Многие клиенты сбербанка пользуются сервисом "Сбербанк онлайн" для управления своими финансами и платежами. У данного сервиса есть детище - приложение для iPad, имеющее похожее название - "Сбербанк ОнЛ@йн".

Сбербанк онлайн - дырка в приложении для iPad

В принципе, приложение "Сбербанк ОнЛ@йн" не плохое и довольно удобное. По сравнению с доступом через сайт к сервису "Сбербанк онлайн" гораздо проще реализована авторизация - нужно ввести только собственный пароль. Из минусов - немного ограниченный функционал и плохое сопряжение с сайтом по операциям: сервис кардинально разделяет операции, выполненные через сайт "Сбербанк онлайн" и приложение "Сбербанк ОнЛ@йн" для iPad.




Недавно была обнаружена "дырка" в приложении для iPad "Сбербанк ОнЛ@йн". Хоть и не критичная, но, тем не менее, не приятная с точки зрения пользователя данным сервисом.

Сбербанк онлайн - дырка в приложении для iPad

Запускаем приложение "Сбербанк ОнЛ@йн"

Сбербанк онлайн - дырка в приложении для iPad

Предположим, что нам не известен пароль для доступа к приложению "Сбербанк ОнЛ@йн". Но мы видим кнопку "Мои платежи" и попробуем на нее нажать без ввода пароля. Опа! Что-то происходит. Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

В результате мы попадаем в личный кабинет пользователя данного приложения и видим не только его имя и отчество (закрашенные слова после фразы "Добрый день"), но и даже несколько активных пунктов меню приложения "Сбербанк ОнЛ@йн", один из которых - "Шаблоны":

Сбербанк онлайн - дырка в приложении для iPad




Если прокрутить меню вверх, то видим, что все основные пункты меню (Карты, Вклады и счета, Кредиты и др.) приложения "Сбербанк ОнЛ@йн" не активны:

Сбербанк онлайн - дырка в приложении для iPad

 

Тогда вернемся к шаблонам. Мы видим шаблон, ожидающий подтверждения "Перевод частному лицу", попробуем открыть его. Идет загрузка!

Сбербанк онлайн - дырка в приложении для iPad

 

В результате мы видим, что пользователь приложения "Сбербанк ОнЛ@йн" выполнял перевод денег на пластиковую карту другого человека (или свою) и сохранил эту операцию в шаблон:

Сбербанк онлайн - дырка в приложении для iPad

 

Попробуем повторить данную операцию. Выбираем счет списания, видно, что карта VISA Calassic доступна для выбора:

Сбербанк онлайн - дырка в приложении для iPad




Карта выбрана, таким образом, с этой выбранной карты можно перевести средства:

Сбербанк онлайн - дырка в приложении для iPad

 

В шаблоне сохранена сумма 1500 руб, уменьшим ее и переведем 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Нажимаем кнопку "Перевести". Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

 

Закрываем два окна с информационными сообщениями:

Сбербанк онлайн - дырка в приложении для iPad

 

Подтверждаем перевод денег в размере 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Сбербанк онлайн - дырка в приложении для iPad

 

Рубль успешно переведен с карты пользователя приложения Сбербанк онлайн без его участия и ведома и без ввода пароля к приложению на счет, сохраненный в шаблоне пользователя:

Сбербанк онлайн - дырка в приложении для iPad

Это, конечно, не критичный глюк, но, тем не менее, я считаю, что банковские программные продукты должны быть более защищенные и без дыр.

Комментарии (0)

Здесь не опубликовано еще ни одного комментария

Оставьте свой комментарий

  1. Опубликовать комментарий как Гость.
0 Значки
Вложения (0 / 3)
Поделитесь своим местоположением

      6,5-тысячелетняя  эра Jeppesen!
      6,5-тысячелетняя эра Jeppesen!

      В навигационных программах Jeppesen (Jepp View, eLink for Windows и др.), имеющих базу данных со схемами аэропортов (Terminal Charts), срок действия этой навигационной базы данных задавался с помощью текстового файла charts.ini.




      Циклы обновления навигационных БД Garmin на 2016-2017
      Циклы обновления навигационных БД Garmin на 2016-2017

      Компания Garmin вполне заслуженно и, поэтому, весьма уверенно уже много лет сохраняет статус лидера в области авиационных навигаторов (как портативных, так и стационарных) для авиации, кораблей и автомобилей. А тесное сотрудничество с Jeppesen и GIS-организациями дает преимущество в плане создания баз данных. На этой странице содержится информация о циклах обновления навигационных БД Garmin на 2016...




      Вирус в браузере Safari
      Вирус в браузере Safari

      Не смотря на то, что операционная система Apple - iOS не боится вирусов, некоторые наиболее активные злоумышленники все равно стараются и создают хитрых вредных зверьков (вирусы и прочие неприятные скрипты). И в некоторых редких случаях при посещении определенных сайтов (которые "для взрослых" или просто взломаны и заражены) даже на планшете iPad можно подхватить какую-нибудь бяку.




      Принцип работы flightradar24
      Принцип работы flightradar24

      Flightradar24© является следящей системой за полетами воздушных судов, отображающей в режиме реального времени воздушное движение всего мира. Для отображения воздушных поток Flightradar24 использует несколько источников информации: ADS-B, MLAT и FAA. Данные от ADS-B, MLAT и FAA объединяются с расписанием рейсов и информацией о статусах воздушных судов, получаемых от авиакомпаний и аэропортов, - все это выполняется в целях...




      Восхождение на восточную вершину горы Эльбрус с флагом авиакомпании Волга-Днепр
      Восхождение на восточную вершину горы Эльбрус с флагом авиакомпании Волга-Днепр

      Сейчас я уже не помню точно, да это и не важно - с чего все началось…, но в итоге образовалась инициативная группа из 7 человек с твердым намерением совершить восхождение на гору Эльбрус. В целях получения финансовой поддержки было подготовлено письмо и передано руководству нашей организации, в которой мы осуществляем свою трудовую деятельность с предложением в очередной раз прославить (в...




      Проблема идиотских NOTAM
      Проблема идиотских NOTAM

      Это всё совершенно нелепо. Мы передаём самую важную полётную информацию, используя систему, изобретенную в 1920 году в формате, который не менялся с 1924 года. При этом мы зарываем в кучу нечитабельного, бесполезного информационного мусора важную информацию, не знание которой может стать для пилотов причиной потери работы, авиакомпании – своих самолетов или жизней пассажиров. Да, Австралийская CASA, это вы! Да, греческие CAA,...




      Выборка из БД ARINC424 по 5, 6 и 13 столбцам
      Выборка из БД ARINC424 по 5, 6 и 13 столбцам

      ARINC - международная рганизация, выпускающая документацию, главное назначение которой стандартизовать физические и электрические параметры авиационного оборудования для обеспечения максимальной взаимозаменяемости однотипного оборудования, разработанного различными производителями. ARINC424 - рекомендуемый стандарт авиационной промышленности для формата и содержания файлов аэронавигационных данных, используемых при подготовке баз...



Яндекс.Метрика
Сайт работает на быстром VPS/VDS хостинге от FASTVPS