Пользователь портала «Хабрахабр», известный под ником @kromm, заявил, что интернет-портал «Тинькофф банка» якобы имеет уязвимость. По словам «хакера», он нашел недоработку случайно, при использовании сервиса card2card для перевода денег своему товарищу. Оказалось, что для того, чтобы узнать баланс чужого счёта, необходим лишь номер пластиковой карты, пишет vc.ru.
«Дырка» не критичная, но доступность этой информации в реальном времени позволяет отслеживать все расходы/пополнения — а это уже серьёзнее», — заявил @kromm.
Пользователь, обнаруживший уязвимость, направил уведомление в службу безопасности банка, в котором описал суть ошибки, и попросил её устранить. Не получив комментариев от компании в течение трёх суток, пользователь выложил информацию об уязвимости на портале.
На данный момент известно, что представители «Тинькофф» сообщили, что ошибка была ликвидирована. Они отмечают, что риска для денег клиентов данная ошибка не несла, поскольку любую операцию необходимо подтверждать по одноразовому коду 3DS.
