БЛОГ / КОММЕНТАРИИ

"Хронопей" взломали?

Интернет

27.12.2010 11:58

Комментарии 51

А я позвонил в Райф блокировать карту, мне сказали, что по официальной информации Chronopay не было увода базы - был увод домена. Те, кто платил в эти дни, сам ввел свои данные на фишинговой странице.

Видимо, это официальная позиция Райфа - вряд ли девушка на поддержке по своем разумению дает такие ответы.

Serg Inc.

30.12.10 19:54

0 0

А мне сегодня бодрая девушка в Ситибанке (по телефону) заявила, что Хронопей якобы передал Ситику (или какой-то там их суперсистеме безопасности) список уведенных у оного Хронопея карт. И якобы Ситик эти карты тут же блокирнул и отправил на перевыпуск. Во как.

Правда, спустя пару-тройку фраз она почему-то стала говорить, что никакого взлома не было, и Хронопей вывесил опровержение на сайте.

Как второе заявление согласуется с первым - загадка. Такое впечатление, что была дана инструкция плести все что угодно, лишь бы успокоить клиентов.

Kopb

28.12.10 19:51

0 0

1. То, что у платежной системы увели домен достаточное основание для того, чтобы сделать заключение о том, что там работают полные дегенераты.

2. Из первого вытекает то, что в случае, если данная шаражка выживет, то оплачивать через нее ничего нельзя.

3. Был угон базы или нет - это вопрос. Но угон домена уже позволяет накопить солидный список полных данных карт за короткий срок с CVV2 кодами.

4. Господа, чтобы не боятся подобных ситуаций, используйте ВИРТУАЛЬНЫЕ КАРТЫ, например Visa E-c@rd, для оплаты чего-либо в сети. И никогда не используйте карты, на которые получаете деньги и/или на которых их храните.

Вот еще пару мыслей: http://kovuru.livejournal.com/92490.html

Kovu

28.12.10 02:44

0 0

Коллеги, я из Хронопея. Кому интересно, смотрите у меня в блоге детали - rauf.lj.ru .
Угон домена, база на месте, про сертификаты пока еще не знаю, про базу карт в сети - дал свое заключение.
Я в Хронопэе разработкой заведую, сбой в эксплуатации, извиняйте - знаю не все и не сразу.

r.aliev

28.12.10 01:56

0 0

r.aliev: Коллеги, я из Хронопея. Кому интересно, смотрите у меня в блоге детали - rauf.lj.ru .

Угон домена, база на месте, про сертификаты пока еще не знаю, про базу карт в сети - дал свое заключение.

Я в Хронопэе разработкой заведую, сбой в эксплуатации, извиняйте - знаю не все и не сразу.

У вас увели домен - это полная дискредитация платежной системы.

harmant

r.aliev

28.12.10 12:13

0 0

r.aliev:

Я в Хронопэе разработкой заведую....

Гнать сцаными тряпками нужно таких разработчиков, с волчим билетом.

Seneca

r.aliev

28.12.10 13:08

0 0

а кто нибудь из непричастых к хронопею и хронопевским разборкам пострадал?

ЗЫ

всетаки виза (и мастрекард) уроды. "onelogin" авторизация изначально не то что б небезопастна а просто особо опастна. но все разумные альтернативы были предусмотрительно задушены....

картинка вырисовывается - вор у вора дубинку украл под присмотром большого мошенника....

dimav

28.12.10 01:30

0 0

Может, и не увели у них базу. См. заметку и комментарии http://www.fclab.ru/2010/12/27/2177/#comment-7192

MASTAN

27.12.10 19:04

0 0

Не надо ничего перевыпускать, большинство банков блокирует карту по звонку на срок до 30 дней (или до разблокировки). Заблокируйте, сохраните ваши денежки, и если кипеж окажется ложным, то разблокируйте ее.

Seneca

27.12.10 17:21

0 0

Seneca:
Не надо ничего перевыпускать, большинство банков блокирует карту по звонку на срок до 30 дней (или до разблокировки). Заблокируйте, сохраните ваши денежки, и если кипеж окажется ложным, то разблокируйте ее.

Заблокированные карты не разблокируются, а только перевыпускаются, насколько я помню.

Alex Exler

Seneca

27.12.10 20:53

0 0

Правильно понимаю, что если что-то покупал через Softkey, то карта скомпрометирована. И как, кстати, узнать - какая процессинговая система была использована? А то давно это было...

Someone777

27.12.10 16:52

0 0

Someone777: если что-то покупал через Softkey, то карта скомпрометирована

Не факт. История очень мутная. Один из вероятных вариантов: увели номера карт за несколько часов работы подложного сайта, а карту Синодова добавили из другого источника для создания большего шума.

m@ksim

Someone777

27.12.10 17:08

0 0

Полтора года назад букет девушке покупал через эту конторку. Бежать перевыпускать карту?

Cayman

27.12.10 16:51

0 0

Kirion: Хронопей как бы сертифицирован по PCI DSS

Это прекрасно, но есть и другие, не технологические риски. Лучше, если процессинг вообще будет банковский, от первого лица.

Cayman: Бежать перевыпускать карту?

Ага, если утекли CVV, однозначно перевыпуск. У меня есть специальная карта для Интернет-платежей, деньги на которую я перевожу только перед покупкой, а обычно она пустая.

Quiet Zone

Cayman

27.12.10 17:08

0 0

Я через него как то епассовской карточкой хостинг на мастерхосте оплачивал. Но так как епасс загнулся - из карточки вырезан медиатр, собственно ничего не потерял 😄

Mike V

27.12.10 16:46

0 0

Несколько месяцев назад знакомому пришло сообщение от его (!) банка (ситибанк), о том, что "КАРТА СКОМПРОМИТИРОВАНА". Банк её сразу же заблокировал, связался с клиентом, и договаривался о перевыпуске (т.е. "пожалуйста, когда Вы сможете прийти и заберать новую?").

Оказалось, что была уведена база из какого-то магазина. (т.е. даже не шлюз, а просто точка продаж)

Полагаю, что у банков с контрагентами есть для таких ситуаций специальный регламент.

nmaksudov

27.12.10 15:30

0 0

вот же мля... я как раз недавно пользовался хронопеем... а в связи с рождеством в нашей кенгурляндии банки закрыты... уродство

Кстати, сегодня у вебмани несколько часов были проблемы... платежи не проходили, страница merchant не грузилась в принципе

Kangaroo

27.12.10 15:00

0 0

Любой процессинг можно взломать, поэтому лично я больше банкам доверяю, на них по крайней мере требования безопасности в полной мере распространяются - и ЦБшные и всякие PCI DSS (если оплата по карте). Сам пользуюсь системами типа pay-web.ru, вроде без нареканий, и процессинг банковский и никакую информацию о карте не хранят (что важно).

Quiet Zone

27.12.10 14:50

0 0

Хронопей как бы сертифицирован по PCI DSS

Kirion

Quiet Zone

27.12.10 15:08

0 0

"harmant: P.S. почините уже вввод твердого знака из оперы - это неуважение."
Второй раз пишу ъ Ъ из Опера 11 без всяких переделок.Может Вы у себя в Опере что-нибудь накрутили - Плагины и т.д. )

kardamon2007

27.12.10 14:48

0 0

kardamon2007: "harmant: P.S. почините уже вввод твердого знака из оперы - это неуважение."

Второй раз пишу ъ Ъ из Опера 11 без всяких переделок.Может Вы у себя в Опере что-нибудь накрутили - Плагины и т.д. )

чистая 11я опера без плагинов вообще, при вводе твердого знака - включается болд

harmant

kardamon2007

27.12.10 15:10

0 0

Вот его бывший партнер пишет о нем. У них конечно своя война, но информация интересная.

www.redeye-blog.com

Mike V

27.12.10 13:46

0 0

В начале осени в сети был серьезный слив хакерской инфы о хроно. Кому интересно можно хабр помучать. Суть в том, что эти ребятки хранят кучу персональной инфы о пользователе, которую Виза хранить запрещает, например те же cvv. И дело кончилось тем, что хакеры якобы ломанули сию базу и все оттуда увели. В качестве доказательств, те же хакеры выложили к отрытый доступ большой кусок базы с частично убраными номерами. Обещали если что пойдет не так, выложить всю базу в сеть. Требовали, кажется, дать по морде одному из создателей хроно - redeye. У них как я понял с ним свои не сильно законные разборки. Этот человек сам по себе "интересный", он порнухой в сети занимается. Причем как я понял, самой гнусной ее частью: изнасилования и прочее. Плюс создает леваковые сервисы по черному обналу бабла aka fethard, которые лопаются со всеми деньгами участников. Так же в сливе фигурировали ну очень похожие на правду данные о том, что хроно через свои серые дочки билит наркоту (запрещенную в США и европе фарму). Аудиозаписи были и электронка топ менеджеров. Серый процессинг разбавляют белым процессингом и на этом хорошо живут.

Что тут можно сказать в качестве резюме. У людей, которые стоят за хроно, очень большие проблемы с репутацией. И судя по тому какие волны говна время от времени на них обрушиваются в сети, проблемы эти имеют под собой реальную почву. Тем паче, что неприятности эти создают явно серьезные люди, ведущие очень грязный бизнес с которыми redeye, видимо, хорошо знаком. Выломать закрытую базу кредиток, которую явно защищали по первому классу. Дать перехват сотовых разговоров топ менеджеров и их электронную переписку. Войти с ОМОНом в офис и вынести оттуда все сейфы с доками и деньгами по фету. Мое мнение, что создавать такие проблемы могут только очень плохие мальчики, к которым Санта точно не приходил на рождество.

nebaba

27.12.10 13:21

0 0

cvv2 в принципе запрещено хранить. существует правда возможность привязки карты к платежной системе(например пейпал), но она не хранит данный код. поэтому если банком установлен для карты обязательный ввод этого кода для каждой операции, то такую карту к платежной системе не привязать.
поэтому увод домена намного более опсен увода базы, ибо можно разместить липовую форму и собирать полные данные о карте, включая cvv2.

Kovu

27.12.10 13:20

0 0

Советую погуглить Врублевский, fethcard что бы понять что за контора, и что за хозяин

Mike V

27.12.10 13:19

0 0

Mike V: Советую погуглить Врублевский, fethcard что бы понять что за контора, и что за хозяин

Да, вот я и написал, что отзывы очень паршивые. И контора явно мутная.

Alex Exler

Mike V

27.12.10 13:35

0 0

Увести домен - это уже взлом. Причем очень серъезный. Повешать на оригинальный домен - фишинговый сайт с оригинальным дизайном - и все - кранты, даже за очень короткий промежуток времени можно очень круто поживиться и навсегда дискредитировать систему. Повезло, что это сделали хулиганы, а не кто-то с более серъезными намерениями.

P.S. почините уже вввод твердого знака из оперы - это неуважение.

harmant

27.12.10 13:00

0 0

harmant: P.S. почините уже вввод твердого знака из оперы - это неуважение.

Может, лучше вы Оперу почините, чтобы она нормально работала со стандартной библиотекой, с которой все остальные браузеры работают без каких-либо проблем?

Alex Exler

harmant

27.12.10 13:09

0 0

Я про этот хронопей узнал 2 недели назад - оплачивал покупки на Softkey. У них в выборе способа оплаты - Visa и Mastercard, но имя процессинга не указано. Меня перекинули на хронопей, я ввел все данные, оно задумалось, потом заявило "ошибка". Позвонил в службу поддержки, там сказали странное: "да, мы видим, что вы пытались оплатить, но платеж не прошел из-за нашей службы безопасности. Пожалуйста, отсканируйте свою карточку, убрав средние цифры, и пришлите нам. А в понедельник придет служба безопасности и проведет ваш платеж".

Поскольку дело было в субботу утром, ждать двое суток не улыбалось. Позвонил в поддержку Softkey, и очень удивился. "Да, у нас оплата через Chronopay часто проходит с проблемами. Попробуйте выбрать другой процессинг, у них такиг проблем нет". Выяснилось неочевидное - если в способах оплаты выбрать Visa или Mastercard, то тебя автоматом отправят на Chronopay, который глючит (и Softkey об этом знает). Если же нужен процессинг, который работает нормально - нужно выбрать "другие способы оплаты", раскрывающийся список промотать вниз и в самом низу найти пункт "Mastercard - процессинг Cyberplat".

Почему надо было выносить глючащий процессинг на морду, а нормальный прятать - это загадка.

Отвлекся.

После общения со службой поддержки Chronopay полез искать эту фирму в гугле. Первые же результаты поиска выдали инфо о каком то взломе хронопея, который тот ли был, то ли не был летом 2010 года. Хакеры утверждали, что они утащили базу, представители Chronopay говорили, что у них все ок. При этом "якобыхакеры" утверждали, что в уведенных ими базах присутсвуют не только первые и последние цифры карточек, как положено по стандартам Visa и Mactercard, а полные номера и CVC.

Igor Sokolov

27.12.10 12:57

0 0

www.rian.ru

Судя по всему, все-таки домен увели, а не БД.

pastor

27.12.10 12:37

0 0

Всегда удивляло хранение персональных данных, которые могут дать доступ к конфиденциальной информации на подключенному к сети серверу. Номер карты - да хрен с ним, эта информация не труднодоступная, а вот всё остально, пин, CVV и прочие конфиденциальные данные хранить на серваке - большая глупость. Зачем такие данные нужны? Если действительно хранили, значит это может быть провокацией? А может кто-то в этом был заинтересован?

Доверяю только Альфа-клику и PayPal. Похоже не зря

LP_Masta

27.12.10 12:37

0 0

А я уже и не помню, пользовался я им, или нет.

HappY

27.12.10 12:21

0 0

HappY:
А я уже и не помню, пользовался я им, или нет.

Например оплата услуг МТС из мобильного помощника работает через него

nmaksudov

HappY

27.12.10 15:33