Niebezpiecznik

Pewien serwis telefonów komórkowych umożliwiał klientom zarządzanie statusem naprawy przez stronę internetową. Niestety, tak naprawdę każdy internauta mógł za klienta podjąć decyzję co zrobić z jego sprzętem — w tym, zniszczyć mu go. Zdalnie. klinięciem…

Znów numerek w linku winny!

Firma Cyfrowe Centrum Serwisowe oferuje gwarancyjne i pogwarancyjne naprawy telefonów. Przy tego typu usługach nierzadko zachodzi potrzeba skontaktowania się z klientem, powiadomienia go o statusie naprawy i umożliwienia mu podjęcia decyzji o dalszych losach urządzenia (naprawiać, nie naprawiać, zezłomować etc.). Wspomniana wyżej firma postanowiła to zrobić za pośrednictwem swojej strony internetowej. Pomysł dobry, ale wykonanie niestety wadliwe…

Nasz Czytelnik Mateusz zgłosił nam, że link do strony umożliwiającej podjęcie decyzji miał następującą postać:

http://78.11.116.14/wz/index.php?wz=wz1kosztorys&zgloszenie=${zid}&naprawa=${nid}

Problem w tym, że parametr ${zid} był całkowicie ignorowany, natomiast parametr ${nid} to wartość wyrażona samymi cyframi, a zatem można próbować go zgadywać. Mateusz ustalił, próbując na chybił trafił, że dało się trafić w podstrony ze statusem naprawy czyjegoś sprzętu.

Strony pokazane na zrzutach miały numery napraw złożone z 10 cyfr. Uprzedzamy jednak, że aktywne strony z informacjami o kosztach nie znajdowały się na każdym z możliwych 10-cyfrowych identyfikatorów. Przy pobieżnych próbach trafialiśmy mniej więcej w 2-3 przypadki na 10 możliwych, a ponadto część stron zawierała informacje o zgłoszeniach już zrealizowanych.

Ale te zgłoszenia, które pozostały jako niezrealizowane, stanowiły dość poważny problem dla zlecających. Po pierwsze, każda osoba trafiająca na tę stronę mogła podjąć decyzję o wyrażeniu zgody na naprawdę lub o utylizacji urządzenia.

Oraz jak zwykle — wyciek danych klientów…

Co więcej, jak doniósł nam Mateusz, wybierając zgodę na odpłatną naprawę uzyskiwało się dostęp do danych klienta – imienia, nazwiska, adresu oraz danych do faktury.

Już naprawione

Dziś rano zgłosiliśmy problem firmie Cyfrowe Centrum Serwisowe S.A.. To samo wcześniej zrobił Mateusz. Wiceprezes Robert Frączek już poinformował nas o usunięciu problemu i obiecał przesłanie odpowiedzi na pytania w późniejszym czasie. W momencie publikowania tego tekstu strony ze statusem napraw nie były już dostępne, a widoczny był jedynie komunikat o przerwie technicznej. Cieszy nas szybka reakcja firmy. Wpadka może się zdarzyć zawsze i każdemu, ale liczy się by na takie problemy reagować sprawnie i zdecydowanie.

Nie taki rzadki błąd

Już wcześniej nie raz pisaliśmy o różnych problemach z usługami serwisów. Firmy tego typu potrafią iść na skróty w przetwarzaniu danych, czego najbardziej jaskrawym przykładem był serwis zabezpieczający dane klientów jednym hasłem podawanym do wiadomości wielu osób.

Osobnym i niestety wciąż spotykanym problemem jest udostępnianie klientowi informację przez stronę publicznie dostępną, z nadzieją iż nikt nie odgadnie jaki jest adres tej strony. W ten sposób wyciekły dane klientów wielu serwisów, m.in. Allepaznokcie, a ostatnio takie strony z zamówieniami klientów MediaMarkt zostały zindeksowane przez Google.

Uwaga na zakupy i usługi przez internet

Zakupy w sklepach internetowych i generalnie — korzystanie z usług przez internet — to nie taka prosta sprawa, jak mogłoby się wydawać. Wiele rzeczy może pójść nie tak. Od braku otrzymania produktu przez stratę pieniędzy aż do wycieku naszych danych (nie tylko) osobowych. Jak nie stracić kasy i się przed tym wszystkim zabezpieczyć?

O tym opowiemy w trakcie naszego webinaru “Jak bezpiecznie kupować i płacić przez internet“. Webinar odbędzie się 4 czerwca o godz. 20:00, a zarejestrować na niego możecie się tutaj. Z hasłem “ZEZŁOMUJMNIE” otrzymacie 20 PLN rabatu na zapis. Nie odwlekajcie decyzji, bo cena każdego dnia o północy rośnie.

Aktualizacja 27.05.2020 8:11

Spółka Cyfrowe Centrum Serwisowe informowała nas telefonicznie o naprawieniu problemu, a wczoraj po południu przesłała nam dodatkowe oświadczenia i wyjaśnienia. Godne podkreślenia są zwłaszcza dwie rzeczy.

1. Znaczna część podmiotów, z którymi serwis prowadzi komunikację przy użyciu formularza akceptacyjnego to punkty sprzedaży (operatorskie bądź open-marketowe), których dane adresowe czy identyfikacyjne nie stanowią danych osobowych (te nie są osobami fizycznymi).
2. Logi akceptacji kosztorysów (a dokładniej wywołania usługi za pomocą linka) zostały poddane analizie pod kątem ewentualnego pozyskania danych osobowych przez osobę nieuprawnioną.

Po naszym zgłoszeniu mechanizm potwierdzania kosztorysów został zablokowany, po czym wprowadzono w nim zmiany. Spółka zapowiada przegląd wszystkich pozostałych form automatycznej komunikacji z Klientem, rozważa wprowadzenie  dodatkowych zabezpieczeń i monitorowanie sytuacji. Formularz akceptacyjny nie posiada aktualnie danych odbiorcy i płatnika. Działanie systemu po zmianach będzie monitorowane pod kątem bezpieczeństwa.