Телекомы

индекс
182,10

«Билайн» имеет странное представление о безопасности, но берется бороться с мошенниками

Некоторое время назад на Хабре писали о том, что Билайн открыл специальный сайт для борьбы с мошенниками. Правда, польза данного ресурса, как мне кажется, весьма сомнительна. Особенно принимая во внимание просьбы службы поддержки оператора.

Ну, обо всем по порядку.

В Системе управления услугами (e-care) уже достаточно длительное время имеется возможность подключения услуги "Запрет использования услуги". Найти какую-либо информацию о ней на сайте оператора не удается. Щелкать в название услуги в e-care бесполезно: не смотря на имеющееся предложение щелкнуть название тарифа или услуги, чтобы попасть на страницу с подробным описанием, этого, как правило, не происходит. Вместо страницы с описанием интересующей услуги открывается главная страница сайта (и не всегда твоего региона, хотя, открывать правильный регион достаточно просто, располагая данными об IP-адресе и городе заключения договора — ведь в кабинете указан адрес регистрации абонента).

Поискав на сайте, щелкнув в название новой услуги в e-care и не получив необходимой информации, попробуем использовать запасной вариант: ЦПК (центр поддержки клиентов).

Напишем им письмо и вложим снимок экрана кабинета, чтобы сотруднику было понятно, о чем идет речь:

На одном из моих номеров уже длительное время имеется услуга «Запрет использования услуги» (см. вложение). Расскажите, пожалуйста, подробнее о ней.


image

В ответ на, казалось бы, предельно ясную просьбу получим ответ:

Уважаемый Михаил Михайлович!

Благодарим Вас за обращение.

Для того чтобы мы смогли тщательно проанализировать (! — прим.) сложившуюся ситуацию, просим Вас прислать логин и пароль (! — прим.) для входа в Центр, поскольку при проверке с нашими паролями может отображаться другая информация.

Будем рады ответить на интересующие Вас вопросы по электронной почте questions.msk@beeline.ru
или при обращении в Центр поддержки клиентов по телефонам + 7 (495) 974-88-88 или 0611 (с мобильного телефона).

Желаем всего наилучшего!

Ваш «Билайн».



Хаброчитателю может показаться, что этот пост о неадекватности ответов, составленных ботами-генераторами текста, составленных сотрудниками ЦПК. Или о том, что чуть ли не с самого начала существования e-care нельзя узнать подробностей о тарифе или услуге, щелкнув их название в списке доступных тарифов/услуг. Однако написать все это заставила просьба прислать им логин и пароль для входа в Центр управления услугами.

Несмотря на то что в справочной информации, ссылка на которую имеется прямо на странице ввода логина и пароля Центра, есть намек на то, чтобы не сообщать пароль третьим лицам, сотрудники не в первый раз просят сообщить пароль:

Может ли кто-нибудь еще воспользоваться моим паролем?
Нет, не может. Только если вы сами передадите пароль кому-то еще. В этом случае мы не несем ответственности за безопасность вашей информации.


Помню, как несколько лет назад некоторые сотрудники (сейчас уже и не вспомню их имена и лица) одного из ЦПК (тогда еще Центр обработки клиентских запросов (ЦОКЗ)) под чужими учетными данными (данными сотрудников ЦОКЗ) подключали на номера особо неприятных им абонентов, обращавшихся в ЦОКЗ с жалобами и требованиями (не всегда обоснованными), платные услуги или отвязывали номер (т. н. процедура Canceled), освобождая его и делая доступным для подключения другим абонентом. Не знаю, чем именно заканчивались такие отвязки, но факт совершения таких процедур могу подтвердить под присягой. А другие, имея доступ к восстановлению кодов карт оплаты, активировали их на свои номера и номера родственников.

Так вот, на фоне этих событий сообщать кому-либо свой пароль, зная который кто-то может совершать операции над номером от моего имени, совсем не хочется. Понятно, что подключить/отключить услугу можно без моего пароля, используя внутренние инструменты, доступные сотрудникам. Но эта операция будет выполнена от имени сотрудника.

Известно, что различные интернет-службы (почта, форум и пр.), как правило, посредством электронной почты осуществляют информирование пользователей о том, что администрация службы ни под каким предлогом не станет запрашивать пароль пользователя. Таким образом, службы стараются препятствовать мошенническим схемам, ставшими особенно распространенными в последнее время, когда под различными благовидными причинами у пользователя выуживают пароль. А «Билайн», создавая специализированные сайты, сам создает благоприятные условия для обмана пользователей.
+47
16 марта 2010, 15:13
3

комментарии (44)

НЛО прилетело и опубликовало эту надпись здесь
+3
malferov #
Спасибо, поправил. Так спешил, так спешил :-)
+1
Guria #
В оговорке комментарий.
НЛО прилетело и опубликовало эту надпись здесь
+2
MrNull #
Интересно было бы посмотреть как ОПСОСы (да и другие телекомы) проводят кастинг в свои службы поддержки, а так же почитать внутренние инструкции касающиеся «оперативности» решения тех или иных вопросов.
Лично у меня в последнее время складывается впечатление что среди телекомов проводится конкурс на самую дебильную службу поддержки.
0
BlooDHounD #
возможно они проводят отбор исключительно из кого не взяли на работу в макдональдс =)
0
Mokkey #
Поддержка давно признана у операторов убыточным подразделением и всячески ужимается. Как следствие — снижается её качество. Всё это в первую очередь относится к коллцентрам, но и разбор «отложенных заявок» того же поля ягодки.
+12
MiXei4 #
safe.beeline.ru
Отлично смотрится здоровая надпись «Осторожно, мошенники!» рядом с лого Билайна.
+4
putnik #
Билайн, похоже, не в курсе, что множество кодировок не ограничивается cp1251. Либо же они так гонятся за «безопасностью», что скрывают это от моего браузера.
–1
MiXei4 #
Firefox? У меня в нём тоже не определяется кодировка :) А в коде у них кодировка не указана — видимо правда не в курсе.
0
putnik #
И Chrome, и Firefox. Ни в коде, ни в HTTP-заголовках кодировки не обнаружено.
0
navix #
Там все инВалидно. Кроме того, что мета не прописана (вообще ничего), так еще, например, есть описание стиля в теле самой странички. Вообщем, про.
0
rGizmonua #
Разве рядом?
НЛО прилетело и опубликовало эту надпись здесь
+1
zaartix #
да они как-то если и косячат, то либо скромно, либо тихо, либо профессионально
НЛО прилетело и опубликовало эту надпись здесь
+2
dsfox #
Вместо этой чепухи на сайте, которую всё равно никто не будет читать следовало бы:
Протащить рекламой к людям специальный короткий номер, на который все могли бы слать номера телефонов мошенников…
Больше 50 смс с одним номером (от разных абонентов) — блокировка…
народная модерация сделает своё дело.
0
ZiZZoKo #
Народная модерация уже сделала «своё дело» в одной известной социальной сети.

А блокировка при достижении определённого кол-во голосов будет бесплатной функцией «Заблокировать конкурента».
+2
malferov #
Вспомнил про блокировку конкурента.

Сотрудники блокировали абонентов так: звонили на удаленный номер активации карт оплаты, вводили номер абонента, номер которого планировалось заблокировать, как пытающийся подобрать код карты, и n раз (существует лимит попыток, после которого номер блокируется) вводили случайные цифры.

Абонент оставался без связи. Ему приходилось дозваниваться в службу поддержки и доказывать, что он не жираф. Первая попытка мошенничества позволяла сотруднику разблокировать номер.

Не смертельно, но ряд неудобств это создавало. Притом, что повторная блокировка по аналогичной причине вынуждала абонента идти в офис компании с паспортом. А офисы были (и сейчас есть) не везде. И если этот абонент с периферии… вы, сами понимаете. К тому же, не все SIM были оформлены на тех, кто ими в действительности пользовался. Тогда проблема обретала со-о-овсем другие масштабы.
0
dsfox #
если речь идет о конкуренции среди мошенников — то это большой плюс. Если под конкурентом имелся ввиду честный абонент — он свяжется с поддержкой и разблокируется, после этого для него руками поднимут планку до 150 смс (и т.д)… Мошенники же вероятнее всего не будут звонить в поддержку, ну а если будут, то в перспективе им же хуже…
0
ZiZZoKo #
Оплату через короткие номерами используют не только мошенники.
+1
dsfox #
возможно мы о разных вещах…
Я описывал use-case (один из возможных):
1. смс: Бабушка, я в беде, меня убивают. Срочно положи деньги на этот номер ххххххххх
2. продуманная бабушка игнорит смс и шлет xxxxxxxxx на номер yyyy
3. 50 продуманных бабушек обезвреживают мошенника.
0
ZiZZoKo #
Понятно, что хочется защитить от мошенников людей. Но нельзя забывать, что этой функцией могут воспользоваться и другие мошенники или нечестные конкуренты для своих целей. В итоге, можно получить ситуацию, которую описал выше товарищ malferov.
0
Yareactor #
Не вижу беды в том, чтобы мошенники позаблокировали друг друга.
0
dsfox #
вопрос спорный, да… Но я уверен, что в этой схеме можно подобрать такое значение смс-планки, при котором случаи блокировки честных людей перестанут быть массовыми и окажутся ничтожными по сравнению с полезными блокировками. Числа и возможность просчитать вероятности в мохнатых лапах пчелайна. Им решать. В качестве бонуса — постепенная разгрузка их абонентской службы. Рост популярности сервиса будет приводить к уменьшению звонков с жалобами.
+1
onix74 #
Смею Вас заверить, что у Мегафона та же история. Был случай, когда я не мог сменить тариф. При достаточном количестве средств на счету, мне выдавалось сообщение о недостаточности оных. Обращение в техподдержку привело к такому же результату: запросили учётные данные для доступа в личный кабинет (или как он там у них называется?). Более того, на форуме мегафона меня страстно убеждали в том, что сообщить свой пароль представителю техподдержки, нет ничего страшного. В общем, это стало последней каплей и я ушёл к конкуренту.
PS. Пользуясь случаем хочу передать привет службе технической поддержки Мегафон!
+1
malferov #
Согласен с вами: требование предоставить пароль — нечто, выходящее из ряда вон.

В большинстве случаев, вероятнее всего, в этом действительно нет ничего страшного. Большая часть сотрудников, конечно же, честные люди, не способные на подлости.

Беда лишь в том, что кто-то все-таки составляет статистику тех, кому не повезло. И чей пароль был использован не в интересах его законного владельца. Примеров достаточно.

Сотрудник тех. поддержки может сделать с вашим номеров (вашими абонентскими данными) больше, чем вы, зная пароль от личного кабинета. Но принципиальная разница, как я уже говорил, в том, от чьего имени совершаются действия и кто будет нести ответственность за совершенные действия.
0
onix74 #
Так, для того и были придуманы средства авторизации и аутентификации, чтобы разным людям позволять разные действия и контролировать, кто и что выполнял. Иногда меня посещает мысль, что в техподдержке сидят не мошенники, а откровенно тупые сотрудники (не все!), которые не знают и не желают знать элементарные правила информационной безопасности.
0
malferov #
Хочется применить в отношении таких сотрудников и более хлесткие выражения. Но если постараться быть корректным, то как минимум это дилетанты в вопросе безопасности. Нам же, — позволю себе высказаться от имени большинства, — хочется, чтобы нас обслуживали настоящие профессионалы, безупречно разбирающиеся в деле, которым они занимаются — а именно оказывают техническую поддержку.
0
onix74 #
Не знаю, как остальные, но я согласен с Вами: приятно и полезно, когда оказывают поддержку профессионалы своего дела.
0
PeterQ #
Насколько помню, ЦОКЗ (центр обработки клиентских запросов) и ЦПК (центр поддержки клиентов) — не синонимы. ЦОКЗ входит в состав ЦПК.
Но это так. Лирика. Из детства, можно сказать :)
0
malferov #
Память, увы, в этот раз вас подвела :-) ЦОКЗ и ЦПК — одно и то же. ЦОКЗ входил (а ЦПК входит, если ничего не изменилось с тех пор) в ООО (отдел оперативного обслуживания).
0
Santanos #
Ну вот, сайт «Системы управления услугами» временно недоступен.
Экстренно чистят услуги, что ли?
+2
dab512 #
Жена работает в ЦПК Билайн, говорит:

Это следует понимать как «Запрет использования услуги Звонок за счет собеседника», просто в поле БД название видимо не влезает и вот так rhbdj сократили.


Почему так ответили — говорит что отвечал на ваше письмо непрофессионал.
0
malferov #
Спасибо за информацию.

А ваша жена не может ответить на вопрос: «Кто и в какие сроки сможет исправить ситуацию с получением подробной информации о тарифе/услуге в e-care при щелчке по названию»?

А еще на вопрос: «К кому можно обратиться и что предпринять, чтобы сотрудники ЦПК прекратили запрашивать пароль абонента для доступа в Центр управления услугами»? :-)
0
dab512 #
Вот что ответили:
По редиректу описаний услуг на правильную страницу — нет ответственного за это.

Так что видимо ничего в ближайшее время делаться не будет.

По паролю:
Запрос пароля для входа в личный кабинет во многих случаях является единственный возможностью для обнаружения дефекта, да это может показаться странным с точки зрения ИБ. Ведь у нас же и говорится, что абонент не должен передавать пароль 3-м лицам, но Билайн в данном процессе не третье лицо, а первое — это его услуга. Пароль запрашивается на момент решения проблемы — т.е. 1-2 дня, после чего абонент сам может (и по-хорошему должен) сменить его в своем личном кабинете. И эта ситуация никак не может быть использованна мошенниками, т.к. абонент сам инициирует звонок по проблеме и звонит он в ЦПК, а не куда попало. Сам билайн никогда не будет первым звонить спрашивая пароль.

То есть это видимо в билайне технически невозможно — зайти под пользователем не зная его пароля.
+1
malferov #
Спасибо, что убили последнюю надежду на починку редиректа по тарифам и услугам :-) Отсутствие ответственного лица — это оправдание для оператора, конечно. Повеселили, спасибо.

Если внимательно прочитать пост, то станет ясно, что пароль запрашивается даже в случае, когда абонент запросил дополнительную информацию по услуге. Так что, говорить о том, что это делает в крайних случаях — увы, не приходится.

Билайн (в лице программного-аппаратного комплекса или юридического лица), возможно, и 1-е лицо, а вот сотрудник, который будет владеть паролем, — явно лицо не первое. Чтобы понимать мою позицию, пожалуйста, ответьте на вопрос: «Кто будет нести ответственность за действия, совершенные с использованием логина и пароля, если при их использовании будет совершено действие, требующее оплаты, например, подключения дорогостоящей услуги, или смены архивного тарифа (на который возврат будет невозможен) на другой?». То-то! Мошенниками могут выступать сами сотрудники. Я не то что не исключаю такого положения дел, а достоверно располагаю сведениями о неоднократных проступках, совершенных не в пользу абонента.

Как показал практика, проблемы, с которыми лично мне приходилось сталкиваться, проявлялись не на одном, а не всех номерах, в Систему управления услугами по которым я заходил. Запрос пароля, как небезосновательно кажется, делается потому, что сотрудник, работающий над кейсом, даже не делает попытку выявить проблему на доступных ему номерах (своем, служебном, родственников, друзей), а сразу просит пароль пользователя. Такие проблемы есть и сейчас. Они, как я не перестаю утверждать, проявляются не только на номерах, на которых они, проблемы, были выявлены.

В частности:
• В e-care на БИД-номерах (г. Ставрополь) в списке тарифных планов нет тарифа «Пакет 20», который по неоднократным заявлениям ЦПК доступен для подключения? Это, кстати, тема отдельного топика.
• Ссылки на описание услуг и тарифов не работают.

По вашему, в каком из этих «исключительных» случаев абоненту требуется передать пароль сотрудникам оператора?
0
Bright #
А у меня эта система управления услугами вообще не работает ))

Вчера запросил пароль, прислали. Ввожу и получаю сообщение «Логин или пароль указаны неверно». Билайн такой Билайн )
НЛО прилетело и опубликовало эту надпись здесь
НЛО прилетело и опубликовало эту надпись здесь
0
Downfallen #
Я бы сказал несколько иначе — в жопу безответственное, наглое, распиздяйское отношение к клиенту, своему делу, построению бизнеса.

Это настолько выводит из себя, что порой кажется, что люди только и делают, что ничего не делают или стремительно находят всякие «весёлые» отмазки типа указанной выше «нет ответственного лица за переходы по ссылкам», чтобы, опять же, ничего не делать.

Проблема, к сожалению, как бы это банально ни звучало, не в клозетах. Сотрудник технической поддержки ретранслирует то, чему его научили. Поверьте, разговоры с тех. поддержкой действительно прослушиваются, письма действительно читаются. И, если нет никакой реакции на такой разгильдяйское отношение к проблемам от руководства — значит руководство в курсе этих проблем и само ведёт пропаганду именно такой политики.

[нытик-PS] Как же я устал от безжалостной, скупой и рушительной человеческой алчности и от того, что «срубив бабла» и набрав базу «леммингов-отстёгивающих» корпорации, компании, да и просто люди — забивают большой и волосатый болт на поддержку, развитие, внутренний бардак… [/нытик-PS]
0
ASC7_Uni #
У меня в МТС такая же фигня была. Я по-дурости дал им логин пароль. Минут через 10 сообразил что вот дурак и полез менять.

Вроде ничего не напакостили.
Вроде.
+1
Newton #
Билайн жжет — dl.dropbox.com/u/4950597/screen.png
–1
dab512 #
[blockquote]Про шрифты на сайте безопасности администраторы в курсе и проблему решат.[/blockquote]

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.