Ситуация вокруг массовых несанкционированных списаний с карт в Узбекистане проясняется. С официальной позицией в публичном поле отметились сам финтех Humans, платёжный провайдер Paylov и Нацбанк — стало очень хорошо видно сразу три уровня проблемы: технический, договорно-управленческий и репутационный. И на всех трёх сейчас у каждой стороны есть явные проблемы.

Позиция Humans

Списания шли с 4 по 8 декабря, две волны атак. Уязвимость — на стороне партнёра Paylov (Octagram), а именно: злоумышленники ходили напрямую в API Paylov, использовали токены карт и ключи, находящиеся в контуре Paylov, обходили приложение Humans и ввод OTP-кодов.

После первой волны атак Paylov, по версии Humans, не заблокировал подозрительные IP, что позволило случиться второй волне.

Позиция Paylov / Octagram

Подозрительные транзакции по клиентам Humans они заметили 6 декабря и сами временно приостановили операции, уведомив Humans. 7 декабря Humans официально сообщил, что фрод «локализован», и попросил возобновить транзакции. 8 декабря Octagram полностью остановил сервис через приложение Humans.

Octagram утверждает, что технических уязвимостей в их системе не обнаружено, а мошеннические операции стали возможны из-за использования зашифрованных ключей, за безопасное хранение которых отвечал Humans. У других партнёров Paylov похожих инцидентов нет.

ЦБ Узбекистана

9 декабря приостановил все платёжные услуги Paylov в приложении Humans, остальные операции по Uzcard и Humo через другие приложения работают в штатном режиме. Также Нацбанк начал проверку всех подозрительных транзакций, технических процессов и взаимодействия между Humans и Paylov — результаты будут опубликованы.

Обе стороны по сути признают только то, что массовые мошеннические списания по токенизированным картам были, шли без участия клиентов и связаны с взаимодействием Humans и Paylov/Octagram. Ключевые расхождения — по трём вопросам: где именно была уязвимость и контроль над ключами, кто облажался в инцидент-респонсе и кто несёт основную ответственность по факту хищений.

Судя по информации в публичном поле, произошедшее — классический риск архитектуры, где пользователь управляет своими финансами через супер-приложение (фронт), а реально все операции проводит внешний процессинг, у которого свои ключи, токены, API и логика лимитов. И с точки зрения зрелости финтеха это провал не только технологий или конкретных компаний, но и регулирования.

Если техническая документация позволяет по-разному трактовать зоны ответственности и правила работы с ключами, а фрод-мониторинг резко не останавливает массовые и очевидно подозрительные списания — это системная проблема.

Финтехно