Darmowe buty od Deichmanna. Szokująco dziurawy system płatności Sofort

Gdy postanowimy skorzystać z oferty znanego sklepu obuwniczego i nie będziemy mieli oporów przed – mówiąc bez ogródek – kradzieżą, możemy zapomnieć o płaceniu. Okazuje się, że system płatności Sofort umożliwia darmowe zakupy. Jak to możliwe?

Choć własne opinie umieszczam z reguły pod koniec artykułów, w tym przypadku chciałbym zaznaczyć już na początku – wykorzystywanie luk w systemie płatności nie jest tym samym, co pobranie udostępnionej w Sieci muzyki czy filmu. Tu nie ma miejsca na dywagacje nad etyką takiego postępowania – moim zdaniem jest to po prostu kradzież.

Niezależnie od tego wydaje się, że każdy przyzwoity system płatności powinien być przed kradzieżami zabezpieczony. Przykład płatności Sofort pokazuje jednak, że jest to tylko teoria. Ciekawy sposób ominięcia zabezpieczeń odkrył i opisał na swoim blogu Hackman.

Aby dostać przesyłkę z butami i nie zapłacić za nią ani grosza, konieczne jest zarejestrowanie się w sklepie. Względną anonimowość powinno zapewnić wybranie paczkomatu jako miejsca odbioru przesyłki, jednak pomińmy szczegółowy instruktaż - to artykuł o luce w zabezpieczeniach, a nie o metodach bezkarnej kradzieży.

Kluczową kwestią jest wybranie odpowiedniego systemu płatności – musi być to Sofort. Po dokonaniu zakupów sklep przekieruje do niego klienta i w tym właśnie momencie, jak stwierdziłby pewien były polityk, kończy się cywilizacja, a zaczyna dziki kraj.

Z trzymającej się logiki analizy Hackmana wynika, że system Sofort pod względem zasady działania nie różni się od stron phishingowych – klient podaje Sofortowi dane pozwalające na dostęp do konta bankowego, a następnie Sofort się do tego konta loguje, naruszając przy okazji milion bankowych przepisów i w imieniu klienta zleca przelew.

Ta praktyka nie budziła jednak do tej pory większych protestów - jak chwali się właściciel Sofortu, Payment Network AG, według badań z 2010 roku jest to najpopularniejszy system płatności w Niemczech. Zastosowane przez twórców systemu absurdalnie prymitywne rozwiązanie niesie jednak z sobą poważne zagrożenie nie tylko dla klientów. Dlaczego?

Po zalogowaniu się za pomocą Sofortu (nie róbcie tego!) do własnego konta i zrealizowaniu transakcji wystarczy szybko zalogować się bezpośrednio, zmienić hasło i – o ile system transakcyjny banku na to pozwala – wycofać przelew, który uprzednio został zatwierdzony przez Sofort. Na wycofanie przelewów pozwalają m.in. mBank, MultiBank, iPKO i Inteligo - można to zrobić do czasu sesji systemu ELIXIR, po której pieniądze faktycznie opuszczają konto (w tym artykule znajdziecie informację, który bank jest najbezpieczniejszy).

Oczywiście w FAQ umieszczonym na stronie Sofortu oficjalne stanowisko firmy jest nieco inne, ale darujmy im tę wprowadzającą w błąd informację - mają teraz na głowie znacznie poważniejsze problemy.

Z punktu widzenia Sofortu pieniądze od klienta zostały przesłane, odpowiednia kwota trafia zatem od operatora płatności na konto Deichmanna. Po stronie sklepu wszystko jest zatem w porządku – dostał pieniądze, wysyła buty. Stratny jest w tym przypadku Sofort, który przekazał pieniądze do sklepu, by po chwili zorientować się, że nigdy nie dostał ich od klienta.

Po wykryciu niezgodności automat Sofortu będzie wielokrotnie próbował zalogować się ponownie na konto, ale z powodu zmienionego hasła nie będzie mógł tego zrobić, co zaowocuje czasową blokadą dostępu do konta.

Sofort nie jest na razie popularny w Polsce. Pierwsze wdrożenia miały miejsce w marcu 2012 roku, ale spójrzcie na listę klientów (prawdopodobnie głównie z rynku niemieckiego):

Największe wrażenie zrobił na mnie w opisywanym przypadku nie sam fakt znalezienia luki, ale ujawnienie, że duża i, wydawałoby się, wiarygodna firma może stosować takie rozwiązania. Z jednej strony daje to klientom spore pole do nadużyć, ale z drugiej sam Sofort wykorzystuje i przetwarza dane, których zbierać nie powinien. Jak wynika z regulaminu usługi, klient podając dane do logowania, upoważnia przy okazji Sofort do sprawdzenia stanu konta i historii transakcji.

Niezależnie od moralnej oceny całego procederu znalazcy tej luki należą się duże brawa za dociekliwość i pomysłowość. Przez chwilę nosiłem się z zamiarem napisania długiego podsumowania dotyczącego wiarygodności systemu, który można oszukać w tak prosty sposób. Sądzę jednak, że to zbędne – w roli komentarza wystarczy tylko jedno słowo: masakra.

Źródło: Corporate Misfire