Хранит ли банк IP адреса?

Question

[Роман]

Такой вопрос:
- С компьютера производилась покупка в интернет магазине с помощью ввода данных с карты с поддержкой 3ds. И у кого теперь храниться IP адрес этого компьютера? В банке или платежной системе?

Comments

[landergate]

Платёжные системы обычно пишут прямо внизу страницы, что они записывают IP. Передаётся ли он банку - тоже интересно. Думаю да, учитывая, что 3d-security - это веб-страница банка.

[Роман]

landergate:
> Платёжные системы обычно пишут прямо внизу страницы
На какой странице?

[landergate]

Роман: Да прямо во время оплаты. В подвале страницы иногда пишут что-то вроде "Your IP has been recorded" (или "collected"), часто его показывают на этой же странице.

Answer 1

[Melkij]

Наиболее вероятно - у всех. И у магазина, и у банка, и у платёжной системы, и ещё у кого-нибудь посередине и группе мест где-то сбоку, напрямую с вами не связанными.

Comments

[Роман]

Вероятно - не подходит. Надо наверника и подробнее. В какой организации можно отыскать экспертов на эту тему?

[CityCat4]

1. У провайдера точно хранится факт, что Вы заходили в интернет-магазин
2. В интернет-маназине точно хранится факт, что Вы заходили под некоей учеткой и делали покупку (и какую покупку и на сколько)
3. В платежной системе, проводившей платеж точно хранится факт проведения платежа, откуда, куда сколько
4. В банке точно хранится факт выполнения платежа такому-то магазину и сколько.
Все эти действия подразумевают логирование IP. Как минимум.

[Эргил Осин]

CityCat4:

> 1. У провайдера точно хранится факт, что Вы заходили в интернет-магазин

А я захожу через VPN на собственном сервере и ДНС у меня тоже завернут и к моему провайдеру не ходит. Откуда вдруг у провайдера этот факт оказался?

[Иван]

Эргил Осин: тогда ваш провайдер - VPN. Сохранилось у него.

[Эргил Осин]

Иван: а мой ВПН у меня на сервере. И логов я не веду.

[Роман]

SyavaSyava:
> Думаю в Управлении «К» МВД РФ
В моем городе таких специалистов нет. Точнее в отделе "К" их нет. Они связывались с отделом безопасности банка, те им тоже ничего не пояснили. И все разводят руками...

[Роман]

CityCat4:
> 1. У провайдера точно хранится факт, что Вы заходили в интернет-магазин
Вы имели в виду хостинг-провайдера?
> 3. В платежной системе, проводившей платеж точно хранится факт проведения платежа, откуда, куда сколько
Тут хотел бы уточнить, платежная система получает IP адрес компьютера который проводит оплату в магазине?
> 2. В интернет-маназине точно хранится факт, что Вы заходили под некоей учеткой и делали покупку (и какую покупку и на сколько
Этот "Интернет-магазин" является частью мошеннической группы. Запросы туда были, но они поменяли телефоны и игнорируют.

[АртемЪ]

Роман: Если вероятно вам не подходит, то нужно знать название и адрес организации.
После чего можно будет купить такую информацию.

[CityCat4]

Эргил Осин: Стесняюсь спросить - а там, где терминируется Ваш VPN, тоже логов не ведут?

[Роман]

АртемЪ:
Информация должна быть от эксперта. Иначе она не будет доказательством в суде.

[АртемЪ]

Роман: Ну так если вам нужна информация от эксперта, зачем вы тут спрашиваете?
Идите к эксперту.

[Роман]

АртемЪ: Для общего развития. Чтобы понять где искать.

[АртемЪ]

Роман: Так вы уже определитесь - вам нужно мнение эксперта, чтобы наверняка и подробно, или вам просто для общего развития общеизвестная информация нужна.

[Роман]

АртемЪ: Да я понял что у мастеркард запрашивать надо и у хостинг-провайдера. Хотел просто узнать в какой организации плавают такие эксперты кроме банка и отдела "К". Чтобы можно было еще банк на штрафы посадить за не предоставление информации.

[АртемЪ]

Роман: Такие эксперты нигде не "плавают"
Узнать хранит ли конкретная организация ваши IP адреса можно только в самой этой организации.
Какие штрафы? Какое непредоставление информации? Вы вообще о чем?

[Роман]

АртемЪ:
> Идите к эксперту.
Где их место обитания?...

[АртемЪ]

Роман: В вашем случае эспертом может быть специалист знакомый с организацией ИТ в конкретной компании.
Поэтому они работают в интересующей вас компании.

[Роман]

АртемЪ:
> Какие штрафы?
Блин! Только сейчас посмотрел что там штрафы совсем маленькие... (Статья 19.7. КоАП)
Все, спасибо всем! Эксперт уже не нужен...

Answer 2

[Эргил Осин]

Страница 3d-secure это страница сайта вашего банка, так что само собой в логах он сохраняется. Было бы странно не сохранять в логах IP-адрес.
Я вам больше скажу, один из банков которым я раньше пользовался при неожиданной смене географической приписки IPшника с которого я заходил(я сменил ВПС в Нидерландах использовавшийся все время для ВПНа на сервер во Франции) меня спросил человеческим голосом(звонком сотрудника СБ банка) «Господин Осин, вот тут вместо обычных Нидерландов ваши данные засветились из Франции, это действительно вы были?» и получив подтверждение спросили надо ли отметить этот адрес, как нормальный для меня. То есть не только хранят, но у некоторых еще есть триггеры сообщающие в СБ о внезапных географических изменениях, что правильно с точки зрения безопасности моих денег.

Comments

[Алексей Николаев]

Представляю, какой геморрой испытывают люди, часто ездящие из страны в страну. На мой взгляд, это совершенно неправильно с точки зрения комфорта клиента. Ладно еще, если спрашивают, иногда и заблокировать могут.

[Эргил Осин]

Алексей Николаев: достаточно один раз обрисовать что «Вот, такие-то страны или такие-то города» и все будет хорошо. Тот банк о котором я говорю мне ни разу ничего не блокировал, но точно так же когда я заплатил картой в городе за 1500 км от Москвы первый раз мне позвонили и попросили подтвердить, что это я приперся в такую срань.

[Роман]

Какой хороший банк! В моем случае это Сбербанк.

[Роман]

Представители банка отрицают такую возможность. Хотя если подумать логически то: - Банк страхует вклады но только все это платно, а значит у него есть возможность провести расследование и понять были-ли это мошенники.

[Эргил Осин]

Александр: прокуратура — орган надзирающий за соблюдением законности. При чем здесь прокуратура? Может все же в органы МВД?

[Роман]

Александр:
> нужно идти в и писать заявление в прокуратуре.
Писал уже. Следователю тоже знаний не хватает. Отдел "К" не шарит в этой теме. Пришлось в суд подавать и самому доказывать что это дело рук мошенников. Сейчас осталась последняя надежда на запрос в MasterCard. Представители банка сказали что запрашивали и им не прислали эту информацию. Я им не верю, и надеюсь что суду ответят.

[spotifi]

Алексей Николаев:

На мой взгляд, это совершенно неправильно с точки зрения комфорта клиента.

Напротив.
В наше время когда кругом все взламывается - это очень хорошая забота банка о клиентах.
Главное, что у банка есть простая и отработанная процедура.

У меня блокировалась карточка Payoneer при путешествиях. Разблокировка заняла то ли месяц то ли полтора.

[spotifi]

Роман:

Представители банка отрицают такую возможность.

Как работает их платежная система в банке даже не каждый админ имеет представление. А вы разговаривали с обычными клерками.

[Роман]

spotifi: Скорее всего так оно и есть. Хотя опять же могут и скрыть прикинувшись дурачками. От того что они не расскажут им от этого хуже не будет. За сокрытие информации штрафы минимальные.

[spotifi]

Роман:
1. Штраф-то не в твою пользу. а в пользу государства.
2. Штраф все равно назначается через суд.
3. Сумма штрафа смешная.

Если тебе нужно получить информацию а кто незаконно по твоей карте снимал, а в банке это штатным образом не рассказывают тебе - обратись в суд.

Правда, адрес тебе ничего не даст. Чтобы получить информацию - а чей это был адрес тебе придется еще раз в суд обращаться.

И что ты сделаешь, если узнаешь, что это был Вася Пупкин из Урюпинска?

Поедешь к нему? Или в суд (в третий раз) обратишься на Васю?

Не проще ли это сделать все сразу?

[Роман]

spotifi:
> И что ты сделаешь, если узнаешь, что это был Вася Пупкин из Урюпинска?

В данном случае мне нужно доказать что компьютер находился не в моем регионе. Немного подробнее распишу: - Для покупки в интернет магазине нужен компьютер и телефон. На телефон приходит код подтверждения который ты вводишь на компьютере. У меня на телефоне был вирус который блокировал для меня смс от банка и отправлял его мошенникам, которые и вводили его на своем компьютере. У банка единственное доказательство это то что они мне отправили смс. Если показать что компьютер и телефон был в разных местах страны, то пусть банк потом и доказывает что я сжульничал.

> Штраф-то не в твою пользу. а в пользу государства.

Блин, не знал.

[Роман]

spotifi:
> Не проще ли это сделать все сразу?

Все сразу и делаю. Банк отказал, в платежную систему напишем.

[spotifi]

Роман: существует такая профессия - юрист.....

[Роман]

spotifi:
> существует такая профессия - юрист.....

Вы думали что я сам?! Юристам тоже сложно ориентироваться в IT технологиях.

Answer 3

[Saboteur]

Роман, вам взять и положить внутреннюю систему ВСЕХ банков?
У каждого банка свой софт. У нас например IP хранится. Даже в логах есть. Уверен, что в нынешний век, когда хранят кучу различных данных, на IP место найдется, так что хранят все. И искать экспертов не нужно.

Comments

[Роман]

А если они уперлись в то, что у них такой возможности нет. Как им к носу все это подвести?

[Роман]

> Роман, вам взять и положить внутреннюю систему ВСЕХ банков?
К сожалению я не обладаю такими знаниями.

[Saboteur]

Роман: И никто не обладает. А кто обладает, подписывал NDA, так что ваш вопрос некорректен.

[spotifi]

Роман:
Я вам больше скажу - даже компетентные органы не всегда в достаточной степени трясут банки, чтобы получить "какой там был IP". А вы захотели чтобы вам частному лицу все выложили.
Можно попытаться через суд.

[Роман]

spotifi: Уже пытаюсь. Адреса мастеркард не было. Я думаю от добросовестности сотрудников или начальника зависти дадут они запрашиваемую информацию, или нет. Штраф за не предоставление, всего лишь 5 т.р.

[spotifi]

Роман: в местном отделении нет доступа к той базе данных. в центральном отделении - разве что у нескольких сотрудников.

если у них нет стандартной процедуры выдачи такой информации, то, даже если они желают, это большая волокита внутри самого банка.

через суд - реальней гораздо.

[Роман]

spotifi:
> через суд - реальней гораздо.

Через суд и запрашивали. Сказали что такого у них нет. Последняя надежда на MasterCard...

[spotifi]

Роман:
Маловероятно что нет. У местного отделения - нет. У центрального - не может быть чтобы не было.

[Saboteur]

Данные могут храниться не так уж и долго.
Например наличие подробных логов не означает, что есть какой-то конкретный документ, который требует их наличия.
А если логи какого-нить апача/томката/нгинкса не описаны в документации к банковскому приложению, то вам и будут говорить что их нет.
И вдобавок раз они не описаны, нет retention policy, их и удалять могут по желанию левой пятки.
То есть если вам официально сказали, что логов нет - значит официально вы от них не добьетесь.

Answer 4

[Dimonchik]

https://www.maxmind.com/en/minfraud-score-insights-beta

Comments

[Роман]

Я сомневаюсь что Сбербанк использует данную систему. По крайне мере они ее не афишируют

Answer 5

[res2001]

Ваш IP адрес может быть у банка в случае, если оплата проходила через сервис этого же банка. Если это не так, то IP адрес будет у банка или платежной системы где зарегистрирован платежный сервис, которым вы пользовались для оплаты. Во втором случае банку где вы выпускали карту приходит информация об операции через платежную систему, там уже нет IP адреса.

Если у вас претензии к банку, то можно для начала попробовать обжаловать операцию в банке, написав заявление туда. Если не поможет и вы захотите дальнейших разборок - то в соответствующие органы.

Comments

[Роман]

Спасибо! Все сводиться к тому, что в платежной системе все должно быть. А претензии уже 3 раза писал...

Answer 6

[DaNHell]

Хранит, как миленький хранит, да еще и хедеры. Ко мне приходили и с 3х месячной папкой распечатанных логов с содержанием абсолютно всех действий конкретного юзера.
Скажу больше, более устаревшые логи пишут на магнитные ленты и хранят в архиве вплоть с нулевых годов. Не стоит в этом сомневаться господа.. Хотите - проверьте ;)

Comments

[Роман]

> Хотите - проверьте

Хочу! Как?

[Роман]

У нас экспертов в IT технологиях которые разбираются в платежных системах прям не могу найти. Даже в нашем филиале контролирующего органа - центробанке, таких людей нет. Все остальные банки тоже филиалы, и вряд ли там будут такие люди. Региональный банк развалился и не успел туда сходить (хотя они работали по золотой кароне)

[DaNHell]

Роман: не вопрос, тестируйте банк на уязвимости, однажды я нашел 2 критических, и изза ввождение в забдуждение клиентов, банк Х, потерпел пару транз приличных, ну как банк, скорее клиенты. Так я и познакоимлся с теми кто там работает, да не только, спецов хороших не так уж много, и все они общаются между собой.
Согласен насчет уровня подготовки, действительно так и есть. А знали бы что в б с т м (он же великий К) творится.. Шоколохацкеры куда прошаренней на сегодняшний день((