • Обналичить деньги без карты в любом банкомата можно за 15 минут при помощи сервисных кодов

    Обналичить деньги без карты в любом банкомата можно за 15 минут при помощи сервисных кодов

    Мы решили проверить уровень безопасности современных банкоматов. Для этого тщательно изучили 26 моделей банкоматов крупнейших производителей, таких как NCR, Diebold Nixdorf или GRGBanking.

    Как сналить деньги из банкомата без карты

    В итоге выяснилось, что практически все устройства уязвимы перед теми или иными локальными или сетевыми атаками, а уровень защиты, пожалуй, лучше всего характеризует известный термин «театр безопасности». Дело в том, что 85% изученных машин оказалось возможно скомпрометировать в течение 15 минут.

    Вот только некоторые выводы и цифры, приведенные в нашем отчете:

    • 15 из 26 банкоматов по-прежнему работают под управлением Windows XP;
    • 22 машины уязвимы перед сетевым спуфингом, то есть нарушитель может локально подключиться к устройству через LAN и осуществлять выдачу наличных денег как ему вздумается. Причем для реализации такой атаки понадобится mpls сеть провайдера и всего 15 минут времени;
    • 18 устройств уязвимы перед атаками типа black box, то есть подключив к банкомату специальное устройство, управляющее работой диспенсера, нарушитель может заставить его выдавать наличные. Исследователи отмечают, что для создания такого хакерского девайса подходит Raspberry Pi, Teensy или BeagleBone, а атака занимает около 10 минут;
    • 20 банкоматов можно вывести из режима киоска, просто подключившись к ним через USB или PS/2. После этого нарушитель получает доступ к ОС и может выполнять самые разные команды, в том числе по выдаче наличных денег банкоматом;
    • 24 из 26 изученных машин не шифруют данные на жестких дисках, и если нарушитель может получить физический доступ к диску, он может извлечь любые хранящиеся там данные и конфигурации, а также встроить комбинации клавиш панели на выдачу наличных денег.
    В большинстве случаев защитные механизмы будут лишь мелкой помехой для нарушителя –  наши специалисты нашли способы обойти защиту практически в каждом случае. Так как банки обычно используют одинаковые конфигурации для большого числа банкоматов, успешная атака на один банкомат может быть повторена в другом месте и в куда более крупном масштабе.
  • Сбербанк и неразводные дропы, и кто кого?

    Сбербанк и неразводные дропы, и кто кого?

    Количество денег, списаных с банковских счетов и обналиченых дроповодами, которые маскируются под банковские колл-центры, растет в геометрической прогресии, и расположены такие колл-центры в местах лишения свободы, СИЗО и тюрьмах. То есть там, где, по идее, не то чтобы туда мобильный телефон пронести, муха не пролетит без ведома начальства.

    дроповодов потеснили вертухаи

    Ещё в 2012 году основным нелегальным способом списания денежных средств с банковских  карт был скимминг — дроповоды крепили к банкомату считывающее устройство, узнавали номер карточки и пин-код и только после этого дропы шли к банкоматам и снимали деньги. Однако, уже в 2017 году начался резкий рост «социальной инженерии», это когда вам, к примеру, звонят и говорят: это служба безопасности вашего банка, у вас с карты списаны денежные средста, или у нас в банке работают мошенники, ваши деньги в опасности, и вы сейчас, чтобы их спасти, должны срочно пойти к банкомату, мы сообщим вам номер безопасного счета, на который и надо ваши деньги перевести.

    И человек идёт и переводит. И когда клиенту звонит настоящая служба безопасности банка, которая отследила подозрительную трансакцию, клиент отвечает: «Да, я хочу перевести эти деньги на этот счет. И вообще меня предупреждали, что сейчас мне будут звонить мошенники, чтобы удержать от перевода».

    Чтобы был понятен размер проблемы. В «Сбербанке» с начала года зафиксировано 2,9 млн обращений клиентов о попытках нелегального списания денег с банковского счёта. Это вдвое больше, чем за аналогичный период прошлого года. За первые 8 месяцев 2019 года антифрод-система «Сбербанка» спасла от перевода 25,3 млрд клиентских рублей. За первые 8 месяцев 2020 года эта же сумма составила 42,4 млрд руб.

    Объем нелегальных транзакций растет при полном бездействии правоохранительных органов. Вот если ты пластиковый стаканчик бросил в полицейского — то гарантированно получишь трояк общего режима, но если речь идет о подставных колл-центрах, хорошо организованных, с бухгалтерией, с отчетностью, с обучением персонала речевым техникам и способам развода клиентов, с закадровой музыкой, со специально подобранными номерами, похожими на официальный номер банка, а такие номера покупают у фирм, занимающихся SIP-телефонией, то никто никого в тюрьму не посадит. И знаете почему? Потому что «Звонарь» уже и так там сидит.

    То есть, конечно, сидят не все. Какая-то часть звонков идет с Украины, но огромная часть звонков идет именно из мест лишения свободы, СИЗО и колоний на территории России. Специалисты «Сбербанка» считают, что «тюремный колл-центр» есть в каждом третьем учреждении ФСИН. Ольга Романова и «Русь сидящая» — что такой «тюремный колл-центр» есть в половине исправительных учреждений России.

    Как это стало известно? Как ни странно, довольно просто. Зэки есть зэки, и если клиента банка не удалось раскрутить, то «Звонари» иногда переходят на тюремный жаргон, а иногда и признаются. В «Сбербанке» рассказывают про один такой звонок: заключённого под стражу вывели на чистую воду, он в ответ признался, что сидит в колонии на диване в теплом и чистом месте и должен давать норму. Если он её не выполнит, администрация исправительного учреждения пошлёт его на менее приятные работы. Ольга Романова приводит еще один чудесный пример: заключённому дали понять, что он разводила. Зэк в ответ тихо: «Это ИК-47. Если я не буду звонить, мне не будут давать воды, еды, и будут бить».

    Главный удар на себя от реализации этих схем, разумеется, принял «Сбербанк». Он ведь занимает 60% банковского сектора России. Когда стало ясно, что МВД, ФСБ и ФСИН не делает ровным счетом ничего для пресечения подобного безобразия, «Сбербанк» взвыл и обратился к сотовым операторам. Он дал им номера телефонов «тюремных колл-центров» и координаты учреждений ФСИН. «Сбербанк» попросил операторов привязать координаты исходящих звонов к координатам тюрем. И составил карту. За август 2020 года из такого-то учреждения ФСИН совершено свыше 600 удачных попыток нелегального перевода денежных средств со счетов клиентов, а из такого-то — свыше 500, а из московского СИЗО № 1, более известного, как «Матросская Тишина», — всего 225.

    И знаете, что тут прекрасно? Что ровно в предыдущем месяце, в июле, по настоянию «Сбербанка» «Матросскую Тишину» ошмонали. Изъяли симки и оборудование. И объявили, что колл-центр был организован рядовым инспектором и опером, а начальство об этом знать не знало. Ну конечно… И что? Да ничего. Колл-центр из СИЗО «Матросская Тишина» после ареста якобы главарей продолжил работу как ни в чем не бывало. 

    Отметим здесь две вещи

    Первое: ковид никак не затронул экспоненциального роста этого бизнеса. ФСИН всегда объясняла: это-де родственники и адвокаты проносят телефоны. Теперь адвокаты ходить не могут, а оно растет как на дрожжах.

    Второе. Бизнес, заметим, почти без издержек. Потому что у любого бизнеса одна из главных статей расходов — это зарплата работникам. А тут работников содержит государство. Обеспечивает их пайкой и шконкой. А если работник не выдает на-гора результат, его лишают пайки. Даже рабовладельцы так хорошо не устраивались, им, бедолагам, приходилось раскошеливаться на рабов. 

    При этом «звонари», т.е. те, кто собственно и звонит клиенту, — не имеют доступа к деньгам. Все, что у них есть, — это номер карточки дропа, на которую надо сделать перевод. Карточка дропа — это другая часть обнального бизнеса.

    Те, кто занимается карточками, известны как «дропы». Это люди, которые преобразуют деньги на карточке в наличку. Например, дропводы сажают десять человек в микроавтобус, и этот микроавтобус едет по банкам, а каждому дропу выдают по пять карт. Если банк заблокирует одну карточку, у них всегда будет еще. То есть это целая разветвленная бизнес-структура. Части бизнеса отданы на аутсорсинг. И у этой структуры все рассчитано.

    Помните, у Юлия Дубова был роман «Варяги и ворюги» — о том, как в начале перестройки зэки и начальство приватизировали зону? Вот это оно. Как вы думаете, что случилось, когда «Сбербанк» и сотовые операторы показали ФСИН схему, на которой координаты телефонов были привязаны к координатам колоний? Правильно — ничего. «Сбербанк» запустил в начале этого года сервис: любой клиент может пожаловаться на попытку обмана, и собрал 550 тыс. жалоб. По жалобам было заблокировано 30 тыс. номеров (система фиксирует номера подозрительных карточек — клиент, например, может вбить номер карточки и проверить, не была ли она замечена в обнальных действиях).

    Согласитесь, что этот сервис должен быть подарком для МВД. МВД может взять все эти 550 тыс. жалоб — и у него будет огромная база. Как вы думаете, взял МВД в работу эту базу? Ха, держи карман шире. У нас опера и следователи с ума сошли, добавлять себе 550 тыс. висяков?

    То есть оцените красоту бизнес-конструкции. Она сложная. Она предполагает аутсорсинг, имеет ноль расходов на содержание живой силы. Она защищена от внезапных обысков и шмонов. Всюду может ворваться Следственный Комитет. Пилить болгаркой дверь свидетеля Ирины Славиной — ради бога. Но две вещи для Следственного Комитета, как известно, недоступны. Это дом Геремеева, некогда подозреваемого в убийстве Бориса Немцова, где им не открыли, хотя они стучались, — и система ФСИН.

    А когда «Сбербанк» и сотовые компании сделали часть работы за государство, то им сказали, что они ошибаются. Даже когда «Сбербанк» вынес проблему на Совет безопасности, то ФСИН предложила удивительное решение — дать ему на глушилки 3 млрд руб. Освоить 3 млрд руб. — штука, конечно, хорошая. Есть только одна проблема — глушилкой серьезный тюремный колл-центр заглушить нельзя. Глушилки работают в заданной полосе частот. Современные же средства связи используют такую широкую полосу частот, что закрыть их всех глушилками — очень дорого. 

    Вместо того чтобы тратить 3 млрд руб. на глушилки, можно поступить гораздо проще. А именно: посадить тех сотрудников ФСИН, которые получают деньги от этого бизнеса. Если взять ту же «Матросскую Тишину», то непонятно, почему после обыска её начальник не был уволен. Согласитесь: или он не знал о подпольном колл-центре в подведомственном ему учреждении и тогда должен быть уволен за вопиющую некомпетентность, или знал — и тогда это уже не некомпетентность.

    В нормальной стране стены колонии существуют затем, чтобы отделять преступников от законопослушных граждан. А у нас, получается, это стены разбойничьего замка. Они оберегают криминал внутри. Не надо лезть в форточки, рисковать жизнью, даже считывающее устройство на банкомат не надо вешать. Для этого бизнеса главное — найти людей, готовых безопасно нарушать закон. Вот разводилы и перешли на удаленку.

  • Google Adsense представил инструмент для разработчиков Long-term Revenue Framework

    Google Adsense представил инструмент для разработчиков Long-term Revenue Framework

    Контекстно-медийная сеть Google Adsense представила инструмент для разработчиков Long-term Revenue Framework, который призван помочь издателям по всему миру увеличить трафик на сайт и доходы от него.
    аренда аккаунта Google AdSense
    Long-term Revenue Framework – простое, но мощное программное обеспечение, которое помогает издателям увидеть четыре основных пути развития сайта.
    Long-term Revenue Framework

    На самом высоком уровне, чтобы увеличить доходы сайта, следует сфокусироваться на привлечении большего количества уникальных пользователей и/или увеличении ценности пользователей, уже посещающих сайт. Чтобы увеличить заработок от существующих пользователей, можно получить максимальную отдачу от каждого просмотра страницы, привлечь посетителей к просмотру нескольких страниц и более частому посещению сайта.
    Специалисты Google Adsense предлагают рассмотреть каждый из этих пунктов более подробно.
    1. Количество пользователей
    Рост количества уникальных пользователей начинается с понимания трафика сайта. Следует проверить отчеты Google Analytics, чтобы увидеть, откуда приходят посетители, и контент, который приносит самый большой трафик. Эти знания можно использовать для создания привлекательного контента, который пользователи могут находить, а после – делиться им.
    2. Доход от каждого просмотра страницы (RPM)
    Чтобы максимизировать эффективность каждого просмотра страницы, следует сосредоточиться на двух областях. Во-первых, нужно убедиться, что объявления просмотрены. Для этого следует поместить их рядом с контентом, который интересен пользователям. Далее следует усилить конкуренцию для объявлений на сайте, выполнив следующие рекомендации:
    Разрешить как текстовые, так и графические объявления.
    Использовать самые эффективные размеры объявлений на сайте.
    Разрешить максимально возможное количество рекламных категорий.
    Включить AdSense, чтобы конкурировать с другими рекламными сетями, если уже используется DoubleClick для издателей (DFP).
    3. Количество просмотров страниц за посещение (глубина просмотра)
    Чтобы вовлечь посетителей в просмотр нескольких страниц и проведение большего количества времени на сайте, следует наглядно продемонстрировать ценность контента. Важно создать хорошее первое впечатление и убедиться, что посетители сразу видят информацию, которую ищут.
    Увеличить количество просмотров страниц сайта за посещение можно, показывая посетителям наличие дополнительного контента, в котором они могут быть заинтересованы. Этого можно достичь путем демонстрации родственного или популярного контента ближе к концу основного контента страницы.
    4. Количество визитов каждого пользователя (лояльность)
    Создание базы лояльных пользователей возможно, когда они знают, что сайт регулярно пополняется новым интересным контентом. Добиться этого можно, предлагая посетителям подписку на электронную рассылку или каналы социальных медиа.
    Месяцем ранее AdSense представил новый отчет о выручке Revenue profile report. До сих пор отчетность AdSense показывала средний доход за тысячу показов запросов объявления. Новый отчет поможет детальнее проанализировать ценность самых эффективных запросов объявлений.
  • Google Pay просто так выплатил вознаграждение пользователям

    Google Pay просто так выплатил вознаграждение пользователям

    Пользователи Google Pay массово сообщают, что Google перечислила на их счета от 10 до 1000 долларов США. Деньги поступили по программе Google Pay Reward в виде кешбэка, однако кешбэком не были. Такие поступления были ошибкой и сопровождались сообщением, что идет тестирование Google Pay Remittance, однако у тех, кто успел потратить полученные средства, их обещали не отбирать.

    Как писали и показывали на многочисленных скриншотах пользователи, переводы средств сопровождались сообщением: «dogfooding the Google Pay Remittance experience». Дело в том, что термином «Dogfooding» обычно называют внутреннее бета-тестирование перед релизом каких-либо продуктов. То есть тестовые переводы должны были получить только сотрудники Google и, вероятно, некоторые партнеры компании.

    В настоящее время пользователям, получившим неожиданные переводы, уже прислали письма от команды Google Pay с подробным описанием «ошибки, которая привела к непреднамеренному зачислению средств на счет».

    Так как с  тех пор проблема уже была исправлена, компания сообщает, что теперь такие начисления будут отменены «по возможности». При этом для тех пользователей, кто уже успел потратить или перевести деньги, Google добавляет: «Если мы не смогли отменить начисление, вы можете оставить деньги себе. Никаких дальнейших действий не требуется».

    Таким образом, все, кто потратил или перевел полученные деньги, ничего не должны Google, компания пишет, что не станет взыскивать с пользователей эти средства. Очевидно, представители Google не хотят тратить свое время на преследование отдельных пользователей, а также привлекать к случившемуся излишнее внимание СМИ.