Алиэкспресс — одна из самых популярных торговых площадок, открывающая мир китайских товаров для покупателей с любой точки мира. Небольшое отступление про Алипэй для того, чтобы рассмотреть найденную проблему в системе безопасности.
Алипэй (компания Алибабы) является платежным сервисом, который очень популярен в Китае и потихоньку начинает распространяться по всему миру. В Китае Алипэй используется в очень многих местах и сервисах, в остальных странах Алипэй пока что используется только для оплаты покупок на Алиэкспресс (также компания Алибабы). В настоящее время Алипэй позволяет пользователям сохранить кредитную карту, а также, когда вы делаете покупку на Алиэкспрессе, использовать сохраненную кредитную карту для оплаты без фактического ввода её данных.
Теперь, когда мы знаем немного о сервисе Алипэй, мы можем использовать его на Алиэкспресс. При регистрации на Алипэй мы создаем пароль, как в каждом нормальном процессе регистрации. Во время использования услуги для оплаты Алипэй попросит вас ввести пароль для входа в систему, но вот интересная вещь.
Что такое кошелек алипей (Alipay) на алиэкспрессе (Aliexpress) и для чего он нужен?
Если вы сделали покупку через мобильное приложение Алиэкспресс, когда вы находитесь дома (а большинство покупателей совершают покупки из дома), приложение на смартфоне или планшете отметит вашу домашнюю сеть (WiFi) как безопасную и не будет спрашивать у вас пароль при последующих покупках! Так будет до тех пор, пока вы не сделаете покупку с другой сети.
Представители технической поддержки Алиэкспресс и Алипэй подтвердили это и сказали мне, что это будет сделано в рамках функции «One Click Checkout», чтобы сделать оплату еще проще для пользователей.
Вот лэндинговая страничка, которая объясняет процесс One Click Checkout: http://activities.Aliexpress.com/oneclickcheckout.php
Скриншот
Все это заставляет меня задуматься о безопасности сервиса Алипэй, в особенности в трех случаях. Первые два — два различных варианта, но результат один и тот же.
Вариант №1: Представим, вы потеряли свой телефон (без какой-либо блокировки), сможет ли кто-то, найдя его, использовать вашу кредитную карту, чтобы что-то купить?
Вариант №2: То же самое относится и к варианту, в котором кто-то украл ваш телефон (тоже без блокировки);
Вариант №3: Вы хотите обдурить Алиэкспресс и Алипэй. Сделать заказы и заявить, что это были не вы.
Я решил проверить каждый вариант. Если бы я был тем, кто использует найденный / украденный телефон, чтобы использовать чью-то кредитную карту для покупки вещей, что мне нужно:
Первое — быть подключенным к сети, которую мобильное приложение Алиэкспресс запомнило как безопасную. Это просто — все, что нужно сделать, это узнать адрес реального владельца телефона. Я проверил: приложение Алиэкспресс имеет адрес владельца и доступ к нему конечно без какой-либо защиты! Теперь всего лишь нужно оказаться в достаточно близком расстоянии от беспроводной сети в доме / квартире владельца и — та да! Телефон автоматически подключается к роутеру владельца.
Как оплачивать на Китайских сайтах в нынешних реалиях 2022. Alipay
Второе — мне нужно иметь возможность изменить адрес. Легко: заходим в приложение Алиэкспресс > Мой Алиэкспресс > Мой профиль > адреса доставки > Добавить новый адрес. Готово! Никакой защиты вообще!
То есть не нужно сильно напрягаться, что-то взламывать, все и так доступно.
Теперь насчет третьего варианта: мог бы я сам сжульничать и обмануть Алиэкспресс / Алипэй?
Конечно, мы ведь знаем, что это возможно: теперь я могу сделать заказы самостоятельно, для этого нам нужен адрес, который не имеет никакого отношения ко мне (другое имя, фамилия, адрес, возможно, в другом городе или вообще в другой стране). Подойдет адрес какого-нибудь друга. Теперь я буду делать заказы пару раз в день в течение некоторого периода на небольшие суммы 100$-200$, чтобы не попадать на радары Алипэй и банка, выпустившего кредитную карту.
После того, как я сделал какое-то количество заказов, и они были отправлены продавцами, я могу связаться с поддержкой Алиэкспресс / Алипэй и заявить, что заказы были сделаны не мной, и собственно деньги были украдены, и все это из-за уязвимости, которую можно так легко использовать.
Более того, я могу пойти в полицию и заявить, что мой телефон был украден и предоставить Алипэй заявление в качестве доказательства.
Все проверив, я пытался связаться с технической поддержкой Алиэкспресс / Алипэй, чтобы сообщить об этой уязвимости, и получил следующий ответ:
1. Пользователь должен войти в свой аккаунт, чтобы сделать платеж. Проверяем — приложение Алиэкспресс остается в аккаунте навсегда после того, как владелец вошел в систему. Это нам не поможет.
2. Алиэкспресс / Алипэй проверяет каждый платеж: если с данными что-то не так, мы запросим пароль и другие данные. Проверяем — Алиэкспресс / Алипэй отказались разъяснить, что именно они проверяют с точки зрения безопасности, но как мы видели, Алиэкспресс / Алипэй не может действительно знать, были заказы сделаны владельцем телефона или нет. Эти меры тоже не спасут.
3. И, наконец, 100% компенсация! Алиэкспресс щедро обещают компенсацию в случае, если все же что-то случится.
«И к тому же платить без пароля намного быстрее и проще, наслаждайтесь,» — посоветовали мне. Кажется, так логично — они просто не подумали, что это будет так же легко и быстро сделать злоумышленникам.
И последний совет от техподдержки: если вы все еще беспокоитесь, просто удалите данные кредитной карты! Что? Как-то не внушает доверие. Разве система не должна быть безопасной и защищенной?
Подведем итог
Уязвимость очень проста. Такое ощущение, что каждая команда разработчиков полагалась на других, а в конечном итоге весь процесс уязвим! Я надеюсь, что Алиэкспресс / Алипэй исправит эту уязвимость как можно скорее! Это слишком просто, чтобы оставить как есть!
Я много раз пытался связаться с поддержкой Алиэкспресс / Алипэй, чтобы показать эту уязвимость, но всегда получал тот же ответ: не волнуйтесь, все под контролем. Никто не хочет слушать и убрать эту уязвимость.
Здесь можно было бы и закончить, но я решил покопаться еще немного.
После того, как я исследовал новые фитчеры Алиэкспресс, я нашел дополнительную уязвимость на сайте. Если у кого-то есть телефон с приложением Алиэкспресс, он может войти в аккаунт довольно легко также и на сайте. Все благодаря новому процессу авторизации через QR код, находящийся на странице входа на Алиэкспресс.
Обратите внимание на QR-знак в углу страничке входа в аккаунт.
Все, что необходимо, это нажать на QR код, сканировать его через приложение Алиэкспресс и подтвердить. Это позволит вам войти в аккаунт на сайте без пароля. Здесь вы можете увидеть все данные пользователя, отсюда вы можете войти в учетную запись Алипэй! Конечно, вы не можете увидеть данные кредитных карт, но можно увидеть почти все.
Наконец, подытожим окончательно
Моя рекомендация для всех пользователей Алиэкспресс / Алипэй: если вы используете приложение, и данные вашей кредитной карты сохранены в этом сервисе, ставьте блокировку на вашем телефоне (это важно вообще для общей безопасности ваших личных данных) и обязательно введите свой номер телефона в Алипэй, чтобы получить оповещения о покупках и платежах: так вы будете знать, если что-то случится.
Или делайте то, что предлагает тех поддержка Алипэй: если вы все еще беспокоитесь по поводу безопасности — удалить кредитную карточку из сервиса Алипэй.
- Информационная безопасность
- Платежные системы
Источник: habr.com
Платежный сервис Alipay — отзывы
сервис нуливой. ничего толком не работает и получить доступ к своему аккаунту невозможно.
Раз зарегистрировавшись в Алипей совершал множество покупок через тот самый Алиэкспресс и Алибабу. Но вот пришел момент когда мне понадобилось зайти на свой акаун в этот сервис чтобы проверить почему не приходит возврат средств. И к своему удивлению обнаруживается что мой пароль не ликвиден — ну думаю ладно может я забыл и решил восстановить, да не тут то было.
91
Украина, Житомир
Он мне помог без проблем вернуть деньги.
Достоинства:
Помогает при возврате денег, легко оплачивать товары
Недостатки:
Невозможность удалиться с сервиса самостоятельно, вообще ничего на сайте непонятно
Добрый день! Сейчас хочу рассказать о помощнике в вопросах возврата средств с Алиэкспресса. Знаю, что многие пользователи заказывают на этом сайте товары и часто не все их получают. И не проблема, если Вы не получили товар или получили не качественный, сайт всегда (или почти всегда) при весомых доказательствах будет на Вашей стороне и деньги вернутся на тот счет (точнее.
Читать весь отзыв Отзыв рекомендуют: 3 0
Источник: otzovik.com
alipay.com — отзывы
Не дождавшись своих денег при возврате с сайта Алиэкпресс, я начала копать всю необходимую информацию, как связаться с администрацией Алиэкспресс. Билась долго три дня. Тем более что многие деньги так и не получили. Мне все больше раздражало молчание во всех официальных группах всех админов.
Смотрите также
24.04.2011 — 21:31
Вас всегда грамотно проконсультируют
Форум уникальный. Я привязалась к нему всей душой — день мой начинается с того, что в обязательном порядке захожу на медицинский форум Аирмед » в гости». Начнем с того, что форум работает. Действительно работает, а не раскручивает себя за счет копирайта.
01.09.2020 09:12
Получила полноценную консультацию за 200 ₽, а потом ничего не получила за 300 ₽. Чем же реально может помочь сайт пациентам?
Так как у меня есть хронические заболевания, самое мучительное из которых — ипохондрия, я очень часто обращаюсь к врачам в принципе, хотя ничего нового они мне не говорят. Мой диагноз не лечится полностью, но создает тревожное состояние.
10.06.2015 13:33
Раздел Эзотерика, мнение и рекомендации
Я зарегистрировалась на данном сайте как эксперт по эзотерике где-то осенью прошлого года. Посидела там много и хочу поделиться мнением о данном сайте, а в особенности, о разделе, так сказать, с изнанки.
01.12.2016 — 08:52
Врач онлайн. Ага.
Да, недавно у меня тоже настал такой момент, когда нужен был хоть какой-нибудь совет какого-то еще врача, так как в городе нужный врач только один, и отзывы о нем хуже некуда, и диагноз он поставить так и не смог, вот я и искала информацию в интернете.
03.01.2011 21:21
Единственный сайт, на котором всегда можно получить консультацию по гинекологии. Очень довольна))
На этот сайт я попала совершенно случайно. Пришла от врача-гинеколога, очень подавлена и обижена. Это и без того очень неприятная процедура, а тут еще врач попался злой и нервный. Ничего толком не поняла. И решила спросить у своего лучшего друга — Гугла.
06.05.2011 17:30
Кто то решил, что он невероятный хиромант.
[ссылка] — зашла как то я на этот сайт, а попала на него совершенно случайно, по какой то ссылке.Захотелось узнать будущее, на этом сайте можно задать два бесплатных вопроса,вообщем задала я про банальные вещи — брак, семья и работа.
16.09.2019 14:21
Хотите получить качественную, оперативную, и, главное, недорогую консультацию у ведущих врачей? Тогда вам на consmed.ru!
Хочу рассказать вам о своем опыте получения медицинских онлайн-консультаций на сайте [ссылка] . Сайт этот широко известен в рунете, в рекламе, думаю, он не нуждается. Работает уже довольно длительное время.
02.12.2013 13:13
Поберегите свои нервы и не обращайтесь сюда (скрины «мужского ПМС» и откровенного хамства)
Если у Вас какие-то психологические проблемы и ищете помощь в Интернете, я искренне не советую Вам делиться ими на этом сайте. Прибегала не так давно и я к этому способу.
30.03.2012 13:13
Бесплатная юридическая помощь Online жалобы и заявления
Нашла в сети замечательный автоматический сервис kuda-komu.net по составлению жалоб и заявлений в любой доступный орган власти на территории России.Нужно просто ответить на несколько вопросов, на сайте автоматически формируется Ваше обращение, которое классифицируется в соответствии с законом «О…
Популярные отзывы
28.03.2023 07:08
Одежда в пределах 500-700₽ отличного качества. Где одеваться пышечке plus size, если в твоей стране обитают одни S-ки и M-ки? Турецкий «Алиэкспресс» лучшая находка на 2023 год
Всем привет! Если честно, поиск одежды на меня всегда был проблемой для моих родителей, а теперь уже и меня самой. К 21 году я имею рост 180см. Стремительно он начал увеличиваться с третьего класса во время резкого скачка гормонов, собственно, как и вес.
13.03.2023 11:24
Зачем рожать 9 детей и понтоваться этим? Слащавый, неприятный канал от амбициозной мамаши–многодетки. Всё ли так безобидно?
Я искренне не понимаю мамочек, которые рожают по девятьдесять детей. У каждого на этот счёт своя точка зрения, но мне реально попахивает какимто средневековьем. Лучшие годы жизни проходить беременной и каждый год выдавать по ребёнку, это как минимум странно.
17.01.2023 — 16:11
✨Всё гениальное просто✨ Мои секреты успеха✨ Как быстро набрать подписчиков✨
Всем привет! На сегодняшний день о YouTube знают большое количество людей и ежедневно им пользуются. Он помогает нам в нашей повседневной жизни, например, если вы не знаете, что приготовить, то на YouTube можно найти большое количество разных рецептов как с простыми, так и с необычными…
21.03.2023 15:19
Сексуальность или нежность? Решать вам. С таким бельем самооценка поднимается в небеса. Мое первое белье, купленное без примерки
Уже несколько лет я не ношу бюсты с косточками и жесткими вставками. Началось с того момента, как купила спортивные топы для спортзала и больше бюстгальтеры носить не могу. Некоторые так и лежат — не надетые ни разу. Выкинуть жалко, а отдавать такие вещи я не привыкла.
16.03.2023 19:22
Шубы, украшения, кисти,купальники, футболки и многое другое! НА Али покупала за деньги с Айрекомменд. НЕразумное потребление⚠️ Как я захламилась до потолка вещами! Как сложно было перестать заказывать, но я это СДЕЛАЛА! Алиэкспресс — больше никогда!
Привет Я захламилась и захламилась по полной. До тошноты и отвращения к сайту Алиэкспресс. Я уже больше года не покупаю товары с Алиэкспресс! Я стараюсь следовать постулатам минимализма и зеро веста, но это не так просто.
Источник: irecommend.ru