Darmowe buty od Deichmanna. Szokująco dziurawy system płatności Sofort

Darmowe buty od Deichmanna. Szokująco dziurawy system płatności Sofort

Jak bardzo dziurawy może być system płatności? (Fot. Deichmann.com)
Jak bardzo dziurawy może być system płatności? (Fot. Deichmann.com)
Łukasz Michalik
22.05.2012 13:00

Gdy postanowimy skorzystać z oferty znanego sklepu obuwniczego i nie będziemy mieli oporów przed – mówiąc bez ogródek – kradzieżą, możemy zapomnieć o płaceniu. Okazuje się, że system płatności Sofort umożliwia darmowe zakupy. Jak to możliwe?

Gdy postanowimy skorzystać z oferty znanego sklepu obuwniczego i nie będziemy mieli oporów przed – mówiąc bez ogródek – kradzieżą, możemy zapomnieć o płaceniu. Okazuje się, że system płatności Sofort umożliwia darmowe zakupy. Jak to możliwe?

Choć własne opinie umieszczam z reguły pod koniec artykułów, w tym przypadku chciałbym zaznaczyć już na początku – wykorzystywanie luk w systemie płatności nie jest tym samym, co pobranie udostępnionej w Sieci muzyki czy filmu. Tu nie ma miejsca na dywagacje nad etyką takiego postępowania – moim zdaniem jest to po prostu kradzież.

Niezależnie od tego wydaje się, że każdy przyzwoity system płatności powinien być przed kradzieżami zabezpieczony. Przykład płatności Sofort pokazuje jednak, że jest to tylko teoria. Ciekawy sposób ominięcia zabezpieczeń odkrył i opisał na swoim blogu Hackman.

Aby dostać przesyłkę z butami i nie zapłacić za nią ani grosza, konieczne jest zarejestrowanie się w sklepie. Względną anonimowość powinno zapewnić wybranie paczkomatu jako miejsca odbioru przesyłki, jednak pomińmy szczegółowy instruktaż - to artykuł o luce w zabezpieczeniach, a nie o metodach bezkarnej kradzieży.

Kluczową kwestią jest wybranie odpowiedniego systemu płatności – musi być to Sofort. Po dokonaniu zakupów sklep przekieruje do niego klienta i w tym właśnie momencie, jak stwierdziłby pewien były polityk, kończy się cywilizacja, a zaczyna dziki kraj.

Jak bezpieczne są płatności Sofort? (Fot. Payment-Network.com)
Jak bezpieczne są płatności Sofort? (Fot. Payment-Network.com)

Z trzymającej się logiki analizy Hackmana wynika, że system Sofort pod względem zasady działania nie różni się od stron phishingowych – klient podaje Sofortowi dane pozwalające na dostęp do konta bankowego, a następnie Sofort się do tego konta loguje, naruszając przy okazji milion bankowych przepisów i w imieniu klienta zleca przelew.

Ta praktyka nie budziła jednak do tej pory większych protestów - jak chwali się właściciel Sofortu, Payment Network AG, według badań z 2010 roku jest to najpopularniejszy system płatności w Niemczech. Zastosowane przez twórców systemu absurdalnie prymitywne rozwiązanie niesie jednak z sobą poważne zagrożenie nie tylko dla klientów. Dlaczego?

System transakcyjny Multibanku - możliwość wycofania przelewu (Fot. Corporate-Misfire.Blogspot.com)
System transakcyjny Multibanku - możliwość wycofania przelewu (Fot. Corporate-Misfire.Blogspot.com)

Po zalogowaniu się za pomocą Sofortu (nie róbcie tego!) do własnego konta i zrealizowaniu transakcji wystarczy szybko zalogować się bezpośrednio, zmienić hasło i – o ile system transakcyjny banku na to pozwala – wycofać przelew, który uprzednio został zatwierdzony przez Sofort. Na wycofanie przelewów pozwalają m.in. mBank, MultiBank, iPKO i Inteligo - można to zrobić do czasu sesji systemu ELIXIR, po której pieniądze faktycznie opuszczają konto (w tym artykule znajdziecie informację, który bank jest najbezpieczniejszy).

Oczywiście w FAQ umieszczonym na stronie Sofortu oficjalne stanowisko firmy jest nieco inne, ale darujmy im tę wprowadzającą w błąd informację - mają teraz na głowie znacznie poważniejsze problemy.

Zdaniem Sofortu nie można wycofać przelewu. Serio? (Fot. Payment-Network.com)
Zdaniem Sofortu nie można wycofać przelewu. Serio? (Fot. Payment-Network.com)

Z punktu widzenia Sofortu pieniądze od klienta zostały przesłane, odpowiednia kwota trafia zatem od operatora płatności na konto Deichmanna. Po stronie sklepu wszystko jest zatem w porządku – dostał pieniądze, wysyła buty. Stratny jest w tym przypadku Sofort, który przekazał pieniądze do sklepu, by po chwili zorientować się, że nigdy nie dostał ich od klienta.

Po stronie sklepu wszystko jest w porządku - otrzymał pieniądze od operatora płatności, więc potwierdza zamówienie (Fot. Corporate-Misfire.Blogspot.com)
Po stronie sklepu wszystko jest w porządku - otrzymał pieniądze od operatora płatności, więc potwierdza zamówienie (Fot. Corporate-Misfire.Blogspot.com)

Po wykryciu niezgodności automat Sofortu będzie wielokrotnie próbował zalogować się ponownie na konto, ale z powodu zmienionego hasła nie będzie mógł tego zrobić, co zaowocuje czasową blokadą dostępu do konta.

Sofort nie jest na razie popularny w Polsce. Pierwsze wdrożenia miały miejsce w marcu 2012 roku, ale spójrzcie na listę klientów (prawdopodobnie głównie z rynku niemieckiego):

Firmy korzystające z systemu Sofort (Fot. Slideshare.net)
Firmy korzystające z systemu Sofort (Fot. Slideshare.net)

Największe wrażenie zrobił na mnie w opisywanym przypadku nie sam fakt znalezienia luki, ale ujawnienie, że duża i, wydawałoby się, wiarygodna firma może stosować takie rozwiązania. Z jednej strony daje to klientom spore pole do nadużyć, ale z drugiej sam Sofort wykorzystuje i przetwarza dane, których zbierać nie powinien. Jak wynika z regulaminu usługi, klient podając dane do logowania, upoważnia przy okazji Sofort do sprawdzenia stanu konta i historii transakcji.

Sofort kontroluje historię konta? (Fot. Payment-Network.com)
Sofort kontroluje historię konta? (Fot. Payment-Network.com)

Niezależnie od moralnej oceny całego procederu znalazcy tej luki należą się duże brawa za dociekliwość i pomysłowość. Przez chwilę nosiłem się z zamiarem napisania długiego podsumowania dotyczącego wiarygodności systemu, który można oszukać w tak prosty sposób. Sądzę jednak, że to zbędne – w roli komentarza wystarczy tylko jedno słowo: masakra.

Źródło artykułu:WP Gadżetomania
Oceń jakość naszego artykułuTwoja opinia pozwala nam tworzyć lepsze treści.
Wybrane dla Ciebie
Komentarze (1)