Многие клиенты сбербанка пользуются сервисом "Сбербанк онлайн" для управления своими финансами и платежами. У данного сервиса есть детище - приложение для iPad, имеющее похожее название - "Сбербанк ОнЛ@йн".

Сбербанк онлайн - дырка в приложении для iPad

В принципе, приложение "Сбербанк ОнЛ@йн" не плохое и довольно удобное. По сравнению с доступом через сайт к сервису "Сбербанк онлайн" гораздо проще реализована авторизация - нужно ввести только собственный пароль. Из минусов - немного ограниченный функционал и плохое сопряжение с сайтом по операциям: сервис кардинально разделяет операции, выполненные через сайт "Сбербанк онлайн" и приложение "Сбербанк ОнЛ@йн" для iPad.




Недавно была обнаружена "дырка" в приложении для iPad "Сбербанк ОнЛ@йн". Хоть и не критичная, но, тем не менее, не приятная с точки зрения пользователя данным сервисом.

Сбербанк онлайн - дырка в приложении для iPad

Запускаем приложение "Сбербанк ОнЛ@йн"

Сбербанк онлайн - дырка в приложении для iPad

Предположим, что нам не известен пароль для доступа к приложению "Сбербанк ОнЛ@йн". Но мы видим кнопку "Мои платежи" и попробуем на нее нажать без ввода пароля. Опа! Что-то происходит. Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

В результате мы попадаем в личный кабинет пользователя данного приложения и видим не только его имя и отчество (закрашенные слова после фразы "Добрый день"), но и даже несколько активных пунктов меню приложения "Сбербанк ОнЛ@йн", один из которых - "Шаблоны":

Сбербанк онлайн - дырка в приложении для iPad




Если прокрутить меню вверх, то видим, что все основные пункты меню (Карты, Вклады и счета, Кредиты и др.) приложения "Сбербанк ОнЛ@йн" не активны:

Сбербанк онлайн - дырка в приложении для iPad

 

Тогда вернемся к шаблонам. Мы видим шаблон, ожидающий подтверждения "Перевод частному лицу", попробуем открыть его. Идет загрузка!

Сбербанк онлайн - дырка в приложении для iPad

 

В результате мы видим, что пользователь приложения "Сбербанк ОнЛ@йн" выполнял перевод денег на пластиковую карту другого человека (или свою) и сохранил эту операцию в шаблон:

Сбербанк онлайн - дырка в приложении для iPad

 

Попробуем повторить данную операцию. Выбираем счет списания, видно, что карта VISA Calassic доступна для выбора:

Сбербанк онлайн - дырка в приложении для iPad




Карта выбрана, таким образом, с этой выбранной карты можно перевести средства:

Сбербанк онлайн - дырка в приложении для iPad

 

В шаблоне сохранена сумма 1500 руб, уменьшим ее и переведем 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Нажимаем кнопку "Перевести". Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

 

Закрываем два окна с информационными сообщениями:

Сбербанк онлайн - дырка в приложении для iPad

 

Подтверждаем перевод денег в размере 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Сбербанк онлайн - дырка в приложении для iPad

 

Рубль успешно переведен с карты пользователя приложения Сбербанк онлайн без его участия и ведома и без ввода пароля к приложению на счет, сохраненный в шаблоне пользователя:

Сбербанк онлайн - дырка в приложении для iPad

Это, конечно, не критичный глюк, но, тем не менее, я считаю, что банковские программные продукты должны быть более защищенные и без дыр.

Комментарии (0)

Здесь не опубликовано еще ни одного комментария

Оставьте свой комментарий

  1. Опубликовать комментарий как Гость.
0 Значки
Вложения (0 / 3)
Поделитесь своим местоположением

      Как добраться из Шонефельда в Тегель
      Как добраться из Шонефельда в Тегель

      Путешествуя по Европе, довольно часто приходится планировать свой маршрут через Германию, например, получив немецкий шенген, едешь в Швейцарию или в Прагу. Не всегда получается первоочередно поехать в ту страну, визу которой получил. Если "точка входа" в шенген - Германия, то чаще всего транзитным пунктом становится Берлин. Из России в Берлин можно прилететь в аэропорт Шонефельд (Schönefeld), а вот дальше...




      Требуются ли аэронавигационные карты при использовании навигационных баз данных?
      Требуются ли аэронавигационные карты при использовании навигационных баз данных?

      По мере того, как навигация с использованием спутниковой системы (GPS навигация), бортовых пилотажных комплексов (FMS), компьютерных полетных карт и компьютерных систем планирования полетов получали распространение, авиационные компании и разработчики ПО предоставляли все больше и больше технических характеристик. Благодаря большому количеству систем, доступных на сегодняшней день, можно легко...




      Debian 10 + Oracle = Любовь!
      Debian 10 + Oracle = Любовь!

      Или "Как установить и настроить Oracle Instant Client и oci8 (PECL) на Linux Debian 10" Если у вас есть задача, требующая с помощью php обращаться к базе данных ORACLE, то эта статья для вас. Мне пришлось прочитать много разных статей в интернете (из которых ни одна не дала результата), кучу технической документации от ORACLE и по php, провести много экспериментов, потом откатить сервер в...




      Как удалить adobe flash player
      Как удалить adobe flash player

      Иногда может возникнуть ситуация, что необходимо удалить из операционной системы Adobe Flash Player. Причин для этого может быть несколько, основная - частые ошибки этого плейера или его службы автоматического обновления.   Самая распространенная ошибка adobe flash player - это ошибка его службы автоматического обновления. При этом отображается окно с нетривиальной надписью: "FlashPlayerUpdateService.exe...




      Авиационное озеро в Китае
      Авиационное озеро в Китае

      В китайской провинции Гуандун (называемая также, как Кантон - Kwangtung) возле города Хэюань (Heyuan / 河源 市) находится озеро Ванлю (万绿湖), оно же - Синьфэнцзянское водохранилище (Xinfengjiang Reservoir / 新丰 江 水库), по своей форме напоминающее самолет: Наибольшее сходство с очертанием самолета дает цифровая карта Яндекса, на других картах с большей деталлизацией это не так сильно заметно.




      Как скачать ipa-файл с помощью Mac OS
      Как скачать ipa-файл с помощью Mac OS

      С 12.ххх какой-то версии в программе iTunes был упразднен функционал работы с ipa-файлами, и iTunes стал всего лишь убогим медиа-плейером... :( Если раньше пользователи могли с помощью iTunes устанавливать и удалять приложения на свои устройства, сохранять ipa-файлы (через медиатеку iTunes), а также управлять контентом этих приложений (загружать и удалять файлы в приложениях), то теперь такая возможность...




      Принтер HP LazerJet PRO M252 не печатает из MS Office 2010
      Принтер HP LazerJet PRO M252 не печатает из MS Office 2010

      Очередная подстава от Microsoft - лазерный принтер HP LazerJet PRO M252 не печатает из MS Office 2010. Операционная система - Windows 7 x64, также аналогичная проблема возникала в Windows 10. Причем MS Word отправляет документы на печать, и никаких ошибок при этом нет. А если попробовать напечатать документ из MS Excel - программа сразу же выдает ошибку печати. Из других программ документы печатаются без...



Яндекс.Метрика
Сайт работает на быстром VPS/VDS хостинге от FASTVPS