Ребята айтишники, помогите, пожалуйста, а то я уже в одном шаге от паранойи🥺
В декабре прошлого года я обнаруживаю, что с моей карты revolut списана сумма за оплату дубайских садов. Я в это время была в самолете и у меня даже физически не было возможности это совершить. Помимо этого я также вишу старый пуш, который просит подтвердить платеж в приложении через их 3D secure. И я делаю вывод, что если платеж прошел, то кто-то его подтвердил. Я на панике пишу в поддержку, они меня уверяют, что ни у кого доступа к моему революту нет, поменяйте пароль. Просто украли данные карты, мол такое бывает. Окей, я блокирую карту, с которой это произошло, мне возвращают деньги и я успокаиваюсь, хотя внятного объяснения мне так и не дали.

НО
Наступает март. Я заношу свои расходы в приложение и вижу два списания за 2 и 4 марта, которых я точно не совершала. Я вновь отправляю запрос на их оспаривание, пишу в поддержку, чтобы понять, как это могло произойти. Снова. И если в прошлый раз были украдены данные карты, привязанной к apple pay, то сейчас в данных платежа указаны карты, которых у меня вообще нет. Это одноразовые виртуальные карты, которые я не создавала. Я пользуюсь функцией одноразовых виртуальных карт непосредственно перед покупкой на каком-то сайте, но я не держу созданных заранее карт. Помимо этого, запрос на возврат одного из платежей отклоняют, ввиду того, что он подтвержден через 3d secure. А это опять подразумевает, что якобы я зашла в приложение и нажала подтвердить этот платеж, чего абсолютно точно не было! И как я ни пытаюсь достучаться до поддержки, никакие логи о времени входа в профиль, они не дают. Говорят, что единственная активная сессия, это на текущем устройстве, других с 2026 года не использовалось.

Я просто в тихом ужасе и не понимании. Я переживаю за свои средства и не понимаю, что делать. Я уже в шаге от того, чтобы хранить деньги под матрасом 🥲 Мой телефон всегда при мне. Абсолютно точно им никто не пользовался. У меня нет программ с удаленным доступом, стоит касперский. Расскажите, как могли быть созданы одноразовые виртуальные карты без моего участия? Может тут есть кто-то из революта? За время общения с ними у меня сменилось 7 саппортов. Они кидают меня от спеца к спецу, но никто внятное ничего сказать не может. Уверяют, что все хорошо и мои средства в безопасности. А я боюсь, что это может повториться опять 😭 обязаны ли они согласно gdpr предоставить мне подобные логи?
Это абсолютно точно не подписка и я совершенно точно не совершала этих покупок.

Иногда бывает так, что мерчант не «запросил» вовремя деньги по транзакции и она отменилась. Тогда мерчант может придти в платежную систему через два три месяца даже и попросить эти деньги отдать. И у вас появится новая транзакция. Подумайте - не делали вы такие покупки где-то ранее. У меня например таких случаев несколько с Сербией.

чем это можно сделать?

тут к сожалению просто ответа нет (ну или я его не знаю, возможно коллеги подскажут): 1) на сайте производителя вашего сетевого устройства можно посмотреть наличие прошивок и информацию о том, в каких версиях есть критические уязвимости (ну то есть вы защищаете телефон, а роутер - дырявое ведро и без обновления прошивки толку нет, если сеть заражена, вирус сканит открытые порты и в случае старых версий заходит как к себе домой) 2) есть локальные сканеры, которые анализируют трафик, их много, какие-то работают только с конкретными производителями, на вскидку Maltrail можно посмотреть - тут аккуратно в том смысле, что анализ сетевого трафика может выглядеть как атака на сеть как-то так

допустим действительно дыра в сети. Вход в приложение мошенниками будет также распознаваться, как сделанное с моего устройства?

Из прочитанного очень похоже, что кто то имеет доступ к вашему телефону и знает пароли

я согласна, что очень похоже. Но некому. Ну просто некому. Мужу до моих паролей абсолютно все равно. Помимо этого я их меняла, после прошлых случаев

Основная проблема - не в лишних списаниях. Пусть это и не приятно, но такое может быть например на стороне продавца, когда через некоторое время с вас начинает списывать рандомные суммы какой-то левый сайт. Можно заблокировать такого "продавца" прямо в Револют и всё. Проблема в том, что кто-то (как вы говорите) создал одноразовые виртуальные карты. Это нельзя сделать без доступа к аккаунту. Проведите плиз расследование с поддержкой Революта - когда были сделаны эти карты в вашем аккаунте, из какой страны были входы в то время и так далее.

я писала им. Они говорят, что вход был лишь с моего текущего устройства. Они дают время создания этих карт, но не указывают место

Всё равно - проблема именно в этом моменте. Т.е. на списания сейчас не сильно обращайте внимание - просто заблокируйте и всё. А вот создание виртуальных карт - это очень большая проблема. Кто-то имеет/имел доступ к вашему аккаунту - или лично или удаленно.

именно это и пугает

и это было бы самым простым решением, но некому. Просто некому 🫠

Списание могло быть и через много-много времени после. Важен сам факт создания виртуальных карт.

Даже банально для создания одноразовой карты необходим face ID. Даже если предположить, что это кто-то взял мой телефон, вы представляете, как он должен подносить мой же телефон к моему лицу незаметно

ну и всегда ставьте лимиты в революте, чтобы много не украли, или вообще блок всех транзакций

у меня стоят лимиты всегда. Но нельзя поставить на одноразовую карту лимит

если могут выпустить виртуалку, то смогут и лимиты поднять, списать, опустить назад))

Если не срабатывает лицо, следом идет запрос пароля

который я меняла и никому не сообщала

Про техническую сторону тут много было сказано, я именно со стороны юзкейса подхожу. Угнанный аккаунт - это буквально подарок для злоумышленников. Мало того что это бесплатные деньги с баланса, это ещё и дроп, через которого можно, например, деньги обманутой пенсионерки в крипту перевести. Делать мелкие ставки с такого аккаунта это как вскрывать квартиру чтобы мелочь из под-дивана собрать😄 Но вообще решается довольно легко. Берете самый простенький телефон на андроиде. Ставите на него ТОЛЬКО револют и больше вообще ничего. Интернетом с него пользуетесь только мобильным, ни к каким вайфаям, включая домашний никогда не подключаете. Думайте о нем как о кошельке с батарейкой. С основного девайса револют удаляете. Либо списаний больше не будет, либо они 146% через физ-доступ

А эти транзакции точно были? Баланс сходится? Реально эти деньги списали? Просто логи это такой обычно хрупкий функционал, что к вам могли, например, чужие логи прибить из-за какой-нибудь ошибки

сейчас перепроверю

увы, все сходится, списания действительно были(

Не могу утверждать, что кейс аналогичный, но у меня была похожая история с Револютом пару лет назад. Списания нескольких сумм в течение ночи, совокупно евро на 200, с виртуальной карты, которой я никогда не пользовался (соответственно данные карты не светились). Часть транзакций отклонены (видимо не сразу подобрали данные карты). Мерчанты в экзотических для меня локациях (никогда там ничего не покупал) вроде Турции и Индии. Очевидный фрод, но с поддержкой пришлось пободаться. Писал им через разные каналы включая Реддит. Деньги вернули, но дыру в безопасности так и не признали. Судя по тому, что пишут на форумах, вероятная причина - подбор брутфорсом данных револютовских виртуальных карт. Почему Револют не блокирует карту и/или мерчанта после множественных попыток подобрать карту - не знаю.

у меня проблема в том, что карты, с которых списали я и не создавала даже. Если верить техподдержке, то карта была создана прямо перед совершением транзакции. Ну и да, переводы на всякие сайты, о существовании которых я уверена, вряд ли кто вообще знает

Если не создавали, то видимо какая-то другая дыра. Но я бы учитывал, что на стороне Революта они тоже вполне возможны. При этом поддержка в моём случае отрицала такую возможность, несмотря на явные признаки фрода в транзакциях.

мысль написать на реддит тоже была. С поддержкой бодаюсь, но возврат уже отклонили и есть сомнения, что вряд ли получится их как-то переубедить. В их глазах я сама дурак, естественно 🫠

У меня тоже отклонили возврат сначала. Если сумма значимая для вас или дело принципа, есть шанс додавить до возврата.

около 100 евро, но все равно неприятно 😞 как вам удалось их переубедить?

А вы точно нигде давно не подписывался на пробные БЕСПЛАТНЫЕ вещи, но с вводом карточки?

точно. Я знаю все свои карты. Для подписок у меня существует отдельная, с лимитами, для платежей по нфс - другая, тоже с лимитами. Я конечно тупой сапожок, но не настолько 🥲

Речь именно про бесплатный пробный период, а так выглядит что в Револют кто-то хитрит. Запросите поддержку ip входа на момент создания карт.

не дают. Никакие логи не дают. Я конечно буду писать им снова и снова, но они уходят от вопроса и как заводные пишут, что мой аккаунт в порядке и безопасности

Так не было виртуальных карт. Их создааали и удаляли изнутри аккаунта

У коллеги так было, сделали платеж где то в Мексике на 400 долларов , типа по Apple Pay . Оспорить не удалось, Револют уперлись , что типа подтверждено и все. Я там деньги не храню, только для платежей :(

самое страшное, что если у них есть дыра, то фиг до них достучишься. И мой случай явно не единичный, т.е. по сути те, кто пользуется револютом могут оказаться в такой же ситуации

Извините, если повторюсь, но возможно кто-то через удалённый рабочий стол(приложение) ходит на ваш телефон и логинится в револют? Поэтому и карты были созданы с вашего устройства

у меня нет приложений с удаленным доступом

В какое время были созданы карты? Ночное дневное?

дневное. в 11 утра и в 14 дня

возможно тут уже рекомендовали, но если что повторюсь. На всякий случай, пока разбираетесь, можно перевести все на Flexible cash funds и переводить на основной только когда планируете какой-то платеж совершить. При этом в настройках безопасности поставить лимит на снятие с Flexible cash funds с биометрической верификацией. Так точно никто ничего дополнительно не снимет.

я пока в принципе больше не планирую пользоваться револютом, тк они не могут объяснить ситуацию и соответственно дать гарантий, что это не повторится снова 😢 а в целом я так и делала. На революте не хранится более 200 евро обычно

Здесь, скорее всего, дело не в революте, а в вашем устройстве

что это может быть?

Удалённый или физический доступ

я уже выше объясняла, что ни то, ни другое не возможно

Ну тогда подавайте на револют в суд и принесите сюда подтверждение выигранного дела, чтобы было понятно, что это не репутационная атака от тг-аккаунта