9:33
21/2/2012

Oto e-mail, jaki dostałem na adres e-mail zarejestrowany w PayPal-u:

PayPal: ankieta czy phishing?

PayPal Ankieta Phishing

PayPal Ankieta czy Phishing?

PayPal, serio? Ten e-mail wygląda przecież gorzej od najbardziej nieudacznych prób phishingu …ale niestety, nie jest to phishing. To po prostu beznadziejny efekt powierzenia przez PayPal zadania przeprowadzenia ankiety jakiejś zewnętrznej firmie.

Anonimowość wg PayPala…

Twórcy tej wiadomości dają mi tyle powodów do smagania ich rozżarzonym prętem po tyłkach, że aż nie wiem od czego zacząć. Abstrahując już od niewątpliwie wzbudzającego zaufanie adresu e-mail nadawcy (paypal.feedback@echosurvey.com) i linków w treści z innej domeny (http://surveys2.incontact.com/paypal/) oraz żenującej warstwy językowej:

Firma PayPal dšży do cišgłego udoskonalania oferowanych usług (…)

za największą porażkę tego mailingu należy uznać kłamliwą zachętę do “anonimowego” wypełnienia ankiety. Bo na czym anonimowość polega, pytam się? Chyba tylko na doklejeniu parametru anon=yes do linka — “anonimowy” URL dalej bowiem zawiera ten sam UserID co zwykły link…

PayPal strzela sobie samobója

Nie jestem w stanie zrozumieć, jak działająca w internecie firma z branży finansowej, której jednym z największych utrapień są właśnie ataki phishing, zleca przeprowadzenie mailingu, który wygląda gorzej niż nie jeden phishing. PayPal na prawo i lewo trąbi o tym, żeby nie podawać swoich danych byle gdzie i ignorować maile “podejrzane”, a tu sam strzela sobie w stopę i zachęca własnych użytkowników do łamania ustanawianych przez siebie zasad.

Double Facepalm

Pomimo tego, że wiem iż nie jest to phishing, zachęcam wszystkich do oznaczania tej wiadomości jako spam. Nauczmy filtry webmaili odrzucać wiadomości z tego typu ankiet. Może któryś z analityków PayPala widząc spadające słupki otwieralności tego mailingu pójdzie w końcu po rozum do głowy.

Pracownicy PayPala też sądzą, że to phishing…

Wygląda też na to, że PayPal ma w firmie taki burdel, że pracownicy jego supportu błędnie odpowiadają użytkownikom, że w/w wiadomość jest próbą phishingu. Otóż, ja dostałem tę wiadomość na e-mail zarejestrowany tylko w PayPalu, a dodatkowo zwrócono się do mnie po takich danych, jakie podałem w koncie PayPal. Jeśli więc jest tak jak twierdzi pracownik supportu PayPala (że ta wiadomość to phishing) to oznacza, że PayPal ma jeszcze większy problem — ktoś wykradł mu bazę danych użytkowników… ;)


Dowiedz się, jak zabezpieczyć swoje dane i pieniądze przed cyberprzestępcami. Wpadnij na nasz kultowy ~3 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i przede wszystkim prostych do zastosowania porad, które skutecznie podniosą Twoje bezpieczeństwo i pomogą ochronić przed atakami Twoich najbliższych. Uczestnicy tego wykładu oceniają go na: 9,34/10!

Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze, prywatnie albo służbowo. Wykład prowadzimy prostym językiem, wiec zrozumie go każdy, także osoby spoza branży IT. Dlatego na wykład możesz spokojnie przyjść ze swoimi rodzicami lub mniej technicznymih znajomych. W najbliższych tygodniach będziemy w poniższych miastach:

Zobacz pełen opis wykładu klikając tutaj lub kup bilet na wykład klikając tu.

37 komentarzy

Dodaj komentarz
  1. No z tym anon=yes to zaszaleli. “Dzień dobry, nazywam się Piotr Konieczny i jestem anonimowy” :)

  2. Z tego, co kojarzę, to te maile dotyczące ankiet od daawna tak wyglądają. Nigdy nie zwracałem tylko uwagi na to, z jakiego adresu przychodzą (od razu zaznaczałem jako spam;)

    • brawa pozytecznym idiotom!

    • Kolego eLJot, z takimi komciami to na onet proszę. U nas nie ma miejsca na chamskich prostaków, tu są poważni ludzie których łączy zamiłowanie do tematyki serwisu. Nie potrzebujemy onetowego buractwa.

  3. Opcji anonimowości jest kilka:
    a)
    if($_GET[anon]==”yes”){
    nie zwracaj uwagi na user_id
    }

    b)
    if($_GET[anon]==”yes”){
    formularz bez pytania o dane osobowe, bo te uzupełniane są automatycznie :)
    }
    c)
    ?

    • trzecia opcja – zapisują gdzieś które ID wypełniły już ankietę, np. po to, żeby nikt nie wypełnił jej kilkukrotnie. w przypadku anon=yes nie przypisują konkretnych odpowiedzi do tego ID.

      ps. ja nie dostałem jakoś tego “phishingu”. ;)

    • Aby ludzie nie wypełniali kilka razy ankiet, nie wystarczyłby hash z UserID?

    • na zrzucie ekranu jest zasłonięte, ale długość sugeruje, że może to być hash. swoją drogą – co zmieni hash? ile oni mają userów – wg Wikipedii 232 miliony, nawet jeśli użyty jest salt, to wyliczenie tych hashy wg mnie nie jest aż tak czasochłonne.

  4. Oni niestety wysyłają ankiety w tej formie od 2008 roku. Obawiam się, że klikanie na spam niewiele w tym wypadku pomoże. ;-)

  5. Często korzystam z PP i dostałem kiedyś do wypełnienia taką ankietkę.
    ALe nie doczekali się odpowiedzi :) wyglądała jednak zbyt podejrzanie.

  6. Panie Piotrze, słówko ‘sic’ to nie jest coś w rodzaju ‘eleganckiego przekleństwa’:

    http://wo.blox.pl/2008/04/Sic-I-pfuj.html

    • Ale ja tego nie użyłem jako przekleństwa, tylko do podkreślenia nieprawdopodobnego faktu, że to *nie* jest phishing ;)

    • Kolega kokos ma racje – to błędne użycie Panie Piotrze.
      Siccuramente uzywane jest jako komentarz do przytaczanych słów, natomiast Pan panie Piotrze wydaje się że zastosował ten zabieg w stosunku do własnego wniosku

    • kajam się zatem i kasuję :)

  7. Notice: Use of undefined constant anon

  8. Podobne ankiety wysyła ING TUŻ. Po każdym kontakcie z nimi (także tel) wysyłają mi ankietę z jakiejś dziwnej domeny z prośbą o ocenę kontaktu. Też zawsze oznaczam jako spam.

  9. O, to jest podobny email wyglądający na phishing, który leci od ING po każdym kontakcie z nimi (ale nie z ich domeny): http://i.imgur.com/yI46n.png

  10. Śmiechłem troszkę :)

  11. Fajna opcja anonimowości, nie ma co.

  12. Na szczęście nie każdy użytkownik PayPal takiego maila dostał. Ja nie dostałem, może dlatego że prawie nie używam PayPal. Takie są niestety skutki outsourcingu bez nadzoru zleceniodawcy. Zdecydowanie polecam uznanie takiego maila za spam. PayPal się nauczy.

  13. Ale samobój tak jak wprowadzenie acta w polsce przez Tuska

  14. Szanowny Panie/Szanowna Pani (tu moje imię i nazwisko):

    W ramach ciągłego zapewniania naszym użytkownikom jak najlepszego serwisu płatniczego przez Internet, losowo wybieramy zarejestrowanych użytkowników, takich jak Pan/i, do wzięcia udziału w ankietach. Pana/i uwagi i opinie pomogą nam usprawniać serwis PayPal. Jesteśmy wdzięczni za poświęcenie zaledwie dwóch minut, aby udzielić swoich odpowiedzi.

    Aby wypełnić ankietę, wystarczy kliknąć poniższy adres internetowy (lub wkleić go do swojej przeglądarki).

    https://www.paypal-surveys.com/projects/XXXXXXX/s.asp?project=XXXXXXXXXXXXXXXXXX&lang=16&cseg=pl_ab&inv=1&w=4
    Z poważaniem,

    PayPal

    Firma PayPal zleciła GfK Custom Research North America – niezależnej firmie zajmującej się badaniem rynku – przeprowadzenie niniejszej ankiety internetowej wśród swoich członków. Wszelkie zastrzeżenia odnośnie ważności tej ankiety prosimy kierować do survey_eu@paypal.com.

    Prosimy pamiętać, że firma PayPal nie będzie ubiegać się o Państwa dane osobowe (hasło, numery kart kredytowych/kont bankowych i tym podobne) za pośrednictwem poczty elektronicznej. Informacje na temat, jak chronić swoje konto:

    https://www.paypal.com/securitytips
    Kontaktujemy się z Panem/ią wyłącznie w celach badań rynkowych i nie nawiążemy z Panem/ią ponownego kontaktu w związku z uczestnictwem w tym badaniu. Wszystkie zebrane dane są poufne, a informacje te będą wykorzystywane ściśle w ramach zasad zachowania poufności firmy PayPal, z którymi można zapoznać się pod następującym adresem:

    https://www.paypal.com/privacy

    Odbiorcą niniejszego zawiadomienia od firmy PayPal jest Pan/i XXXXXXX. Aby zrezygnować z otrzymywania podobnych wiadomości, proszę kliknąć tutaj: https://www.paypal-survey.com/survey/paypal/remove?ex=XXXXXXX@gmail.com

    Aby zmienić swoje ustawienia dotyczące powiadomień, prosimy zalogować się do swojego konta PayPal, kliknąć zakładkę poboczną Profil, a następnie łącze Powiadomienia w sekcji Informacje o koncie. Aktywacja zmian w naszej korespondencji może potrwać do 10 dni. Firma PayPal nie sprzedaje ani nie dzierżawi jakichkolwiek Państwa danych osobowych umożliwiających ustalenie tożsamości stronom trzecim. Aby uzyskać więcej informacji na temat ochrony Państwa danych, prosimy zapoznać się z naszymi zasadami zachowania poufności pod adresem https://www.paypal.com/privacy.

    Copyright© 2009 PayPal Europe. Wszelkie prawa zastrzeżone. Wymienione znaki handlowe i marki są własnością odnośnych posiadaczy. Siedziba PayPal firmy mieści się pod adresem 2211 N. First St., San Jose, CA 95131, USA.

    ——————

    Następny email:
    Szanowny Użytkowniku! (Adresatem tej wiadomości jest XXXX XXXXXXXXXX).

    Na początku tego tygodnia w Twojej skrzynce odbiorczej mogła pojawić się wiadomość e-mail z zaproszeniem do wzięcia udziału w ankiecie internetowej, dotyczącej Twoich wrażeń i doświadczeń związanych z korzystaniem z systemu PayPal. Niestety, zaproszenie to zawierało łącze prowadzące do ankiety w niewłaściwym języku. Wraz z naszym partnerem — firmą ankieterską GfK Custom Research North America — chcemy przeprosić za związaną z tym faktem niedogodność.

    Chcemy zarazem zapewnić Cię, że bezpieczeństwo Twoich danych osobowych nie zostało w najmniejszym stopniu naruszone. W przypadku jakichkolwiek wątpliwości związanych z tą ankietą lub jeśli możemy w jakikolwiek sposób wpłynąć na zmniejszenie Twojego niezadowolenia w związku z tą sprawą, prosimy o kontakt z naszym Centrum pomocy.

    Jeszcze raz przepraszamy za wszelkie niedogodności.

    Z poważaniem

    PayPal

    Firma PayPal zleciła GfK Custom Research North America – niezależnej firmie zajmującej się badaniem rynku – przeprowadzenie niniejszej ankiety internetowej wśród swoich członków. Wszelkie zastrzeżenia odnośnie ważności tej ankiety prosimy kierować do survey_eu@paypal.com.

    Prosimy pamiętać, że firma PayPal nie będzie ubiegać się o Państwa dane osobowe (hasło, numery kart kredytowych/kont bankowych i tym podobne) za pośrednictwem poczty elektronicznej. Informacje na temat, jak chronić swoje konto: https://www.paypal.com/securitytips

    Kontaktujemy się z Panem/ią wyłącznie w celach badań rynkowych i nie nawiążemy z Panem/ią ponownego kontaktu w związku z uczestnictwem w tym badaniu. Wszystkie zebrane dane są poufne, a informacje te będą wykorzystywane ściśle w ramach zasad zachowania poufności firmy PayPal, z którymi można zapoznać się pod następującym adresem: https://www.paypal.com/privacy

    Odbiorcą niniejszego zawiadomienia od firmy PayPal jest Pan/i XXXXX XXXXXXX. Aby zrezygnować z otrzymywania podobnych wiadomości, proszę kliknąć tutaj: https://www.paypal-survey.com/survey/paypal/remove?ex=XXXXXX

    Aby zmienić swoje ustawienia dotyczące powiadomień, prosimy zalogować się do swojego konta PayPal, kliknąć zakładkę poboczną Profil, a następnie łącze Powiadomienia w sekcji Informacje o koncie. Aktywacja zmian w naszej korespondencji może potrwać do 10 dni. Firma PayPal nie sprzedaje ani nie dzierżawi jakichkolwiek Państwa danych osobowych umożliwiających ustalenie tożsamości stronom trzecim. Aby uzyskać więcej informacji na temat ochrony Państwa danych, prosimy zapoznać się z naszymi zasadami zachowania poufności pod adresem https://www.paypal.com/privacy.

    Copyright(c) 2009 PayPal Inc. Wszelkie prawa zastrzeżone. Wymienione znaki handlowe i marki są własnością odnośnych posiadaczy. Siedziba PayPal firmy mieści się pod adresem:

    PayPal (Europe) S.à r.l. & Cie, S.C.A.
    Société en Commandite par Actions
    Siège social :22-24 Boulevard Royal, 5ème étage, L-2449, Luxembourg
    RCS Luxembourg B 118 349

  15. A może oni po prostu sprawdzają czy ludzie nabiorą się na phishing? Takie badania :)

  16. Lukas Bank tez tak sobie strzelil w kolano – zadzwonil do mnie ich dzial marketingu z numeru zastrzezonego (dzwonilem potem do banku i pytalem czy to ich pomysl – tak!) i powiedzial ze maja super promocje i podwyzsza mi oprocentowanie jak podam pesel i telekod, teraz, przez telefon :)

  17. Witam w imieniu PayPal,

    Mail rzeczywiście nie wygląda najlepiej, dziękujemy za zwrócenie uwagi. Właśnie ustalamy jak to się stało, że wysłano wiadomości bez korekty lingwistycznej.

    Jak tylko ustalimy “co i dlaczego” obiecujemy dać odpowiedź czytelnikom Niebezpiecznika.

    Karol Świtała, rzecznik PayPal

    • przecież to nie chodzi o korektę lingwistyczna.

      Oni widać dalej nie rozumieją na czym polega problem

  18. @KArol: rzeczywiście, brak korekty lingwistycznej to największy problem tej ankiety.

  19. Konstrukcja “pomimo tego, że” nie istnieje.

  20. “nie podawać swoich danych byle gdzie (link)”

    Klikłem, czytłem pierwsze pytanie, odpowiedźłem poprawnie, opaczłem “poprawną” odpowiedź, śmiechłem i zamkłem.

    • …i wyszłem, bo chamstwa nie zniese =]

  21. Witam ponownie w imieniu PayPal, Tak jak zapowiadałem, zbadaliśmy sprawę szczegółowo. Link prowadzący do ankiety wypełnianej anonimowo posiada przypisany numer ID tylko dlatego, by jedna osoba mogła wziąć udział w ankiecie tylko raz. Jednakoż numer ten nie jest przekazywany do PayPal – wszystkie informacje identyfikujące klienta zostają usunięte przez niezależną firmę, która przeprowadza sondaż. Warto też zauważyć, że sondaż nie pyta o prywatne dane finansowe klientów, a jego celem było tylko usprawnienie naszych działań dotyczących komunikacji z klientem. Jak zapewniła nas firma, która wykonuje sondaż, maile przed wysłaniem sprawdzane są dwukrotnie przez biegłego tłumacza. Nie wyświetlenie się polskich znaków może być powodem braku kompatybilności danej przeglądarki lub skrzynki pocztowej z polskimi znakami lub faktycznego niedopatrzenia ze strony tłumacza. Bez względu na właściwy powód zaistniałej sytuacji, wspólnie z firmą odpowiedzialną za sondaż zamierzamy wciągnąć wnioski i dodatkowo monitorować pracę edytorską naszych tłumaczy. Jak zauważa autor wpisu, Piotr Konieczny, PayPal poświęca dużo energii by edukować i przeciwdziałać internetowym oszustwom. W naszej firmie pracuje sztab ok. 2 000 specjalistów odpowiedzialnych za wykrywanie i zwalczanie oszustw. Jest to wewnętrzna komórka PayPal, której działania pozostają niewidoczna dla użytkowników. Nie wysyła listów ani ankiet, a ich praca polega na tym by pieniądze wysłane z telefonu, tabletu czy komputera szybko i bezpiecznie trafiły do dowolnego odbiorcy na świecie. Przepraszamy za zaistniałe zamieszanie. Karol Świtała, rzecznik PayPal

    • 1. Oczywiście, że to brak kompatybilności kodowania z nieprofesjonalnie napisanym emailem. 2. Ja nie wiem jakich podwykonawców ma paypal, i mnie to nie obchodzi. Adres w nagłówku niepochodzący od pypal jednoznacznie określa tę wiadomość jako spam. 3. Nie mam żadnych gwarancji, że podwykonawca paypala nie sprzeda moich danych gdzie indziej, nawet pomimo braku danych finansowych w zapytaniu. 4. Panie Karolu, zamiast próbować tłumaczyć wpadkę swojej firmy, proszę zachować się profesjonalnie i przeprosić za powstały burdel.

  22. Jka dziś po powrocie z pracy zobaczyłem wąłsnie taką wiadomość u siebie na poczcie, to aż podskoczyłem. W normalnyum wypadku wiadomość uznałbym za pishing, i usunął, tak zastanawiające było to, ze konto na paypalu założyłem sobie kilka dni temu i jeszcze nawet nie zdążyłem wykonać żadnej transakcji. Zdziwiony więc zacząłem szukać informacji (tak też trafiłem tutaj). pishing czy nie, dla mnie ten mail, to był zwykły spam. Zanim tylko znalazłem ten wpis, przesłałem emaila do paypala zgłaszając pishing. Ciekawe co dostanę w odpowiedzi.

  23. To serio *nie* jest phishing?
    Po przeczytaniu tego artykułu i wszystkich komentarzy nadal nie wierzę, bo wyglada na stuprocentowy phishing…

  24. […] PPPS. Gorsze prawdziwe e-maile, wyglądające jak scam, wysyła PayPal. […]

  25. A może paypal w ten sposób sprawdza podatność userów na phishing? :)

Odpowiadasz na komentarz Karol

Kliknij tu, aby anulować

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: