[kitowsci]

Dziura w serwisie OLX
Na lukę natknąłem się przypadkiem podczas próby anulowania wyróżniania ogłoszenia.
O co chodzi?
Mianowicie serwis przechowuje PEŁNE dane kart płatniczych włącznie z kodem CVV.
Jeśli płaciliście już kiedyś kartę płatniczą, serwis podczas płatności poprosi o podanie kodu CVV w celu weryfikacji, co jest w pełni normalne.
Natomiast nienormalne jest to, że przechodzi OBOJĘTNIE JAKI KOD, a pieniądze są pobierane z waszej karty.
Co taki błąd oznacza? Oczywiście to, że olx przechowuje wszelkie dane karty płatniczej, a użycie karty nie wymaga znania prawidłowego kodu.
Błąd występuje zarówno na Androidzie jak i na IOS więc najprawdopodobniej tyczy się całego Olxa.
Dziura może okazać się fatalna w skutkach, ponieważ wystarczy jeden włam ze strony hakerów by pozyskać tysiące danych kart płatniczych.

"Przechowywanie kodu zabezpieczającego jest niedozwolone w myśl regulacji organizacji płatniczych. – Nikt, ani merchant ani acquirer, poza czasem potrzebnym na zrealizowanie transakcji kartą MasterCard, nie powinien przechowywać kodu CVC."
https://www.cashless.pl/1179-gdzie-jest-granica-wygody-aplikacja-callpay-kolej-oferuje-mozliwosc-zapamietania-kodu-cvv-cvc

#olx #allegro #pytanie #swiat #afera #cebuladeals

[G.....r]

@nielegalny_imigrant: jest tak jak mówisz, kiedyś nawet była afera że po co te całe CVV skoro płatności i tak idą (nie z olx w tle, nie pamiętam dokładnie jakiego podmiotu to tyczyło).

[Kysune]

Mogę się mylić, ale Amazon nie przechowuje CVV, tylko niektórzy operatorzy płatności nie wymagają tego kodu (coś mi się gdzieś kiedyś obiło, że pobierają wtedy większą prowizję). To samo może być z OLXem, a błąd wywaliłoby w momencie, gdy operator wymagałby CVV.

[Deathek]

Do przeprowadzenia płatności kartowej na dobrą sprawy wystarczy dam numer karty. Jak ktoś wyżej słusznie wspomina cała reszta to kwestia przenoszenia odpowiedzialności za ewentualne fraudy przy transakcjach. W myśl standardu płatności kartowych CVV można przechowywać do momentu pierwszej autoryzacji transakcji i nie dłużej. Prawdopodobnie do zapamiętanej karty niepotrzebnie proszą o CVV/CVC i go olewają przy autoryzacji płatności więc co nie wpiszesz to przechodzi. Afera raczej nieuzasadniona.

[tomp3]

@kitowsci: Podejrzewam, że jest to prędzej stokenizowana karta. Zarówno Mastercard, jak i Visa posiadają takie rozwiązania.

W dużym uproszczeniu wygląda to mniej więcej tak, jak na obrazku.

[teddybear69]

@kitowsci masz jakiś dowód na to, że przechowują cvv? Czy sobie tak po prostu ubzdurałeś? To że jest to jedne z możliwych wyjaśnień wcale nie oznacza, że jest ono prawdziwe :)

[programista200kg]

Tokenizacja

[neverstop]

Bzdura jakaś. Pierwszy raz w życiu używacie karty kredytowej? Wszystkie subskrypcje płacone kartą odnawiają się co miesiąc bez podawania CVV/CVC. Allegro i wszystkie podobne platformy też po dodaniu karty umożliwiają dalsze płacenie nią za zakupy w przyszłości zawsze używając jednego kliknięcia bez podawania kodów później. Tak jak ktoś już wspomniał - tokenizacja karty. Zamykam temat, afera z dupy.

[Lukowski]

@kitowsci Hmm... To powiedz to wszystkim subskrypcją do których podpinasz kartę i jesteś obciążany co miesiąc.
Albo powiedz to Amazonowi, który w ogóle kodu CVV nie potrzebuje.
Lub paypalowi gdzie podpinasz kartę i zapominasz.

[b.....a]

@kitowsci: Amazon.com ma taki sam bug