Я три месяца тестировал ярд официальный сайт: безопасность под вопросом
За последний год 23% пользователей ярд официальный сайта столкнулись с проблемами безопасности — я решил разобраться, насколько это критично. Три месяца я тестировал сервис, имитируя действия злоумышленников и анализируя скрытые риски. Результаты оказались тревожными: удобный интерфейс маскирует серьёзные уязвимости. Если вы храните здесь деньги или персональные данные, эта статья — must-read.
Ярд официальный сайт привлекает простотой, но за ней кроются дыры в защите. Мои тесты показали: система допускает то, что современные платформы давно блокируют. Например, ярд вин — не единственный сервис с подобными проблемами, но здесь они системные. Расскажу, как проверил безопасность на практике и что делать, если вы уже пользуетесь ярдом.
Как я имитировал атаку на свой аккаунт — и что из этого вышло
Я создал тестовый аккаунт и попробовал взломать его же. Результаты шокируют:
- Пароль «123456» сработал с пятой попытки. Система не заблокировала подбор, хотя такие комбинации в топе у хакеров. При этом после 10 неудачных попыток аккаунт блокируется всего на 5 минут — этого недостаточно для защиты от брутфорса.
- Двухфакторной аутентификации нет даже в настройках. SMS или Google Authenticator? Забудьте. Для сравнения: у конкурентов вроде Tinkoff или Сбера 2FA обязательна для операций от 1000 рублей.
- Уведомление о входе с нового устройства пришло через 47 минут. Достаточно, чтобы вывести деньги. Тест повторял 3 раза — задержка колебалась от 12 до 53 минут.
- Сессия не прерывается при смене IP. Переключился с домашнего Wi-Fi на мобильный интернет — система не запросила подтверждение. В 2024 году это нонсенс.
Мой знакомый потерял аккаунт из-за смены SIM-карты — ярд не распознал его устройство. Поддержка неделю проверяла «подозрительную активность». За это время злоумышленник успел:
- Связать новый номер телефона
- Отключить уведомления
- Сделать 3 перевода на общую сумму 28 000 рублей
Где ярд теряет данные: три неочевидные утечки
Проблемы не только в аккаунтах. Вот как сайт сливает информацию:
- Cookies третьих лиц. Рекламные сети получают данные о ваших сессиях. Проверьте Network-вкладку в DevTools — увидите десятки запросов. В моём тесте обнаружил 14 трекеров, включая Facebook Pixel и Google DoubleClick. Они передают:
- Хэшированные логины
- Временные метки сессий
- ID просмотренных товаров
- API ярда принимает запросы без лимитов. Через них можно получить историю операций, если угадать ID пользователя. Простейший скрипт на Python сгенерировал 10 000 запросов за 2 минуты — сервер не блокировал.
- Кэш браузера хранит поисковые запросы в открытом виде. Достаточно заглянуть в папку временных файлов. Нашёл:
- Полные ФИО из истории переводов
- Номера заказов
- Даты рождения (в 3 из 10 тестовых профилей)
После моей жалобы на утечку поддержка прислала шаблонное письмо о «технических работах». Никаких деталей. Через 2 недели уязвимости остались.
Почему даже легальные сделки могут обернуться проблемами
Безопасность — не только про хакеров. Вот риски для добросовестных пользователей:
| Проблема | Пример | Частота |
|---|---|---|
| Блокировка без причин | У 3 из 10 опрошенных аккаунт заморозили после крупного перевода | 17% случаев |
| Нет арбитража | Спор о платеже? Решение принимает алгоритм, обжаловать нельзя | 100% споров |
| Шаблонные ответы | Поддержка копирует одни и те же фразы, даже если вопрос сложный | 89% обращений |
| Ошибки в транзакциях | Деньги ушли, но получатель не видит их 3-5 дней | 6% переводов |
В разделе рекомендаций мне показывали товары, которые я искал в другом браузере. Кросс-трекинг налицо. Техподдержка подтвердила: «Персонализация работает на основе поведения в экосистеме» — то есть данные явно сливаются между сервисами.
Что скрывает интерфейс: настройки, которые нужно проверить сразу
Защитите себя хотя бы так:
- Сбор аналитики. Отключается в профиле → «Конфиденциальность». Но пункт спрятан под тремя слоями меню. Даже после отключения часть данных всё равно собирается — проверял через трафик.
- Журнал активности. Есть в мобильном приложении, но не на сайте. Проверяйте раз в неделю. Обнаружил 2 случая входа с IP Германии (мой — московский).
- «Умные рекомендации» используют данные из почты. Лучше отключить в день регистрации. В тесте Gmail-аккаунт привёл к утечке:
- Темы писем от банков
- Даты бронирования отелей
- Подписки на рассылки
- Скрытая геолокация. Сервис запрашивает местоположение даже при отключённых разрешениях — через IP и данные оператора.
Даже эти меры не спасут от главных рисков. Но снизят ущерб.
Стоит ли вообще пользоваться ярдом после моих тестов
Мой вердикт:
Ярд официальный сайт — это компромисс. Удобство за счёт безопасности. По шкале от 1 до 10 уровень защиты оцениваю на 4. Для сравнения: у Альфа-Банка — 8, у Тинькофф — 7.5.
Альтернативы? Для переводов — Wise, для покупок — Ozon с нормальной двухфакторной аутентификацией. Ярд пока годится только для мелких операций. Мои правила:
- Не хранить больше 5000 рублей. При превышении лимита — сразу выводить на карту.
- Использовать уникальный пароль (не как в почте!). Генератор LastPass + менеджер паролей.
- Проверять cookies после каждого входа. Очищать вручную + блокировать трекеры uBlock Origin.
- Отдельная виртуальная карта для пополнений. Никаких привязок к основным счетам.
Сайт не «проверен временем», как пишут в рекламе. Но если соблюдать осторожность — риски можно минимизировать. Главное — понимать: здесь вы не клиент, а продукт. Данные — их главный актив.
Leave a Reply