Qiwi позволяет верифицировать кошельки на чужие данные без дополнительной проверки
Так получилось, что был взломан мой аккаунт в Госуслугах. Сам виноват, двухфакторки не стояло, а пароль был хоть и уникальным, но никогда не менялся. Побродив по логам обнаружил, что кто-то логинился в разные МФО, Теле-2, Единый ЦУПИС и Киви.
Со всеми организациями я оперативно связался, сообщил о ситуации, кредит на меня оформить пытались, но все МФО отказали, т.к. не были переданы сканы документов. На всякий случай на попытку взятия микрозаймов я написал заявление в полицию. В принципе, отделался легким испугом, паспорт в ближайшее время буду менять, но общение с техподдержкой Киви доставило много хлопот.
Для начала я пытался выяснить есть ли на мои данные какие-либо кошельки. Я никогда не пользовался Киви, и по сути быть их не должно. Обратился в техподдержку, мне предложили написать заявление и прислать селфи с паспортом для получения данной информации. Так как мои данные уже скомпрометированы, не очень хотелось отправлять подобные фото. Спросил об альтернативных методах верификации. Предложил им, чтобы я пришел в офис Киви в Казани и они там мне выдали данную информацию.
Техподдержка начала ссылаться на внутренние регламенты
После длительной переписки, я решил узнать на горячей линии ЦБ РФ насколько законны требования техподдержки. Выяснил, что я могу запрашивать данные о зарегистрированных на меня счетах в отделении банка и слать селфи с паспортом не обязательно. После этого снова позвонил в Киви и сообщил им об этом.
Оказалось, что я таки могу получить информацию лично, но только в Москве.
Несмотря на отказ, на следующий день я все-таки поехал в казанский офис и написал заявление на выдачу информации о счетах зарегистрированных на мои данные. Его у меня спокойно приняли и сказали ждать ответ.
После новогодних праздниов ответ пришел. На мое имя есть два кошелька. Но номера телефонов, естественно, не мои и мне не принадлежат.
В ответ я сообшил, что кошельки я не регистрировал и попросил историю операций по ним, для предоставления в полицию. Киви отказал. Вот так вот, мошенники имеют право на банковскую тайну, несмотря на то что кошельки оформлены на меня
Кошельки по моему заявлению вскоре удалили, направил также запрос на отзыв персональных данных и задал последние вопросы и получил потрясающие ответы.
Впечатляет. Киви говорит, что я сам несу ответственность за сохранность личных данных. Это действительно так. Но в свою очередь они подтверждают, что при верификации кошельков им достаточно просто валидных (бьющихся через СМЭВ) номера, серии и ФИО. Учитывая как хорошо текут паспортные данные в нашей стране, получить эту информацию не очень сложно. А затем верифицировать кошельки пачками без дополнительной проверки наличия документа у верифицирующего.
Данный пост попытка обратить внимание на «слабые места», нежели жалоба.
Я не юрист, не понимаю насколько законно Киви ссылается на упрощенную идентификацию в 115-ФЗ, моих знаний хватило найти вот это.
1.12. Упрощенная идентификация клиента — физического лица проводится одним из следующих способов:
1) посредством личного представления клиентом — физическим лицом оригиналов документов и (или) надлежащим образом заверенных копий документов;
2) посредством направления клиентом — физическим лицом [. ] следующих сведений о себе: фамилии, имени, отчества (если иное не вытекает из закона или национального обычая), серии и номера документа, удостоверяющего личность, страхового номера индивидуального лицевого счета застрахованного лица в системе персонифицированного учета Пенсионного фонда Российской Федерации, и (или) идентификационного номера налогоплательщика, и (или) номера полиса обязательного медицинского страхования застрахованного лица, а также абонентского номера клиента — физического лица, пользующегося услугами подвижной радиотелефонной связи;
3) посредством прохождения клиентом — физическим лицом авторизации в единой системе идентификации и аутентификации при использовании усиленной квалифицированной электронной подписи или простой электронной подписи при условии, что при выдаче ключа простой электронной подписи личность физического лица установлена при личном приеме, с указанием следующих сведений о себе: фамилии, имени, отчества (если иное не вытекает из закона или национального обычая), страхового номера индивидуального лицевого счета застрахованного лица в системе персонифицированного учета Пенсионного фонда Российской Федерации.
И вроде как пункты 2 и 3 подходят под мой случай, но я не понимаю применимы ли они конкретно при верификации кошельков. Считается ли это открытием счета? Если да, то упрощенная идентификация здесь уже неприемлима.
Мне кажется абсурдным сам факт того, что на твое имя можно спокойно верифицировать Киви-кошелек и от твоего имени производить любые операции. Никто не потребует даже скан паспорта, я уже молчу о подтверждении, что номер телефона принадлежит тебе.
Плюс ко всему, все это время Киви отбрабатывает твои персональные данные без твоего согласия.
А если ты вдруг чудом узнал, что кошельки на твое имя есть, получить выписку по операциям невозможно. Банковская тайна мошенников она тоже священна.
По данному вопросу планирую проконсультироваться с юристом насколько правомерна верификация кошельков таким способом и обратиться в суд.
Это же специализированный сервис для кардеров и драгдилеров, чего вы удивляетесь? 🙂
Тиньков такой же. Я нахожусь не в России и узнавал у них возможность выслать карту за границу. Они сказали первый раз надо встретить курьера лично для проверки паспорта. Но если ввести паспортные данные и номер телефона, можно без встречи с курьером и получения физической карты пользоваться виртуальной картой. Тоже самое по сути.
паспортные? уверены? достаточно фио, гражданства и номера телефона, насколько мне известно. кто угодно может использовать тинькоф без пластика
Очень интересно! Я как раз хотел бы открыть счёт в Тинькофф, не находясь в России. А на их сайте такой возможности не нашёл. Не подскажете, как можно было бы поступить? Благодарю заранее!
Так не только в киви и не только в России. Балансируют между удобством и безопасностью. Можно кучу проверок устраивать, но тогда сколько порядочных людей получит массу геморроя из за тех кто похерил свои паспортные данные? Они могут запросить нотариально заверенные документы и справку от сотового оператора что владелец номера тот же человек, но многие порядочные юзеры пошлют их нафиг. Киви балансирует за счёт лимитов. Без дополнительных проверок лимиты по кошелькам там очень низкие.
В таком случае они должны быть заинтересованы в том, чтобы при обращении реального владельца паспорта как можно скорее блокировать счета и считать договор-оферту незаключенным. А не включать дурачка и говорить, что "паспорт валидный, мы невиноватые". Кошельки-то удалят, но товарищ майор в случае чего разбираться не будет.
Солидарен. С их стороны не красиво козлить в подобных случаях.
они их сразу блокируют при попытке вывести средства
Киви открывает не обычные банковские счета, а ЭСП (электронное средство платежа), насколько я знаю. Так же работает Вебмани в России (через Банк ККБ). Эти ЭСП бывают вообще неперсонализироваными(Н-ЭСП), бывают просто с вводом паспортных данных( упрощённая верификация) и с полной верификацией. У Киви как раз все указывает на то, что они открывают ЭСП: есть такие же разные виды идентификации, есть лимит на 600к руб, который есть у ЭСП.
В данном случае все зависит от того какая была верификация у кошельков, зарегистрированных на Вас. Если была упрощенная идентификация — то все законно, если полная — скорее всего, нет(но я не уверен)
полная разве не через госуслуги просто подтверждается?
Судя по всему есть, у меня в логах Госуслуг отображен вход в ИС Киви Банк через какой-то бангладешский IP и было разрешение. Полагаю, один из кошельков так и был верифицирован до статуса "Основной". Но технически, это просто автозаполнение формы, похоже. Проверка через СМЭВ в любом случае идет. Но для этой проверк досаточно любого валидного номера паспорта бьющегося с фамилией, а получить эти данные можно миллиардом способов и без взлома Госуслуг
"Основной" это не верифицированный кошелек, это такая же пустышка как и начальный. Там ни сканы паспорта, вообще нихера не надо. Это никаким образом не подтверждает что кошелек принадлежит именно тебе.
boyboys, здравствуйте. Полная идентификация проводится только очно или онлайн через Мегафон (с обязательным подтверждением, что номер зарегистрирован на те же паспортные данные)
помойка, удались из жизни
Киви заблокирует эти счета, деньги оставит себе, у них это часть бизнеса.
Но сначала драгдилеры и другие мошенники успеют нахлобучить сотню-другую доверчивых граждан.
А потом киви, может быть, нахлобучит их. Но не сильно, ведь драгдилеры и мошенники всех мастей — целевая аудитория киви
Вообще, конечно, упрощенная идентификация по 115фз, когда любой мошенник зная ваши ПД становится вами, пока вами же не доказано обратное (через суд по месту нахождения ответчика, разумеется) это просто жесть,с учётом доступности этих ПД для утечки.
Можно подать на незаконную обработку ПД, по месту прописки истца и судя по судебной практике, шансы на выигрыш дела есть
Разве там не нужен скан паспорта?
Не нужен, более того, вам даже не скажут, что на эти паспортные данные уже кошелёк есть. То есть можно зарегать много кошельков на одни и те же ПД (но на разные телефоны), по крайней мере так было весной 2020.
Все так, а для получения списка кошельков, надо выслать селфи с паспортом. По крайней мере, по словам их техподдержки, на практике после жалобы в ЦБ РФ они выдают номера в любом филиале по заявлению
Алексей, добрый день! На одни ПД можно идентифицировать до 5 QIWI Кошельков.
Руслан, добрый день!
По-человечески понимаем, как неприятно оказаться в такой ситуации, и всегда стараемся помочь. Оперативно удаляем кошельки на чужие данные, если к обращению прикрепить фото с паспортом. Это нужно, чтобы идентифицировать владельца паспорта.
Мы надежно храним все документы пользователей, но уважаем право считать отправку фотографии небезопасной, и в этом случае приглашаем обратиться лично. В Казани наше отделение действительно предусматривает в основном только идентификацию, поэтому специалист рекомендовал вам обратиться в офис в Москве. Ради вашего удобства мы приняли заявление в Казани и отправили его коллегам в головной офис, после чего удалили кошельки.
Что касается выписок, их действительно невозможно предоставить без запроса от правоохранительных органов, как бы нам не хотелось.
В QIWI заводится электронное средство платежа (ЭСП), само по себе оно не является счетом, поэтому может применяться упрощенная идентификация, в процессе мы запрашиваем согласие на обработку паспортных данных. Если проходить ИД не через Госуслуги, мы всегда требуем ввести данные дополнительного документа: СНИЛС, ИНН или ОМС. Значит, просто по паспорту повысить статус кошелька не получится.
"Ради вашего удобства мы приняли заявление в Казани и отправили его коллегам в головной офис, после чего удалили кошельки."
Ну это вранье 🙂 Ваш специалист техподдержки (и не один) тыкал мне внутренними регламентами и предлагал приехать в Москву, сказав что в Казани у меня никогда не примут данное заявление. Спасибо операционистки из Казани, с которой удалось договориться и ЦБ РФ за консультацию.
"Что касается выписок, их действительно невозможно предоставить без запроса от правоохранительных органов, как бы нам не хотелось."
На что вы ссылаетесь? На какой ФЗ? Кошельки оформлены на мой паспорт, я имею законное право узнать что делали от моего имени мошенники. И передать эту информацию в Полицию. Иначе получается странная ситуация, кошелек вроде не мой (и вы и я это признаете), а договор-оферту незаключенной считать отказываетесь. Теле-2 в аналогичной ситуации мне передал детализацию вызовов и смс на сим-карту, которую оформили на меня.
"Если проходить ИД не через Госуслуги, мы всегда требуем ввести данные дополнительного документа: СНИЛС, ИНН или ОМС."
При наличии цифр паспорта и ФИО, получить ИНН, СНИЛС не составит никакого труда. При чем вполне легально. Это не защищает ни от чего.
Собственно, у меня до сих пор есть пару вопросов:
1. Почему Киви отказывается считать договор-оферту (заключенный мошенниками от моего имени) незаключенным и пересать обрабатывать ПД на основании этого, а техподдержка издевательски говорит, что "банк в праве продолжить обработку ПД". Если у данного кошелька есть криминальный след и будет запрос от правоохранителей — Киви спокойно выдаст мои данные без каких-либо дополнительных приписок. Потому что де-юре кошелек мой. Неужели надо идти в суд, чтобы избавиться от этих кошельков окончательно?
2. По поводу верификации, правильно ли я понимаю, что если цифры паспорта и ФИО бьются через СМЭВ, то Киви в принципе без разницы, кто их ввел? То есть, любой недопропорядочный сотрудник операторов сотовой связи, МФО, платной клиники etc может просто взять клиентскую базу, верифицировать сотни кошельков и делать все что хочет? При этом сам владелец паспорта никогда об этом не узнает, а Киви с удовольствием будет обрабатывать персональные данные. Вам не кажется это огромной дырой в безопасности? 115-ФЗ предполагает несколько способов упрощенной идентификации, но вы выбрали самый дырявый. И не надо говорить, что "только вы самостоятельно несете ответственность за сохранность своих личных данных". Это не так. Мои данные и данные других россиян есть в сотнях организаций, и как показывает практика, эти данные текут будь здоров каждому.
QIWI-кошелек: как закрыть, если открыт не мной?
Всем здравствуйте, может, кто-то подскажет, как быть в следующей ситуации, из личного опыта или теоретических знаний: взяла в налоговой выписку по счетам, и обнаружила, что на меня зарегистрировали 3 ЭСП (электронные средства платежа) в банке QIWI , которых я, естественно, не открывала и ими не пользовалась. Написала обращение в поддержку QIWI, для выяснения вопроса, как их закрыть. И вот что мне ответили:
Номера счетов, понятно, я направлю. Но присылать сэлфи с паспортом как-то мне не нравится идея. Немного погуглила, пишут, что теоретически можно прийти в офис и там что-то попытаться сделать, но в моём городе, судя по сайту QIWI, офиса нет. Как быть в этой ситуации? Счета закрыть нужно, это совершенно точно, но что делать, если они откажутся продолжать рассмотрение без этого сэлфи?
Заранее спасибо всем, кто откликнется.
Добрый день!
Нам очень жаль, что вашими паспортными данными воспользовались третьи лица.
В нашем сервисе клиенты могут проходит упрощённую идентификацию онлайн в соответствии с ФЗ-115. Для этого они вводят данные паспорта и дополнительного документа.
Когда к нам обращаются с описанной вами проблемой, мы обязаны убедиться, что ведем переписку с реальным владельцем паспортных данных, только после этого сможем удалить кошельки. Поэтому и запрашиваем селфи.
Отметим, что селфи с подписью и обработкой в редакторе, к сожалению, наша система не примет. Но мы надежно храним все данные и не допускаем утечек, а через время и вовсе удаляем из баз. Также мы можем подтвердить данные в офисах в Москве, Санкт-Петербурге и Казани, если у вас будет возможность их посетить.
Единственный способ — отправить им то, что просят
Как меня обманули QIWI и обманут Вас. Описание схемы обмана
Столкнулся с серьезным обманом и введением в заблуждение со стороны КИВИ Банк (АО). У меня был несколько лет назад зарегистрирован кошелек КИВИ на мой старый номер, доступ к которому на данный момент я уже утерял (прошло около 15-20 лет). Однако, этот кошелек КИВИ я подтверждал на свои личные паспортные данные и он прошел проверку в системе КИВИ, т. е. имел статус идентифицированного с подтверждением личности. КИВИ Банк (АО) предоставили мне инструкцию по переносу баланса на мой новый кошелек в системе КИВИ Банк (АО):
«Здравствуйте! Поменять номер кошелька технически невозможно, так как номер мобильного телефона – это номер вашего кошелька. Без доступа к номеру пользоваться кошельком не получится. Для того, чтобы вернуть все функции сервиса, нужно восстановить сим-карту. Если такой возможности нет, то мы можем рассмотреть вариант переноса денег с вашего старого кошелька на новый. Для этого, пожалуйста, пришлите нам в ответном письме фото с паспортом в руках хорошего качества, более 1 МБ, без использования графических редакторов, без бликов, искажений и срезов по краям.»
Я все сделал по инструкции, прислал им селфи с паспортом и его подтвердили, приняли как документ, удостоверяющий личность. После чего КИВИ Банк (АО) решил запросить абсолютно не имеющие никакого отношения к запросу документы:
«Здравствуйте. Селфи прошло проверку. Также для рассмотрения вашего обращения пришлите, пожалуйста, фото с договором на старую сим-карту.»
Я написал, что сим-карта была зарегистрирована очень давно и у меня уже не осталось договора с оператором связи на руках. Договор на сим-карту с оператором они не имеют права требовать согласно Закона, т. к. это не является идентификацией моей личности в КИВИ Банк (АО).
«Здравствуйте! Без фото договора на старую сим-карту мы не сможем рассмотреть перенос баланса.»
Также, на момент регистрации старого кошелька такого пункта в оферте не было, также о ее изменениях мне не было заявлено надлежащим образом. Учитывая, что мобильный номер является только средством связи, а не подтверждением личности, я подал прямой запрос в КИВИ и потребовал возврат средств. Мне было грубо отказано, ссылаясь на необходимость предоставления договора по сим-карте с оператором связи. В телефонном разговоре со специалистами КИВИ Банк (АО), они мне прямо заявили, что в случае если я не предоставлю договор с оператором связи, денежные средства останутся у них навсегда.
Считаю, что КИВИ Банк (АО) запрашивает не обязательные документы с целью незаконного завладения денежными средствами, находящимися на моем кошельке в КИВИ Банк (АО). Все вышеуказанное в тексте данного отзыва — мое личное мнение, основанное на проблемах и разочарованиях, с которыми я столкнулся при взаимодействии с Киви Банк. Уже отправил жалобы на Киви Банк (АО) в ЦБ РФ и Роспотребнадзор, готовлю официальную претензию и заявление в Прокуратуру РФ и Президенту РФ.
Спасибо за внимание, будьте бдительны и осторожны!
UPD: Оператор теле2. Звонил на горячую линию и приходил в салон связи — мне отказали выдавать копию договора или справку о том, что номер мне принадлежал, т.к. они выдают такие документы только по запросу из гос.органов. Сказали так — мы вам можем выдать только справку, что на вас сейчас никакой номер в теле2 не зарегистрирован. Кто сомневается — наберите по службу поддержки теле2, номер есть на официальном сайте. Я звонил 2 раза, попадался на двух специалистов — ответ абсолютно одинаковый. И в салоне связи тоже самое сказали.
UPD2: Это очень похоже на схему обмана, когда банк от клиента требует документы, которые невозможно получить, чтобы завладеть деньгами клиента. Почитайте другие отзывы о КИВИ БАНК и КИВИ КОШЕЛЕК — вы все поймете.
UPD3: Собираю инициативную группу пострадавших от КИВИ, пишите мне в личку. Добро побеждает зло!