Странные списания с карты
Проснулся сегодня в 04:30, собрался было снова заснуть, но что-то меня дернуло уведомления в смартфоне посмотреть. И вот именно дернуло, потому что обычно когда я просыпаюсь ночью, то не лезу в телефон, а стараюсь сразу снова заснуть. Заглядываю - а там в Revolut вот такое.
В 02:45 - верификация карты (вообще-то для верификации обычно требуется мое подтверждение в приложении), а потом пошли списания покупок в Electronic Arts. Сын там не мог ничего покупать в таких количествах, тем более посредине ночи, да и валюта списания была AU$, то есть австралийские доллары. Стало быть, данные карты каким-то образом утекли: эта была виртуальная карта для онлайновых покупок, и я по ней много всего оплачивал, но, разумеется, только в приличных местах.
Дальше действия стандартные: заблокировал платежи для Electronic Arts, аннулировал карту как скомпрометированную. Собственно, я раньше виртуальную карту для онлайновых покупок сам раз в два-три месяца аннулировал и заводил новую. А потом что-то разленился, и у меня эта карта прожила года три, не меньше. При этом я видел, что пока я с этим возился, поступила еще одна попытка списания для Electronic Arts, которую Revolut отклонил.
Далее все деньги со счета на всякий случай перекинул на накопительный счет (нечто вроде сейфа, с него только я могу деньги переводить) и отправился дальше спать - утром буду разбираться.
Проснулся, стал разбираться. В Electronic Arts я этой картой платил, платеж есть в истории, но было это в августе 2023 года - сыну какую-то недорогую игру покупали. Тогда я карту верифицировал, так что возможно, что повторная верификация прошла без моего подтверждения.
Стали смотреть, что там у сына на компьютере, но там вроде все нормально, нет ни вирусов, ни следов взлома. Последнюю игру он покупал несколько месяцев назад. Да и покупки за австралийские доллары явно были не от него.
Также свой смартфон на всякий случай проверил на вирусы - все чисто.
А потом обратил внимание на то, что счет в Revolut, который я проверял вчера, не уменьшился, хотя вроде как мошенники списали более 200 евро.
Попробовал отправить заявку на возврат средств, но оказалось, что деньги действительно не были сняты, все эти операции находятся в режиме ожидания. Теперь жду, что будет дальше. Теоретически они могут снять деньги (Revolut пишет, что если до 13 октября точка не снимет деньги, то платеж будет отменен), потому что заблокированы будущие снятия, но не прошлые, однако практически у них это вряд ли получится сделать: и карта аннулирована, и денег на счету нет.
Но мне интересно, что это было. Неужели именно из Elecronic Arts каким-то образом утекли данные? Потому что если бы злоумышленник имел доступ к данным карты, он бы мог попытаться оплатить что-нибудь еще. Например, пиццу заказать или электронику какую-то купить. А тут - только игры из Electronic Arts и больше ничего.
Загадочная история.
Блин, а ведь теперь буду каждый раз, просыпаясь, уведомления в смартфоне проверять...
У EA есть определенная репутация.
Если сын мог хоть какую-то игрушку купить с этой карты у ЕА, и в нее играть, дальше все просто. Это не аферисты, не мошенники, это просто Electronic Arts.
жалко. по удобству близок к тиньку. пользуюсь теперь своей Болгарской картой. прошлый век в сравнении с ревом.
был уже вопрос ниже: домен "ру" - такое себе... закроют.
Apple откзались возвращать деньги, ссылаясь на то что "товар уже был получен", неважно что все признаки указывали на мошенничество. Пришлось возвращать деньги через банк.
После этого я сделал себе аккаунт в Револют и для онлайн платежей использую только их виртуальную карту. Держу на карте небольшую сумму, чтобы хватило на продление какой-то одной очередной подписки, а остальные деньги держу в их "сейфе". Очень удобно, что Револют предупреждает, если приближается дата продления какой-то подписки.
Ps Если вместо cердца, -май лав или бэби, то операционистку зовут Патриша или Латиша
Не страдайте хернёй, заходите куда надо и все будет норм. 😉
У меня другой вопрос: когда Алекс перестанет мять сиськи и перейдёт на com, net , org итд
Потому, что жопой чую иноагентские .ru разделегируют скоро.
Я его никак не пополнял, карта у меня, естественно, не привязана (да российскую карту и привязать нельзя). Уже недели 2 прошло, деньги на месте, можно и потратить наверно.
Бывает же.
(Ну штош, мои сведения о тотальном переходе 1 октября опсосов РФ на белые списки в моб.интернете подтверждаются, впн ни один не работает на мобиле) Посмотрим, что будет с остальным инетом.
Я в последний приезд настраивал всем родственникам. У всех работает и ютубы и вотсапы
Иногда это не тривиально. Мне раз сказали, в одном из банков, какую команду в чат боте набрать. Официально, у этого банка, такой информации не нашел, только техподдержка призналась когда неоднозначная ситуация возникла. Когда замороденные деньги вернули, а потом опять списали задним числом. А не когда дата платежки была на сайте где оплачивал. Я как будто сам работал с ихним апи (но не в этом случае), но как так сделали не понял.
Вы расплачиваетесь картой на сайте. Если вас не перевело автоматом на платежную форму, которую предоставляет банк (проверить можно по URL), то происходит следующее:
1. Вы осуществляете покупку. Проходите Secure3D и все такое.... Покупка сделана.
2. Далее все зависит от добросовестности разработчиков.
3. Сайт (Торговая площадка, etc...) может запомнить ID транзакции, и использовать его для рекурентных платежей (автоплатеж), списывая деньги без вашего участия.
4. Даже если дело не в них, но платеж был оформлен как рекурентный (а вот это не всегда, иногда достаточно просто знать ID транзакции и не оформлять первый платеж как рекурентный), то ребята которые взломали сайт, обнаружили там логи с ID, и понеслась.
Для того что бы быть уверенным, что вы не попадете в такую засаду - расплачивайтесь только через платежную форму банка, которая находится по URL самого банка. Это касается и любых электронных платежных систем.
P.S. Более того. ID успешной транзакции иногда позволяет списать с карты произвольную сумму. Как это было у Алекса. Т.е. даже атака будет даже не на рекурентность. Знаю я тут один банк... 😄
В смысле "Переводится с текущего счета"? Вы используете текущий счет для чего-либо кроме как погасить кредитку? То есть вот свои деньги используете вместо того, чтобы воспользоваться бесплатными чужими?
Я думал такие люди вымерли уже лет 20 назад, когда я последний раз так делал.
"По Id платежа никто повторно не снимет, это открытая информация на чеке присутствует" -
Да, и зная ее можно списать произвольную сумму. Не уверен, что у многих банков, но тем не менее. Для этого нужно запросить ее с виртуального терминала с которого была совершена оплата.
"И в этом случае, при отправке платежа по спец АПИ банк сам решает, нужно ли запрашивать 3D secure "
Иногда можно форсить в запросе отказ от 3DSecure. Не у всех, но тем не менее.
В общем, разговор плавно переходит в плоскость: "сейчас кто-то договориться". И это буду я. Поэтому я заканчиваю.
P.S. Мои "иногда" это значит, что я это видел всегда, но не готов говорить за все банки в мире.
При необходимости платежа перебрасываеш на такую карту денег, расшияеш лимит и включеш возможность оплаты. после оплаты - выключаеш.
- По Id платежа никто повторно не снимет, это открытая информация на чеке присутствует
- 3D secure - это операции когда вам надо пройти внутренний аудит хранения от банка или другой организации и получить сертификат на хранение банковских данных катрты. Включая пин-код. Тогда он сам формирует форму платежа и уже по сцец апи банка проводит списание. И банк может запросить подтверждение 3D secure.
- рекурентный платеж - это платеж по которому банк может снять с вас деньги за продолжение конкретной подписки, но вы эти данные для новых платежей не можете использовать
- а есть еще електронные кошелек, при платеже можно запросить оформить данные и дать номер по которому уже у банка хранятся данные о карте и вы с помощью этого номера можете проводить платежи, как с запросом у клиента, так и без запроса. Но на это снова подписывается с банком отдельный договор. И они там не каждый платеж пропустят. Но опять это про платежи за товар который ВЫ продаете клиенту. а не платеж по перечислению денег и оплаты где-то.
Все большие площадки оформляют себе сертификаты на хранение банковских данных, что бы клиент не уходил на сайт банка, а вводил у них. И в этом случае, при отправке платежа по спец АПИ банк сам решает, нужно ли запрашивать 3D secure и присылает в ответе куда перенаправить клиента для такой операции.
И это апи банков когда вы снимаете деньги за свой товар на своей площадке по договору.
У всех банков и платежых площадок оно болеее мене похожее по самим операциям.
Но в целом, схема рабочая. Хотя и геморройная, и не сильно отличается от заведения данных карты каждый раз
Овердрафт строго запрещен отдельной строкой в договоре.
А то не понятно.
У жены был Револют, только негативный опыт. Я бы им и фунта не доверил.
Тут похоже что апи внутренне взломали. Но к информации о каратх навряд получили доступ.
Если нажмете на "добавить счет", то система предложит выбрать из 3-х видов: валютный счет, карман и накопительный.
Нашли?
А потом укравший эти данные мог начать делать на них покупки (карта то ведь уже авторизована и привязана к учетке).
Именно поэтому нельзя купить пиццу или электронику — потому что для этого нужна дополнительна авторизация
Непонятно, кстати, насчет австралийских долларов — суммы списаний (за минусом 1 цента) — круглые в евро
Но ведете себя при этом как бездумная чек-программа.
Контекст - явно не ваша епархия.
Сегодня ехал по трассе и банк стал слать уведомления о списаниях. 6 раз подряд. И остановиться негде, чтобы посмотреть. Оказалось - налог на недвижимость и услуги связи
У меня подобное было с французским Амазоном - amazon.fr - с которого внезапно пошли списания. Карта в аккаунте Амазона - была привязана (там единый аккаунт на все страны), но я проверил свой аккаунт, и списания точно были не с него. То есть, каким-то образом утекли данные карточки и каким-то образом мошенник сумел добавить её в свой аккаунт на Амазоне (а для этого вообще-то нужен второй фактор, которого у него не могло быть по определению). Я связался сначала с Амазоном, который со своей стороны остановил авторизованные, но ещё не списанные платежи, а потом - со своим банком, который отменил те транзакции, которые были и авторизованы, и уже списаны со счёта.
То есть, утекла именно учетка ЕА.
Я обычно на виртуальные карты ставлю лимит 1-2 платежа в сутки и какую-нибудь мелкую максимальную сумму. В тот раз забыл это вернуть после покупки авиабилетов.
У приора было так, что карта управляла только остатком на ней никак не дотрагиваясь до остатка на счете.
Кто-то фонат прям.
Иногда рука тянется потратить, и деньги вроде небольшие. Но потом как осознаю, что это сейчас 10-20 баксов, а потом еще захочется, и не заметишь, как всё это накопится в приличную сумму, много времени не надо, а на что, собственно? Перечисляю в голове то, что нужнее. Донаты, например. Так пока держусь 😄