Рубрика «короткие номера»

Мегафон не спешит закрывать старые дыры в безопасностиНе так давно, netAn опубликовал интересную статью описывающую проблемы безопасности системы Мегафон — Сервис-гид.

По прошествии времени, мы решили проверить, насколько Мегафон заботится о безопасности личных данных своих клиентов, и провели небольшое тестирование продуктов авторизации в «сервис-гид». Результат не увенчался успехом, Мегафон действительно исправил ошибку, в которую их тыкнуло хабро сообщество, но пойти дальше и проверить всю систему они почему-то не решились.

Не буду повторяться, что можно сделать со счетом абонента имея доступ в «сервис-гид» (см. статью) перейду сразу к сладкому.

Как показал анализ, в Мегафоне, существует внутренний гейт, с которым соединятся и messages.megafon.ru, moscowsg.megafon.ru и многие другие приложение для авторизации абонентов. Используя мобильные приложения «UMS» и «Мегафон Диск» можно подбирать пароли с высокой скоростью за счет отсутствия необходимости в проведении полной процедуры аутентификации.

Об этой проблеме было отправлено письмо в службу технической поддержки абонентов Мегафон несколько недель назад, но как не странно она не отреагировала на наше письмо. На момент 11 декабря нечего не исправлено.
Читать полностью »

На один из наших корпоративных сотовых телефонов была почти успешная хакерская атака.
К счастью, довольно быстро удалось разобраться — откуда растут ноги.
Мы обнаружили очередную дыру в защите Мегафона, о чём с вами и делимся.
Так как она касается всех абонентов сети.

Несколько дней назад я сообщил в абонентскую службу о дыре на сайте Мегафона. На момент времени 08.04.2013 уязвимость не исправили.
Читать полностью »

Если вдруг однажды вы заметите, что с вашего счета начнут утекать деньги в непонятном направлении, эта статья поможет вам разобраться в причинах и, самое главное, вернуть эти деньги.

Disclaimer: хабр не является жалобной книгой, поэтому из статьи был выкинут личный пример «попадания» на описываемое.

Как вообще можно подписать на услугу без моего ведома?

У сотовых операторов есть «партнеры», оказывающие разного рода услуги (например, купить картинку-подарок в «Контакте»). Смысл подобных услуг заключается в следующем:

  1. Вы вводите номер телефона.
  2. Вам присылают код подтверждения.
  3. Вы вводите этот код.
  4. С этого моменты вы считаетесь официально подписанным на какую-то услугу (будь то одноразовую или нет).

Подвох заключается в том, что легитимность подключения какой-либо услуги операторы запрашивают у самих компаний, которые эту услугу подключают (эти компании именуются партнерами сотовых операторов). Более того, отправление уведомления и подтверждения подключения какой-либо услуги лежит полностью на совести партнеров операторов (контент-провайдеров). Интересным также является тот момент, что в биллинге у некоторых сотовых операторов (например, у «Билайна») нет информации по поводу входящих смс, т. е. если вам будут говорить, что вам пришла смс с подверждением, вам не смогут это доказать.

Всё это делает возможным, например, следующую схему:

  1. 1-го января в семь утра вводят ваш номер телефона.
  2. Оператору присылают уведомление, что вы бессрочно подписались на такую-то услугу и подтвердили эту услугу.
  3. С вашего счета начинают списывать 40 р. каждый день, пока не кончатся деньги или вы не заметите их утечку (если вы платите за телефон раз в месяц, то легко можете потерять тысячу рублей).

Читать полностью »

imageФедеральная антимонопольная служба приняла к рассмотрению дело в отношении ОАО «МегаФон», ОАО «Мобильные ТелеСистемы», ОАО «ВымпелКом» по признакам нарушения части 1 статьи 10 ФЗ «О защите конкуренции» при оказании абонентам сети подвижной радиотелефонной связи услуги по обеспечению доступа к информационно-справочным и развлекательным сервисам (услугам) третьих лиц (контент-провайдеров).

Читать полностью »


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js