• эти уроды (тинькофф) нихрена не проверяют (по крайней мре раньше не проверяли) адреса почты, которые клиенты указывают в своих данных;
  
• мне, например, постоянно приходят от них письма на имя какого-то ушлепка, зарегистрированного у них как ИП - предполагаю, что обычного физика с таким же адресом они бы не зарегистировали, а вот ИП - зарегистрировали (возможно, у них были разные учетные системы для обычных розничных клиентов и для ИП, не знаю, как сейчас);
  
• еще у них есть сервисы для людей, не являющихся клиентами банка (не имеющих счетов в Тинькове) - это проверено: можно установить себе приложение (обычное или Junior как у моих детей) и подписаться там на сопутствующие сервисы не открывая собственного счета (например, пользуясь дополнительной картой к чужому счету, как я когда-то выпускал для жены) - им доступен сервис уведомления о штрафах тот же, например, уведомления о счетах за ЖКХ и т.п. и разумеется раньше тоже адрес почты не сверяли с базой клиентов банка.

• это происходит при подключении разных людей через какой-нибудь общий узел (прокси-сервер, VPN), который кеширует данные (либо для масштабирования и снижения нагрузки на целевой сервис, как Google для YouTube), либо для изоляции внутреннего сегмента сети (корпоративные внутренние сети или те же VPN);
  
• эти узлы технически могут кешировать разные данные, в самом постом и правильном варианте - web-страницы, например, но не должны кешировать вспомогательную информацию - заголовки сообщений и cookie;
  
• малограмотные сисЯдмины не углубляются в настройки кеша, а авторизация и аутентификация пользователя в рамках сессии зачастую происходит на уровне cookie - если эти данные закешированы не твоим браузером или мобильным приложением, а промежуточным прокси-сервером или сервисом VPN, то к твоему запросу могут подмешаться данные аутентификации другого пользователя, сохраненные на этом узле при более раннем входе другого пользователя;
  
• справедливости ради надо сказать, что целевые сервисы (например, тот же ТикТок) могут кроме заголовков Set-Cookie отправлять еще и заголовки nocash, предотвращающий кеширование вообще, но (a) не всегда это делают и (б) не для всех процедур отключение кеша возможно (например, для сохранения сессии пользователя точно не всегда допустимо, иначе пользователю придется на каждой странице вводить логин/пароль).

отредактировано: 28-03-2024 00:27 - MMM