Я являюсь клиентом украинского оператора сотовой связи Киевстар и пользователем их веб-сервиса my.kyivstar.ua . Как и многие другие операторы, Киевстар предлагает веб-версию личного кабинета, в котором можно просмотреть баланс счёта, детализацию звонков, изменить тариф, заказать или отключить услугу и пр.
Так же у них недавно была запущена новая версия личного кабинета new.kyivstar.ua . В ней появилась интересная функция - добавление другого телефона Киевстар через смс верификацию. Я взялся её проверить на наличие уязвимостей, так как она фактически давала такой же доступ к добавляемому телефону, как и к своему, что меня не особо радовало, как клиента.
Новый сайт имеет следующий интерфейс добавления телефона:

Добавление производится в 4 шага:
Ввод номера телефона

Выбор варианта через присоединения по смс (бывает ещё через статический пароль, но у меня он не отображается)

Ввод полученной смс.

Подтверждение.

Эти 4 шага преобразуются в серию POST и GET запросов. Последние три запроса из этой серии отвечают за добавление номера после пройденной ОТП верификации.
И я решил проверить: что, если повторить эти запросы без тех, что отвечают за СМС верификацию.
Рассмотрим более детально эти последние 3 запроса.
Они имеют следующий вид в инструменте разработчика Google Chrome (Shift+Ctrl+I):

Запросы merge.rpc отправляются на адрес account.kyivstar.ua/cas/merge/merge.rpc .
Содержимое первого запроса:

Запрос содержит номер добавляемого телефона(097...)
Содержимое второго запроса:

Третий запрос на адрес new.kyivstar.ua/ecare/addOrMerge - это GET запрос без параметров, подтверждающий предыдущие две операции.

Далее я решил повторно воспроизвести эти 3 запроса, предварительно удалив добавленный только-что телефон из личного кабинета.
Для воспроизведения я использовал приложение Postman.

Как и предполагалось, после обновления страницы, телефон был успешно добавлен в личный кабинет.

Что мы имеем.
Мы можем добавлять любой номер телефона в свой личный кабинет без СМС верификации и управлять им как своим, а именно:

• просматривать баланс и детализацию звонков
• просматривать PUK1 код и серийный номер SIM-карты, что позволяет самостоятельно заменить сим-карту
• добавлять новые услуги и менять тарифный план
• и самое главное - переводить деньги с телефона на телефон

Лучшего подарка мошенникам и не придумаешь.

Как и полагается, я сразу связался с клиентской поддержкой Киевстар и попросил предоставить мне контакты службы безопасности или ответственного сотрудника отдела разработки, что бы им детально описать суть уязвимости и способ её воспроизведения. Как и стоило ожидать, мне отказали в моей просьбе и предложили прислать описание уязвимости либо в чат, либо через универсальную форму на сайте.
Понимая, какие возможны риски, если подробное описание уязвимости будет доступно любому сотруднику клиентской поддержки, я всё таки настоял на своей просьбе, но опять же безуспешно. Понимая, что другого выхода нет, я оформил подробную инструкцию по воспроизведению уязвимости в файлик Google Docs, завернул его в ссылку через сервис для трекания ссылок clickmeter.com и отправил в чат.
Как я и ожидал, моя заявка вызвала ажиотаж и повышенный интерес среди сотрудников компании, что отобразилось в аналитике сервиса clickmeter.com:

Заявку за 2 дня просмотрел 22 уникальный пользователь.

По статистике видно, что ссылку смотрели как с компьютеров, так и с мобильных устройств. География просмотров так же не ограничилась киевским офисом, в списке Киев, Львов, Днепропетровск, Тбилиси.
Анализируя статистику, становится ясно, что существующий канал связи с компанией не предназначен для подачи заявок подобного рода и может привести к утечке информации и эксплуатации её сторонними лицами до закрытия уязвимости.

Стоит отдать должное компании, ответственный сотрудник со мной связался на второй день, поблагодарил и попросил убрать ссылку из общего доступа. В течении следующих нескольких недель уязвимость была закрыта, и со мной повторно связались и сообщили о том, что заявка выполнена.

Эта история напоминает нам о том, что нужно более внимательно относиться к вопросам информационной безопасности в компаниях таких масштабов, как Киевстар, создавать для этого отдельные каналы связи, доступ к которым будут иметь только уполномоченные на это сотрудники. Ну а так же участие компании в bug-bounty программах или создание своей собственной так же положительно влияет на укрепление безопасности сервисов.

Хотите узнать, с кем общается Ваш ребенок подросток в свободное время? Или, где проводит вечера ваша подруга? А, может нужно проверить телефон мужа? Тогда настало время воспользоваться нашими услугами по детализации звонков. Сегодня стоимость настолько мала, что позволит каждому из вас получить подробную расшифровку не «отходя от места». Также существуют способы, как получить информацию по разговорам совершенно бесплатно.

Как сделать детализацию звонков бесплатно

1. Просто остаться наедине с желаемым телефоном.

Для того, чтобы не было сомнений и подозрений нужно взять телефон в руки и проверить историю вызовов, а также принятые и отправленные смс сообщения. Это можно сделать, если проверяемый человек находится рядом с вами и у вас есть время для того, чтобы просмотреть телефон и остаться незамеченным. Не забывайте, что такая проверка может плохо закончиться. Например, в случае, если владелец телефона появится раньше, чем вы его ждали, тогда готовьтесь к скандалу. Либо, некоторые предусмотрительные люди просто удаляют заранее всю историю с телефона и тогда вам уже не представится возможным таким банальным и бесплатным способом добиться правды.

2. Сделать детализацию бесплатно через сотового оператора.

Данный вариант возможен, если номер оформлен на вас. Сегодня абсолютно любой оператор связи предоставляет детализацию звонков удобным для вас способом. Вы можете лично явиться в офис, и предъявив документ удостоверяющий личность, беспрепятственно получить заветный отчет. Либо, заказать выписку по номеру или еще ее называют детализацию счета через интернет в личном кабинете. Как вы понимаете, для этого необходимо иметь прямой доступ к телефону. Заходите на сайт сотового оператора и указываете номер, с которого хотите получить . Для этого, на сайте введите свой номер, на него будет отправлено смс с паролем для входа. Далее, зайдя в личный кабинет, вы указываете свой электронный ящик, на который и будет выслан файл разговоров. Можно сделать еще проще, прямо там в режиме онлайн ознакомиться со своей детализацией. Она загружается напрямую в ваш личный кабинет, где ее можно сразу же прочитать. Правда, хранится недолго в пределах 3-х суток.

Альтернативы получить детализацию бесплатно - НЕТ! Не существует в природе! Ремарка - если только у вас нет знакомого работающего в сотовой компании, а так еще раз НЕТ. Никакие программы не покажут вам чужие разговоры, там только вирусы.

3. Оставить заявку компетентной компании и поручить свой заказ.

И новое предложение Местоположение человека по сотовому Некоторые из них совершенно бесплатны. Доступны все операторы: МТС, Билайн, Мегафон, Теле2, Yota, Мотив и другие.

Что такое распечатка звонков?

Распечатка звонков или распечатка номера – подробный перечень всех действий абонента совершенных в определенный период времени. По сути, является очень важным документом, потому как содержит достаточно много конфиденциальной информации абонента. Если вы впервые решили воспользоваться услугой по распечатке звонков, то знайте, что детализация звонков это идентичное понятие, и не имеет абсолютно никаких отличий, разница разве что в названии. Помните, что Распечатка СМС – это совершенно другая услуга, которая содержит тексты сообщений.

Взять расшифровку по любому оператору:

• Распечатка звонков Билайн
• Распечатка звонков Мегафон
• Распечатка звонков МТС
• Распечатка звонков Теле2
• Распечатка звонков Мотив
• Распечатка звонков Yota (Йота, ета)
• Распечатка звонков Kcell (Activ)

Что показывает распечатка звонков:

Файл по распечатке звонков включает множество параметров. Здесь вы узнаете о том, с кем созванивался абонент, какова продолжительность переговоров, номера всех абонентов, дата и время вызовов, общее количество входящих и исходящих звонков, а также личные данные владельца сим карты. Заказав у нас такую услугу, вы получите исчерпывающую информацию о действиях человека, которая долгое время хранится на серверах сотовых операторов.

Как получить распечатку звонков бесплатно

Итак, как же получить распечатку звонков бесплатно? Вопрос с простым решением для тех, кто хочет получить расшифровку переговоров своего номера. Как вы знаете, каждый оператор мобильной связи предоставляет такую услугу, как через личный кабинет, так и через интернет. Для этого, нужно всего лишь зайти на официальную страницу сотовика и при помощи небольших манипуляций войти в личный кабинет и заказать детализацию звонков. От вас требуется только одно, чтобы ваш сотовый телефон был включен и мог принимать СМС сообщения. У нас вы можете получить пошаговую инструкцию по работе с личным кабинетом – Мтс, мегафон, теле2, билайн, yota.

Как сделать распечатку звонков чужого номера

Но есть и другой вопрос, а как же сделать распечатку звонков чужого номера, да еще и бесплатно? Здесь всё несколько сложнее. Как вы понимаете, нужен под рукой мобильник того человека. Если есть – замечательно. Заходим в его личный кабинет и детализация звонков чужого номера у вас в руках. Через интернет расшифровка присылается на ваш email. Если вы не имеете доступ к номеру, тогда только на заказ. Но спешим вас обрадовать, стоимость услуг небольшая, а значит, доступна каждому из вас.

Восстановить удаленные звонки и смс

Помните, что нам неважно удаляет владелец свои звонки и смс из памяти телефона или нет. Вы получите полную информацию, поскольку вся информация по переписке хранится в полном объеме несколько лет.

Распечатка чужих звонков самостоятельно

У вас есть номер, которым вы когда поделились с мужем? Отлично, значит формально именно вы владелец этой симкарты. Неважно, кто ее использует, важно, что в глазах оператора вы законный хозяин и всегда можете официально запросить детализацию звонков «своего номера», а по сути, другого человека. Воспользуйтесь этим советом.

Как заказать распечатку звонков?

Воспользуйтесь формой для отправки заявки, и мы тут же приступим к выполнению заказа по распечатке номера. Готовый файл вы сможете получить уже через несколько часов.

Порядок сотрудничества:

Как вы понимаете, порядок сотрудничества требует соблюдение определенных правил с обеих сторон. От вас требуется немного: не нужно никому разглашать факт вашего обращения к нам и оплатить заказ, как только он будет готов. Со своей стороны мы гарантируем вам абсолютную конфиденциальность и владелец номера никогда не узнает о том, что кто-то читаете чужие смс или звонки. Распечатка номера осуществляется на уровне программного обеспечения и не требует каких-либо рассылок.

Работаем со всеми операторами не только России (Мтс, мегафон, билайн, теле2, yota, мотив, но и Украины (mts, vodafone, киевстар), Белоруссии (Velcom, Life), Казахстана (tele2, beeline, актив)



Распечатка звонков СМС сообщения Контроль телефона Отзывы Вопросы Поддержка

Оператор:

МТС Билайн Мегафон Теле2
Viber

ВВЕДИТЕ НОМЕР ТЕЛЕФОНА:

Доступные форматы: Следует отметить, что детализация звонков на МТС, Мегафон или Билайн - услуга, к которой чаще всего прибегают вовсе не для противоправных действий или для получения информации о личной жизни абонента. Гораздо чаще детализация звонков Мегафон или любого другого сотового оператора заказывается с целью обеспечения безопасности, а нередко и поиска пропавших людей Закрыть Информация от операторов Распечатка звонков / Детализация разговоров Форматы предоставляются как PDF, DOC, XML

Процесс получения RSMS данных : Упрощенный процесс выставления отчетов мобильного оператора показано на рисунке. Сырье CDR-файлов, сгенерированных из различных элементов сети в пределах оператора отправляются централизованно, часто называют модуль-посредник, для prebilling процесса. Премьер-функцию медиации модуля для преобразования и очистки сырого CDR и помщения их в формат, приемлемый по биллинговому процессору. Помимо внутренне созданных CDR данных, мобильный оператор может также потребоваться для получения CDR от его бизнес-партнеров (например, IDD односторонних/двусторонних соглашений и контент-провайдеров), roaming2 партнеров (данные и/или голос), и служба коротких сообщений (SMS) расчетные палаты. Эти CDR, в отличие от тех, внутренние, и могут быть направленны либо в модуль-посредник для предварительной обработки или непосредственно к биллинговой системе. Мобильный телефонный разговор трафика (исходящего или входящего, и включает в себя фиксированную или мобильную сеть) считается проходят через ключ мобильный элемент сети известен как мобильный центр коммутации (MSC). Поскольку основной задачей MSC - маршрутизация вызовов, raw CDR вызова обычно собираются, создается и поддерживается в пределах МСК. В данной статье освещаются некоторые зоны повышенного риска для потенциальных CDR утечки или мошенничества в постоплатных услуг и объясняет, как потенциальные потери могут быть определены. Обзор биллинговых процессов создает основу для понимания основных источников CDR-файлов , которые затем выявляются, и, наконец, четырех отдельных зон контроля, предназначенных для решения утечки, полученного в результате обработки CDR-файлов которые предоставлены.

РАСПЕЧАТКА ЗВОНКОВ - RSMS – ВАШ НЕЗАМЕНИМЫЙ ПОМОЩНИК

ПОЛНАЯ РАСПЕЧАТКА ЗВОНКОВ И СМС

ВСЕ МОБИЛЬНЫЕ ОПЕРАТОРЫ

Мы ценим ваше время! И уважаем желание узнать правду. Именно поэтому сервис предлагает простое и элегантное решение – полную детализацию деятельности любого абонента. Только на сервисе RSMS вы получите всю необходимую информацию: звонки, смс, входящая и исходящая активность. И нам не важно, чей это номер…

Как получить доступ к чужим звонкам и переписке

Действующее законодательство (в целом) неодобрительно относится к попыткам следить за чужой личной жизнью. Вы легко получите , если номер зарегистрирован на вас. Но у вас вряд ли получится – для этого нужно носить погоны или иметь прямой доступ к архивам мобильного оператора.

Что же делать, если сим-карта принадлежит совсем не вам, а информацию с нее получить нужно? Во-первых, нет никакого смысла обращаться к мобильным операторам – там вы только время потратите. Конечно, вы можете попытаться, но операторы МТС , Билайн , Мегафон и Теле2 вежливо укажут вам на дверь: детализацию ваших звонков вы получите по первой просьбе, причем даже бесплатно, а вот к чужим разговорам и смс вас не подпустят..

Можно рискнуть и обратиться к сыщикам и следователям. Печаль ситуации в том, что официальные лица могут получить доступ к любым архивам любого оператора – но им за это грозят неприятные последствия: за распространение личной информации посторонних лиц силовикам грозят кары от лишения должности до административной ответственности. А частным сыщикам ничего не страшно. По той простой причине, что у них просто нет нужной информации. Максимум, за что их можно привлечь – это мошенничество, так как вымогание денег у наивных граждан с обещаниями дать несуществующие данные мало вяжется с буквой закона.

А еще есть мы! Мы не даем громких обещаний и звезд с неба – мы делаем свою работу. Причем делаем ее эффективно, в чем вы можете сами убедиться, прочитав благодарных нам клиентов.

Распечатка чужих звонков - как это работает?

Допустим, вам необходима информация о звонках и смс конкретного абонента. Вы , создаете личный кабинет и получаете в распоряжение наш ресурс. В числе услуг:

• Полная детализация звонков
• Распечатка смс
• Выборка активности за любой конкретный период
• Все мобильные операторы: МТС, Билайн, Мегафон, Теле2
• Техническая поддержка клиентов

Мы предоставляем вам доступ к колоссальному объему данных – после вы можете отследить звонки любой степени давности. Но помните: вся информация с ресурса RSMS предоставляется для личного пользования, ее нельзя использовать в корыстных целях или в качестве доказательной базы.

Детализация звонков на RSMS – зачем?

Вы хотите узнать, с кем разговаривал интересующий вас человек? Хотите выяснить, кому он звонил, кто звонил ему? Это можно увидеть в детализации – покажет все разговоры, как бы их не пытались скрыть от вас.

Полная конфиденциальность

Интересующему вас человеку вряд ли понравится настойчивое внимание с чьей-либо стороны. Даже если в журнале звонков и архиве смс нет никакого криминала – вмешательство в личное пространство выглядит оскорбительным. Мы решили эту проблему – сервис RSMS сохраняет вашу полную анонимность. И если вы сами по неосторожности не признаетесь в контроле звонков и сообщений – никто и никогда об этом не узнает.

Поддержка клиентов

После регистрации в сервисе RSMS вы получаете доступ ко всем нашим инструментам. Вам достаточно знать номер нужного абонента – остальное наш ресурс сделает сам. Формат распечатки вы выбираете, исходя из технических характеристик вашего устройства (на чем удобнее читать). Интуитивно понятное меню легко в управлении. Если какие-то вопросы все же возникнут – к вашим услугам.

Быстро. Просто. Удобно

Ваш на сервисе RSMS – это изолированная зона, в которой есть только вы. Администрация заботится исключительно о том, чтобы сервис работал без перебоев и давал стабильный поток данных об абонентах МТС, Билайн, Мегафон и Теле2. Никто из разработчиков не знает, кто вы и чей номер вас интересует. Вам не о чем беспокоиться.

Только на сервисе RSMS вы получаете всестороннюю защиту от любых обвинений в слежке и контроле. Мы помогли реализовать тысячи проектов и работаем над расширением перечня услуг. Большинство наших клиентов предпочли остаться безымянными (и мы их хорошо понимаем), но самые смелые все же оставили