Взлом аккаунта на примере Убера
Раз уж я упомянул этот случай в предыдущем посте, то не буду томить и опишу.
Для любителей «по-быстрому» ответ: я был сам дурак, за что и пострадал. Любители лонгридов, добро пожаловать под кат.
Итак, начнем же издалека, как мы тут это любим. Годов так с конца 90-х.
Было время, когда поехать из точки А в точку Б можно было только тремя способами:
- На общественном транспорте. Однако, он мог либо не идти до вашего места назначения, либо это занимало слишком много времени.
- Попросить друга с машиной подвезти. Это лучший случай, но не всегда работал, т.к. друг не всегда сможет.
- Заказать такси.
Как несложно догадаться, из трех пунктов самый универсальный и безотказный вариант - это вариант с такси (номер 3). Однако, эти демоны за свои услуги всегда хотели с пролетариата каких-то совершенно невменяемых денег. Собственно, именно поэтому «наши люди» в «булошную» на такси никогда и не ездили.
И тут в 2009-ом году один дерзкий парень предложил идею любому смертному стать таксистом. Что, разумеется, тут же обрушило цены на услугу, а сам идея стала популярной. Вот на этом-то этапе я и присоединился к движу, и создал себе аккаунт в Uber.
Долгое время система работал как надо. Заказал машину - она быстро приехала. Услугу оплатил через PayPal. Удобно? А то! Но тут через приложение Uber пришла реклама: бери мега-выгодную кредитную карту Uber и не прогадаешь!
Что может пойти не так, когда ты пользуешься услугами Uber и получаешь карту от Uber? На первый взгляд, ничего. «Они же один бизнес!», подумал я. И хрен угадал. Сервис такси - это одна компания, а вот карта - это уже банк (Barclays, если быть точным), совсем другая компания. Почему это важно я тоже не сразу понял, так что терпение.
И вот, я отключаю свой проверенный PayPal от приложения и связываю его с картой Uber. Удобно же когда все перки сразу в одном месте? А еще можно бонусными поинтами платить за поездки - вообще ураган!
Эта идиллия длилась довольно долго. Я бы даже сказал, чересчур долго, ибо от природы присущая бдительность притупилась. И тут я начал получать по СМС уведомления, что кто-то пытается восстановить пароль на моем аккаунте, а мне надо ввести пришедший код. Конечно же, это был не я. Что я сделал? Ничего. Код пришел мне, а не им, в чем проблема?
Спустя годы, проблема уже известна. На тот момент Убер использовал 4-х значные коды, а я получил далеко не одно сообщение. На примере одного меня шансы были ничтожные, но если работаешь «на массу» (сотни тысяч аккаунтов), то где-то да код и подойдет. Подошло, увы, на мне.
Первым делом негодяи сменили мои личные данные. Причем сделали это очень странно - сократили фамилию до первой буквы. Наверно думали, что придется ею часто вводить (тут я их могу понять, она длинная). Потом, негодяи стали ездить по одному и тому же маршруту «взад-перед» стоимостью где-то 20 баксов, но за каждую поездку давали по 100 баксов чаевых. Понятно, что водитель был в доле.
После пары таких покатушек, банк, выдавший карту, немного охренел. И прислал мне уведомление. Тут уже охренел я, и сразу позвонил в банк. Банк исправно заблокировал карту, а все «покатушки» без вопросов списал в статью fraud transactions (за что местные банки я сильно люблю).
И тут бы был хэппи-энд, не будь великолепного сервиса Убер. Ребята продолжали обеспечивать «покатушки», несмотря на то, что транзакции по карте не проходили! Я устал отслеживать историю негодяев, но как минимум 10 поездок уже после блокировки они сделали.
Я позвонил в службу поддержки Убер (и очень долго ждал пока ответят!). Я сообщил о проблеме и получил заверения, что все будет решено.
Спустя время, понадобилось куда-то поехать. Открыл приложение Uber, ввел все данные, выбрал куда-как-чего, и на моменте «применить» вдруг сообщение: «вы не можете заказать поездку пока не погасите задолженность за предыдущую поездку в размере xxx баксов». Извините, что?!
И в этом «что» вообще-то сразу много вопросов. Во-первых, какого хрена? Во-вторых, почему не в начале заказа?! Проверка истории покатушек негодяев показала, что запрашиваемая сумма - это одна из их поездок. Одна из тех, что они не смогли снять с карты (она уже была заблокирована), но все равно засчитали. Но я же звонил и объяснял!
Я опять позвонил и сообщил о проблеме. Меня уверили, что «ой, так бывает, вы не парьтесь, мы вот уже все исправили». А я, надо сказать, уже начал на тот момент париться. Был, знаете ли, повод.
И следующая попытка поехать через замечательный сервис Убер обломалась точно так же. Только они другую сумму захотели. Это была тоже поездка негодяев, но уже другая. «Ладно, - подумал я, - простим вам этот косяк. Мне же ехать надо». И я опрометчиво заплатил не свой долг! Угадайте, что было при попытке заказать поездку по-новому? Ага, они захотели долги по следующей поездке негодяев! Сообщить мне всю задолженность им религия не позволяет, так что я до сих пор не подозреваю как много я «должен» этой компании.
Попытки дозвониться в поддержку и объяснить мое негодование разбились об их нежелание поднимать трубку. Я звонил после этого 4 раза на протяжении четырех дней - ноль на массу. Шерифа не волнуют проблемы аборигенов.
Вот так я стал пользователем Lyft, а бонусы по карте Uber стали для меня бесполезны пока поддержку этой карты банк в конце концов не прекратил. За что спасибо банку, но уж точно не сервису Убер.