Artykuł dot skanów/fotografii dowodu osobistego przez Allegro
Możliwe było przejęcie konta Allegro mimo procedury weryfikacji dowodu, a właściwie… dzięki tej procedurze. Nowe dowody nie mają adresu i Allegro musi polegać na nazwiskach. Doszło do przynajmniej jednego przejęcia konta, ale mimo to, Allegro nadal będzie prowadzić weryfikacje żądając skanów dokumentów tożsamości.
Jak odzyskać swoje konto na Allegro?
Regularnie dostajemy od Was e-maile, w których skarżycie się na procedurę odzyskiwania konta w Allegro. Zdarza się, że przedstawiciele serwisu proszą o przedstawienie dokumentu tożsamości, co praktycznie oznacza zeskanowanie dowodu lub paszportu i przesłanie go im e-mailem. A obraz dokumentu to więcej niż dane osobowe, dlatego GIODO przestrzega przed praktykami tego typu. Niestety polskie przepisy nie zabraniają proszenia klientów o skan, toteż niektóre firmy wymagają skanów nawet wtedy, gdy wydaje się to zbędne.
Allegro ma, w tego typu prośbach, po swojej stronie 2 argumenty. Po pierwsze chodzi o bezpieczeństwo. Po drugie… takie są zasady i jak Ci się nie podoba to nie musisz korzystać z Allegro (ten drugi argument nigdy nie pada wprost, ale wszyscy to rozumieją).
Przejęcie konta Allegro skanem dowodu
Niestety pierwszy argument, mówiący o tym, że weryfikacja przez skan podnosi bezpieczeństwo, właśnie został osłabiony. Okazało się, że można (było?) przejąć konto Allegro dzięki weryfikacji dowodu.
Pewien nasz Czytelnik (CTO pilnujący bezpieczeństwa w jednej z firm) odkrył pewnego dnia ze zdziwieniem, że jego konto zostało przejęte przez inną osobę. Na komputerze nie mógł się zalogować. Spojrzał do aplikacji mobilnej Allegro i ze zdziwieniem odkrył, że widać tam inny adres e-mail (podobny do jego, ale w innej domenie).
Sprawy nie udało się załatwić przez infolinię, ale o dziwo Allegro odpowiedziało na Facebooku. Okazało się, że konto faktycznie zostało przejęte i to przez osobę, która… przeszła weryfikację dowodem osobistym! Ta osoba zgłosiła problemy z logowaniem i potem przesłała skan dowodu z właściwym nazwiskiem.
Nasz Czytelnik najpierw się przeraził i zastrzegł dowód. Później przyszło mu do głowy, ze konto mógł przejąć ktoś inny, kto miał po prostu podobne nazwisko. Znów zwrócił się do Allegro z prośbą o porównanie dowodów, ale po zakończonej weryfikacji Allegro usuwa obraz dokumentu (co jest godne pochwały).
Na marginesie, dlaczego nasz Czytelnik nie stracił dostępu do Allegro przez aplikację, po tym jak ktoś inny zmienił mu hasło na koncie?
Allegro się tłumaczy
Allegro po sprzeciwie naszego Czytelnika uważniej zbadało sprawę, zablokowało jego konto i wreszcie przesłało mu takie wyjaśnienia:
30 marca br. wpłynęło do nas zgłoszenie problemów z logowaniem i ustaleniem nowego hasła do konta. Administrator serwisu w odpowiedzi na pytanie o login otrzymał informację, że chodzi o konto (…). Pracownik wskazał, że problem z ustaleniem nowego hasła może wynikać z nieaktualnych danych na koncie i poinformował Użytkownika, że istnieje możliwość ich aktualizacji po wcześniejszej weryfikacji skanu dokumentu tożsamości. Taki dokument otrzymaliśmy, nie budził on żadnych zastrzeżeń, odnotowano zgodność danych osobowych z przesłanego dokumentu (imię, nazwisko) z tymi z ustawień konta (…) . Skan dowodu tożsamości został usunięty, w ustawieniach wprowadzono aktualne dane podane przez Użytkownika, a on ustalił nowe hasło dostępu
Ale dalej Allegro tłumaczy naszemu czytelnikowi, że:
— osoba, która zgłosiła do nas problem z logowaniem, podała błędną nazwę konta; w rzeczywistości różni się ona od nazwy Pańskiego konta (…) tylko jednym znakiem, popularnie stosowanym w tworzeniu loginów;
— imię i nazwisko Użytkownika, który zgłosił problem z logowaniem, są zbieżne z Pańskimi.
Co więcej, w wyjaśnieniach padają takie słowa:
Nie doszło do włamania na Pańskie konto w naszym serwisie, nie posłużono się Pańskim dokumentem, nikt się pod Pana nie podszył.
Wszystkie działania, zarówno ze strony Użytkownika zgłaszającego problem z logowaniem, jak i pracownika serwisu, były podejmowane w dobrej wierze i z jak najlepszymi intencjami.
Nasze możliwości weryfikacyjne z konieczności są nieco ograniczone – często Użytkownicy mają w dokumentach inny adres niż ten na koncie, a w dowodach tożsamości wydawanych od marca 2015 adres nie jest w ogóle ujmowany.
Teraz już wiemy co się stało, ale dlaczego nasz Czytelnik miał dostęp przez aplikację mobilną? I czy tylko on? Przecież po odzyskaniu konta, jeśli “klon” spiął z nim aplikację mobilną, to dalej będzie mógł z niego korzystać. Nawet jeśli nasz czytelnik zmieni do konta hasło. Dlaczego ten błąd występuje, tego Allegro do końca nie wyjaśniło. Ograniczyło się do zapewnienia, że tylko jedna osoba miała dostęp mobilny do przedmiotowego konta — właśnie nasz Czytelnik.
Tak czy owak pojawiły się poważne wątpliwości co do weryfikacji dowodów. Można przecież podrabiać skany dowodów, a zapoznanie się z imieniem i nazwiskiem Allegrowicza nie jest trudne. Wystarczy zawrzeć transakcję z tym Allegrowiczem. Teoretycznie więc, tą metodą można przejąć konto dowolnego Allegrowicza, fotoszopując fałszywy dowód osobisty na jego dane, albo po prostu go kupując. A taki zakup wcale nie jest trudny — koszt dobrze wykonanego “dowodu kolekcjonerskiego” na dowolne dane, to od 350 PLN w górę. I tak, te dowody naprawdę wyglądają jak prawdziwe.
