Humans и Paylov возлагают ответственность за мошеннические списания друг на друга
Humans и Paylov объяснили, почему у части пользователей произошли несанкционированные списания и кто, по их мнению, несет ответственность за инцидент.
Центральный банк 9 декабря приостановил все платежные услуги Octagram (Paylov) в приложении Humans. Это произошло после жалоб пользователей на неожиданное списание средств 8 декабря. Регулятор потребовал временно отключить P2P-переводы для проверки безопасности и поиска возможной уязвимости.
Комментарий Humans
Компания Humans подтвердила, что с 4 по 8 декабря часть пользователей столкнулась с мошенническими списаниями с банковских карт. Причиной стала уязвимость в системе партнера — платежного сервиса Paylov, который принадлежит АО «Octagram». По данным Humans, злоумышленники использовали доступ к токенам и ключам, находящимся в инфраструктуре Paylov, и отправляли запросы напрямую в API, минуя приложение Humans и без участия клиентов.
Humans передал все технические материалы регулятору и правоохранительным органам. Компания заявила, что возврат средств будет проведен по закону и что считает единственным правильным решением — полностью компенсировать ущерб пострадавшим.
После первой волны атак Paylov, по данным Humans, не ограничил доступ с неавторизованных IP-адресов, что привело ко второй волне. Фродовые операции также затронули пользователей других платежных сервисов.
Из-за инцидента Humans временно остановил P2P-переводы через Paylov. Остальные сервисы компании — связь, маркетплейс и доставка — продолжают работать в обычном режиме.
Комментарий Paylov (АО «Octagram»)
По данным Octagram, 6 декабря их сотрудники обнаружили подозрительные транзакции у клиентов Humans и сразу предупредили компанию. Операции были временно остановлены. На следующий день, 7 декабря, Humans официально уведомил Octagram, что ситуация под контролем и фрод заблокирован, и попросил возобновить транзакции.
Octagram заявила, что 8 декабря все платежные услуги Humans через Paylov были временно приостановлены. Компания также отметила, что в их системе не обнаружено технических уязвимостей, а все необходимые меры были соблюдены. Мошеннические операции стали возможны из-за использования зашифрованных ключей, переданных Humans, и ответственность за их хранение лежит на Humans.
Octagram добавила, что у других партнеров, использующих их технические решения, подобных проблем не возникало. Сейчас по ситуации проводится оперативная проверка, и компания передала все данные уполномоченным органам.
