[p.....a]

Ciąg dalszy z:
cz. 1: https://www.wykop.pl/link/6842803/lubisz-blik-a-oszusci-tez-przyklad-podatnosci-niezalatanej-od-maja-cz-1-3/
cz. 2: https://www.wykop.pl/link/6844025/lubisz-blik-a-oszusci-tez-przyklad-podatnosci-niezalatanej-od-maja-cz-2-3/

Data: Jun 19, 2022
Do: kontakt @mbank, sygnaly #knf, redakcja #niebezpiecznik, kontakt #blikomania
Oraz do: adam @ZaufanaTrzeciaStrona, press @Bezprawnik redakcja #bankierpl
A nawet do: redakcja #businessinsider, pomoc #olx, przemysław #spidersweb, serwis #przelewy24

Wczoraj pan Jacek Frączyk popełnił ciekawy artykuł o oszustwach "na Blika". OLX wydaje się być żywo zaangażowane w rozwiązanie problemu oszustw. Spidersweb zrobił nawet filmik "instruktażowy" dla użytkowników, jak nie dać się oszukać. Do Przelewy24 też jeszcze nie pisałem, a są stroną w sprawie. Być może ci adresaci wreszcie okażą się godnymi mojego wysiłku. Jeśli tak się nie stanie, to po prostu założę sobie stronę oszustwa-na-blik.pl i tam po prostu opiszę, to co w tym wątku, roześlę linka po dyrektorach banków na Linkedin, zrobię znalezisko na wykopie i przeniesiemy debatę z grona kameralnego na forum publiczne. Mam wręcz wrażenie, że traktuje się mnie jak bzyczącą muchę, a przecież Blik przynosi wszystkim zainteresowanym odpowiednie zyski, z tym że chyba zapomniano, że całą zabawę sponsorują użytkownicy i ich interes tutaj cierpi najbardziej.

Dyskutowałem pomysł o sprawdzaniu lokalizacji klienta z GPS w telefonie podczas próby wypłaty z bankomatu i zabranianiu wypłaty, jeśli ów klient znajduje się od niego zbyt daleko. Pomysł odbierany jest jako genialnie prosty, z tym że trzeba (choć jest to słaby wektor ataku) zablokować również spoofing tejże lokalizacji (na Androidzie jest to proste, np. Tinder tak działa). Z definicji przecież wypłata z bankomatu nie jest funkcją mającą pozwalać na przekazywanie środków (od tego jest przelew, np. jeśli ojciec chce coś przekazać córce, to niech jej założy konto w banku i przeleje, choćby i przelewem błyskawicznym, a potem ona sama sobie to wypłaca z bankomatu), choćby dlatego nie jest właściwie monitorowany (co przestępcy, jak widać, wykorzystują) i po prostu powinno się podejmować wysiłek, żeby użytkownicy tak nie robili. Jeszcze innym sposobem byłoby, aby to bankomat przy próbie podjęcia wypłaty z Blika wyświetlał kod QR, który aplikacja bankowa klienta ma zeskanować (niech się zmienia nawet co sekundę, oszust nie zdąży przekazać go klientowi) i podać kod do wypłaty działający tylko na tym bankomacie. No albo można w ogóle zrezygnować wtedy z tego kodu, prawda? Poza tym jest to wygodniejsze w użyciu niż takie bawienie się z cyferkami. Pomysły można mnożyć, ja już mówiłem, że mogę przyjść do takiego banku i chwilę dla niego popracować. No powiedzmy UoP, czas określony 6 miesięcy, gaża 28k brutto, bardziej bym to robił dla wpisu do CV niż pieniędzy. Ale na pewno chłopcy po politechnikach też są w stanie rozwiązać te problemy, po prostu zacznijcie ich słuchać.

Co się zaś tyczy "telefonów z banku", to problem wydaje mi się trywialny, PKO BP już go nawet rozwiązało. W przypadku wątpliwości co do tożsamości konsultanta, prosimy go o weryfikację i po sekundzie w aplikacji iko dostajemy powiadomienie z jego danymi, z których możemy go przepytać, więcej info: https://iko.pkobp.pl/funkcje/weryfikacja-pracownika-banku/ - Taka metoda powinna być może stać się obowiązkową, przy czym klienci powinni być regularnie upominani o możliwości z niej skorzystania.

Na deser dziś załączam parę zrzutów ekranu z forum, na którym właśnie ci omawiani oszuści wymieniają się poradami i usługami. Nawet oni uważają Blika za niebezpieczną metodę płatności. Świetny tytuł na nowy artykuł, nieprawdaż? Inną informacją od nich jest to, że często stosują "bramki blik", czyli coś pokroju Przelewów24 omawianych w poprzednim mailu. Nawet niekoniecznie zespoofowanych, gdyż pośrednik ten założy przecież konto każdemu, kto poda mu jakiś NIP sklepu warzywnego i pozwoli przyjmować "przelewy Blik" oraz błyskawicznie zamieniać je na kryptowaluty - zanim oszustwo zostanie zgłoszone i przeprocedowane przez policję, konto już dawno zostaje porzucone i zapomniane przez oszusta. Screen przeze mnie załączony aż się prosi, żeby po prostu zorganizować prowokację i dowiedzieć się więcej o modus operandi pana melonameloniastego. Na trzecim screenie widzimy oferenta takich bramek, bierze tylko 30%, przystępnie. Weźcie się w końcu wszyscy do roboty, serio.

[p.....a]

Wspominany artykuł ze spidersweb: https://spidersweb.pl/2022/06/oszustwo-na-pracownika-banku.html

[p.....a]

No i na tym koniec mojego wkładu w tę sprawę. Mogę przyprowadzić konia do wody, ale nie mogę go zmusić, żeby pił.
Wołam jeszcze na pożegnanie, aby sprawdzić, czy skoro nawet oszuści uważają Blika za niebezpieczny mechanizm, dalej będą go bronić: @albin_kolano @IvanBarazniew @lurker @adrian1702 @PrawieJakBordo @czemu______ @odomdaphne5113 @sha128 @RandomizeUsr0 @gabaoth @gvs

[adrian1702]

@potezny_konfederata: dobra robota, mam nadzieję, że wreszcie ktoś poprawi to łaskawie

[lurker]

@potezny_konfederata: oczywiście, że będę bronił i dalej będę twierdził, że problem nie jest w technologii, tylko znajduje się między fotelem i klawiaturą. Ten sam problem dotyczy większości ataków i przekrętów. Innym problemem są pomysły naprawiania Twojego autorstwa jak np. wiązanie wypłaty z lokalizacją GPS. No. #!$%@?, Ty typie chcesz w ten sposób #!$%@?ć jedną z podstawowych zalet BLIKa jaką jest np. pomoc dziecku które jest po drugiej stronie Polski i płacze

[p.....a]

@lurker: Ciekawe jak by twoje dzieci przeżyły przed wynalezieniem internetu

[lurker]

@potezny_konfederata: o to się nie martw - w lesie potrafią przeżyć dłużej, niż Ty w mieście, gdy prądu zabraknie :)
poza tym przy tej akcji ratunkowej internetu używać nie musiały - wystarczył telefon i Blik i kierowca PKSu, który dogonił pociąg kilka stacji dalej

[p.....a]

@lurker: Ty chyba nie rozumiesz, że blik używa internetu pod spodem, a kiedyś dzieciom się po prostu dawało gotówkę do ręki. I serio nie rozumiem, dlaczego nie możesz założyć dziecku konta w banku. Tzn. i tak będziesz musiał, jak ta afera się rozkręci i twórców blika zwyczajnie pozamykamy po wyborach, ale czemu tak się przed tym bronisz? I skąd ten idiotyczny pomysł, że mnie ktoś na coś wyruchał? Pracowałem w infosec

[lurker]

@potezny_konfederata: wiem więcej, niż przypuszczasz i nie chwalę się gdzie pracowałem, bo kiedy ja ogarniałem protokół TCP/IP to Ty jeszcze z jajka na jajko przeskakiwałeś. Jak ja przestałem być prawiczkiem, to Twój stary zastanawiał się czy zębatki w konkutrze pracowym się nie wyrobiły, bo jakoś wolniej działał. Co do internetów, to po ich stronie internet nie był potrzebny (ich nie sprzedawcy biletu). A dlaczego nie dałem kasy? Bo jej nie potrzebowali

[p.....a]

@lurker: Polibuda to stan umysłu. Nic dziwnego, że systemy bezpieczeństwa projektujemy my, matematycy.

[lurker]

@potezny_konfederata: dobra skończ, bo z tą polibudą, to XD

[p.....a]

@lurker: Swoją drogą, dla ABB programowaliśmy napędy do silników, a nie silniki, ale czego ja wymagam.

[lurker]

@potezny_konfederata: napędy do silników gier programowaliście? nice xD

[p.....a]

@lurker: Aaa, myślałem chociaż, że transformatę fouriera potrafisz, a tu takie dno.

[lurker]

@potezny_konfederata: nie, typie, to pokazuje jakim typem człowieka jesteś - dużo zakładasz i nigdy nie trafiasz xD
ja jestem matematykiem, bachor chce programować silniki gier i jest fizykiem xD
i na tym zakończę, tą żenującą wymianę zdań, bo mi się battle chiken przypala

[dajlmilnusa]

@potezny_konfederata: nie rozumiem dlaczego z powodu ludzi dających kod BLIK obcym chcesz ograniczyć możliwość wypłaty kasy z bankomatu kiedy przy nim nie jestem? To tak, jakbyś wymagał obecności przy bankomacie przy wypłacie z karty, bo mogłem komuś dać kartę i PIN.

[p.....a]

@dajlmilnusa: Ilość socjotechniki potrzebnej do nakłonienia kogoś, żeby ci dał kartę i PIN jest znacznie większa i przełamuje dwa sposoby autentykacji: "coś co masz" i "coś co wiesz". W BLIK-u jest tylko "coś co wiesz", a ja tam zaproponowałem dodać "gdzieś gdzie jesteś". Nic nie stoi na przeszkodzie, żeby zamiast tego zabezpieczenia wprowadzić po prostu obserwowanie przez AI mord złodziei wypłacających coś z bankomatu i uniemożliwić wypłatę, gdy przyjdzie w ciemnych

[gabaoth]

@lurker w pełni się zgadzam, że tutaj człowiek jest głównym czynnikiem.
@potezny_konfederata łyknij tabletki, żeby ciebie nie zamknęli.

[gvs]

czy ty chOPie jesteś jakimś azjatyckim agentem bankowym co mu nie pasuje prostota BLIK'a? Chciałbyś to centralnie przeregulować? Nawet nie czaisz, że jak na darkforum scammerskim piszą, że metoda nie jest bezpieczna dla nich - to znaczy, że jest bezpieczna dla użytkowników :D Przeczytaj ze ze zrozumieniem pierwszego screena którego sam wkleiłeś.

A może prezentujesz chińskie QR kody? Konkurencja w oko kole?

Czytaj z moich ust - wyruchała cie panna na kasę.