reklama

Bezpečnostný problém v ORANGE u karty Prima

V ORANGE vinou diletantstva programátorov webu a neodbornosti zodpovedných manažérov je bezpečnostný problém pri realizácii finančných operácií pri obnovovaní kreditu na karte PRIMA.

Písmo: A- | A+
Diskusia  (56)

Hoci pracujem s internetom od čias zmeny domény z CS na SK a venujem sa aj internetovej bezpečnosti, nechtiac sa mi podarilo prehliadnuť kliknutie o pixel vedľa a tak prísť o 400 Sk.

Bohužiaľ dobre mienené rady, ktoré som adresoval spoločnosti ORANGE, boli ignorované a taktiež bola ignorovaná moja žiadosť o nápravu nesprávne vykonanej finančnej operácie.

Tento článok píšem preto aby som upozornil užívateľov karty PRIMA na čo si majú dať pozor pri dobíjaní kreditu cez web ORANGE. Ďalej ho píšem pre programátorov ostatných webových systémov kde sa pracuje s financiami a sú ochotní dať si poradiť.

SkryťVypnúť reklamu
Článok pokračuje pod video reklamou
Obrázok blogu


Obr. 1. Postupoval som úplne bežne ako sa dobíja kredit. Zadal som stránku www.orange.sk/obnovakreditu, vypísal cieľové telefónne číslo, 2x som si so skontroloval, čí som sa nepomýlil, klikol som na predvoľbu ktorá sa rozbalila do roletového menu. V roletovom menu som myšou vybral správne číslo predvoľby,ktoré sa vysvietilo modrým obdĺžnikom. 2x som skontroloval či je správne a klikol som. Následne sa roletové menu zložilo naspäť a klikol som Potvrdiť.

Obrázok blogu


Obr. 2. Bohužiaľ pri kliknutí myšou v roletovom menu som prehliadol (čo je moja chyba), kliknutie o pixel vedľa, čo malo za následok to, že pred zbalením roletového menu zostala vyznačená správna predvoľba, ale po zbalení roletového menu bola použitá prvá hodnota v poradí roletového menu, čiže iná predvoľba.
Nasledoval druhá stránka s textom "Moment prosím, prebieha overovanie zadaného telefónneho čísla..." pritom zadané číslo nie je zobrazené. Keby bolo v tomto okne zobrazené dobíjané telefónne číslo tak je tu ideálne miesto pre kontrolu. S veľkou pravdepodobnosťou by som zistil, že ide o iné číslo než som zadal a v operácii by som nepokračoval. Počas zobrazenia tejto stránky systém testuje či ide o platné číslo s kartou PRIMA.

SkryťVypnúť reklamu
reklama
Obrázok blogu


Obr. 3. V ďalšom okne sa vyberá výška kreditu v Sk pričom nie je uvedené pre ktoré telefónne číslo. Nastavil som 400 Sk a spokojne odklepol.

Obrázok blogu


Obr. 4. Tu som sa sústredil na pokyn uvedený na stránke " Vyberte si banku cez ktorú chcete uskutočniť platbu:". Za dal som banku a platbu zrealizoval. Bohužiaľ aj tu platí, že si treba všímať nie veľký text, ale ten najdrobnejší, ktorým je prvý a aj posledný krát zobrazené dobíjane telefónne číslo.
Prečo tu nie je dobíjané telefónne číslo zobrazené aspoň vo veľkosti a výraznosti ako pokyn na výber banky a tlačidlo späť, zostáva záhadou. Zrejem ORANGE chce mať peniaze čím skôr na účte a nezaujíma ho či dobije iné telefónne číslo, než to, ktoré chce dobiť zákazník.

SkryťVypnúť reklamu
reklama

Keď som zistil, že sa kredit nenavýšil, zavolal som do ORANGE. Odpoveď bola, že to môže trvať aj dva dni. Keď po troch dňoch sa kredit nenavýšil zavolal som znova. Až vtedy boli ochotný pozrieť do svojho systému na príčinu.

Zistili, že bolo dobité iné telefónne číslo. Presnejšie telefónne číslo s inou predvoľbou. Navrhol som im nech operáciu stornujú a peniaze vrátia na účet odkiaľ prišli. Odmietli to. Odporučili mi, že mám zavolať na telefónne číslo, ktoré som navýšil kredit. Pochopil som to tak, že z toho čísla treba zavolať do ORANGE, že bol kredit navýšený nesprávne a že vlastník súhlasí zo storno operáciou, respektíve súhlasí s prevodom kreditu na moju simku, čo je pre ORANGE jeden zápis v ich informačnom systéme. Lenže odporučenie bolo iné, v duchu: nech vám vlastník simky dobije vašu simku rovnakým kreditom. Myslel som, že zle počujem čo mi pracovník ORANGE odporúča. Už raz majú 400 Sk a teraz chcú ďalších 400 Sk.

SkryťVypnúť reklamu
reklama

Pýtal som sa známych, ktorý používajú predplatené služby, že či sa im nestalo, že dobili iné číslo než chceli. Veľmi často bola odpoveď, že áno! Jediná šanca ako dostať peniaze alebo kredit naspať je mať šťastie na rozumného majiteľa na druhej strane, lebo ORANGE nemá záujem pomôcť.

Nakoniec telefónne číslo ktorému som nechtiac navýšil kredit ešte nebolo zapnuté a odvtedy prešlo niekoľko týždňov. Možno je to taký istý človek ako ja, ktorý používa PRIMA simku len výnimočne a kredit prepadne. Našťastie 400 Sk nie je veľa.

Čo poradiť web programátorom a manažérom?
1, Zmeniť úvodnú stránku tak aby zákazník sám písal telefónne číslo vrátane predvoľby. Veľa ľudí má telefónne číslo napísané v textovom súbore a robí copy-paste, lenže toto sa pri roletovom menu nedá. Ak už nechcete sa vzdať roletového menu, tak ako prvú položku uveďte "nevybrané" alebo "vyberte si" a nie platný údaj, jednoducho musí byť taká položka, ktorá ďalšou kontrolou neprejde a výsledkom bude požiadanie zákazníka o zopakovanie výberu, lebo inak kliknutie o pixel vedľa alebo nezadanie údaja spôsobuje vykonanie operácie s nesprávnymi údajmi.

2, Hneď nasledujúca stránka po odklepnutí musí byť kontrolná a musí obsahovať primerane veľkým fontom (väčším než okolie) vypísané zvolené telefónne číslo s výzvou na kontrolu čísla a možnosťou vrátiť sa späť zadať iné číslo. Na výpise čísla môže byť ešte napríklad farbou zvýraznené čo je predvoľba a čo je samotné číslo aby sa uľahčila jeho kontrola.

3, Umožniť zadať aj nepovinnú e-mailovu adresu, alebo aj druhé telefónne číslo pre SMS, na ktoré prídu všetky informácie o transakcii, aby zákazník mal aspoň nejaký záznam z operácie. Lebo operátor, často krát má problém len podľa variabilného čísla konkrétne identifikovať o čo ide.

4, Ak ste náhodou operátor tak by pre vás nemalo byť problémom zriadiť službu transferu kreditu z jedného telefónneho čísla na iné na základe príkazu cez internet s overovaciu SMS. Možno by to bola aj komerčne zaujímavá služba pre iných a prilákalo by to ďalších zákazníkov.

Záver:
Keď sa chce dá sa spraviť aj nemožné, ale keď sa nechce nedá sa spraviť ani samozrejmosť, ako v tomto prípade u ORANGE.
Doplnené 12.09.2008 12:18

Pokračovanie: ORANGE zareagoval.

Jozef Drahovský

Jozef Drahovský

Bloger 
Populárny bloger
  • Počet článkov:  1 235
  •  | 
  • Páči sa:  1 053x

Venujem sa analýzam v doprave a vývoju v oblasti informačných technológií. Zoznam autorových rubrík:  DopravaRôzneZoznam článkov

Prémioví blogeri

Jiří Ščobák

Jiří Ščobák

754 článkov
Iveta Rall

Iveta Rall

88 článkov
Karolína Farská

Karolína Farská

4 články
Lucia Šicková

Lucia Šicková

4 články
Matúš Sarvaš

Matúš Sarvaš

3 články
reklama
reklama
SkryťZatvoriť reklamu