23 марта 2016 в 15:32

Alipay - One Click Checkout: стоит ли нам беспокоиться?

• Информационная безопасность ,
• Платежные системы

Алиэкспресс - одна из самых популярных торговых площадок, открывающая мир китайских товаров для покупателей с любой точки мира. Небольшое отступление про Алипэй для того, чтобы рассмотреть найденную проблему в системе безопасности.

Алипэй (компания Алибабы) является платежным сервисом, который очень популярен в Китае и потихоньку начинает распространяться по всему миру. В Китае Алипэй используется в очень многих местах и сервисах, в остальных странах Алипэй пока что используется только для оплаты покупок на Алиэкспресс (также компания Алибабы). В настоящее время Алипэй позволяет пользователям сохранить кредитную карту, а также, когда вы делаете покупку на Алиэкспрессе, использовать сохраненную кредитную карту для оплаты без фактического ввода её данных.

Теперь, когда мы знаем немного о сервисе Алипэй, мы можем использовать его на Алиэкспресс. При регистрации на Алипэй мы создаем пароль, как в каждом нормальном процессе регистрации. Во время использования услуги для оплаты Алипэй попросит вас ввести пароль для входа в систему, но вот интересная вещь.

Если вы сделали покупку через мобильное приложение Алиэкспресс, когда вы находитесь дома (а большинство покупателей совершают покупки из дома), приложение на смартфоне или планшете отметит вашу домашнюю сеть (WiFi) как безопасную и не будет спрашивать у вас пароль при последующих покупках! Так будет до тех пор, пока вы не сделаете покупку с другой сети.

Представители технической поддержки Алиэкспресс и Алипэй подтвердили это и сказали мне, что это будет сделано в рамках функции «One Click Checkout», чтобы сделать оплату еще проще для пользователей.

Вот лэндинговая страничка, которая объясняет процесс One Click Checkout: http://activities.aliexpress.com/oneclickcheckout.php

Скриншот

Все это заставляет меня задуматься о безопасности сервиса Алипэй, в особенности в трех случаях. Первые два - два различных варианта, но результат один и тот же.

Вариант №1: Представим, вы потеряли свой телефон (без какой-либо блокировки), сможет ли кто-то, найдя его, использовать вашу кредитную карту, чтобы что-то купить?

Вариант №2: То же самое относится и к варианту, в котором кто-то украл ваш телефон (тоже без блокировки);

Вариант №3: Вы хотите обдурить Алиэкспресс и Алипэй. Сделать заказы и заявить, что это были не вы.

Я решил проверить каждый вариант. Если бы я был тем, кто использует найденный / украденный телефон, чтобы использовать чью-то кредитную карту для покупки вещей, что мне нужно:

Первое - быть подключенным к сети, которую мобильное приложение Алиэкспресс запомнило как безопасную. Это просто - все, что нужно сделать, это узнать адрес реального владельца телефона. Я проверил: приложение Алиэкспресс имеет адрес владельца и доступ к нему конечно без какой-либо защиты! Теперь всего лишь нужно оказаться в достаточно близком расстоянии от беспроводной сети в доме / квартире владельца и - та да! Телефон автоматически подключается к роутеру владельца.

Второе - мне нужно иметь возможность изменить адрес. Легко: заходим в приложение Алиэкспресс > Мой Алиэкспресс > Мой профиль > адреса доставки > Добавить новый адрес. Готово! Никакой защиты вообще!

То есть не нужно сильно напрягаться, что-то взламывать, все и так доступно.

Теперь насчет третьего варианта: мог бы я сам сжульничать и обмануть Алиэкспресс / Алипэй?

Конечно, мы ведь знаем, что это возможно: теперь я могу сделать заказы самостоятельно, для этого нам нужен адрес, который не имеет никакого отношения ко мне (другое имя, фамилия, адрес, возможно, в другом городе или вообще в другой стране). Подойдет адрес какого-нибудь друга. Теперь я буду делать заказы пару раз в день в течение некоторого периода на небольшие суммы 100$-200$, чтобы не попадать на радары Алипэй и банка, выпустившего кредитную карту.

После того, как я сделал какое-то количество заказов, и они были отправлены продавцами, я могу связаться с поддержкой Алиэкспресс / Алипэй и заявить, что заказы были сделаны не мной, и собственно деньги были украдены, и все это из-за уязвимости, которую можно так легко использовать.

Более того, я могу пойти в полицию и заявить, что мой телефон был украден и предоставить Алипэй заявление в качестве доказательства.

Все проверив, я пытался связаться с технической поддержкой Алиэкспресс / Алипэй, чтобы сообщить об этой уязвимости, и получил следующий ответ:

Рассмотрим:

1. Пользователь должен войти в свой аккаунт, чтобы сделать платеж. Проверяем - приложение Алиэкспресс остается в аккаунте навсегда после того, как владелец вошел в систему. Это нам не поможет.

2. Алиэкспресс / Алипэй проверяет каждый платеж: если с данными что-то не так, мы запросим пароль и другие данные. Проверяем - Алиэкспресс / Алипэй отказались разъяснить, что именно они проверяют с точки зрения безопасности, но как мы видели, Алиэкспресс / Алипэй не может действительно знать, были заказы сделаны владельцем телефона или нет. Эти меры тоже не спасут.

3. И, наконец, 100% компенсация! Алиэкспресс щедро обещают компенсацию в случае, если все же что-то случится.

«И к тому же платить без пароля намного быстрее и проще, наслаждайтесь,» - посоветовали мне. Кажется, так логично - они просто не подумали, что это будет так же легко и быстро сделать злоумышленникам.

И последний совет от техподдержки: если вы все еще беспокоитесь, просто удалите данные кредитной карты! Что? Как-то не внушает доверие. Разве система не должна быть безопасной и защищенной?

Подведем итог

Уязвимость очень проста. Такое ощущение, что каждая команда разработчиков полагалась на других, а в конечном итоге весь процесс уязвим! Я надеюсь, что Алиэкспресс / Алипэй исправит эту уязвимость как можно скорее! Это слишком просто, чтобы оставить как есть! Я много раз пытался связаться с поддержкой Алиэкспресс / Алипэй, чтобы показать эту уязвимость, но всегда получал тот же ответ: не волнуйтесь, все под контролем. Никто не хочет слушать и убрать эту уязвимость.

Здесь можно было бы и закончить, но я решил покопаться еще немного.

После того, как я исследовал новые фитчеры Алиэкспресс, я нашел дополнительную уязвимость на сайте. Если у кого-то есть телефон с приложением Алиэкспресс, он может войти в аккаунт довольно легко также и на сайте. Все благодаря новому процессу авторизации через QR код, находящийся на странице входа на Алиэкспресс.

Обратите внимание на QR-знак в углу страничке входа в аккаунт.

Все, что необходимо, это нажать на QR код, сканировать его через приложение Алиэкспресс и подтвердить. Это позволит вам войти в аккаунт на сайте без пароля. Здесь вы можете увидеть все данные пользователя, отсюда вы можете войти в учетную запись Алипэй! Конечно, вы не можете увидеть данные кредитных карт, но можно увидеть почти все.

Наконец, подытожим окончательно

Моя рекомендация для всех пользователей Алиэкспресс / Алипэй: если вы используете приложение, и данные вашей кредитной карты сохранены в этом сервисе, ставьте блокировку на вашем телефоне (это важно вообще для общей безопасности ваших личных данных) и обязательно введите свой номер телефона в Алипэй, чтобы получить оповещения о покупках и платежах: так вы будете знать, если что-то случится.

Или делайте то, что предлагает тех поддержка Алипэй: если вы все еще беспокоитесь по поводу безопасности - удалить кредитную карточку из сервиса Алипэй.

Долгое время площадка Алиэкспресс предлагала своим покупателям пользоваться кошельком Алипей для оплаты заказов. Было удобно привязывать свою карту к Alipay, совершать быстро оплату, без ввода каждый раз платежных данных.

Но, к сожалению, в октябре 2016 года Алиэкспресс официально объявили, что начиная с 1 января 2017 года площадка больше не будет поддерживать оплату заказов с помощью кошелька Алипей. Всем покупателям, у кого был открыт кошелек Алипей и сделана привязка банковской карты к счету Alipay пришло следующее уведомление:

Dear Customer,
We regret to inform you that due to business adjustments, the Alipay balance service will be terminated from January 1, 2017 (PDT). Please use up your remaining balance as soon as possible. to find more details.
Please accept our sincere apologies for any inconvenience this may cause.
Thank you.

Данное сообщение гласит:

«Дорогой клиент, с сожалением сообщаем Вам, что в связи с корректировками бизнес-плана оказание услуги баланс Alipay будет прекращено С 01 января 2017 г. (дневное тихоокеанское время). Пожалуйста, как можно скорее используйте остаток средств на счёте. Нажмите сюда , чтобы получить подробную информацию »

Также, данное уведомление можно увидеть в свойм аккаунте на Алиэкспресс в разделе «Мой Alipay» и при попытке зарегистрировать новый кошелек Алипей.

В реальности, ничем страшным данный факт покупателям не грозит. Вы точно так же сможете оплачивать свои заказы с помощью банковских карт. У вас просто не будет возможности пополнить кошелек Алипей (уже сейчас данная возможность отсутствует). А также после 31 декабря 2016 года вы не сможеет оплачивать покупки с кошелька Алипей.

Что делать с остатом денег на кошельке Алипей?

Единственное, о чем нужно обязательно позаботиться покупателям- это вывести деньги со счета Алипей. Если у вас был там открыт счет- обязательно проверьте свой баланс. Возможно, вы пополняли кошелек Алипей, либо получали туда возврат денег после споров. Если деньги на счету Алипей есть, то их нужно выводить. Самый простой вариант: оплатить до 31 декабря 2016 года заказы на Алиэкспресс со счета Алипей и израсходовать весь денежный остаток.

Если вы не успеете уложиться в данный срок, то возможность полачивать покупки на Алиэкспресс будет уже недоступна. Но и в этом случае ваши деньги не пропадут. Если на счету будет сумма не превышающая 30$, то покупатель получит ее эквивалент скидочными купонами, которые сможет использовать при оплате товаров. Срок действия данных купонов будет длится до конца 2017 года. А выдавать их администрация Алиэкспресс поанирует с середины января. То есть купоны будут действительны практически год.

Если на вашем счету невыведенной окажется сумма, превышающая 30$, то 30$ вы получите в виде скидочного купона на покупки, а остальные деньги нужно будет получить на ваш банковский счет. Причем данный перевод обязательно облагается комиссией, минимальная сумма которой- 15$. Сумма немаленькая, поэтому лучше позаботиться о выводе недег с кошелька Алипей до нового года.

Есть вопрос? Напишите его в комментариях или обратитесь в чат

Со вчерашнего дня, 12 октября 2016 года, многие пользователи АлиЭкспресс, которые ранее привязали к своему аккаунту кошелек Alipay и совершали оплату своих заказов с использованием этой платежной системы, стали получать письма с почтовых ящиков поддомена alipay.com со следующим сообщением:

Dear Customer,
We regret to inform you that due to business adjustments, the Alipay balance service will be terminated from January 1, 2017 (PDT). Please use up your remaining balance as soon as possible. to find more details.
Please accept our sincere apologies for any inconvenience this may cause.

Thank you.
Alipay

Аналогичное сообщение, но уже на родном языке, можно увидеть, если зайти в свой аккаунт на АлиЭкспресс и перейти в меню по ссылке «Мой Alipay»:

Это же сообщение демонстрируется в верхней части странице при переходе к оплате оформленного заказа на сайте АлиЭкспресс.

Суть вопроса

С начала нового года площадка АлиЭкспресс прекратит обслуживание счетов Алипэй. Это означает, что станет невозможно пополнять их, а также получать на свои счета в Alipay возврат средств по выигранным диспутам.

Впрочем, пополнять счет в Alipay пользователи не могут уже давно. А вот в некоторых случаях возвраты по оспариваемым сделкам еще поступали на счет Алипей.

В любом случае, если у кого-то остались неизрасходованные средства на таком счете, то администрация АлиЭкспресс настоятельно рекомендует использовать их для оплаты своих заказов до наступления нового года.

Алгоритм прекращения обслуживания счетов Алипей

2.При наличии у клиента на счету суммы не превышающей 30$, она будет компенсирована пользователю в виде купона, который можно будет использовать при оплате заказа на АлиЭкспресс в течение всего 2017 года (точнее, он будет действовать 1 год с момента его выдачи).

Сумма купона будет неким образом «аппроксимирована» к ближайшему целому значению. Скорее всего, ее округлят в большую сторону. Но это только наша догадка.

Администрация начнет выдавать соответствующие купоны ориентировочно с середины января 2017 года.

3.Если у владельца счета Алипей останется более 30$, то 30$ будут сконвертированы в те же купоны АлиЭкспресс, а остаток можно будет вернуть через банковский счет (или по системе). Но следует понимать, что такая операция будет не бесплатной. В развернутом пояснении, которое доступно по следующей ссылке, предупреждается о минимальной комиссии за каждый банковский перевод в размере 15$. При большой сумме остатка, комиссия может быть выше.

Так что лучше все же израсходовать оставшиеся средства, дабы не потерять часть денег в будущем.

Совершить вывод оставшихся после 1 января 2017 года средств на кошелке Алипей можно будет на . Там же можно будет отслеживать статус всех переводов. Все банковские переводы чаще всего поступают на счет клиента в течение 7-10 рабочих (банковских) дней.

Как оплачивать заказы после 1 января 2017 года

Никаких проблем вследствие прекращения обслуживания счетов Alipay на площадке АлиЭкспресс у пользователей не возникнет. Как и сейчас, оплачивать заказы можно будет при помощи различных электронных денежных систем, таких как «Яндекс Деньги», «Webmoney», «QIWI», а также банковскими платежными картами (в том числе и теми, которые были привязаны к счету Alipay).

Займитесь вопросом «опустошения» кошелька Alipay уже сейчас, позже вы можете просто забыть о необходимости решения этого вопроса и получить проблемы с выводом денег.

Оцени статью:

Не так давно, примерно около недели назад многие пользователи платежной системы Alipay начали получать письма на свои e-mail. Суть письма в том, что платежная система Алипэй прекращает обслуживание клиентов на алиэкспресс. Мы узнали об этом не из письма, а просто , если вы, как и мы в недавнем времени оплачивали заказ на алиэкспресс, то наверняка заметили сверху предупреждение о необходимости израсходовать свой доступный баланс на алипэй до наступления нового года.

Сразу хотим отметить, ничего страшного не предвидится, но все же если у вас на счету алипэй имеется определенная сумма, полученная, например, в результате , то эта информация окажется для вас полезной.

Многим известно, что платежная система Alipay входит в состав Alibaba Group также, как и сам , поэтому намеченные изменения лишь внутренняя оптимизация платежных процессов, которая никак не должна затронуть новых и уже существующих покупателей на алиэкспресс, о чем говорит официальное заявление.

We regret to inform you that due to business adjustments, the Alipay balance service will be terminated from January 1, 2017 (PDT). Please use up your remaining balance as soon as possible. Click here to find more details.

Please accept our sincere apologies for any inconvenience this may cause.

Причины, по которым алиэкспресс отказывается от Алипэй остаются загадкой, но видимо концепция дальнейшего развития претерпела изменения, иначе как можно объяснить сначала навязывание своей платежной системы всем пользователям, а теперь отказ от нее. Да, именно навязывание, не зря ведь многие раньше искали .

По сути речь не идет о закрытии Alipay, платежная система никуда не пропадет, подразумевается лишь отказ от баланса алипэй, все остальные функции останутся без изменений. Итак, что нужно сделать со своим аккаунтом алипэй до нового года. Подробная инструкция , но, ниже мы дадим подробные пояснения на русском языке.

Согласно опубликованной информации, 1 января 2017 года пропадет возможность оплаты покупок на алиэкспресс, но лишь с использованием баланса алипэй. Если вы захотите , то вас эти изменения никак не затронут. Alipay как и раньше продолжит процессинг платежных операций на AliExpress, но если в результате предыдущих диспутов на алиэкспресс у вас имеется остаток на балансе алипэй, то необходимо проделать несколько простых действий, а именно:

• Если баланс вашего счета алипэй меньше $30, то автоматически после нового года алиэкспресс начнет обменивать остаток баланса алипэй на купоны AliExpress (с большой долей вероятности номинальная сумма купонов будет округлена в большую сторону)
• Если сумма вашего счета алипэй превышает 30$, то эти же $30 будут автоматически переведены в купоны алиэкспресс, но оставшиеся средства будут выведены на ваш банковский счет (учтите, что международный банковский перевод удовольствие не из дешевых и обычно менее $15 не стоит, поэтому если сумма у вас не значительная, то предпочтительней ее просто потратить до вступления в силу изменений на алипэй)

На балансе кошелька алипэй, алиэкспресс планирует начать выдавать примерно с середины января. Срок действия полученного купона будет равен году с момента его выдачи.

В данном случае купон будет вам выдан, а не приобретен как подарочный сертификат, поэтому уместней потратить остаток баланса алипэй на , тем самым выжав максимум из этих изменений.

Если по какой-то причине вы не успели израсходовать баланс кошелька Alipay, то внутри своего аккаунта можно будет отслеживать статус вывода оставшихся средств на ваш банковский счет, но учтите, что банковский перевод может занять от 7-10 рабочих дней, с момента отправления, в конечном счете все будет зависит от вашего банка.

Как теперь оплачивать заказы на АлиЭкспресс без Алипэй?

На самом деле Алипэй как был, так и останется, просто теперь судя по всему в результате средства будут возвращаться в виде на некий внутренний счет алиэкспресс. Это лишь догадки, пока официальных заявлений не было, но иначе к чему все эти изменения.

Функционально ничего толком не меняется, даже раньше средства с баланса алипэй можно было потратить только для дальнейших покупок. Теперь все будет точно также, только без баланса алипэй.

Если вы покупали в одном из , то наверняка знакомы с их . В двух словах он представляет внутренний счет, на который возвращаются деньги в результате возврата средств, которые позже можно использовать для дальнейших покупок. Правда там по запросу можно обналичить баланс этого счета, как в этом плане поступит алиэкспресс пока не ясно.

Делается все конечно с целью увеличения продаж, но с другой стороны покупатель в конечном счете ничего не потеряет. Возможно конечно и вариант с прямым возвратом средств на счет с которого была произведена оплата, но честно говоря этот вариант сомнителен. В итоге все покажет время, к тому же осталось совсем немного.

(function(w, d, n, s, t) { w[n] = w[n] || ; w[n].push(function() { Ya.Context.AdvManager.render({ blockId: "R-A-184100-2", renderTo: "yandex_rtb_R-A-184100-2", horizontalAlign: false, async: true }); }); t = d.getElementsByTagName("script"); s = d.createElement("script"); s.type = "text/javascript"; s.src = "//an.yandex.ru/system/context.js"; s.async = true; t.parentNode.insertBefore(s, t); })(this, this.document, "yandexContextAsyncCallbacks");