Znajdź zawartość

Sąd Rejonowy dla Warszawy-Pragi Północ wydał wyrok w sprawie głośnej transakcji przeprowadzonej na Allegro. Sąd uznał, że wygrana licytacja w internetowym serwisie aukcyjnym to umowa kupna-sprzedaży. Przypomnijmy: w lipcu ubiegłego roku jeden z użytkowników serwisu wystawił na aukcji samochód. Licytację wygrał inny alegrowicz, który zaoferował najwyższą cenę – 23 100 zł. Sprzedający stwierdził jednak, że nie wyda samochodu, gdyż zapomniał dodać ceny minimalnej (30-40 tys. zł), a błędu nie mógł skorygować, bo zepsuł mu się modem. Osoba, która wygrała aukcję pozwała sprzedającego do sądu, żądając wydania samochodu. Sprzedający przed sądem oświadczył, że samochodu nie miał i miał nie będzie, bo jego oferta miała charakter "sondażowy”, a on chciał się zorientować, za ile taki samochód można sprzedać. Sąd stwierdził, że Kodeks cywilny pozwala na składanie oświadczeń woli w formie elektronicznej oraz na uczestnictwo w aukcjach elektronicznych. Aukcja kończy się przybiciem, czyli jasnym komunikatem o jej zakończeniu, wysyłanym w tym przypadku przez Allegro. W Polsce do sprzedaży samochodu nie jest ponadto potrzebna umowa notarialna, pojazd można kupić nawet na podstawie umowy ustnej. Dopiero do jego zarejestrowania konieczna jest umowa na piśmie. Sąd nie uznał także tłumaczenia o zepsutym modemie. Sędzia uznał bowiem, że w Polsce dostęp do Internetu jest łatwy, można skorzystać z kafejek internetowych by zmienić warunki aukcji lub z niej zrezygnować. A sprzedający tego nie zrobił. Ponadto, jak zauważył sędzia, sprzedający oświadczył, że odstępuje od umowy, a to dowodzi, że do umowy doszło. Sprzedający będzie więc musiał, jeśli wyrok się uprawomocni, kupić samochód (Jeep Grand Cherokee z silnikiem o pojemności 4,7 litra z 2000 roku) i sprzedać go nabywcy za 23 100 zł. Ma zapłacić też 3 500 zł tytułem kosztów sądowych.

Allegro jest największym polskim serwisem aukcyjnym, którego codziennie używają tysiące osób sprzedając i kupując rozmaite przedmioty. Każda z tych akcji wymaga zalogowania się do części "Moje Allegro" której, jak się okazało, poziom bezpieczeństwa jest równy zeru, a co jednocześnie nie za bardzo interesuje pracowników Allegro, bo pomimo wysłania dwóch maili z konkretnymi przykładami ataków pozostały one bez odzewu. Znalezienie kilku błędów w skryptach administracyjnych Allegro zajęło dokładnie 3 minuty wliczając czasy ładowania się dokumentów HTML i grafik. Błędy te są bardzo poważne, o czym może świadczyć fakt, że osoba atakująca, z pomocą spreparowanego adresu URL, może bez większego trudu wykraść wszystkie dane osobowe (łącznie z adresem i numerem telefonu), nazwę użytkownika i hasło, listę wystawionych i obserwowanych aukcji itd. Można także bez większego problemu dostać się do danych związanych z sesją, aby, po ustawieniu identycznych wartości u siebie, przeglądać część administracyjną już jako zaatakowana osoba. Plusem systemu Allegro jest fakt, że przed wykonaniem kluczowych operacji pyta o nazwę użytkownika i hasło (co traci sens, jeśli da się je wykraść, ale zawsze). Jednak, co ciekawe, wystawienie nowej aukcji nie należy do tej grupy akcji i podczas próby ataku można swobodnie wystawić aukcję w dowolnej kategorii, o dowolnym tytule, opisie i kwocie kupna, której właścicielem będzie atakowana osoba. Spreparowany adres URL można oczywiście przepuścić najpierw przez jeden z wielu serwisów służących do generowania krótszych adresów, umieścić go w ukrytym IFRAME pod dowolną domeną lub wewnątrz wiadomości e-mail, co praktycznie uniemożliwia skuteczne wykrycie ataku. Całość sprowadza się do tego, że nie tylko panel administracyjny Allegro jest podatny na takie ataki jak XSS (Cross Site Scripting), CSRF (Cross-Site Request Forgery) i Session Fixation, a w konsekwencji i na RCSR oraz Session Riding, ale również o to, że ignorancja pracowników Allegro może przekształcić się w spory problem dla niczego nieświadomych użytkowników. Aktualizacja: W oświadczeniu przesłanym serwisowi Hacking.pl przedstawiciel Allegro stwierdził, że dział techniczny serwisu rozpoczął pracę nad poprawą zabezpieczeń.

Francuska organizacja producentów Unifab planuje pozwanie do sądu eBaya oraz innych serwisów aukcyjnych za umożliwienie sprzedaży podrobionych produktów. Marc Antoine Jamet, przewodniczący Unifabu powiedział, że pozew trafi do sądu w przyszłym miesiącu, a organizacja będzie domagała się odszkodowania i zaprzestania sprzedaży podrobionych produktów. Wśród innych serwisów, przeciwko którym wystąpią Francuzi, znajdują się Yahoo, iOffer.com oraz japoński Rakuten. Głównym celem jest jednak eBay. Jamet poinformował, że przedstawiciele Unifabu spotykali się z przedstawicielami serwisu ponad 10 razy w ciągu ostatnich dwóch lat. Uważamy, że eBay jest w stanie zapobiegać sprzedaży podrobionych produktów, ale oferują podjęcie akcji dopiero po fakcie. Odmawiają zastosowania rozwiązań zapobiegających takim sytuacjom – dodał. Jamet chciałby, żeby eBay ujawniał tożsamość i numery kont bankowych oszustów. Tymczasem eBay skupia się na usuwaniu aukcji, na których sprzedawane są fałszywki. Jego władze odmówiły jednak zastosowania wobec oszustów takich metod, jakie sprawdziły się wobec osób sprzedających pamiątki po nazistach czy grup takich jak Ku Klux Klan. Sprzedaż podrobionych marek na aukcjach internetowych to poważny problem. W ubiegłym roku na 340 stronach eBaya oferowano w sumie 235 000 podrobionych produktów jednej tylko marki – Louis Vuitton. Francuzi postanowili podjąć zdecydowane kroki, gdyż w ciągu ostatnich 5 lat liczba sprzedawanych w Internecie podrobionych produktów wzrosła 25-krotnie.