Взломали озон аккаунт, отменили заказы, и тут же вывели ~44т.р. с озон банка.

Коротко: проблемы с безопасностью аккаунтов, судя по всему присутствуют дыры\баги, с помощью которых можно войти в аккаунт без подтверждения по номеру телефона.

Подробно: 18.11.2024 21:17 MSK сижу за ноутом и формирую заказы на @ozon (маркетплейсе) - вижу уведомление, что заказ отменился. Первая мысль - продавец что-то там хитрит. Иду в тех поддержку писать, и вижу, что начинают все активные заказы отменяться. Понимаю что это взлом, начинаю судорожно выходить из левых сессий и вижу, что к аккаунту привязаны левые гос услуги (не на мое имя). Я будучи онлайн, прям параллельно со взломщиком сидел в своем ЛК, разлогинивал ему сессии раз 10, отвязывал чьи-то левые гос услуги от моего аккаунта, но буквально через 30 секунд он опять был залогинен и гос услуги заново привязаны.По итогу - отменили все активные заказы, деньги моментально вернулись на озон банк, откуда злоумышленник перевел средства на авито кошелек.

Интересные факты:

- для входа в озон требуется ввести 6-значный одноразовый код из смс, либо, что даже чаще - последние 6 цифр номера, который звонит тебе на привязанный к озону номер телефона. А если ты вошел в аккаунт озон, то и в банк ты можешь попасть без всяких там дополнительных вопросов судя по всему. у меня была привязана почта с 2 факторкой, но даже когда пытаешься войти через нее - все равно озон просит 6 значный код с телефона \ приложения. ну и к тому же на почте никаких уведомлений\писем о новых входах на нее не было (gmail вообще на телефон уведомляет о фактах логина пушем).

- мой телефон у меня под полным контролем, был включен в момент взлома, и никаких звонков или смс при входе взломщика я не получал. данный факт подтверждается детализацией с мобильного оператора, которую я заказал утром следующего дня. разумеется никакие коды и информацию никаким третьим лицам я не передавал.

- к моему аккаунту озон привязывали аккаунт гос услуг (не мой, имя было левое, но увы не успел сделать скриншоты, т.к. судорожно выкидывал чужие сессии) - не знаю, что именно это давало, и как именно это возможно, т.к. мой аккаунт гос услуг зарегистрирован на тот же номер, что и озон, и он тоже находится под полным контролем, включена 2фа.

- все явно происходило в автоматическом или полуавтоматическом режиме, т.к. после отвязки гос услуг и деактивации сессии, взломщик опять был залогинен и с привязанными гос услугами в течение буквально нескольких секунд.

- пользователь смог перевести средства без подтверждения по номеру телефона, и неизвестно, запрашивался ли у него 4х значный пинкод (т.к. его спрашивают крайне редко, когда ты давно ничего не покупал). крайне небезопасно, что в банк можно войти просто по одноразовому коду приходящему на телефон, а вот сделать пароль или добавить 2фа - нельзя. при этом если вошел из аккаунта озона (в который войти можно так же) - то доверие банка еще больше, и ему не важно, что это новый незнакомый IP. и при этом однотипные, но нетипичные транзакции для аккаунта никак не заблокировались. факт того, что деньги зачисляются и тут же выводятся - тоже никак не тригернул систему безопасности.

- поддержка самого озона - это филиал ада на земле, пишут шаблонами, в суть вопроса не вникают вообще, сразу закрывают тикет. т.е. ты пишешь им сообщение - ждешь 15 минут очередь, тебе пишут бесполезный ответ и тут же закрывают тикет, без возможности развить диалог. я раз 10+ пытался писать им, мне 7 раз сказали чтобы я вышел из всех сессий, и раза 3 - что никакой подозрительной активности на моем аккаунте не обнаружено. это при том, что я первым же сообщением четко изложил произошедшее.

- поддержка озон банка - в чате мне так и не ответили в течение минут 30, зато я смог дозвониться на горячую линию (тоже раза с 3го, и минут через 15, но это уже ладно). Там хотя бы адекватный специалист была, выслушала, вникла, заморозила временно банк акк, передала запрос в СБ, сказав, что в течение 24ч вопрос будет решен, и что со мной свяжутся.

На данный момент ничего не решилось еще и СБ пока на связь не выходили со мной.