Что делать, если нашел серьезный баг в мобильном приложении крупного банка?

Question

[Ivperivm]

Баг позволяет украсть деньги у банка

Comments

[Александр Таратин]

https://www.google.ru/webhp?sourceid=chrome-instan...

[Ivperivm]

Александр Таратин: Через несколько дней путевка закончится. Или Вы предлагаете сбежать из отеля и начать работать за еду ? :)

[Александр Таратин]

Ivperivm: Да, так как i.ytimg.com/vi/SrwlxcEZC4Q/hqdefault.jpg
В РФ уже не вернуться.

Answer 1

[Yuri Kan]

Сливать деньги, конечно же :D
А по сути отрепортить банку, думаю он вас поощрит, если сделать все по умному)

Comments

[Ivperivm]

Сообщил в региональное отделение. Они не хотят отвечать.

[Александр Таратин]

Yuri Kan Скорее всего речь идет о РФ/Украине/Белорусии, поэтому вознаграждением вероятно окажется небо в клеточку.

[Ivperivm]

Александр Таратин: РФ. Вряд ли они посадят меня за несколько десятков рублей

[Александр Таратин]

Ivperivm: Данный комментарий лучше удалить. Какая разница сколько?

[Ivperivm]

Александр Таратин: Уголовное дело от 1000 рублей заводят

Answer 2

[azShoo]

Алгоритм примерно следующий.
1) Избавиться от счетов в данном банке и порекомендовать знакомым сделать то же самое.
2) Репорт в банк.
В большинстве случаев несет профит только тогда, когда удается выйти на безопасников.
Клуши из саппорта принципиально игнорят такие вещи.
3) Посты в соц. сети, хабр и тематические сообщества.

Comments

[Ivperivm]

И что же нужно постить? Наличие ошибки или сам алгоритм получения прибыли?

[Роман]

Да за посты могут и "притянуть" же

[azShoo]

Постить нужно как минимум потому, что пока гром не грянет, как известно, дурак не перекрестится. С банками это тоже работает.
Есть вполне устоявшаяся практика. Репортишь, ждешь реакции, репортишь второй раз, если реакции в разумные сроки снова не последовало - начинаешь привлекать внимание к проблеме.

Ivperivm: ,Роман: Естественно, я не призываю делать посты из цикла "Украсть деньги у банка за 10 шагов". За это можно получить нехилых люлей, да и просто с точки зрения кармы - это не очень хороший ход.
Цель постов - привлечь внимание к проблеме, причем сделать это так, что бы максимальный круг людей узнал о ней, но не смог ей злоупотребить.
Что постить? Описание ошибки, достаточно полное, что бы понимать масштабы трагедии, но слишком общее, что бы этим описанием можно было воспользоваться как мануалом.
Для вконтактика или жежешечки достаточно простой новости с тонной репостов, для таких площадок как хабр - уже более подробный обзор.

[Ivperivm]

azShoo: Для пользователей трагедии нет. А вот для банка... Понятно, что укравшего найдут и заставят вернуть, если сумма существенная.
И люлей, как я думаю, должны получать разработчики, т.к. не удосужились проверить единственную функцию программы на ошибки.

[azShoo]

Ivperivm: Тут, понимаете, не всё так просто. Если банк не может обезопасить условно свои деньги - он не может обезопасить и чужие.
И я почти уверен, что если там не закрыли дыры позволяющие украсть у них бабло, то к таким мелочам как несанкционированный доступ к ПД и прочим данным пользователей - тем более.

[Ivperivm]

azShoo: Статистика говорит, что такие дыры есть в 80% мобильных банков. Получается, им всем нельзя доверять свои данные?

[azShoo]

Ivperivm: Статистика лжет. Дыры есть в 100% мобильных банков.
Вопрос в:
а) сложности эксплойтов
б) скорости их исправления и\или реагирования на сообщения об оных.
Если эксплойт серьезной, находится относительно легко, и висит неисправленным месяцами, несмотря на упорные попытки донести это до банка - это тревожный звоночек, о котором стоит знать всем клиентам этого банка.

Answer 3

[Пума Тайланд]

Воруйте, сказать честно с таким отношением во всех банках не жалко их.

Answer 4

[entermix]

По идее сообщить в банк, но.. habrahabr.ru/post/193204