Многие клиенты сбербанка пользуются сервисом "Сбербанк онлайн" для управления своими финансами и платежами. У данного сервиса есть детище - приложение для iPad, имеющее похожее название - "Сбербанк ОнЛ@йн".

Сбербанк онлайн - дырка в приложении для iPad

В принципе, приложение "Сбербанк ОнЛ@йн" не плохое и довольно удобное. По сравнению с доступом через сайт к сервису "Сбербанк онлайн" гораздо проще реализована авторизация - нужно ввести только собственный пароль. Из минусов - немного ограниченный функционал и плохое сопряжение с сайтом по операциям: сервис кардинально разделяет операции, выполненные через сайт "Сбербанк онлайн" и приложение "Сбербанк ОнЛ@йн" для iPad.




Недавно была обнаружена "дырка" в приложении для iPad "Сбербанк ОнЛ@йн". Хоть и не критичная, но, тем не менее, не приятная с точки зрения пользователя данным сервисом.

Сбербанк онлайн - дырка в приложении для iPad

Запускаем приложение "Сбербанк ОнЛ@йн"

Сбербанк онлайн - дырка в приложении для iPad

Предположим, что нам не известен пароль для доступа к приложению "Сбербанк ОнЛ@йн". Но мы видим кнопку "Мои платежи" и попробуем на нее нажать без ввода пароля. Опа! Что-то происходит. Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

В результате мы попадаем в личный кабинет пользователя данного приложения и видим не только его имя и отчество (закрашенные слова после фразы "Добрый день"), но и даже несколько активных пунктов меню приложения "Сбербанк ОнЛ@йн", один из которых - "Шаблоны":

Сбербанк онлайн - дырка в приложении для iPad




Если прокрутить меню вверх, то видим, что все основные пункты меню (Карты, Вклады и счета, Кредиты и др.) приложения "Сбербанк ОнЛ@йн" не активны:

Сбербанк онлайн - дырка в приложении для iPad

 

Тогда вернемся к шаблонам. Мы видим шаблон, ожидающий подтверждения "Перевод частному лицу", попробуем открыть его. Идет загрузка!

Сбербанк онлайн - дырка в приложении для iPad

 

В результате мы видим, что пользователь приложения "Сбербанк ОнЛ@йн" выполнял перевод денег на пластиковую карту другого человека (или свою) и сохранил эту операцию в шаблон:

Сбербанк онлайн - дырка в приложении для iPad

 

Попробуем повторить данную операцию. Выбираем счет списания, видно, что карта VISA Calassic доступна для выбора:

Сбербанк онлайн - дырка в приложении для iPad




Карта выбрана, таким образом, с этой выбранной карты можно перевести средства:

Сбербанк онлайн - дырка в приложении для iPad

 

В шаблоне сохранена сумма 1500 руб, уменьшим ее и переведем 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Нажимаем кнопку "Перевести". Идет загрузка:

Сбербанк онлайн - дырка в приложении для iPad

 

Закрываем два окна с информационными сообщениями:

Сбербанк онлайн - дырка в приложении для iPad

 

Подтверждаем перевод денег в размере 1 рубль:

Сбербанк онлайн - дырка в приложении для iPad

 

Сбербанк онлайн - дырка в приложении для iPad

 

Рубль успешно переведен с карты пользователя приложения Сбербанк онлайн без его участия и ведома и без ввода пароля к приложению на счет, сохраненный в шаблоне пользователя:

Сбербанк онлайн - дырка в приложении для iPad

Это, конечно, не критичный глюк, но, тем не менее, я считаю, что банковские программные продукты должны быть более защищенные и без дыр.

Комментарии (0)

Здесь не опубликовано еще ни одного комментария

Оставьте свой комментарий

  1. Опубликовать комментарий как Гость.
0 Значки
Вложения (0 / 3)
Поделитесь своим местоположением

      SQL-задачка от Яндекса
      SQL-задачка от Яндекса

      Один товарищ рассматривал вариант устроиться на работу в Яндекс на вакансию "Асессор-разработчик". В тестовом задании была задачка на составление SQL-запроса.




      Что делать, если не отображается рабочий стол?
      Что делать, если не отображается рабочий стол?

      Если после загрузки операционной системы Windows не отображается рабочий стол и, соответственно, не отображаются панель быстрого запуска и системный трей, то не спешите сразу рубить с плеча - переустанавливать Windows. Сначала на всякий случай желательно загрузиться в безопасном режиме (F8) и проверить компьютер на наличие вирусов. Неплохой сканер от Доктора Веба - CureIt (Альтернативное название -...




      Принцип работы flightradar24
      Принцип работы flightradar24

      Flightradar24© является следящей системой за полетами воздушных судов, отображающей в режиме реального времени воздушное движение всего мира. Для отображения воздушных поток Flightradar24 использует несколько источников информации: ADS-B, MLAT и FAA. Данные от ADS-B, MLAT и FAA объединяются с расписанием рейсов и информацией о статусах воздушных судов, получаемых от авиакомпаний и аэропортов, - все это выполняется в целях...




      Как изменить Mac-адрес сетевой карты
      Как изменить Mac-адрес сетевой карты

      Это нужно далеко не всем и довольно редко - менять мак-адрес (mac-address) сетевой карты компьютера. Но, тем не менее, такая необходимость может неожиданно возникнуть. Причины для изменения Mac-адреса: 1. Если интернет-провайдер использует привязку по Mac-адресу, а вы по некой причине вынуждены сменить домашний компьютер и не лишиться доступа к сети. В этом случае нужно для сетевой карты нового компьютера прописать Mac-адрес...




      Висит получение IP-адреса
      Висит получение IP-адреса

      Железо: нетбук Lenovo ~ 2010 года выпуска. Операционная система: Windows XP. Описание проблемы: при попытке подключения к сети Wi-Fi агент беспроводной сети нетбука не запрашивает пароль (а он фактически имеется), а сразу пытается подключиться. При этом постоянно отображается "Получение IP-адреса", и подключения фактически не происходит, доступа к сети Интернет нет.




      В скайпе вирус
      В скайпе вирус

      В мае 2011 года компания Microsoft купила Skype. Многие пользователи этой программы не особо были рады этому событию, некоторые из них громко сказали "Фу!" Но, тем не менее, я лично не знаю ни одного человека, который перестал пользоваться программой Skype после смены владельца.




      Dropbox и сто iPad'ов
      Dropbox и сто iPad'ов

      Исходные данные: Сто планшетов Apple iPad; Множество документов (~ 60 шт) разного размера (от 1 до 200 Мб), периодически обновляемых, каждый документ по своему регламенту. Необходимо обеспечить: Наличие всех этих документов в актуализированном состоянии в любой момент времени непосредственно на всех этих iPad'ах; Элементарную (хотя бы) защиту этих документов.



Яндекс.Метрика