Allegro: skan dowodu umożliwił przejęcie konta. Czy to początek plagi?

Jak donosi Niebezpiecznik, możliwe jest przejęcie czyjegoś konta na Allegro poprzez przesłanie skanu dowodu osobistego. Na razie potwierdzono jednostkowy przypadek, ale z całą siłą pokazuje on słabość systemu. Zespół Allegro zapewnia, że już wyciągnął wnioski.

Procedura odzyskiwania dostępu do konta jest prosta. W przypadku, kiedy nie pamiętamy hasła zasadniczo mamy dwie opcje: albo podajemy numer telefonu i z serwisu otrzymamy SMS, albo w formularzu podajemy nazwisko panieńskie matki. Jeżeli jednak z jakichś powodów nadal nie możemy uzyskać dostępu do konta, musimy zgłosić się do przedstawiciela serwisu. W celu weryfikacji naszej tożsamości istnieje możliwość, że zostaniemy poproszeni o przesłanie skanu naszego dowodu osobistego bądź paszportu.

I właśnie ta procedura umożliwiła przejęcie konta jednego z użytkowników. Kiedy osoba zorientowała się, że nie może się zalogować do serwisu, skontaktowała się z przedstawicielem Allegro. Jednocześnie okazało się, że mimo zmiany adresu mailowego w aplikacji mobilnej, wciąż miał do niej dostęp. Sprawy nie udało się rozwiązać przez infolinię, ale serwis potwierdził, że konto zostało przejęte.Jak się okazuje, Allegrowicz, który przejął konto poszkodowanego, zgłosił się do serwisu o przywrócenie swojego dostępu i został poproszony o przesłanie kopii dokumentu. Imię i nazwisko było identyczne, nie zgadzała się jedynie nazwa użytkownika, która różniła się jednym znakiem. Mimo to weryfikacja przebiegła pomyślnie i Allegro nadało dostęp do konta osoby poszkodowanej.

Ta sytuacja jasno pokazuje braki w systemie, udowadniając, że możliwe jest przejmowanie kont innych użytkowników, i to na dużą skalę. Wystarczy tylko uzyskać dane osobowe innego allegrowicza, wszcząć procedurę odzyskiwania dostępu, a następnie przesłać podrobiony skan dokumentu: adres nie musi się zgadzać, bo jak tłumaczy Allegro, miejsce zameldowania często różni się od zamieszkania. Poza tym dowody wydawane po 2015 nie zawierają takiej informacji.

Serwis zapewnia, że wyciągnął wnioski i trwają pracę nad ulepszeniem systemu weryfikacji danych, tak aby podobna sytuacja nie powtórzyła się w przyszłości. Z drugiej strony Allegro broni się, że w przeszłości wpłynęło kilka skarg do Generalnego Inspektora Ochrony Danych Osobowych i każda z tych spraw została oddalona.

GIODO jednak wielokrotnie negatywnie wypowiadał się np. na temat samej procedury kopiowania dokumentów w odniesieniu do banków. Istnieje bowiem ryzyko, że w przypadku kiedy skan naszego dowodu osobistego trafi w niepowołane ręce, ktoś może zaciągnąć na nas kredyt. W tym kontekście regulamin odzyskiwania kont na Allegro również wydaje się nie do końca bezpieczny – i to pomimo zapewnień, że serwis kasuje wszystkie skany tuż po zakończeniu procedury weryfikacyjnej.