🇺🇿Великая узбекистанская кража на выходных: как с карт Humo увели 57 млрд узбекских сум (~$4,6 млн)

В социальных сетях появилась информация о том, что хакеры взломали сервера одного из банков, поэтому имели доступ к картам, они украли 57 млрд узбекских сум, обменяли на крипту и вывели из страны. Газета uz сообщает о как минимум 16 пострадавших и украденной сумме порядка 1 млрд сум. Очень удивидетльно для меня оказалось, что при переводе с карт Humo виден их баланс в стороннем приложении. Что сообщают пострадавшие:

● клиентка Octobank выложила скриншоты о 3 транзакциях на сумму около 43 млн сум с ее карты Humo через Unired. Коды приходили клиентке, но она никому их не сообщала
Octobank прокомментировал инцидент, что все операции проходили через приложение Unired Mobile и были подтверждены смс-кодами:

Все возможные недочёты или неправильная работа системы защиты от мошенников в Octobank, исключены

● в ночь на 11 ноября с двух карт Humo InfinBank и НБУ клиента Сергея 4 транзакциями было украдено 74 млн сум - через приложение Unired. Смс пришли ночью, клиент никому не передавал данные с кодами. Сергей обратился в Universalbank, которому принадлежит Unired, и узнал:

Приложение не имеет алгоритмов безопасности (человек ночью скачал приложение, добавил карты банка и сразу вывел все деньги с карт, банк не считает подозрительной операцией), также заградительный

лимит 10000 долларов в день

.. Идентификацию может пройти любой человек (в моем случае прошёл некий [посторонний человек]) и добавить любые карты без проверки соответствия владельца карты

● в ночь на 11 ноября у клиентки Tenge Bank Виктории похитили 3 транзакциями 19,7 млн сум, коды приходили от Unired и OFB. Клиент подтвердила, что не ставила ни одно из этих приложений. Супруг клиентки установил приложение Humo на свой телефон и обнаружил, что под ее номером телефона значится имя постороннего человека, деньги были переведены на счета других клиентов Tenge Bank.
● Также в ночь на 11 ноября Диёрбеку, клиенту двух банков, пришли смски с подтверждением транзакции, которые он не запрашивал. В итоге с карты Qishloq Qurilish Bank списали 18,7 млн сум, с карты Xalq Bank - 2,8 млн сум. Диёрбек пишет:

Я попытался войти в свой аккаунт в Unired, и у меня получилось это сделать. Когда я зашёл на свой аккаунт, там была пройдена идентификация с другим паспортом на имя [постороннего человека], а не с моим

● Клиентка Uzum Bank проверила сессии по своей карте и обнаружила свою карту в приложениях, которые не устанавливала и не регистрировалась.

Первым (после сообщений в тг-каналах) инцидент прокомментировал ЦБ Узбекистана:

В социальных сетях и некоторых телеграм каналах распространяются

ложные

сообщения о том, что в результате хакерской атаки произошел взлом серверов, благодаря которому мошенники без каких либо проблем имели все доступы к картам, которые были прописаны в одном из приложений.
Данная информация

не соответствует

действительности. Сообщаем, что на банки и платежные системы

не совершались

кибератаки, и в настоящее время деятельность коммерческих банков и платежных систем

соответствует

всем требованиям безопасности.

Далее Humo угрожал напомнил об ответственности за распространение ложной информации:

Национальный межбанковский процессинговый центр сообщает, что данная информация является ложной и не соответствует действительности. Платежная система HUMO отвечает всем требованиям безопасности и никакой кибератаки на систему не происходило.
Мы также просим активистов социальных сетей не распространять непроверенную и ложную информацию. Напоминаем, что за распространение ложной информации среди населения предусмотрена ответственность

Очевидно, что кража денег неважно у 9 или 16 клиентов свидетельствует о серьёзной дыре на одном из этапов переводов: в телефоне, в приложении, в банках или ещё на каком-то этапе. ЦБ и Humo по сути правильно сделали, что успокоили клиентов, но на время полного разбирательства могли бы и приостановить полностью такие переводы.

@MarketOverview