Сервисы «Яндекса» списали у пользователей много лишнего, но обещали вернуть

В работе сервисов «Яндекса» (MOEX: YDEX) произошел сбой, который привел к дублированию операций и ошибочным повторным списаниям средств пользователей. Техподдержка компании сообщала, что специалисты отменяют ошибочные операции вручную, поэтому возврат денег может занять время. Специалисты по кибербезопасности объясняют сбой хакерской атакой, в «Яндексе» настаивают на «технической ошибке». Возможный совокупный объем неправомерных списаний эксперты оценить затруднились, но речь идет о сотнях миллионов рублей.

В сервисах «Яндекса» 28 сентября произошел технический сбой, который привел к несанкционированному списанию денежных средств в пользу компании, рассказал “Ъ” один из пользователей сервисов. По его словам, платеж в адрес «Яндекс Сплит» (сервис компании для частичной оплаты покупок) и «Яндекс Пэй» 28 сентября привел к списанию в размере более 800 тыс. руб. за одну операцию из-за повторных трансакций (“Ъ” ознакомился с копией банковских выписок пользователя).

В службе поддержки «Яндекс Пэй» пользователю ответили, что инцидент стал следствием технического сбоя и специалисты компании «вручную отменяют ошибочные списания», поэтому на это потребуется несколько дней.

Кроме того, 27 сентября пользователи «Яндекс Такси» также столкнулись со списаниями за поездки, которых они не совершали. Об этом они писали в соцсетях.

В пресс-службе «Яндекса» “Ъ” заявили, что «уже устранили технические причины дополнительных списаний», возникших у пользователей сервисов. «Мы также уже оформили возврат денег за лишние списания, срок их зачисления на счет клиента зависит от его банка и может занимать до трех дней»,— говорят в компании. Собеседник “Ъ” на рынке кибербезопасности объясняет причины сбоя тем, что компания на выходных проводила технические обновления программного обеспечения и тогда же была проведена кибератака на ее системы, что привело к сбою в работе сервисов.

С технической точки зрения сбой мог произойти при обновлении, что случается при неправильной настройке, когда появляется несовместимость с уже встроенным ПО, считают в ИБ-компании «Информзащита». «Ошибка в дублировании платежей могла быть одной из последствий сбоя. Возможно, была повреждена информационная инфраструктура. При этом сами сервисы "Яндекса" по итогу остаются доступны пользователям, из чего можно сделать вывод, что каких-то технических сложностей уже нет»,— говорят эксперты компании. Но они признают, что, поскольку в инциденте затронуты средства пользователей, «репутационный ущерб будет существенным». В «Яндексе» факт кибератаки не подтверждают: «Речь идет о технической ошибке».

Опрошенные “Ъ” эксперты затруднились оценить предполагаемую сумму неправомерных списаний, называемый разброс слишком велик.

Так, независимый эксперт Андрей Бархота говорит о «предположительной» сумме в 200–600 млн руб.

В целом сбой не повлияет на практику пользования сервисами и платными подписками «Яндекса», прогнозирует гендиректор нативной платформы setka.media Анна Доскач. «Во-первых, у “Яндекса” по количеству сервисов в рамках одного аккаунта и подписки конкурентов нет (доставка, такси, музыка, билеты и т. д.). Во-вторых, за последние восемь лет в России сформировался устойчивый “потребительский паттерн”: покупать онлайн»,— объясняет она. Локальный сбой — несущественные для большинства пользователей издержки, считает она. С этим согласен глава комитета по ИБ Ассоциации российских банков Андрей Федорец: «“Яндекс” — монополист для своих сервисов, и даже если потери будут оцениваться в десятки миллионов рублей, реального ущерба они не нанесут».

Сильнее всего пострадали от этой ситуации пользователи, у которых к сервису были привязаны кредитные карты, полагает управляющий партнер аналитического агентства Spektr Николай Седашов: «Им грозят издержки — проценты по кредитам в случае, если возврат средств займет больше времени». Такого рода ситуации приведут к тому, что пользователи сервисов «Яндекса» предпочтут привязывать к ним виртуальные карты и держать на них ограниченный баланс, полагает директор консалтинговой компании S+ Евгений Романенко.

Татьяна Исакова, Юлия Пославская