Получил смс на телефон после посещения сайта по 3G. Как такое возможно?

Question

[Николай Марков]

Хотел скачать файл с какого-то файлообменника (уже не помню какого точно) и мне на телефон пришло смс с пользователем и паролем для доступа к (якобы?) премиум аккаунту. До этого такого не замечал. Сидел в интернете через 3G мегафона со смартфона.

Comments

[Николай Марков]

Сам я, конечно же, никуда при этом свой номер не вводил.

[Николай Марков]

Просмотрел отчет по разговорам. Списались два раза 20 руб за доступ к сайту.

[Николай Марков]

Написал в отдел мегафона по мошенничеству, мол никаких предупреждений не видел, и мне вернули через пару дней деньги.

Answer 1

[_ _]

Ходили слухи, что Мегафон сливает номера. На Хабре даже была статья, если мне не изменяет память

Comments

[Николай Марков]

Как-то слабо верится в это. Одно дело если бы Мегафон просто базу отдал кому-нибудь. Так тут уже через пару секунд файлообменник отправил мне смс. Для этого должен быть какой-то "сервис" определения номера.

[Николай Марков]

А вот это уже правдоподобнее. Попытался посмотреть заголовки запросов в FireBug - ничего не увидел. Или телефон только избранным сайтам отдается?

[Максим Котов]

habrahabr.ru/post/196894

[Николай Марков]

@Kotov спасибо!

Answer 2

[neuroink]

Сам с подобным сталкивался.
Думаю, тут история совсем другая: это не мошенничество и злоумышленники, а "дополнительные платные услуги" оператора. Операторы активно дружат с так называемыми контент-провайдерами, предоставляя им возможность списывать с абонентского счёта деньги за скачивание определённого контента, например, за картинку, за песню и т.д. Далее, видимо, уже дружба контент-провайдеров с файло-обменниками, тут уже ничего сложного нет...

Comments

[Николай Марков]

Видимо так и есть. Я написал в отдел мегафона по мошенничеству, мол никаких предупреждений не видел, и мне вернули через пару дней деньги.

Answer 3

[Сергей Вершков]

Советую СРОЧНО звонить в Мегафон и интересоваться какие платные услуги подключены.

Схема: лезешь в инет через модем мегафона, на каком либо мошенническом сайте всплывает окошечко с любым вопросом, ответ не важен, получаешься. СМС с ценой в 450 р в месяц... после разборок с гадюшным сервис-центром, выясняется что при заходе через модем для подтверждения услуги достаточно нажать кнопочку в диалоге. Никаких подтверждающих смс с кодом.

P.S. Причем Мегафон явно в курсе. когда начинаешь обвинять их по статье соучастие в мошенничестве, резко кладут трубку в кол-центре. Другой оператор "вдруг" предложил разделить убытки с мегафоном, типа вернут деньги за половину срока "пользования".

Comments

[Сергей]

Аналогично было на МТС.

Answer 4

[Андрей]

Года два назад у Мегафона вход в личный кабинет со своего 3G интернета разрешался без пароля, поскольку собственно клиент-то аутентифицирован. Однако, тут же выяснилась уязвимость - зайдя на вредоносный сайт клиент имел риск быть насильственно подключенным благодаря скриптам на этом сайте, обращавшимся к личному кабинету, на платную услугу.
Это "пофиксили".
Однако, я не исключаю, что до сих пор есть где-то возможность например отправить СМС, будучи подключенным с Мегафоновского 3G интернета с подстановкой номера собственно сотового телефона (кто-то указывает номер своего робота в получатели и по номеру отправителя СМС узнаёт Ваш).
Либо, как вариант, у Вас могла быть активной сессия в личный кабинет.

Comments

[mrspd]

Хотите сказать сайт мегафона CSRF уязвим?

[Николай Марков]

Скорее все с молчаливого согласия мегафона. У меня списались два раза 20 р со счета

[Андрей]

@mrspd : то, о чем я рассказывал было 2 года назад, я технически не разбирался в ситуации; но мое предположение - что там был не CSRF, а просто была реализована аутентификация по IP

Answer 5

[Silvery]

У меня недавно была такая ситуация с депозитом и Билайном. Спасло только то, что билайн оповещает своих клиентов о том, что они подключили платную услугу. Так что техническая возможность есть, дело только в добросовестности оператора.

Answer 6

[Вайладион Гогназдиак]

WapClick такой WapClick

P.S: msisdn recognition никто не отменял