Многие клиенты сбербанка пользуются сервисом "Сбербанк онлайн" для управления своими финансами и платежами. У данного сервиса есть детище - приложение для iPad, имеющее похожее название - "Сбербанк ОнЛ@йн".

Сбербанк онлайн - дырка в приложении для iPad

В принципе, приложение "Сбербанк ОнЛ@йн" не плохое и довольно удобное. По сравнению с доступом через сайт к сервису "Сбербанк онлайн" гораздо проще реализована авторизация - нужно ввести только собственный пароль. Из минусов - немного ограниченный функционал и плохое сопряжение с сайтом по операциям: сервис кардинально разделяет операции, выполненные через сайт "Сбербанк онлайн" и приложение "Сбербанк ОнЛ@йн" для iPad.




Недавно была обнаружена "дырка" в приложении для iPad "Сбербанк ОнЛ@йн". Хоть и не критичная, но, тем не менее, не приятная с точки зрения пользователя данным сервисом.

Сбербанк онлайн - дырка в приложении для iPad

Запускаем приложение "Сбербанк ОнЛ@йн"

Сбербанк онлайн - дырка в приложении для iPad

Предположим, что нам не известен пароль для доступа к приложению "Сбербанк ОнЛ@йн". Но мы видим кнопку "Мои платежи" и попробуем на нее нажать без ввода пароля. Опа! Что-то происходит. Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

В результате мы попадаем в личный кабинет пользователя данного приложения и видим не только его имя и отчество (закрашенные слова после фразы "Добрый день"), но и даже несколько активных пунктов меню приложения "Сбербанк ОнЛ@йн", один из которых - "Шаблоны":

Сбербанк онлайн - дырка в приложении для iPad




Если прокрутить меню вверх, то видим, что все основные пункты меню (Карты, Вклады и счета, Кредиты и др.) приложения "Сбербанк ОнЛ@йн" не активны:

Сбербанк онлайн - дырка в приложении для iPad

 

Тогда вернемся к шаблонам. Мы видим шаблон, ожидающий подтверждения "Перевод частному лицу", попробуем открыть его. Идет загрузка!

Сбербанк онлайн - дырка в приложении для iPad

 

В результате мы видим, что пользователь приложения "Сбербанк ОнЛ@йн" выполнял перевод денег на пластиковую карту другого человека (или свою) и сохранил эту операцию в шаблон:

Сбербанк онлайн - дырка в приложении для iPad

 

Попробуем повторить данную операцию. Выбираем счет списания, видно, что карта VISA Calassic доступна для выбора:

Сбербанк онлайн - дырка в приложении для iPad




Карта выбрана, таким образом, с этой выбранной карты можно перевести средства:

Сбербанк онлайн - дырка в приложении для iPad

 

В шаблоне сохранена сумма 1500 руб, уменьшим ее и переведем 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Нажимаем кнопку "Перевести". Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

 

Закрываем два окна с информационными сообщениями:

Сбербанк онлайн - дырка в приложении для iPad

 

Подтверждаем перевод денег в размере 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Сбербанк онлайн - дырка в приложении для iPad

 

Рубль успешно переведен с карты пользователя приложения Сбербанк онлайн без его участия и ведома и без ввода пароля к приложению на счет, сохраненный в шаблоне пользователя:

Сбербанк онлайн - дырка в приложении для iPad

Это, конечно, не критичный глюк, но, тем не менее, я считаю, что банковские программные продукты должны быть более защищенные и без дыр.

Комментарии (0)

Здесь не опубликовано еще ни одного комментария

Оставьте свой комментарий

  1. Опубликовать комментарий как Гость.
0 Значки
Вложения (0 / 3)
Поделитесь своим местоположением

      Проблема авиационного шума
      Проблема авиационного шума

      Международные требования к шуму воздушных судов изложены в форме стандартов и рекомендуемой практики в документе Международной организации гражданской авиации (ИКАО) “Приложение 16 “Охрана окружающей среды” (том 1 “Авиационный шум”) Конвенции о международной гражданской авиации 1944г. Проблема авиационного шума возникла с конца 50-х годов со времени внедрения и начала интенсивной эксплуатации в мировой гражданской...




      Коды ИКАО/ИАТА воздушных судов и аэропортов
      Коды ИКАО/ИАТА воздушных судов и аэропортов

      Каждому "нормальному" типу воздушного судна (ВС) присваивается код ИКАО и код ИАТА. Код ИКАО состоит из 4 знаков (букв латинского алфавита и цифр). Код ИКАО для ВС в первую очередь используется при планировании полетов - указывается в 9 поле флайтплана (FPL).




      iTunes не синхронизирует программы
      iTunes не синхронизирует программы

      Ситуация: вы подключили свой iPad или iPhone к компьютеру с помощью кабеля. Программа iTunes запустилась сама, или вы ее принудительно запустили, но функция синхронизации приложений (программ) не активна! :( Выражается это в невозможности установить/убрать галочку на Синхронизации приложений - вся станица "Программы" выглядит не активной.




      Курс авиационного английского
      Курс авиационного английского "AirSpeak" (Небесный разговор)

      AirSpeak - наверное самый известный курс обучения летного и диспетчерского состава фразеологии радиообмена. Ситуации, приведенные в этом курсе - максимально приближены к реальной эксплуатации воздушных судов и обслуживания воздушного движения. Рассмотрены, конечно, только самые основные и элементарные случаи. Но основной упор данного курса делается на количество повторений и понимание основ...




      Минимум для захода на посадку с женщинами и без
      Минимум для захода на посадку с женщинами и без

      У каждого современного более-менее крупного аэродрома обязательно имеются инструментальные системы захода на посадку. Это могут быть, как точные системы захода на посадку по приборам (ILS, PAR), так и не точные (LOC, VOR/DME, NDB и др). Каждый авиатор знает - значение минимума захода на посадку зависит в первую очередь от типа системы захода, во вторую - от препятствий в районе аэродрома, в...




      Как найти в Интернете похожую картинку или фотографию
      Как найти в Интернете похожую картинку или фотографию

      Как найти в Интернете похожую картинку или фотографию? - Да очень просто! Начнем с того, зачем это нужно, и кому может понадобиться? Основных вариантов может быть три: Первый - вы хотите проверить, не использует ли кто-то вашу авторскую графическую работу (фотографию, рисунок, схему) без вашего разрешения на своем web-ресурсе.




      Jeppesen Text Viewer
      Jeppesen Text Viewer

      Программа Jeppesen Text Viewer - это электронная замена текстовой и графической информации, содержащейся в передней (без графики) части сборников Jeppesen. Jeppesen Text Viewer предлагается как бесплатная опция для клиентов, пользующихся сборниками Jeppesen - это выгодно для клиентов, пользующихся бумажными носителями аэронавигационной информации.



Яндекс.Метрика