बैंक कार्ड का उपयोग करके Yandex.Direct में विज्ञापनों के लिए भुगतान करते समय Yandex 3D सुरक्षित सत्यापन की उपेक्षा करता है

लगभग छह महीने पहले, Geektimes पर एक प्रकाशन में, "सस्ती उड़ानें ... या धोखाधड़ी वेबसाइटों का एक नेटवर्क कार्ड से पैसे चोरी कर रहा है। मेरी जांच, " मैंने एक ऐसे मामले का वर्णन किया जहां" नकली टिकट "के लिए पैसे के अलावा, मेरे दोस्त को एक कार्ड 35,200 रूबल से भी चुराया गया था, जो Yandex.Direct विज्ञापन नेटवर्क में स्कैमर्स के खाते को फिर से भरने के लिए गया था। चुराई गई राशि केवल कार्ड पर शेष राशि तक सीमित थी। अगर कार्ड पर अभी भी पैसा बचा होता, तो वे अधिक चोरी कर लेते। राइट-ऑफ़ की टिप्पणियों में, "YM * Yandex.Direct" का संकेत दिया गया था। नीचे उल्लिखित प्रकाशन से लिए गए बैंक स्टेटमेंट का एक अंश है:


वर्णित मामले में, "पीड़ित" बैंक कार्ड नंबर चोरी हो गया था, या बल्कि, धोखाधड़ी से एक जालसाज वेबसाइट पर प्राप्त किया गया था। पीड़ित ने बैंक से एसएमएस में आने वाले 3 डी सिक्योर कोड का उपयोग करके नकली टिकटों के लिए धन हस्तांतरण की पुष्टि की। हालांकि, यैंडेक्स के लिए धन। अप्रत्यक्ष ओपल कार्डधारक को बिना किसी अतिरिक्त अनुरोध के 3 डी सिक्योर चेक के बिना, अलग-अलग समय पर चला गया।

हालाँकि स्कैमर ने छाया मंचों में लिखा है कि Yandex के साथ भुगतान करते समय Yandex वास्तव में 3D सिक्योर का उपयोग नहीं करता है, लेकिन इसकी पुष्टि करना संभव नहीं था। साइट के माध्यम से Yandex.Direct बैलेंस रिप्लेसमेंट के हमारे अपने परीक्षण के साथ, बैंक से एसएमएस कोड का उपयोग करके एक अतिरिक्त जांच हमेशा की गई। मैंने यह भी सोचा कि पहले प्रकाशन के परिणामस्वरूप, यैंडेक्स ने अपनी सेवाओं को जल्दी से ठीक कर लिया। मेरे लिए और, मुझे लगता है, कई लोगों के लिए, यह लंबे समय तक अस्पष्ट रहा कि स्कैमर्स ने इस चेक को कैसे कम किया। और इसलिए मैंने गलती से इस सरल विधि को पाया जो सतह पर थी, और जो अभी भी काम करती है। उन सभी के लिए, जिन्होंने पहले लेख में टिप्पणियों में अपने कार्ड के "सुपरप्रोटेक्शन" का घमंड किया था और उनके बैंकों की प्रशंसा की थी, मैं सुझाव देता हूं कि यैंडेक्स का भुगतान करते समय स्थायित्व के लिए उनकी जांच करें। निर्देशों।

इससे पहले कि हम जारी रखें, स्पॉइलर के नीचे आप देख सकते हैं कि यदि आप एक ब्राउज़र और साइट के पूर्ण संस्करण का उपयोग करके Yandex.Direct व्यक्तिगत खाते के माध्यम से शेष राशि का भुगतान करते हैं, तो भुगतान का रूप कैसा दिखता है। साइट के पूर्ण संस्करण के बारे में कोई प्रश्न नहीं हैं।


मैं यह भी नहीं कह सकता कि मैंने कुछ खोजा है। विधि अत्यंत सरल है और इसका उपयोग करने के लिए आपको बस मोबाइल फोन के लिए Yandex.Direct एप्लिकेशन इंस्टॉल करना होगा और इस एप्लिकेशन के माध्यम से क्रेडिट कार्ड से भुगतान करना होगा। यह संभावना है कि Yandex.Direct के बड़ी संख्या में सम्मानित उपयोगकर्ताओं ने शेष राशि को फिर से भरने के इस तरीके का इस्तेमाल किया, लेकिन चेक की कमी पर ध्यान नहीं दिया, या डेवलपर्स के विवेक के लिए इस बिंदु को छोड़ दिया। IOS के लिए मोबाइल एप्लिकेशन के उदाहरण का उपयोग करते हुए एक सरल भुगतान अनुक्रम नीचे वर्णित है।


हम शिलालेख पर क्लिक करते हैं "सामान्य खाता फिर से भरना"।


राशि दर्ज करें और कार्ड से भुगतान का चयन करें।


कार्ड डेटा दर्ज करें।


नक्शा डेटा सहेजा गया। पहले बचत पर, सत्यापन के लिए कार्ड से 2 रूबल स्वचालित रूप से डेबिट हो जाते हैं, और फिर उसी राशि को वापस लौटा दिया जाता है।


यह सब 3D सिक्योर का उपयोग किए बिना होता है! कोई एसएमएस आदि नहीं आता। भुगतान के लिए यह कार्ड नंबर, इसकी अवधि और सीवीवी जानना पर्याप्त है। परीक्षण करते समय, एक Sberbank कार्ड का उपयोग किया गया था, जिसके अनुसार इंटरनेट के माध्यम से किसी भी अन्य खरीदारी के लिए, एसएमएस हमेशा सत्यापन कोड के साथ आता है।


एसएमएस कार्ड सत्यापन और पहले भुगतान के साथ स्क्रीनशॉट।


कार्ड डेटा को डिफ़ॉल्ट रूप से फोन में सहेजा जाता है। इसके अलावा, मोबाइल एप्लिकेशन उपयोगकर्ता से यह भी नहीं पूछता है कि क्या वह वास्तव में फोन पर कार्ड डेटा संग्रहीत करना चाहता है। पहले से सत्यापित कार्ड का उपयोग करके बाद के भुगतानों के साथ, Yandex.Direct में संतुलन पुनःपूर्ति की प्रक्रिया को और तेज किया गया है। यह पहले से सहेजे गए कार्ड का चयन करने और स्क्रीन के निचले भाग में "भुगतान" बटन पर क्लिक करने के लिए पर्याप्त है। डिफ़ॉल्ट राशि पहले से ही दर्ज की गई है क्योंकि यह पिछले भुगतान पर थी। पैसा तुरंत उड़ जाता है। उपयोगकर्ता को एक अतिरिक्त प्रश्न के साथ भी संकेत नहीं दिया जाता है कि क्या वह वास्तव में राशि को स्थानांतरित करना चाहता है।

Yandex.Direct व्यक्तिगत खाते में, भुगतान पत्रिका में, 3D सिक्योर का उपयोग करके कार्ड भुगतान और पूर्ण सत्यापन के बिना भुगतानों पर अलग-अलग हस्ताक्षर किए जाते हैं। साइट के पूर्ण संस्करण में आपके खाते में फ़ॉर्म के माध्यम से भुगतान "बैंक कार्ड" द्वारा हस्ताक्षरित हैं, मोबाइल एप्लिकेशन के माध्यम से भुगतान "ट्रस्ट, बैंक कार्ड" द्वारा हस्ताक्षरित हैं। "ट्रस्ट" का बैंक के नाम से कोई लेना-देना नहीं है।


किसी भी कपटपूर्ण साइट के अस्तित्व में होने के लिए, उसे किसी भी तरह से आगंतुकों को लुभाना होगा, जिनमें से कुछ धोखाधड़ी का शिकार हो सकते हैं। धोखेबाज साइटें लंबे समय तक नहीं रहती हैं क्योंकि वे गणना की जाती हैं और समय के साथ बंद हो जाती हैं। नए स्कैम साइटों के लिए, खोज इंजन से अधिक ट्रैफ़िक प्राप्त करने के लिए एक ईमानदार तरीके से विज्ञापन देना लगभग असंभव है। यहां तक ​​कि अगर इस तरह की साइटें पूरे एक वर्ष के लिए अनवांटेड हैं, तो वे आमतौर पर परिणामों के पहले पन्नों पर नहीं आते हैं। आगंतुकों को आकर्षित करने के लिए एक ही तरीका है - पेड विज्ञापन लगाना। ध्रुवीय अनुरोधों पर विज्ञापन (उदाहरण के लिए, "अनपा के लिए सस्ती उड़ानें) महंगा है और स्कैमर्स अपना पैसा खर्च नहीं करेंगे। ऐसा करने के लिए, उनके पास चुराए गए कार्डों का डेटा है जिससे आप आसानी से दसियों और सैकड़ों हजारों रूबल को यैंडेक्स विज्ञापन नेटवर्क में स्थानांतरित कर सकते हैं। किसी और का पैसा अफ़सोस की बात नहीं है, और इस मुद्दे में पहली जगह पाने के लिए, धोखेबाज यांडेक्स को प्रति क्लिक किसी भी कीमत का भुगतान कर सकते हैं: 100 रूबल, 200 रूबल, आदि। मुझे लगता है कि एक भी विज्ञापन नेटवर्क को यह बुरा नहीं लगेगा कि कोई इसके साथ पैसा साझा करना चाहता है।

यांडेक्स ने एक कार्यक्रम बनाया है जो स्कैमर के शस्त्रागार में शामिल करने के लिए आदर्श है। एक पुराना इस्तेमाल किया गया स्मार्टफोन और एक "लेफ्ट" सिम कार्ड खरीदना काफी है। स्मार्टफोन पर एक एप्लिकेशन इंस्टॉल किया गया है। चोरी किए गए कार्ड नंबर को इसमें दर्ज किया जाता है। और दुनिया के किसी भी कोने से जहां मोबाइल नेटवर्क या वाईफाई है, आप एक क्लिक से पैसे चुरा सकते हैं। सबसे संदिग्ध के लिए, एक सप्ताह या एक महीने के बाद, स्मार्टफोन और सिम कार्ड को बदला जा सकता है। ऐसे स्कैमर को ट्रैक करना लगभग असंभव है।

सभी लोग खुश हैं, सिवाय उन कार्ड के मालिकों के जिनमें से पैसे निकाले जा रहे हैं। पहले लेख में वर्णित वास्तविक मामले के आधार पर, भले ही आप डायरेक्ट को फंड ट्रांसफर करने के 12 घंटे से कम समय बाद यांडेक्स से संपर्क करें, यांडेक्स ने तुरंत जवाब दिया: “आपके अनुरोध पर, हमने एक जांच की और सभी आवश्यक उपाय किए। दुर्भाग्य से, पैसा पहले ही खर्च हो चुका है, और हम इसे वापस करने में असमर्थ थे ... "। यदि आप जल्दी से अपने बैंक से संपर्क करते हैं, तो आप निधियों को वापस करने की कोशिश कर सकते हैं, विशेष रूप से यह देखते हुए कि वे 3D सिक्योरिटी की जांच किए बिना डेबिट किए गए थे। जैसा कि पहले लेख में दिखाया गया है, प्रेषक के बैंक को एक आवेदन के बाद एक विशेष मामले में पैसा भी वापस कर दिया गया था। लेकिन पैसे वापस आने से पहले, स्कैमर के शिकार लोग यांडेक्स को अपने बैंक, पुलिस को, आदि को लिखने के लिए मजबूर करते हैं, और एक महीने तक इंतजार करते हैं, एक चमत्कार की उम्मीद करते हैं। इस बीच, क्लिक के एक जोड़े के लिए धोखेबाज आवेदन में अगले कार्ड के चोरी किए गए डेटा को दर्ज करते हैं और एक अंतहीन श्रृंखला की एक नई श्रृंखला लॉन्च करते हैं।

या शायद Yandex.Direct में शेष राशि की भरपाई करते समय अभी भी एक 3 डी सिक्योर चेक जोड़ें?