войти зарегистрироваться

Яндекс whois

индекс
140,04

Как увели мои деньги с кошелька Яндекса. Часть 1

Буквально вчера у меня со счета в Яндекс.Деньгах сняли все деньги что там имелись, а именно 9500 ру. Очень досадно, очень обидно, хочется плакать. Как увели мои пароли — вопрос для меня интересный до сих пор — пользуюсь антивирусом, пароли храню только в зашифрованном виде. Усиленной авторизации у меня не было (каюсь, каюсь, виноват).

Деньги ушли 3-мя платежами в WebMoney через Робокассу. Звонок в Робокассу ничего не дал — они сказали что деньги переведены на счет (какой именно не выдают) и ничем помочь не могут. Сказали обратиться в тех.поддержку Яндекс.Деньги и Webmoney. По их запросам они предоставят все сведения если потребуется. Обратился в службу тех.поддержки обоих компаний. Яндекс ответил, но как!.. Об этом чуть ниже.



Первое что мне бросилось в глаза — на главной странице Яндекс.Денег отсутсвуют эти 3 перевода:
image

Захожу в историю переводов и вижу когда ушли деньги и в каком объеме:
image

Так-с. Интересно. Иду в историю заходов в кошелек и вижу такую картину:
image

Это убило меня мгновенно. Сначала истерика от потери денег, затем истерика о том, как такое могло произойти. Вариантов было 3:
а) кому-то из сотрудников Яндекса срочно потребовались Web-money
б) Яндекс неплохо развели тем, что обошли проверку на IP-адрес…
в) НЛО забрало мои деньги

Тех.поддержке Яндекса был задан вопрос про IP-адрес:
Я: Прочитайте, пожалуйста, внимательно. В истории заходов фигурирует ip-адрес 127.0.0.1 — это внутренний адрес внутри вашей компании. К письму прилагаю скриншот и прошу объяснить, как можно зайти на Яндекс.Деньги с этого ip-адреса и сделать перевод. Заранее спасибо за ответ.
Яндекс: IP-адрес 127.0.0.1 — это собственный адрес Вашего компьютера.

Ну вообще ребята молодцы! Такого ответа я от них не ожидал!

Разве трудно сделать проверку на IP-адрес, с которого производится вход в кошелек и исключить сервисные IP-адреса?! Почему до сих пор не ввели 2-ую авторизацию по одноразовому паролю, которых приходит на номер мобильного телефона каждый раз, когда пытаешься зайти в аккаунт?!

А что ты думаешь по этому поводу, %username%?

P.S. Мой первый пост на хабре, поэтому прошу сильно не пиннать…

P.P.S. Я пока никого ни в чем не обвиняю!

UPD. Перенес в блог яндекса

UPD 2. Ответ от Яндекса по поводу IP-адреса 127.0.0.1 в истории заходов в кошелек:
Обратите, пожалуйста, внимание на указанную на нашем сайте информацию:
https://money.yandex.ru/doc.xml?id=522713#qu22
информация в разделе «История заходов» может быть неполной.

В данном случае заход с айпи злоумышленника в Вашей истории заходов отображён некорректно. При заходе через анонимный прокси-сервер адрес, показываемый в истории заходов, берётся из заголовка Forwarded-for. Скрипт, определяющий айпи-адрес входящего, был перенаправлен на самого себя и поэтому определил свой адрес. Однако у нас хранится информация обо всех айпи-адресах, с которых совершаются платежи (разумеется, в случае с прокси это будет адрес прокси). По запросу из милиции мы предоставим эту информацию. Сам прокси-сервер также хранит информацию о том, с каких адресов были заходы на него, и получить эту информацию также сможет милиция.

В самом первом нашем письме мы рекомендовали Вам обратиться в милицию и дали достаточно подробную инструкцию, как это сделать. Пожалуйста, воспользуйтесь этой инструкцией. По запросу правоохранительных органов мы сообщим абсолютно всю информацию, которая есть в нашем распоряжении.


UPD 3. Часть 2.1 этой истории доступна для прочтения тут: Как увели мои деньги с кошелька Яндекса. Часть 2.1. Беготня
+269
4 ноября 2009, 14:53
fromrussia

комментарии (509)

  • заверьте скриншоты у натариуса для начала
    • нОтариус конечно )) написать сразу прилагая все скрины в яндекс с просьбой объяснения ситуации, пробить за что платеж и выяснить за что и для кого, главное не сидеть, злоумышленнику только на руку
      • а на основании чего нотариус «заверит» скриншоты?:)
        • считаете у него нет компа с инетом?
          • нет, я о другом. т.е. вы логинитесь в учетку и показываете этим, что вы хозяин этих денег? у вас ФИО в учетке яндекса честные указаны? с этим могут быть проблемы, как мне кажется.
            • было указано только ФИО. Паспортные данные указывать ибо боялся за такую ситуацию — не хочу чтобы мои паспортные данные были в руках у взломщиков
              • вот тут и может возникнуть проблема. просто ФИО маловато. да и органы за 300 баксов не сильно шевелиться станут, разве что показательно.
                • Нотариусу не фио и прочее нужно, он просто подтверждает, что распечатанная страница соответствует странице в интернете.
                  • + подтверждает, что доступ к странице имеет человек с определенным ФИО и что скриншоты не модифицировались, всё верно
                    • Я, нотариус Иванова А.А. заверяю, что на моем компьютере, зараженном девятью троянами (см приложение А), в браузере был открыт сайт www.чтототам.ru, IP адрес сайта был предоставлен DNS сервером зараженным cache poisoning, страничка была загружена не с сервера, а из прозрачного кеша моего криворукого ISP. Затем javascript код в страничке изменил ее очень причудливым образом. После этого страница была распечатана и заверена.

                      ;-)
                      • Все-таки страничка не могла быть загружена из кеша. Откуда у кеша страничка какого-то конкретного пользователя? Да и лайфтайм у нее маленький, наверное…
            • ЯД к паспортным данным привязан.
  • Яндекс репутацию потеряет из-за недобросовестного сотрудника.

    Думаю надо написать заявление в МВД Управление К. Они вздрючат Яндекс и найдут эту крысу.
    • управлению К срать на 10 тысяч рублей = )
      • А причем тут деньги? Это ихняя работа. Тем более такой прецедент.

        Я хоть и понимаю. что там коррумпировано все, но написать заявление стоит. А дальше можно дойти и выше если потребуется.
        • Но потратить намного больше, чем 10 т. р… К сожалению, такая вот у нас система. Хотя бывают редкие исключения.
        • их
      • 10000 это уже тяжкая сумма, уголовная
        • К сожалению, на практике «отдел К» не занимается расследование дел о хищении до 15000-20000 рублей — у них и так более крупные дела висят. А если в пропаже виноват кто-то из Яндекса, то точно из-за 10000 разбираться не будут.
          • если напишет заявление — они будут обязаны разбираться
            • Господа! У моего клиента из БАНКА! живого увели 100 тонн. Так ладно банк, куда перевели бабло оперативно сработал и платеж заблокировал, но! отдел К никого искать не стал, типа деньги же вернули… что вам надо? Хотя в банке были ИП-адреса тех пидаров, которые зашли под логином моего клиента. А вы тут про 10 тысяч.
              • Каким образом реализован вход в интернет-банк?
                • Ключ шифрования на дискете и логин-пароль. Стоит Касперский, актуальный, обновляется. Комп за проксей. Я думаю, что ключ увел кто-то из своих. А логин-пароль тупо подсмотрели ибо финансист сидит в этой же комнате с менагерами. НО! отдел К не стал разбираться.
                  • Понятно. Да, похоже, кто-то из местных. Хотя что удаленно увели тоже есть вероятность. Тут скорее сперва в милицию надо, а отдел К они сами к работе привлекут если понадобится. Заявление ОБЯЗАНЫ принять, а там уже их дело как это расследовать.

                    У меня логин-пароль (для пароля вирт.клавиатура)+одноразовый пароль для входа, высылаемый на мобильник. Вроде достаточно безопасно.
                    • У нашего клиента также счас ввели привязку по IP-адресу и USB-token. Типа у кого железка есть — тот и может рулить счтом. А лично в нашей компании одноразовый пароль с отсылкой по СМС — тоже не жалуемся :-)
                      • У нас на прошлой работе у товарища под линем (ну выпендрился) увели сам токен по SSH, а систему убили. Благо у него на счету было 300 рублей, зарплатну днем ранее снял…
                        • Видимо товарищ в Линях не силен был. Надож было SSH — выставить наружу без криптостойкого пароля. А раз систему убили — значит и рутовый пароль был не сильный.
                          • Я же говорю — просто выпендрился… :)
                    • Альфа?
                      • Она. Как у них с безопасностью?
                        • тьфу-тьфу-тьфу ))

                          Единственное с чем сталкивался — посеял карточку, дозвонился практически мгновенно, объяснил девушке задачу и тот нюанс что звоню с мобильника из другой страны, все решилось очень мило.
          • Все не так плохо как может показаться.
            У них там свои порядки и за нераскрытые дела их тоже дрючат. Поэтому не важно вернут деньги или нет, заяву надо писать обязательно и сумма тут совершенно ни при чем.

            > К сожалению, на практике «отдел К» не занимается расследование дел о
            > хищении до 15000-20000 рублей

            Вот эти легенды кстати распространяются самими же сотрудниками ведомств. А все потому, что никому лишних висяков не надо. Оптимальный вариант — убедить человека, что ничего не вернут и обращаться бессмысленно. Не заявления — нет проблем.

            > По запросу из милиции мы предоставим эту информацию. Сам прокси-сервер
            > также хранит информацию о том, с каких адресов были заходы на него, и
            > получить эту информацию также сможет милиция.

            И это очень правильный совет. Я не говорю, что деньги вам вернут на следующий день — это вряд ли. Но писать надо обязательно.
            К тому же есть такие реальные данные, что по одному эпизоду вычислить человека сложно, но по серии — уже гораздо реальнее. Я это говорю как человек, имеющий некоторое отношение к платежным системам «изнутри». Есть злоумышленник, один раз своровал, два раза своровал, на третий сделал глупость и уехал в места не столько отдаленные.

            Резумируя, по-первых не расстраивайтесь и не паникуйте, к тому же сумма не смертельная. Во-вторых пишите заявление.
      • ну отказать в возбуждении дела по такому основанию они все равно не смогут :)
      • Как показывает опыт, они и из-за меньших сумм заводят дело
      • А мне срать, что им срать. Им деньги платят не за то, что они срут на людей.
    • Отделу К это не под силу, они ищут студентов которые качают порно.
      • Я понимаю, что это так, но и не подавать заявление нельзя.

        Да и потом, когда этот дамоклов меч (МВД) начнет висеть над Яндексом — они сами начнут шевелится и найдут решение.

        Клиент доверил свои деньги Яндексу и если Яндекс ломанули с внешки или это внутри завелась крыса — почему клиент должен страдать от этого?
        • Яндекс лоханулся — это факт.
          в истории должен был быть ИПи прокси или форвардинг но явно не 127.0.0.1

          так что, либо это дело рук сотрудников Яндекса,
          либо Яндекс не может обеспечить сохранность кошелька.

          ну и хранить денежные пароли на компе — последнее дело,
          это почти тоже самое, что на своей банковской карточке ницарапать пинкод.
          таки вещи надо: либо хранить в уме, либо уж записывать на мобильный в крайнем случай:
          например:
          Балтийский Миша (Миша для отвлечения, банк Балтийский) 534-4596 (пин 4596)
          Альф Спиридонович (АльфаБанк ) 912-305-1786 (пин 1786)

          • Ну я не считаю хранить пароли на компе — последним делом.
            Я вот храню пароли на компе, в файле, который зашифрован под мастер пароль. Перебор пароля невозможен, т.к. файл будет заблокирован.
            Хранить в уме ВСЕ пароли я не могу, записывать на мобильный не пробовал еще. )
            • Интересно, как можно заблокировать файл от перебора… Напишите пожалуйста название программы, которой вы пользуетесь для подобного.
              • Вы на телефоне никогда трижды пин не вводили криво? :)
                • И причём тут файл? Симкарта имеет внутреннюю логику, которая может заблокировать себя.
            • Во многих телефонах есть такая же фишка, а если еще и мастер-пароль левый вводится — то все ключи перемешиваются в кашу и выводятся в искаженнном виде, чтобы злоумышленник ничего не получил. Простейшая защита от брутфорса — ты просто не знаешь, верные тебе коды отдало или свежесгенеренные.
              • SE?
              • да, есть такое, но в случае с файлом — он может быть скопирован любое количество раз и столько же раз быть подсунут программе, работающей с ним, поэтому если даже она его «заблокирует»/испортит — мы ничего не потеряем.
                • Ну она может его «испортить» и занести… ну например его хэш или MD5 в черный список. На каждое действие можно найти противодействие, главное знать разумный предел в безопасности и HAL, а то работа превратится в борьбу со своими же технологиями :)
              • Можно сверять с имеющимися данными, например, с логинами. Понятно, что не в случае ручного перебора на телефоне.
                • А она заголовки полей оставляет. Логины, название, что и к чему, а вот поле «пароль» генерит по введенному паролю. Т.е. если вы ввели дважды неверный, но один и тот же мастер-пассворд — получите одинаковые реультаты паролей.

                  Конечно, так мы светим логины, но они-то и так у нас есть, если мы обворовываем эту цель. В общем — я считаю, что это одна из самых удачных реализаций защиты от брутфорса пароля на телефоне.
          • > Яндекс лоханулся — это факт.
            > в истории должен был быть ИПи прокси или форвардинг но явно не 127.0.0.1

            Согласен, эти даные дополняют друг друга, но никак не взаимоисключают.
            Реальный ip должен сохранятся в любом случае, остальное — по возможности.
            Впрочем, в отношении яндекса сложно чему-то удивляться.
            • ИП прокси сохраняется. Давайте разделять понятия «сохраняется» и «показывается пользователю».

              Юзерам из одной офисной сетки под одной проксей приятнее видеть «свои» айпи, чем всем одинаковую проксю, вот примерно из этого и исходили, когда брали forwarded_for для показа.
              • Но дибилизма ответа поддержки в духе это ваш компьютер не отменяет :)
                • Ну ответ по меньшей мере странный, кнечно.
                  Но сказали ведь — данные хранятся, по запросу могут сообщить. Собственно, на это можно было и закончить обсуждение и ждать результатов, я думаю.
    • Яндекс они вздрючат а вот крысу найдут наврядли

    • Надо быть идиотом, чтобы подумать что сотрудник яндекса инсайдом вытянул 10к рублей :)
      • Я не отрицаю взлома с внешки, но наверняка взлом был изнутри, тем у кого был доступ.

        Допустим хакнули с внешки, неужели Яндекс не признается в этом и не возвратит деньги клиенту, ведь это ошибка Яндекса в разработке платежной системы? На ошибках учатся, но не за счет клиентов.
        Но Яндексу не выгодно признаваться в том, что кто-то внутри компании это сделал, ибо тогда получается что внутри они могут творить, что хотят. И пароль пользователя окрыт или вовсе не нужен, данные не шифруются и т.д. и т.п.
        Уверен что спишут все на ошибку системы и возвратят деньги. Либо всю жизнь будут искать выдуманного хакера, который через китайскую проксю ломанул Яндекс и не будут возвращать ничего.

        Вывод пока только один: перевести деньги в другую платежную систему от греха подальше.
        • Не, привязать к мобильнику и паспорту аккаунт. Ну и платежный пароль регулярно сменять. Желательно с телефона, там сложней всего поцепить вирус или кейлоггер.
      • Надо быть идиотом, чтобы подумать что сотрудник яндекса инсайдом вытянул 10к рублей :)

        курочка по зернышку — весь двор в «шоколаде».

        там рубчик, там соточку, и вот уже на квартиру «наколядовал». клиентов-то много
        • Инсайдом. Тогда уж лучше не плодить лишних транзакций?..
          Добавлять на каждую пользовательскую небольшую сумму, которая не будет доходить до получателя.
          • Дык куды, по вашему, деваются комиссионные? :)
            • Комиссионные, как я понимаю — официальный заработок таких служб как ЯД.
              Если есть «крыса в конторе», то… Я про то, что комиссионые могут сниматься чуть больше, чем положенно, а доходить до службы будут уже такие как надо суммы(читай «не завышенные»), а на некотором счете будет появляться разница.
              Или, например, суммы могут округляться,
              и без транзакции «округление» может появляться на чужом счете — в итоге вроде все сходится, а деньги утекают…
              • Ну я про это и говорю, конечно, это заработок яндекса, но если посчитать, копейка тут, копейка там, из-за округления, за день сколько трансзакций производится? Вот и набежит на хлеб с маслом.
      • Никто наличие таких идиотов не исключает.

        Вспомнимаю случай, когда в центре поддержки клиентов «Билайн», где я тогда работал, одна сотрудница, будучи идиоткой, активировала на свой номер телефона 5-долларовую карту (да, тогда были доллары), номер которой она восстановила по звонку клиента, который стер пару цифр (видимо, стирая код карты маникюрной пилкой).
  • сначала статью под кат спрячьте.
    а тема интересная…
    • так точно!
    • Ещё бы в habrahabr.ru/blogs/yandex/ опубликовать.
      • с радостью бы, только вот кармы не хватает. пока в опциях публикации всего один блог для публикаций — мой персональный…
        • Ну так присоединитесь к блогу Яндекса и публикуйте, все условия соблюдены.
          • переместил, спасибо!
  • Как может это быть адрес вашего компа? Вообще не понимаю. Если 127,0,01 является адресом входящего в Личный Кабинет, то получается все соединения должны отображаться как локалхост, (ну или только те, которые были сделаны через клиентскую программу). В общем, я хз как такое может отображаться. Вариант с заходом с сервера, на котором хранится учетка, представляется мне гораздо более вероятным.
    • есть правда один вариант. при заходе на сайт определяется ваш ip, и при просмотре статистики при совпадении ip операции и ip юзера, смотрящего статистику, ip в таблице заменяются на локалхост. однако это 1) лишние телодвижения 2) вводит людей в заблуждение.
      Однако в данном случае получается, что вы с вашего ip выполнили только одну операцию, что странно.
  • «127.0.0.1 — это внутренний адрес внутри вашей компании»
    для начала — ru.wikipedia.org/wiki/Localhost ;)
    • В Unix-подобных системах данный интерфейс обычно именуется «loX». Как последнее читается двояко =)
    • виноват. просто я подумал, что если им ссылку дать на википедию или длинный текст оттуда скопировать — они ведь читать не будут ибо если все так будут делать у них ответа придется ждать неделями.
      • при чем тут ссылка? уверяю, поддержка яндекса знает что такое localhost и что такое 127.0.0.1. Другое дело, что это скорее всего значит что их метод определения ip-адреса скорее всего обошли, о чем им стоит задуматься
        • А что, у них есть другой метод определения IP-адреса, кроме, условно говоря, $_SERVER[«REMOTE_ADDR»]?
          Я слабо допускаю возможность спуфинга, потому что там еще нужно платежный пароль вводить, поэтому как минимум одну страницу при переводе должны были открыть с действующего адреса. А с какого именно — должно быть легко отследить по id транзакции.
          • Много чего может произойти, прежде чем REMOTE_ADDR попадет в БД. Да и в БД много чего может произойти.
          • Ну теоретически могут ещё обрабатывать en.wikipedia.org/wiki/X-Forwarded-For, не проверяя его реальность.
            • т.е. девелоперы ЯД совсем клинические идиоты?
              • похоже на то
                судя по их ответу
              • И в чём же они идиоты? X-Forwarded-For совершенно не обязан быть интернетным «белым» адресом. Примеры:
                1) Просто кто-то поставил Линукс/Фрю и для скорости на ней же поставил кэширующий прокси. Браузеру, соответственно, прописал локалхост как прокси. В итоге в X-Forwarded-For будет тот же локалхост
                2) Локалка с приватными адресами, на гейте тот же прокси. В X-Forwarded-For будет приватный адрес, например 10.1.1.1 — легче станет?

                Другой вопрос, что, обнаружив в X-Forwarded-For немаршрутизируемый адрес, в статистике можно было показывать адрес этого самого прокси… Возможно, даже с пометкой какой-нибудь.
                • тогда зачем они сохраняют данные, которые де-факто не обязаны быть достоверными? в чём смысл?
                  и не нужно мне читать лекции о http и заголовках, я прекрасно знаю что это такое.
                  • Так автоматом там хрен разберёшь, какие именно данные — достоверные. Показывают те, которые в большинстве случаев похожи на достоверные (понятно, что поэкспериментировав, можно подставить в отображаемое поля почти любые, как, видимо, и произошло). А сохраняют-то все. Сами же и написали. При желании человек уже будет разбираться. Но без заявы из милиции — нафига это кому надо? Всё правильно тут.
                • Ничто не мешает пойти против стандартов и поднять у себя за натом сеть с чужими белыми адресами, тогда в X-Forwarded-For будут опять же чужие адреса…
  • У вас установлен кошелек ЯД или только веб-интерфейсом пользуетесь?
    • только веб-интерфейс
  • Думаю, что меня поддержат хабровчане, если мы попроси Вас довести расследование до конца и представить на хабре результаты.
    • давайте составим план действий и я попробую пройти все эти шаги. первый шаг — отписаться всем участникам этого взлома уже пройден… ответ вы все уже прочитали…
      • Эй, народ, юристы здесь есть?
        Посоветуйте человеку что дальше делать, видно же что вопрос многих интересует.
      • Это не ответ, это отмазка, причем глупейшая.
        • я не юрист. я впервые сталкиваюсь с такой ситуацией и я реально не знаю что мне делать
          • заявление в милицию по факту мошенничества, что ж еще тут делать.
            т.к. ip 127.0.0.1 в качестве подозреваемых сам яндекс можно указать )
      • Ситуация такая, вам взломали кошелек, а человек из поддержки строит дурочка.

        Я бы наверное поступил примерно так:
        1 составить бы письмо с описанием того что случилось и как ответил сотрудник (указать его ФИО, и email по которому общались). Указать свои ФИО, тел, логин…
        2 Найти максимально возможное количество email-ов которые имеют отношение к яндексу (не только ЯДа саппорт)
        3 Отправляем письмо на все ящики.
        4 Звонить и по возможности общаться не только с поддержкой, но и с людьми которые имеют непосредственное отношение к ЯД.
      • к нотариусу, вперёд
    • поддерживаю мнение TecHMeaT
      • буду писать заявление
        • правильно
          я тоже один раз лоханулся, сумма была больше
          жалею что не довел дело до конца, был занят…
  • C ТП ЯД невозможно нормально разговаривать, там сидят люди которым глубоко пофиг на чужие проблемы, поэтому рекомендую писать им хотя бы несколько раз в день и не по одному номеру заявки. Из за глюка в ЯД месяц их доставал чтобы вернули деньги (к счастью, успешно). Надеюсь, топик на хабре поможет их взбодрить.
    • как говорится «рыба гниет с головы».
      начните с милиции, пока не прошло много времени, а то и там придумают как отмазаться… а-ля по сроку давности не возможен прием заявления и тп…
      и… желаю вам, если не вернуть деньги(в общем-то не малые!), то наказать, а главное исправить это гнилое звено в цепи. Во благо других. Это благородно.
    • Извините, пожалуйста, ошибся. Адресовано автору темы.
    • В техподдержку яндекса ежедневно падают сотни писем и десяток человек сотрудников реально не справляется.
      Хотя по моему недолгому опыту работы в отделе поддержки пользователей данной компании — вопросы связанные с ЯД разбирались в первую очередь специально обученными людьми и в связке с руководителем отдела и разработчиками направления.
      А так как вам — ответить мог либо полный идиот либо новичек (который странно как попал на ответственные тикеты) либо это глюк.
      Попробуйте обратиться еще раз (ответом на это письмо — тикет поднимется из глубин) и акцентируйте внимание на последующем обращении к руководству.
      А ну и телефонные звонки никто не отменял
      • простите, а Вы, собственно, кто? С опытом работы в нашем саппорте и в связке с руководителем отдела? Что-то я Вас не припоминаю.
        • Меня зовут Пётр, работал в департаменте маркетинга порядка месяца в период декабрь 2007\январь 2008
          Не бог весь что конечно, всех нюансов не успел познать, но насколько помню — спорные аспекты решались с руководителем (тогда был Александр) и через jira
          • в департаменте маркетинга Яндекса?
            Вы меня простите, но техподдержка Яндекс.Денег всегда была отдельной и не подчинялась Александру. Видимо, Вы за месяц немного не сориентировались :)
            • В таком случае прошу простить, действительно напрямую вопросы ЯД у нас не решали, но бывало они падали и переадресовывались.
              Я лишь к тому — что любые спорные вопросы (к которым по моему мнению относится и вопрос ТС по поводу суммы, что не маленькая) решались в режиме коллегии с начальником. Лично никогда не взял на себя ответственность будучи в столь скромной должности столь тупо отвечать на поступивший тикет своевольно.
              • Ну да, из других отделов вопросы по Деньгам форвардятся нам. Поэтому так вредно писать на неправильные адреса: пока форварднётся, потеряется куча времени.

                Вообще-то сотрудники по тикету всю работу провели правильно (там двое работали). И только на один вопрос ответили неверно. Если бы деньги можно было поймать — они были бы пойманы, но в данном случае, увы, помочь ничем нельзя. Про локалхост мы с ним поговорим.
      • Если в какой-то области деятельности организации «десяток человек сотрудников реально не справляется» — значит там должно быть два десятка. Или три. Или сотня.

        Какое дело конечному пользователю до того, какие внутренние организационные проблемы у фирмы, услугами которой он пользуется? Его должно это волновать вообще? :)
        • Вы сейчас обсуждаете что-то с человеком, который никогда в жизни не работал в техподдержке не то что Яндекс.Денег, но даже Яндекса. А про состояние техподдержки Яндекс.Денег вообще ничего не слышал.
    • К сожалению, не только с деньгами. Там много чего прогнило.
    • nps
    • nps
    • 4 ноября 2009, 15:37
    • #
      • +3
    Для этого надо вступить в блог, тогда он появится в списке.
    Ну и лучиков справедливости тебе.
  • Предлагаю сходить в офис Яндекса и спросить у них лично.
    • К сожалению, живу в Казани, поэтому сходить в офис в ближайший месяц не получится (учеба, работа). Да и будут ли они меня там слушать?!
  • А что яндексодиды полчат.
    Они ведь тут есть.
    Так пускай прокомментируют
    • видимо яндексоиды пока отмечают праздник на эти 9к :)
      • Видимо на больше.
        Ведь так не бывает.
        Если нашли способ хакнуть один акаунт, то на одном они не остановятся.
      • раскрыть комментарий
  • Кризис, он такой, сначала web money просят персональные аттестаты покупать, потом yandex переводит деньги на собственные нужды.
  • Ну, 127.0.0.1 можно получить довольно просто и не обязательно через локалхост.

    Тут вариантов несколько:

    1) взломали один из серверов Яндекса, через которые и выполнили вход в кошелек
    2) поделали айпи под локалхост
    3)…

    Ну и конечно в техподдержке уже совсем полный бред сказали, что это ваш айпи. :)
    • 2) поделали айпи под локалхост невозможно
      • Вместо таких громких заявлений просто сделайте:

        ping eblan.us

        и посмотрите результат.
        • А вы «вместо таких громких заявлений сделайте»:

          nslookup eblan.us

          и посмотрите результат.
        • раскрыть комментарий
          • Причем тут это вообще? У автора высветился айпи, с которого забрали деньги. Я показал один из примеров, как «подделать айпи локалхоста невозможно» (ваши же слова?)

            Причем тут ping yandex.ru?
        • Минусующим:

          sh-3.2# host eblan.us
          eblan.us A 127.0.0.1
          • раскрыть комментарий
            • причем тут протокол? просто A запись в DNS этого хоста — 127.0.0.1
              • Я извиняюсь, ответ этот на ваше сообщение на ветку выше!
                А именно — про подделку айпи!
                • Млин. Опять промахнулся 8))) Ещё раз извиняюсь ))) Ответ anycolor!!!
            • Причем тут пинг вообще? Это обычная ДНС-запись…

              Я тут что — пинг показывал?
        • Попробуйте зайти на 2ip.ru, например, и получить ip 127.0.0.1.
        • Насколько я знаю там при регистрации домена в днс указан собственный сервер, где уже на сервере указан NS 127.0.0.1
        • Вместо таких громких заявлений просто прочитайте что такое DNS, как оно работает, какое отношение имеет к IP адресации
          и сделайте выводы.
          • раскрыть комментарий
            • Вам пытаются объяснить что вы не правы, а вы место того чтоб заполнить пробел в своих знаниях упёрлись рогом и брызжите слюной что вокруг одни идиоты. Сложно что-то вам объяснить с таким подходом с вашей стороны.
              • раскрыть комментарий
                • Это как в том анекдоте? 50% вероятность увидеть слона на улице =)
                  • Именно :)
                  • Динозавра. Со слоном не так пикантно ))
                    • Уж лучше пусть со слоном, это слегка «по-новому» ;)
                      • Нy, это смотря кто что курил)
                        • Тут главное — не курить динозавров. Они дорогие.
                          • вообще иногда курить дорого. даже с динозавром…
                            • С другой стороны, если УЖЕ куришь с динозавром, значит денег у тебя было не мало…
                              • а если за его счёт?
                                • А вот как бы такой вопросик — а что мы можем курить за счет динозавра? Гигантские папоротники?
                                  • например да. ну и не гигантские тоже можно, правда их много потребуется…
                                    • А это легально — курить много негигантских папоротников?
                                      • за чужой то счет… спрашиваете?)
                                        • И то правда.

                                          Ну чтож. Значит на выходных собираем соседей, их зеленых собак и идем курить негигантские папоротники на широких просторах нашей необъятной мезозой-родины…
                                        • Мне кажется мы сыграли роли двух леденцовых троллей — зеленого и жолтенького ))
                                          • не знаю даже, меня просто иногда «несёт» и хочется поговорить/отдохнуть..)
                                    • Ой, нет, не получится — они будут у динозавра между зубов застревать.
                • Вероятности 50% нет, хотя бы потому, что вероятность безразмерная величина.
                  • % это сокращение от 0.01
                    • % — сомнительное удобство для экономистов, любящих работать с целыми числами.
                      Давайте, наконец, будем правильно употреблять вероятность и не писать математически безграмотно. Имхо, для ITшника это стыд и срам.
                      • Математически безграмотно, стыд и срам и т.д. писать «Вероятности 50% нет, хотя бы потому, что вероятность безразмерная величина.», хотя бы потому, что % безразмерная величина (как и ‰, ‱, pcm и ppm, которые наверное тоже надо запретить?)
                        • Вероятность и доля абсолютно разные вещи, не надо абсурда про запрещение промилле и более мелких доль. По вашей логике с таким же успехом можно писать с вероятностью в 500 ‱ и все будет ок?
        • в данном случае dns выдает адрес 127.0.0.1 и вы пигуете сами себя.
          никакого волшебства.
          • Пиговать от слова «Свинья»!
            Запишу в словарик… блин, как называется словарик Grammar Nazi?
      • кстати, почитайте про syn-шторм
      • Мыслите глубже! (это призыв, а не замечание)

        Это в TCP/IP сеансе на уровне протокола «нельзя» подделать IP-адрес.
        А вот в БД записать неправильно можно. И попроавить в БД тоже можно.
    • 2) поделали айпи под локалхост

      Грамотные админы обычно фильтруют пакеты с локальными адресами, приходящие с внешних интерфейсов. Вряд ли в Яндексе такие глупые ошибки допускают.
      • Это вопрос уже к админам Яндекса.

        Очень даже часто так бывает, что и самых, казалось бы, крупных компаниях получаются оплошности и небрежности.
      • > Вряд ли в Яндексе такие глупые ошибки допускают.
        Честно говоря, после баги с SVN как-то мало верится, что крупные компании не допускают глупых ошибок (конкретно про яндекс не могу сказать, так, мнение в общем).
      • Фильтруй не фильтруй…

        В любом случае сервер/хост ответит на такой пакет на loop back интерфейс и ответ во вне не попадет (провести эксперимент не сложно).

        Я лично не представляю как это сделать технически (то есть, добиться того, чтобы хост сичтал меня как 127… и при этом получить ответ), не имея доступа к внутренним ресурсам сети.

        Уверен, в данном случае не было никакой мистики, просто все хотят кушать.
        • http_x_forwarded_for — поле заголовка в HTTP-протоколе, в котором в случае подключения через прокси (не анонимный) будет храниться «настоящий» адрес клиента, может возникнуть такая ситуация, что клиент представится прокси-сервером (т.е. как-будто бы он подключен через прокси), в этом случае он может передать в этом поле любой адрес (или вообще любой набор символов, который разрешен для передачи в полях HTTP-заголовков). При этом соединение будет осуществляться по фактическому адресу (из заголовков IP-пакетов), т.к. серверу дела нет какой «внутренний» адрес у клиента (реальный пример — локальная сеть со шлюзом), соответственно такая схема будет полноценно функционировать.

          В этом случае глупость ситуации только в том, что в пользователю возможно отображают как раз это самое поле, которому нельзя доверять.
          • Не спорю, если сервер получает информацию для отображаемого поля не из ip header пришедшего пакета, то могут быть разные варианты (в том числе и локальный адрес).

            В любом случае необходимы пояснения, откуда берется значение для поля, и какой был реальный ip снимавшего деньги.

            Речь же о деньгах идет, а не о детских шалостях.
            • Вот поэтому данная тема весьма интересна для отслеживания. Надеюсь что у автора получится не только вернуть свои деньги, но и разобраться в самой ситуации.
      • почему бы просто не давать проводить операции с локальным адресом (127.0.0.1) и адресами типа 192.168.*.*?
        • НЛО прилетело и опубликовало эту надпись здесь.
        • если это их вина, должны вернуть деньги, конечно после того как разберутся в чем дело и не станут должны гораздо больше. Желаю удачи!
    • взломали один из серверов Яндекса, через которые и выполнили вход в кошелек
      Мало того, надо заходить не только с «какого-то сервера яндекса», а именно с того, на котором расположен вход в этот кабинет. Ведь только в этом случае, его адрес совпадет с собственным.
    • Я кажется понял, что случилось.
      Просто автор сначала скачал себе на локалхост всю систему яндек-денег, потом локально сделал перевод, а потом закачал ее обратно.
  • раскрыть комментарий
    • проверял. там было чисто
      • в win есть возможность изменить расположения файла hosts в реестре
        погуглите на всякий случай и проверьте, а вдруг правда троян.
        • клиент вообще не принимает никакого участия в процессе определения его IP сервером.
          • да, вы правы
            • правда, с некоторыми оговорками, но в данном случае они несущественны.
  • Напишите письма с изложением проблемы ВО ВСЕ отделы Яndex`а.
    Так оно с большей вероятностью попадётся на глаза их руководства.
    После получения отделом техподдержки сеанса жёсткого анального секса от руководства, утраченные средства к вам волшебным образом вернутся.
    У меня так заиграли порядка 10 тыр при выводе средств толи на две недели, толи на месяц. Техподдержка сперва кормила байками, потом стала игнорировать письма. Нашёл e-mail отделов рекламы и маркетинга, отписал туда. В течение пары-тройки часов средства были на счёте СБ РФ.
  • НЛО прилетело и опубликовало эту надпись здесь.
  • Возможно злоумышленник, уведший деньги каким то образом проапдейтил поле в таблице истории заходов на 127.0.0.1.
    • Что, согласитесь, явно проблемы Яndex`а, а не их пользователя-клиента.
      • Согласен. Пользователь точно не виновен.
    • ну это тогда вообще беспредел…
      если злоумышленник может подменить IP адрес на любой, то толку от хранения списка этих адресов нет…
    • Думаю, злоумышленник, способный подменить айпишник в таблице истории (по сути, это данные из бд) не стал бы переводить эти деньги, тем более тремя платежами )
      • Если только не хотел замаскировать и перевести стрелочку на самого пользователя, конечно.
  • Стоит начать с заявления в милицию. Без этого толку от метаний никакого.
  • Самый действенный способ — написать заявление в милицию. Проверено, расследование проводили даже из-за мошейничества в 150 рублей (смс развод, меня вызывал следователь как владельца смс биллинга для дачи показаний).
  • Года два назад по недоразумению (кошельком пользовались два человека сразу), были сняты деньги с кошелька и переведены на другой яндекс-кошелек. Причем один из пользователей не успел сообщить об этом второму, а второй поднял кипиш. Яндекс отреагировал достаточно быстро и начал задавать уточняющие вопросы. Причем поддержка яндекса сообщила сразу, что возможность вернуть деньги есть, при условии, что они еще не сняты с кошелька, на который переводились. Кроме того, если будет выяснено, что деньги снимал злоумышленник, обещались подключить специальный отдел внутренней безопасности яндекс.денег и ментов. Проблема решилась быстро, когда выяснили что снимал свой же человек :) Но факт на лицо — поддержка ЯД включилась в проблему быстро и участливо.

    Нужно лишь правильно задавать вопросы поддержке.

    Если вы обратились в поддержку с вопросом «А что это тут за айпи?» и не сообщили о факте пропажи денег, то откуда им знать что вы их лишились? Техотдел — тоже люди, делайте на это скидку и излагайте свои мысли максимально доходчиво, прежде чем воевать с мельницами.

    PS — имею отношение к яндексу только как пользователь их сервисов.
    • первоначально обратился к яндексу с тем, что сняли деньги со счета несанкционированно. ну, вот они и начали говорить что сами виноваты… потом уже начал говорить про IP-адрес и получил веселый от них ответ :)
      • Вам нужно в первую очередь связываться с Webmoney, чтобы они проверяли на какой кошелек отправлено и пытались вернуть, пока такая возможность была.
        А уж потом решать вопросы с яндексом. Почему и из-за чего ушли деньги с вашего кошелька.

        Уверен, что если бы это был хакер, он бы вскрыл не только ваш кошелек. И тогда бы яндекс уже задергался. Если это единичный случай, скорее всего вы где-то профукали пароль. Банальная логика подсказывает такое стечение обстоятельств.
        • В арбитраж WebMoney письмо было отправлено еще вчера. Пока никакого ответа нет.

          По поводу пароля: пароль от платежной системы не менялся (спокойно вошел по старому), а пароль от аккаунта был изменен. Аккаунт вообще был удален. Написал в суппорт — блокировку удаления аккаунта сняли. Пароль от аккаунта восстановил по номеру телефона
  • раскрыть комментарий
  • раскрыть комментарий
  • Если я правильно помню, что сказа Бобук, то:
    Яндекс.Деньги имеет отношение к Яндекс весьма и весьма посредственное.
    Там, что-то на уровне пользования брендом Яндекса.
    • если уязвимость была бы, например, в поисковом движке то Бобук сказал бы такое:
      Яндекс.Поиск имеет отношение к Яндекс весьма и весьма посредственное.
      Там, что-то на уровне пользования брендом Яндекса.
      • Ну у ЯД и офис отдельный, они как бы сами по себе на самом деле :)
      • Кстати, что касается Бобука, то он давно уже показал, что умеет только языком мести и порносайты рекламировать.
  • раскрыть комментарий
    • Вм вообще-то везде кроме как «в наших интернетах» считают мошенниками. Paypal считается честней и безопасней в разы. Однако с техподдержкой могут быть проблемы без английского.
      • с пайпэлом и с английским у многих проблемы ) www.paypalsucks.com
        • Ну, такая участь вполне обычна для больших и успешных контор ) Другое дело когда при оф курсе 8:1 ВМ меняет баксы по 10:1 плюс две комиссии за ввод и перевод )
      • А почему ВМ мошенниками считают то?
        • Да интересовался как-то, когда заметил что не вижу западных сайтов принимающих ВМ — нашел много чего почитать. Выходит что Paypal вытеснил ВМ отовсюду кроме СНГ. Лично у меня кошелька 3 увели ) Учитывая бессвязность курсов, простоту выдачи сертификатов, которые заплатив пару баксов можно-таки тоже выдавать… короче погуглите на этот вопрос, я точных ссылок не дам. Лично я стараюсь иметь поменьше дел с ВМ.
          • хм, вы думаете с ПП противоположная ситуация? воруют кошельки покупают на ебай, причем палка одно время очухивалась только через недельку после такого хода, а посылка уже успевала дойти до адресата.

            даже магаз автоматический одно время был, можно было купить привязанные пп акки от 5 до 20$ за штуку.

            так что не всё так радужно как кажется
            • Это интернет. Всякое бывает. Мне вот за возврат угнанного кошелька ВМ вообще предлагали денег заплатить.
              В любом случае статистика говорит о том что западней от нас электронными платежами занимается практически исключительно ПП. Я не фанат ПП, но нахожу его более удобным и «экономически обоснованным» решением. Единственное что лично мне мешает работать с ним удобно — Приват банк.
      • Ещё, одна из важных фишек пепла — то, что в течении 45 дней после перевода, есть возможность оспорить этот-самый перевод, и вернуть себе деньги. С яндексом или вебманей такое возможно?
      • та и с английским тоже могут быть… с самим пейпалом пока проблем не имел, но вот их техподдержка это что-то странное: на простой вопрос я ждал ответа три дня и получил темплату, которая впринципе была мне бесполезна… А мой case разбирался неделю и в итоге я получил ответ робота о том что все «ок, ваши деньги вернут вам в течении 5 дней». Причем тикет закрыли принудительно…
    • Ага, как же… видимо Вы просто не попадали в нестандартные ситуации, когда, например, после очередного апдейта версии ВМ с 3.7.0.1 на 3.8.0.0 у вас перестают проходить ключи/пароли (сейчас я как раз в такой ситуации оказался, операция восстановления контроля над WMID у них кстати платная — целый 1 WMZ! берут), система регистрации их долбанная не присылает итоговое письмо и т.д. и т.п.

      Меня вообще удивляет какой талант у разработчиков WebMoney… так сложно и запутанно реализовать простую по сути систему! Если бы с этой системой не работали большинство сайтов, то вряд ли бы я ей пользовался… Одна только привязка к IP/оборудованию чего стоит! Задолбали, реально!
  • Пишете заявление в милицию. В свое отделение, ни в какой ни в отдел К.
    В заявлении указываете, что деньги сперли неизвестные Вам сотрудники компании ООО Яндекс, что подтверждается адресом, откуда заходили на сервер (так и пишите, что по Вашим данным IP 127.0.0.1. принадлежит компании Яндекс), Ваш пароль также имеется только у Вас и в компании Яндекс, больше никому Вы его не сообщали. Пишете также, что сумма для Вас значительна.

    Тогда начнут крутиться колеса.

    PS Деньги свои скорее всего вы все равно назад не получите.
    • да ну, в крайнем случае через суд в итоге вполне возможно получить.
      • с кого?
        • c Яндекса
          • А он тут причем?
            • если суд признает что это вида яндекса (что ооооооочень мало вероятно), то Яндексу придется выплатить по решению суда, но опять же скажу что это ооооооочень маловероятно.
  • На скринах показано, что ушли в магазин. Пусть выясняют в какой магазин и что куплено было. Если товар, тогда выяснять по какому адресу все это доставляется.
  • Держу деньги на карточке Visa. Там если украдут — вероятности вернуть гораздо больше.
    На ЯД перевод в течении 10-15 минут, так что смысла там деньги держать не вижу.
    Если Яндекс ничего не ответит, рекомендую обратиться к помощи юристов.
    • смотря как украдут. если операция с пином то маловероятно вернуть
      • Ну, я не утверждаю, что с карточки их невозможно украсть.
        Я просто говорю, что банк несет за ваши деньги гораздо больше ответственности, чем всякие непонятные ЯД и WM.
  • Я признаюсь — 127.0.0.1 это адрес моего компьютера. Но я не брал ваших денег!
    • Не ври, это мой адрес!
    • Я проверил дважды — у меня тоже такой. Мы из одной сетки видимо))) но не конфликтуем.
    • надо же, и у меня такой же
      мистика какая-то
      интересно, на кого из нас Отдел «К» выйдет первым?

      p.s. своих не закладывать! это не по понятиям! ))
  • по поводу IP, возможность его подделать под localhost есть только если яндекс проверку делает по X-Forwarded-For, что очень маловероятно имхо… или через веб интерфейс. или этот скриншот — фейк. Больше вариантов не вижу.
    • Специально залогинился что бы это написать, но Вы опередили.
    • на аккаунт всегда заходил только через веб-интерфейс. логин и пароль от аккаунта дать посмотреть?
      • ну если деньги на счету ещё остались :-)
        • к сожалению. на скриншотах можете посмотреть что на счету 0.00 ру
    • с какой стати сервисам яндекса определять IP по заголовку, наличие которого даже не является обязательным в запросе? не говоря уже о том, что заполняется он клиентом.
      • что и зачем делает яндекс я понятия не имею, это один из возможных вариантов подделки IP в данной ситуации…
        • ну уж совсем идиотов давайте не будем делать из девелоперов ЯДа?
          • еще в первом посте я же написал что это очень маловероятно, но исключать такой вариант не проверив тоже нельзя, всякое случается, каждый имеет право на ошибку… я смотрю на эту ситуацию как сторонний аналитик и привожу все мне известные варианты относящиеся к данной ситуации. Идея насчет сотрудника яндекса слившего деньги со счета еще мало вероятней чем x-forwarded-for, но и она имеет место быть.
    • по X-Forwarded-For отображаются данные в пользовательской истории заходов. Данные об адресах, с которых совершаются платежи, хранятся внутри системы. Милиции по запросу выдаются полные данные (внутренние).
      • Согласитесь, что в случае прокси логично было бы показывать оба адреса — не только милиции, но и самому клиенту.
  • Кстати, если есть возможность, то найдите магазины, в которые был сделан платеж, отпишитесь туда.
    Возможно, еще успеете приостановить отправку товара(если там реальный товар) «до выяснения».
    • ну где ж он их найдет, если Робокс не выдает сведения и отказывается сотрудничать…
      • Фактически он плательщиком является, может заявить в магазин о ошибочном платеже. В худшем случае свяжись с магазином и поменяй адрес доставки)
        • Кстати да, интересно, на основании чего Робокасса отказала в выдаче сведений, запрашивает-то ведь «владелец» платежа.
      • Мало того, что из этого выйдет нехилый антипиар, так еще ведь можно пригрозить уголовным преследованием.
      • они заявили что это конфиденциальная информация и не могут дать никаких сведений. они лишь подтвердили, что такие переводы были и они успешно завершены
        • Может, им нужно какое-то подтверждение, что именно вы владелец аккаунта ЯД?
          • если поступят какие-то заявления с Яндекс.Денег или WebMoney — они предоставят им (платежным системам) все сведения которым им необходимы
            • Ну тогда остается лишь пожелать вам удачи в вашей борьбе за правду и ваши деньги 8)
          • А разве нельзя выставить притензии или хотя бы негативный отзыв о получателе Яндекс.Денег, как я понял в данном случае это «Робокасса»? Пусть зашевелятся и скажут куда дальше ушли деньги)
            • не думаю, что это хорошая идея. они здесь, я думаю, не имеют вообще никаких нареканий. они просто выполнили работу
              • Но с Вашей учетной записи сделан перевод! Почему они отказываются предоставить информацию о Вашем платеже, кому он предназначен?
                А может не Яндекс повинен в краже, а Робокасса?
                • а они тут причем? они просто выполнили перевод, который выполнил неизвестный человек
                  • Да при том.
                    Они, как я понял, выступают посредником между плательщиком и магазином. Вы, де юро, являетесь плательщиком, так как это Ваш кошелек. Вы же должны контролировать в какой магазин направились Ваши деньги, когда они туда поступят, вся ли сумма и т.д…
                • НЛО прилетело и опубликовало эту надпись здесь.
  • Из яндекс.справки:

    В Истории операций появился раздел «Заходы». Что это такое и зачем он нужен?

    История заходов — это информация о том, когда и с каких IP-адресов вы заходили на сайт Яндекс.Денег под своим логином и паролем. Если что-то в этом списке кажется вам подозрительным (например, системой зафиксирован заход в тот день, когда вы не посещали наш сайт, или один из IP-адресов явно принадлежит не вам), примите меры предосторожности или обратитесь в нашу службу поддержки. Обратите внимание: информация в разделе «История заходов» может быть неполной. Если вы не видите в списке ничего необычного, но обнаружили какие-то другие признаки несанкционированного доступа к своему счету, — обязательно свяжитесь со службой поддержки.
  • Это точно не «антипиар»?
    Как так получается, человек сделал платеж, а ему отказываются сообщить подробности о получателе?
    • это конфиденциальная информация — кому были преданны деньги
      • Ну так это же ваша инфа ) так как вы владелец счета ) они просто отмазываются )
        • А кто сказал что он владелец счета? Он может быть кем угодно, просто представиться владельцем счета. Не будет же он отсылать им пароли, ключи итд.
          Яндекс или ВМ проверят что он точно владелец, тогда можно будет выдать инфу.
          • > А кто сказал что он владелец счета? Он может быть кем угодно, просто представиться владельцем счета.

            именно так мне и ответили
            • Ну так напишите им, чтобы они предоставили способ удостовериться, что вы — владелец счёта, и затем пусть уже разбираются. Про то, что у вас уже почти готово заявление в милицию тоже можно намекнуть :)
              • Я вижу три варианта:
                1 либо автор не совсем откровенен(вплоть до антипиара.)
                2 замешана Робокасса, и они скрывают куда ушли деньги(автор раньше пользовался услугами данного сервиса)
                3 автор сложил руки и ничего не делает
                • 1) зачем мне антипиар если я и дальше собираюсь пользоваться Яндекс.Деньгами, т.к. это удобно?
                  2) я ими никогда не пользовался, пользовался другими обменниками
                  3) пойду писать заявление
                • Ой!
                  А удалить уже не получится… (
                  Примите мои извинения.
              • Я вижу три варианта:
                1 либо автор не совсем откровенен(вплоть до антипиара.)
                2 замешана Робокасса, и они скрывают куда ушли деньги(автор раньше пользовался услугами данного сервиса)
                3 автор сложил руки и ничего не делает(чем больше людей будет заинтересованно исправить данную ситуацию, касается яндекса, робокассы и магазинов, — быстрее все решиться)
        • То, что ТС — владелец счета, кроме него, более никому не очевидно.
  • Я не знаю, что используется у Яндекса, но если там стоит nginx — всё понятно. Дело в том что в nginx имеется особенность настройки. К сожалению, подробностей я не знаю, так как не являюсь гуру в этой области. Однако на одном форуме, где я являюсь модератором периодически в заходах у пользователей был IP 127.0.0.1. Так что думаю, дело в Яндексе (в неправильной настройке сервера), но вряд ли перевод совершал их сотрудник.

    Если вы обратили внимание, в лог файле сервера Apache, IP адрес, запросов приходящие через Nginx, прописываются как локальные, 127.0.0.1, то есть Apache видит адрес проксирующего сервера а не реальные адреса клиентов. Для того что-бы это исправить, необходимо установить специальный модуль
    • я пока НИКОГО НЕ ОБВИНЯЮ. Об этом я написал еще в самом посте…
    • раскрыть комментарий
    • ну и бред же вы говорите :-)
      конечно же, у яндекса стоит апач за нгинкс и конечно же волшебным образом 127.0.0.1 появился только у 1 обращения.
    • это если не передается X-Real-IP в заголовках, тогда да, 127.0.0.1. думаете что переодически включают nginx с разными конфигурациями?
    • Нет там nginx'a:
      Server: BAIDA/1.0.0

      web-sniffer.net/?url=money.yandex.ru&submit=Submit&http=1.1&gzip=yes&type=GET&uak=0
      • Server можно подменить на любую байду.
        • Можно, но BAIDA — это настоящий веб-сервер, разработанный Яндексом.
          • Где можно прочитать про него поподробнее?
            • Раньше у них в разделе «О компании» была статья с описание их архитектуры, где и про BAIDA было что-то. Сейчас найти её не могу — убрали, наверное. Там же у них, в слайдах к одной презентации он есть на схеме:
              download.yandex.ru/company/experience/rit2008/sirotkin.pdf
      • Сервер можно настроить так, что будет отдавать что угодно в этой записи.
  • Только что проверил «Историю заходов» своих Яндекс.Денег и тоже обнаружил 127.0.0.1 в списках IP, по дате и сумме смог точно определить что этот платеж делал я. В тот день я зашел на Яндекс.Деньги через свой телефон используя МТСный GPRS.
    • просмотрел историю входов за последние 3 года (ёмаё, почему нельзя сделать опциональным число записей на странице) весьма интенсивного использования — все IPы мои, 127.0.0.1 нет
      • Да у меня тоже все четко — или домашний или рабочий IP, а вот когда заходил с телефона через GPRS, IP отобразился как 127.0.0.1, благо это было всего один раз
        • занятненько, потому как у меня за это время были в дополнение к домашнему дслю и двум рабочим оптикам ещё и спутник и жпрс (отдельно, естественно).
          как-то не очень репрезентативно сервис глючит…
    • пролистал у себя за 2 года
      127.0.0.1 нет
      • А вы через МТСовскй GPRS на свой кошелек заходили?
        • я заходил через GPRS от МТС, билайн, мегафон в течение этих 3х лет :-)
    • тоже есть 127.0.0.1, в сентябре этого года. честно, не помню с чего и с какими целями заходил, возможно через интернет МегаФона.

      но дальше ещё интереснее, в феврале всплыл внутренний IP 10.215.*.*, не знаю откуда.
    • Нашел и у себя



      Подозреваю что это был заход через megafon+gprs через браузер opera mini. В это случае, там должен был стоять адрес сервером opera, возможно яндекс игнорирует эти подсети адресов специально.

      Злоумышленникам очень удобно… это какой гемор искать в опере хвосты, чтобы потом узнать с какого реально адреса был запрос (а потом возможно еще и у мобильного оператора искать кто же это был на самом деле)
      • Блин, граждане! Если уж решили «спрятать секретную информацию», то не замыливайте, а стирайте или зачеркивайте адреса большими непрозрачными прямоугольниками! >_< Извините, но просто уже надоело видеть такие скриншоты…
        • может человек просто убирал незначащую информацию, на которой не хотел чтобы люди заостряли внимание? :-)
          • у меня так наоборот срабатывает — хочется разглядеть что там за цифры )
            • Замыливать надо так чтобы не проступали контуры цыфр, а то из-за плохого замыливания тянет угадать цыфры в ИП
              • не думай о большой белой обезьяне :-)
          • Да, для этого ))
            Эти ip не интересные все равно — там или рабочие (где сетка большая а ip на всех один) или динамические корбиновские )
        • а все равно видны адреса
      • НЛО прилетело и опубликовало эту надпись здесь.
        • Да да, я уже собрал вещи, купил билет на самолет и запросил политическое убежище, не беспокойтесь.
      • Ого, похоже Яндес при обнаружении прокси пишет 127.0.0.1 (вместо того.чтобы честно написать что это прокси), не вижу логики.
      • Как-то даже платил через Opera Mini, инет был beeline+gprs. Как видите за три года с определением ip ничего не изменилось:


    • У меня то же самое — 127.0.0.1 с GPRS МТС.
  • В Яндекс.Деньги — ни ногой!
    • отож учитывая что яндекс стал открыт для гос запросов да еще и с налогами черти че надумали. уж лучше на визе пэйпеле и на худой конец сидеть на ВМ если других вариантов нет. Покрайней мере все не мои сливы бабла они по чесному возвращали после разбирательств. фиг с ним с двух трех месячным ожиданием но зато есть шансы отстоять свои права. кто бы что не говорил а вот с точки зрения безопасности со своей стороны ВМ свое дело делает
    • А варианты?
      • Например, банковские карты.
        Сам пользуюсь, и всем доволен. Да, не все сайты поддерживают платежи картами, но их количество все меньше и меньше, плюс ЯД вполне можно использовать и просто для транзита.
    • А я ногой, только вот деньги там появляются прямо перед необходимой операцией в количестве достаточном для ее проведения. Остальное — нафик нафик. Хватит мне и за кредитную карту страха…
      • Ну вот и автор ногой.
        Деньги-то он, может, и вернет, а вот будет ли и дальше держать суммы больше 100 рублей в ЯД — это у него стоит поинтересоваться.
        • нет, не буду. после получения буду сразу выводить…
          • ну то есть Вы планируете продолжать пользоваться системой так, как она и задумана — класть деньги и сразу тратить.
            Вообще-то для хранения денег система никогда не была предназначена.

            А одноразовыми паролями начать пользоваться не хотите?
            • я уже создал новый аккаунт и на нем сразу перешел на усиленную авторизацию. спасибо
              • :)
                здорово. правда.
        • Да их и не стоит там держать.
          Если я правильно понимаю, то ВМ позиционируется как средство ведения бизнеса (паранойя прилагается), а ЯД — как средство простых онлайн-платежей (простых, чтобы избежать лишней возни там, где она не оправдана). Ну и уровень паранойи соответствующий. Просто не надо держать большие суммы в кошельке подолгу (причем в ВМ лучше тоже).
  • киньте саппорту яндекса ссылку на этот пост… пусть ума набираются…
    • ссылка ушла саппорту
  • раскрыть комментарий
    • я ничего не ломал и не собираюсь. деньги нужно зарабатывать честным путем
  • Да уж, тут всяко может быть. Конечно, не обязательно имеет место быть вороватый сотрудник Яндекса.

    Но самое неприятное здесь — это техподдержка Яндекса, которая должна помогать и «вселять надежду на спасение», но вместо этого тупо считает вас круглым идиотом (судя по письму). Вот это самое отвратительное.

    Пробуйте разные предложенные здесь методы, начиная, естественно, с попытки достучаться до людей, которые стоят над техподдержкой. Очень интересно будет узнать, чем история закончится (надеюсь, успешно возвращенными средствами).
    • спасибо большое. я не обвиняю яндекс в том, что какой-то из сотрудников украл эти деньги. нет.

      а поводу тех.поддержки — да, очень хорошо они «вселяют надежду на спасение» :)

      методы — дождаться реакции от яндекса и сходить к юристам (как уже посоветовали) и заверить все скриншоты. дальше, если реакции от яндекса нет — заявление в милицию и разбирательства…
  • раскрыть комментарий
  • А у меня такой есть в логах:

    18.02.2008 19:20 192.168.1.183

    это клиентский адрес машины в впн-туннеле. Затрудняюсь понять как его узнал ЯД.
    • Понял, как его узнал ЯД.

      Одно время, пока я принудительно не запретил, squid у меня отдавал HTTP_X_FORWARDED_FOR во всех запросах. И тогда HTTP_X_FORWARDED_FOR как раз и был 192.168.1.183.

      Так что система определения адресов у ЯД, по всей видимости, вначале смотрит этот заголовок (HTTP_X_FORWARDED_FOR) и если он пустой берет REMOTE_ADDR.
      • Да уж… приплыли.
        • Ну может для показа и HTTP_X_FORWARDED_FOR, но наверняка в логах на яндексе есть реальный IP, правда это может оказаться прокси…
      • У меня тоже такое было :)
        Установил squid на локальной машине, и ходил в интернет через squid.
        Так половина сервисов, который показывают IP, показывали 127.0.0.1 как главный (cmyip.com яркий пример)
      • Поправка: не система определения адресов, а система отображения айпи в истории заходов. Внутри есть информация о том, с какого айпи совершались платежи, но вот она не показывается пользователю. Разумеется, милиции отдадут полную информацию — ждём официального запроса.
  • Я знаю что делается в таких случаях, не спрашивайте откуда.

    1. Деньги Яндекс вам вернуть может, но результат будет зависеть не от Яндекса, их истратили (переводом на обменник) и они уже не в Яндексе.
    2. Идете в милицию по месту жительства и подаете заявление на имя начальника отделения, берете талон КУСП и рекомендуете принимающему заявление обратиться в бюро специальных технических мероприятий (да, они могут этого не знать).
    3. Ждете ответа от Яндекса: либо будет ответ с инструкцией как вернуть деньги, либо с более развернутой инструкцией про поход в милицию.
    4. Еще раз, Яндекс делает все что возможно, чтобы вернуть деньги и делает это по таким запросам с самым высоким приоритетом, когла леньги ушли с вашего кошелька, все зависит уже не от Яндекса.
    5. Если Яндекс отправит вас в милицию, то это единственный вариант что-то вернуть, можете не переспрашивать.
    6. Перейдите на усиленную авторизацию наконец или заведите Интернет.Кошелек.

    Если есть вопросы — в личку. Инсайда не ждите.
    • вопрос касаемый п.1
      т.е. если кража денег — проблема обеспечения безопасности ЯД, то они не при чём? т.е. они не несут рисков по хранению чужих денег?
      бред чистой воды.
      • Проблема безопасности была бы, если взломали БД Яндекса, если у юзера уперли пароли с логинами, какая тут проблема Яндекса?
        Это равносильно предъявлять BMW, что они не защищают машину от кражи, если у вас стащили ключи.
        • а с чего вы взяли, что информация была сворована у пользователя (были стащены ключи)?
          • Если деньги были переведены не владельцем, значит его данные узнали — Яндекс не знает его данные (пароли, они в зашифрованном виде), вот тут уже поверьте. Тем более техподдержка.
            Если есть сомнения, МИЛИЦИЯ и еще раз она.
            Но можете не сомневаться — таким в компании заниматься не будет никто, УКРФ никто не отменял, а дебилов в Яндекс не берут, знаю.
            • «Если деньги были переведены не владельцем, значит его данные узнали — Яндекс не знает его данные (пароли, они в зашифрованном виде), вот тут уже поверьте.»
              с чего вы решили, что пароль, который на сервер пришёл в открытом виде, не был сворован именно на сервере?
              • Если бы такая уязвимость существовала — то благодаря ей давно бы слилась уйма денег.
                • судя по тому, что данный сервис определяет ip по недостоверному заголовку — я вообще теперь сомневаюсь в адекватности его девелоперов и не исключаю и этого варианта :-)
              • Там SSL. Или я чего-то не понимаю?
                • SSL ага, а как сверяется корректность пароля клиента и пароля в базе? :-) в какой момент происходит конвертация plain text -> hash?
            • >а дебилов в Яндекс не берут, знаю.

              Тогда как Вы прокомментируете это?
  • Перед тем как писать заявление в милицию вам нужно написать претензию в сторону ЯД в которой четко сформулировать в чем у вас проблема. Претензию отсылать или в письменном виде заказным письмом с уведомлением или электронной почтой с подтверждением прочтения. После этого ЯД по-идее обязанны обратиться САМИ в милицию по факту хищения (если конечно такие случаи у них никак не отмазаны в пользовательском соглашении). Если реакции не последует – сразу можно обращаться с заявлением в милицию и писать исковое заявление по факту хищения.
    • При чем тут Яндекс? Кто-то зашел под логином-паролем-платежным паролем (все что есть для идентификации юзера) и истратил деньги (основное назначение системы) — в чем виноват Яндекс?
      • при том что настоящий хозяин заявляет о пропаже денег. Если у меня с банковской карты сняли деньги — причем тут банк? так чтоли по вашей логике? Не суть.

        Суть в том, что любые подвижки в сторону «расследования» могут быть или по инициативе сервиса, или по принуждению в результате получения претензии, которая обычно означает дальнейшее движение в сторону суда.
  • а) кому-то из сотрудников Яндекса срочно потребовались Web-money
    б) Яндекс неплохо развели тем, что обошли проверку на IP-адрес…
    в) НЛО забрало мои деньги

    Тут уж явно б-вариант правдоподобнее.
    Притвориться стодвадцатьсемьдваноляпервым нельзя, а значит проблемы у Яндекса при записи/после записи. Метафорой: нельзя родителям сказать, что ты — класный руководитель Марья Ивановна, зато в дневнике можно подписаться от ее имени.
    • не обвиняю никого из сотрудников. я лишь сделал предположения…
  • в чем я уверен — это не воровство со стороны яндекса. Сотрудники получают немало, ну 10 к это маловато для взлома.
    я думаю какой то глюк случайный, или крякеры мимо проходили
    • не обвиняю яндекс (и/или его сотрудников) в воровстве. делаю лишь предположения
  • Я не удивляюсь такому.
    Пару дней назад у меня украли емейл на яндексе.
    Я не могу восстановить пароль ни по мобильному телефону, ни через секретный вопрос — везде пишет неправильно.
    Обратился в яндекс, мне сказали на странице: заполнить все данные. Я заполнил все очень-очень подробно, даже айпишники указал, год создания почты, отсканил им паспорт…
    Кстати, в Яндекс паспорте данного емейла у меня были указаны все мои данные и ФИО и все остальное.
    В ответ мне пришло от них письмо, что нужно ехать к ним в офис с паспортом и писать заявление. В общем все очень долго и геморно… а в это время злоумышленники уже получают доступ к почти десятку выделенным машинам, к хостигу всех моих сайтов, вэбмани, скайп, icq и так далее.
    =(
    • А мне за полдня восстановили. Отправил им просто скан паспорта и наполовину формы заполнил.
      • Везет тебе, я сделал тоже самое что и ты… только анкету заполнял очень тщательно и подробно.
        эх… завтра поеду туда.
        • возможно мне подсобила моя анкета в моем круге
  • Когда я только решил завести себе интернет-кошелёк, я долго плевался на «эти дикие параноидальные методы защиты чёртовых вебманей». Гораздо позже понял, что зря ругался.
    По моему сугубо личному мнению, такая «параноидальность» даёт возможность судить о защищённости системы вообще.
    Проще говоря, пройдя огонь, воду и медные трубы, уверенности в задищённости становится больше. Яндексу боюсь доверять по этой причине, как и бесплатной почте, например.
    • кстати, в Keeper Mini параноидальных методов нет. но там до 5000 руб на кошелек. чтобы не хранили много денег под низкой защитой — все умно.
  • Если люди из Яндекса деньги не вернут или не опровергнут сказанное автором, то разошлю информацию своим клиентам — спасибо за предупреждение. в WM хоть и сидят быдлокодеры, но архитекторы там нормальные.
  • Не хочу никого защищать, но ведь и впрямь ваш пароль могли просто украсть, а айпишник, как выше показали, не обязательно внутренний ЯД. То есть я к тому, что это обычный взлом и концов уже не найти.
    • я не говорю что 100% это ip ЯДа.

      пароль увели — возможно, но я сам стараюсь обезопасить себя — использую антивирус, не лажу по незнакомым сайтам. пароль к аккаунту сменили, а платежный пароль — нет. зачем пароль менять после взлома + удалять аккаунт (была попытка удалить аккаунт, но спасибо Яндексу — он его заблокировал, но не удалил)?!
      • Возможно виной небезопасное подключение по wifi, если вы пользовались интернетом в маке, например.
        • нет. на счет яндекс.денег всегда заходил только с домашнего компьютера (дома сетки нет. интернетом пользуюсь я один) и 1 раз с работы (в тот момент я как раз и увидел что нет денег)
  • Кто знает, есть ли в яндекс почте защита по айпишнику? т.е. если айпишник не мой, то на почту пускать не будет.
  • занятная тема.
    лично у меня уже история заходов не открывается.
  • Вероятно, глупый вопрос, но: 1. в Яндекс-деньгах нельзя отозвать свой платёж?
    2. И вы продолжаете пользоваться этими фантиками?

    При оплате кредиткой (хоть онлайн, хоть оффлайн) платёж отзывается на раз-два, да даже обычный банковский перевод отозвать можно, хотя и сложно. И уж во всяком случае будешь знать, кому ушли твои денежки.
  • НЛО прилетело и опубликовало эту надпись здесь.
  • Дублирую наш ответ пользователю.

    Обратите, пожалуйста, внимание на указанную на нашем сайте информацию:
    https://money.yandex.ru/doc.xml?id=522713#qu22
    информация в разделе «История заходов» может быть неполной.

    В данном случае заход с айпи злоумышленника в Вашей истории заходов отображён некорректно. При заходе через анонимный прокси-сервер адрес, показываемый в истории заходов, берётся из заголовка Forwarded-for. Скрипт, определяющий айпи-адрес входящего, был перенаправлен на самого себя и поэтому определил свой адрес. Однако у нас хранится информация обо всех айпи-адресах, с которых совершаются платежи (разумеется, в случае с прокси это будет адрес прокси). По запросу из милиции мы предоставим эту информацию. Сам прокси-сервер также хранит информацию о том, с каких адресов были заходы на него, и получить эту информацию также сможет милиция.

    В самом первом нашем письме мы рекомендовали Вам обратиться в милицию и дали достаточно подробную инструкцию, как это сделать. Пожалуйста, воспользуйтесь этой инструкцией. По запросу правоохранительных органов мы сообщим абсолютно всю информацию, которая есть в нашем распоряжении.
    • Можно вопрос? А в чем тогда смысл этой «Истории заходов», если злоумышленник, зная IP пользователя ЯД, может заходить с Forwarded-for=IP пользователя и пользователь ничего не сможет заметить?
      • Вопрос, в чём смысл истории заходов в её нынешнем виде, явно риторический. Говорить надо о том, чтобы сделать её более информативной. Поговорим.

        Злоумышленники обычно настолько не заморачиваются. А пользователи крайне редко пользуются историей заходов. Но раз уж она есть — то неплохо бы ей быть более адекватной, с этим я совершенно согласна.
        • Но раз уж она есть — то неплохо бы ей быть более адекватной, с этим я совершенно согласна.

          Предлагаю вынести последние 5 записей из истории заходов на главную страницу на видное место. Ну, и IP реальные писать.
          • за мысли спасибо, обязательно передам соответствующим менеджерам.
        • Высший шик — сделать кнопочку, которая для каждого логина разворачивала бы ALL_HTTP хедер. Чтобы и прокси видеть и реальный компьютер (если его возможно определить) и юзер-агент, например.
        • Хотя бы при использовании прокси просто в виде 127.0.0.1 [xxx.xxx.xxx.xxx], или наоборот xxx.xxx.xxx.xxx [127.0.0.1]
    • «Скрипт, определяющий айпи-адрес входящего, был перенаправлен на самого себя и поэтому определил свой адрес.»
      зачем скрипту, который определяет IP, вообще куда-то «ходить»? что такое «скрипт был перенаправлен»?

      скрипт просто прочитал X-Forwarded-For и никуда отправлен не был. он просто взял эту информацию и записал в хранилище.
    • процитировал ваши слова в посте. спасибо.

      буду писать заявление в милицию
    • Хотелось бы увидеть на Яндекс деньгах более подробную статистику заходов, хотя бы 2 поля таблицы, реальный ip и forwarded ip.
      Так же хотелось бы функцию по отправке смс (+ настройку доступа ip), если на аккаунт зашли с другого ip, пусть она будет платная, это не страшно.

      Я всегда пользовался Яндексом и буду продолжать пользоваться, для меня это самый удобный сервис и хочется сделать его немного лучше.
      • Когда придет смс, будет уже поздно.
        • нужно чтобы когда входишь в аккаунт приходила смс с временным одноразовым паролем, который необходимо ввести чтобы получить доступ ко всей информации в Яндекс.Деньгах — вот так будет надежно
          • Одноразовые пароли — это усиленная авторизация, она есть.
            Вариант с смс тоже теоретически возможен, но в данный момент реализована другая версия одноразовых паролей. Вы предлагаете каждый раз присылать смс, мы предлагаем использовать карту с кодами.
          • В Альфабанке именно такая активация и деньги со счетов уводили всё равно :)
        • По этому я добавил: + настройку доступа ip.
          Где можно будет разрешить заход только со своей сети например, а изменить это, можно будет только с помощью sms кода.
          • эта схема мне нравится! :)
      • мне тоже нравится Яндекс.Деньги, но я не ожидал что могут так легко украсть все мои деньги… :(

        буду разбираться…
        • Я уже с этим сталкивался, несколько лет назад, по глупости погуляв в интернете со старой версией браузера без noscript.
          Суппорт Яндекса помог в течении нескольких часов, хотя злобный троянщик удалил все под чистую.
          А с восстановлением пароля по sms и с усиленной авторизацией, я уже не волнуюсь.
    • >При заходе через анонимный прокси-сервер адрес, показываемый в истории заходов, берётся из заголовка Forwarded-for. Скрипт, определяющий айпи-адрес входящего, был перенаправлен на самого себя и поэтому определил свой адрес.

      А проверки возвращаемого значения — не для джедаев, да?
      No comments… =\
    • Не понимаю в чем смысл выдачи информации в данном случае через милицию?
      Почему не можете предоставить клиенту информацию об IP, с которого подразумевается ОН ЖЕ произвел транзакцию. Я понимаю что это мало что даст, но ответ имхо на «отвяжись»
      • Все элементарно, если ты напишешь письмо, позвонишь, то уверенности в том, что именно ты владелец почтового ящика или кошелька нет. Нужно или твое непосредственное присутствие или запрос из милиции, парень живет в Казани, поэтому остается только один вариант — милиция.
        • да, именно так.
    • неее, ребят, так не пойдёт.
      либо вы в ментовку нашу не обращались никогда (это вряд ли), либо обращались и слишком хорошо знаете, что шансы на успех в данном деле равны нулю.

      любой нормальный банк начал бы заниматься данным вопросом и без вмешательства милиции: им важна их репутация. а вам на репутацию похуй.

      и получите вы то, что заслужили: спрос на ваш сервис будет расти в среде сетевых мошенников и падать в среде пользователей электронных денег.

      лично я говорю вам до свидания.
  • раскрыть комментарий
  • Стараюсь дольше пяти минут деньги на я-кошельке не держать, но на всякий случай проверила — кроме меня никто не заходил :)
    • точно. с таким подходом как у них — чур меня, чур.
  • Хотелось бы в итоге узнать! Чья ошибка пользователя или ЯД. И в чем она заключалась! Было бы уроком для всех, да и просто любопытно…
    • прочитай официальный ответ от яндекса. он есть в посте
  • Ололо, Яндекс очевидно считает главным IP адресом указанный в Forwarded-For :)))

    А вообще, в статье есть и положительный момент — если кто-то, например, пишет трояны для воровства яндекс-кошельков, он может спать спокойно :)

    • я думаю эти кто-то уже давно все дырочки знают

      вопрос к топикстартеру: ты ни какие подозрительные или новые программы последнее время не запускал?
      ничего из софта не скачивал?

      • была на Хабре недавно статья про трояны.
      • вроде нет. все что нужно уже давно стоит и используется. даже если бы что-то скачал подозрительное, думаю, антивирус поднял бы тревогу…
        • даже и не знаю что и сказать
          XSS маловероятно
          пароли могли увести только с твоего компа
        • Может, пароль сбрутили? Точнее, там надо 2 пароля брутить, обычный и платежный. Странно же. Или украли авторизационную куку через XSS на яндексе? Или у вас в браузере шпионское расширение? Или троян на компьютере?

          И кстати, самые новые вирусы обычно антивирами непалятся, по крайнйе мере первые дни.

          • все расширения для Firefox ставил сам.

            Вчера провел проверку компьютера 2-мя антивирусами (тот который стоял уже год + Dr.Web Free) — ничего найдено не было.

            Все остальное остается под вопросом. Если брутить платежный пароль, то, насколько я помню, при 3-х неудачных попытках происходит блокировка счета…
            • на самом деле зловредный софт можно вложить даже в картинку. Например, бэкдоры как poison ivy, spy-net и т.д.
              Ну а приватные криптеры закриптуют так, что ни 1 антивирус не увидит.
            • Раз пароль на эккаунт сменили, то могли и поддельный скан паспорта в яндес послать, взять и заменить фото и номер…

              • Скан паспорта ничем не поможет. Для восстановления платежного пароля, нужно заявление с заверенной подписью.
                • Проверь комп лучше, а лучше Format C:, D:… ни какой антивирус не находит все черви и вирусы
  • Деньги ушли 3-мя платежами в WebMoney через Робокассу. Звонок в Робокассу ничего не дал — они сказали что деньги переведены на счет (какой именно не выдают) и ничем помочь не могут. Сказали обратиться в тех.поддержку Яндекс.Деньги и Webmoney. По их запросам они предоставят все сведения если потребуется.
    Я правильно понимаю, что «переведены на счет» означает, деньги через Робокассу были переведены на кошелёк Webmoney (что в истории Яндекс.Денег отображается как магазин/платеж в магазин?

    То есть счет, который отказывается сообщить Робокасса — это номер кошелька/кошельков Webmoney куда в конечном итоге попали деньги?
    • по звонку они ничего не скажут
      нужног официальное расследование
      они будут обязаны выдать все данные, которые у них существуют.
    • сделан перевод через roboxchange в систему WebMoney. «платеж в магазин» это название перевода. туда можно написать все что угодно

      да они ушли на кошелек в системе WebMoney и они отказываются назвать номер WMID куда ушли мои деньги

      n.b. только не робокасса, а roboxchange (сейчас только увидел разницу… одни роботы, блин)… приношу свои извинения робокассе…
      • Очень жаль, что не называют. На WMID можно создать претензию в арбитраж, и деньги на кошельке зависнут до выяснения обстоятельств, снять их будет нельзя.
        • мне кажется, они были сняты/отправлены на другие счета уже через 10 минут после поступления на счет…
      • Понятно. Меня смутило слово «счёт».
    • crx
    • crx
    • 4 ноября 2009, 19:42
    • #
      • –8
    раскрыть комментарий
    • Их система… могут «напечатать денег»
      • А нет… Не смогут! Точнее смогут, но потом пожалеют…
        • В стране вот могут, печатают даже. А потом инфляция случается…
          • Вы правы, тут работают те же законы.
  • ну что господа, ждемс статью в журнале ][?))))
  • Вот тут многие начали искать изъяны в Яндекс.деньгах и прочих платежных системах с правовой точки зрения. Их там может не быть. Но вот самое веселье может начаться в милиции. Я уж не знаю как в крупных городах, но у нас в провинции это чудная организация. Очень.

    Сам был жертвой интернет-мошенников, в далеком 2005 году, сумма была копеечная, но принципиальная — 500 руб. Пользовался Я.Д. Когда понял, что стал жертвой мошенников, позвонил в саппорт Я.Д. Вежливый и учтивый молодой человек, приятным голосом, посоветовал обратиться в милицию, по месту жительства моего. Пошел к матерым операм. Рассказала про Я.Д. Они у меня спрашивают: «Ну ты его знаешь? Где он живет?» Я очень удивленно интересуюсь: «А кого я знаю?» Они: «Ну его, как ты там назвал… Яндекс. В каком районе живет»

    Вот вам и милиция. Конечно, можно сделать скидку, что был 2005 год, но… Не стоит. А затем мне русским и обычным языком объяснили, как будет проходить процесс возврата моих 500 руб. Заявление примут, начнут работать, счет заморозят, буду выяснять, искать. А это может затянуться, затем будет суд (если найдут кого судить), и тогда может я и получу свои деньги. Конечно я заявлений писать не стал, просто плюнул и забыл, но стал бдительнее. А этот урок жизни мне обошелся в 500 руб.
  • А может программисты Яндекс.Денег настолько суровы что если видят заголовок X-Forwarded-For: 127.0.0.1, считают что они поймали злого хакера сидящего через прокси и его реальный IP-адрес — 127.0.0.1?
    • я проверил, поставил прокси на локалхост, браузер настроил, зашел на ip.xss.ru удостоверился что показывает forwarder 127.0.0.1, зашел на яндекс-деньги. В яндексе показывет мой реальный ip, а не localhost. Вот так вот.
      • Вообще ценный эксперимент, спасибо. Но яндексеры могли это уже исправить из-за инцидента.
        • Всё зависит от настройки прокси — отдаёт он заголовок X-Forwarder-For наружу или нет. Если в яндексе показывается реальный внешний айпи, то значит не выдаёт. ( конечно, если тэкинг смотрит этот заголовок )

          FYI в squid за это отвечает «header_access X-Forwarded-For deny all»
      • А не попробуете подставить в поле левый адрес или мусор? Интересно, что получится. Если в яндексе только ещё не поправили что-нибудь.
    • теоретически могли недосмотреть/забыть…
  • НЛО прилетело и опубликовало эту надпись здесь.
  • >Яндекс: IP-адрес 127.0.0.1 — это собственный адрес Вашего компьютера.

    А что в Яндекс только идиотов берут?
    • S2nek
    • S2nek
    • 4 ноября 2009, 20:49