Август 2019 — Заметка №6

Если у вас есть кредитка от банка Тинькофф, обратите внимание на одноразовые коды, которые они присылают пушами или через СМС. Это четырехзначные числа и в каждом cкорее всего будут повторяющиеся цифры.

Это не случайность. Ребята из Тинькоффа упоминали, что это сделали специально. Такие одноразовые коды проще запоминать и вводить. Также я подозреваю они просто приятнее, так как там есть паттерн (что тоже важно).

Cкорее всего ребятам пришлось пройти не один разговор со своими безопасниками, доказывая, что тут нет угрозы и это ОК посылать всего четыре цифры (ВТБ например шлет 6) и что повторяющиеся цифры (упрощает подбор) это допустимо. Но смогли — очень здорово.

P.S. Мне тут написало несколько человек и сказали, что это заключение может быть ошибочно. Может быть. В четырехзначном числе вероятность повтора двух любых чисел чуть меньше 50%. (~47%, доказательство например тут, выглядит ОК). В моих тестах одинаковые цифры приходят чаще чем в 50% случаев (но не в 100%, да). Что ж, если я ошибся это будет отличный пример, когда вроде сам знаешь про все ловушки, но какие-то штуки попадают в слепое пятно и сам себя в чем-то уговариваешь. Даже если шанс 50%, а ты получаешь коды раз в пару дней, вполне вероятно получать серию в неделю-две одинаковых цифр и убедить себя, что это не совпадение.

Антон Жиянов кстати прислал свою отличную статью про коды. Там он говорит, что у Тинькова специально завышен процент одинаковых цифр до 65% случаев, что больше обычного, но конечно не 100%.

P.P.S Читатель Максим прислал еще одну интересную статью про одноразовые коды Тинькоффа В статье говорится, что коды есть двух типов (как я и предположил в предыдущем сообщении). Есть “легкие” годы (где всегда есть повторяющиеся числа, причем как правило 1 и 3 цифра совпадают), легкие коды используются для нерисковых транзакций (покупки в интернете, переводы между своими счетами). И есть “обычные” коды (которые по настоящему случайны), такие коды используются для операций с более высоким риском (например вход в интернет-банк). Звучит очень правдоподобно.