С 15 по 19 мая 2018 года мошенники похитили через банкоматы банка «Москва-сити» на Киевском, Ярославском, Казанском, Ленинградском и Павелецком вокзалах около 9 миллионов рублей. Они воспользовались программной ошибкой.

Схема была простой: мошенник выбирал опцию перевода денег с карты на карту через сервис Mastercard Moneysend, но не подтверждал операцию, а отменял её на экране банкомата. Во всех случаях карты «Тинькофф» пополнялись с карт «Сбербанка». Ошибка в настройке системы приводила к тому, что средства переводились на одну карту, но тут же восстанавливались на другой.

Для хищения средств не потребовалось даже внедрение вредоносного кода в банкоматы или компьютерную систему банка. Проблема была исключительно в настройках: банкомат считал, что операцию можно отменить, а банк получателя — что нельзя. Неправильные настройки были не во всех банкоматах, поэтому мошенники либо знали, в каких конкретных точках есть ошибка, либо действовали методом перебора. Кроме того, им была необходима карта банка, который позволяет отменить операцию перевода. Само собой, карты были оформлены на подставных лиц, а счета моментально обналичивались.

Мошенники действовали быстро, не привлекли к себе внимания, поэтому ни банки, ни полиция не смогли вычислить их. В результате по решению арбитражного комитета Mastercard деньги по спорным операциям в размере 134 122 долларов были списаны со счёта банка «Москва-сити».