SMS od Orange o aktywacji usługi Watchmovie

[xeth]

Nie wiem czy to działa też w przeglądarce bo sie z tym nie spotkałem ale jak ktoś instaluje aplikacje, wpisuje w niej swój numer i coś potwierdza to chyba wie co robi.

[Piotrekk85]

Na tym forum są raczej bardziej rozważni ludzie. Ale życie pokazuje, że nie każdy czyta. O ile przy okazji tam by było napisane, że można dostać coś za darmo.

[Kimiriko]

@Piotrekk85 zgadza się. W mojej pracy w obsłudze klienta niestety na co dzień spotykam się z takimi przypadkami .

[bluesmanniaki]

---

@Piotrekk85napisał(-a)

Radzę poczytać uważnie.

Obecnie są na rynku firmy, które mają umowę z Orange i innymi operatorami na usługi elektroniczne. Wtedy gdy ktoś korzysta z internetu mobilnego jako użytkownik, to poprzez odpowiednie API dana firma ma dostęp do numeru telefonu. (poziom1 uzyskania danych).

Obecnie aby potwierdzić usługi elektroniczne, trzeba przepisać PIN wysyłany smsem. W aplikacji inpostu jest możliwość sczytania smsów - podobnie jak w wielu na rynku. Czy uważacie, że ktoś czyta te zgody? (poziom2 potwierdzenia zgody).

Jeśli jakaś firma wykorzysta poziom1 i poziom 2 (inpost tego nie robi - piszę o innych firmach co zaczynają kombinować) - to wtedy na zasadzie "kliku kliku" - może dojść do aktywacji usług elektronicznych, o ile ktoś nie ma blokad.

Offtopic: aplikacja inpostu wykorzystuje lokalizację na poziomie GPS/A-GPS i innych opcji co masz w telefonie. W zależności do grupy, do której Cię przyporządkowana jest ustawiana odległość na podstawie współrzędnych do paczkomatu.

---

"innych opcji" powiadasz? A coś konkretniej?

Bardzo jestem ciekaw jak to działa, szczególnie że mam taką sytuację, że appkę Inpostu mam zainstalowaną na innym telefonie niż podany jako kontaktowy i sms-y przychodzą na tamten (właściwie od czasu uruchomienia appki to już nie przychodzą! ) I np. gdy otwieram zdalnie skrytkę to Inpost lokalizuje (naprawdę ma takie układy z operatorami?!) telefon kontaktowy czy telefon z appką?

[j131]

---

@bluesmanniakinapisał(-a)

---

telefon kontaktowy czy telefon z appką?

---

Z apką. Apka w ogóle nie korzysta z SMSów.

[bluesmanniaki]

---

@j131napisał(-a)

---

@bluesmanniakinapisał(-a)

---

telefon kontaktowy czy telefon z appką?

---

Z apką. Apka w ogóle nie korzysta z SMSów.

---

To o co chodziło @Piotrekk85  z tym czytaniem smsów przez appkę? 

[Piotrekk85]

Jak się zarejestrujesz, to w aplikacji przechowywany jest token.

Mi chodziło tylko by pokazać, że aplikacje mobilne mają mechanizmy sczytywania smsów. I nic więcej. Inpost nie ma usług elektronicznych.

Ale firmy oferuje swoje usługi na różne sposoby.

[j131]

IMHO to, że telefon (czyli aplikacje na nim zainstalowane) może, a nawet powinien czytać SMSy nie ma nic do rzeczy z tematem tego wątku.

Fakt, że jakakolwiek aplikacja na serwerze może wysłać mi SMSa nie znając apriori mojego numeru telefonu podważa moje zaufanie do systemów dwustopniowej autoryzacji. Wchodząc na stronę logowania do banku klient spodziewa się SMSa potwierdzającego logowanie. Zakłada przy tym, że musiał w tym celu uprzednio podać swój numer telefonu w banku. Jeśli ktoś może wysłać mu SMSa bez uprzedniego przekazania tej informacji, to cała idea dwustopniowej autoryzacji traci sens.

[bluesmanniaki]

No nie zupełnie... Każdy hacker może poznać twój numer i wysłać smsa ale o to chodzi że tylko bank umieści tam kod potwierdzający. Poza tym jeśli w danym momencie nievwykonujesz żadnych operacji bankowych a dostajesz takiego smsa to chyba wiesz, że coś tu nie gra? 

[j131]

---

@bluesmanniakinapisał(-a)

No nie zupełnie... Każdy hacker może poznać twój numer i wysłać smsa ale o to chodzi że tylko bank umieści tam kod potwierdzający. Poza tym jeśli w danym momencie nievwykonujesz żadnych operacji bankowych a dostajesz takiego smsa to chyba wiesz, że coś tu nie gra? 

---

Nie, no pewnie że "niezupełnie". Ale otwiera pole do nowych metod phishingu. Cały czas chodzi o tę asocjację numeru i adresu. Scenariusz: wchodzę na stronę hakera ale myślę, że to strona banku. SMS przychodzi, choć kod (rzekomo potwierdzający logowanie) nie jest potrzebny hakerowi jako taki: sam fakt że był w stanie mi go wysłać, upewnia mnie, że faktycznie jestem na stronie banku, a nie hakera. Osobiście nie dałbym się na to złapać, ale nie zmienia to mojego głębokiego przekonania, że operator nie powinien tej informacji nikomu udostępniać bez specyficznej zgody klienta.