Краткое содержание анализа
Это типичный случай, когда невиновный пользователь пострадал из-за уязвимостей в правилах платформы: гражданка из Гуанчжоу, г-жа Ци, ни разу не кликала на мошеннические ссылки, не раскрывала свои пароли и давно не использовала старый номер телефона, который был аннулирован два года назад. Тем не менее, за два месяца кто-то воспользовался этим номером для входа в ее аккаунт на платформе Халло и совершил 109 платежей на сумму более 6500 юаней, используя функцию беспарольной оплаты в пределах лимита в 200 юаней. После инцидента компания Халло предложила лишь компенсацию в размере 200 юаней и переложила всю ответственность на виновников кражи, предложив пользователю самостоятельно обратиться в полицию. Альибаба, являющаяся крупнейшим акционером Халло, сохраняла молчание. Обе связанные платформы перекладывали друг на друга ответственность, в результате чего все убытки легли на плечи невиновных пользователей.
Подробный анализ ситуации
1. Процесс кражи данных кажется невероятным
Как виновники смогли получить доступ к аккаунту г-жи Ци? Никаких сложных технологий здесь не использовалось — все было сделано в рамках правил платформы:
Старый номер телефона г-жи Ци был продан новому пользователю после 90-дневного периода блокировки, установленного оператором. Новому пользователю (или вору номера) не потребовалось ничего делать: достаточно было воспользоваться функцией восстановления пароля и получить SMS-подтверждение, чтобы взять под контроль аккаунт. Не требовалось ни проверки лица, ни проверки удостоверения личности, ни сопоставления данных с первоначальным владельцем номера.
Воры также действовали очень профессионально: сначала они совершили несколько небольших платежей на сумму около 10 юаней, чтобы убедиться, что система оплаты работает корректно, затем каждый платеж составлял ровно 199 юаней — на 1 юань меньше установленного лимита. Благодаря этому они обошли систему контроля за крупными платежами Алибабы. Г-жа Ци не обратила внимания на подозрительные платежи, пока не получила уведомление о специальной акции от банка.
2. Каждая сторона имеет свои „основания для освобождения от ответственности“
Самое удивительное в этом случае — никто из участников не нарушил правила, но пользователь потерял несколько тысяч юаней:
- Оператор: „Мы соблюдаем правила телекоммуникационных услуг и можем продавать аннулированные номера только после 90 дней блокировки; мы не имеем права разбираться с проблемами пользователей на сотнях интернет-платформ“.
- Халло: „Наши правила позволяют изменить владельца аккаунта на основании SMS-подтверждения; мы не знаем, использовал ли номер кто-то другой“.
- Алибаба: „Вы подписали соглашение о беспарольной оплате, связанное с вашим аккаунтом на Халло; поскольку номер телефона был аннулирован, мы имеем право списывать деньги в соответствии с соглашением“.
- Контрольная система Алибабы: „Платежи от авторизованных продавцов считаются низкорисковыми; мы не обязаны уведомлять пользователя о каждом платеже“.
Каждая сторона имеет свои „основания“, но в совокупности это создает безопасный путь для воров.
3. Компенсация в 200 юаней от Халло — это не щедрость, а расчет
Многие обвиняют Халло в скупости за компенсацию в 200 юаней при убытках в 6000 юаней. На самом деле это стандартная практика компании: в прошлом пользователи, пострадавшие от кражи данных в Шэньси и Шанхае, получали компенсацию от 50 до 200 юаней. Пользователи, желающие защитить свои права, могут обратиться в органы регулирования (например, 12315), но процесс может занять до 45 дней, а судебные разбирательства — еще больше времени и сил. 90% пользователей предпочитают принять компенсацию и не продолжать борьбу.
Халло заменила полную компенсацию на обещание помочь пользователю взыскать убытки с воров, переведя гражданский спор в уголовный. Таким образом компания избегает дополнительных расходов. Кроме того, это не первый случай проблем с безопасностью на платформе: ранее ее электрические велосипеды также подвергались незаконным списаниям средств, и система так и не была обновлена для синхронизации информации о номерах телефонов.
4. Платформы перекладывают ответственность друг на друга, но на самом деле все связаны между собой
Многие думают, что Халло и Алибаба — независимые компании, но на самом деле Алибаба является крупнейшим акционером Халло (36,3%). Поэтому эти проблемы — внутренние проблемы одной и той же группы компаний.
Ранее Алибаба заявляла, что готова полностью компенсировать убытки в случаях кражи данных, но когда речь зашла о своих собственных клиентах, компания просто молчала. Согласно правилам Центрального банка и судебной практике, ответственность за кражу данных лежит на платформе, если она не может доказать, что пользователь сам раскрыл информацию или совершил платеж. Однако все доказательства находятся у платформы, и пользователи не могут их получить, поэтому вынуждены терпеть убытки.
5. Три простых шага, которые могут помочь пользователю избежать подобных проблем
Чтобы не стать жертвой кражи данных, можно предпринять следующие действия:
1. Перед аннулированием старого номера телефона обязательно отключите все приложения, связанные с этим номером (особенно те, которые используют функцию беспарольной оплаты).
2. Отключите функцию беспарольной оплаты на всех платформах; если она вам действительно нужна, установите минимальный лимит оплаты (10–20 юаней).
3. В случае необъяснимых списаний средств немедленно обратитесь в службу поддержки платформы или в национальную линию жалоб на финансовые мошенничества (12363). По закону платежные организации обязаны полностью компенсировать убытки, если не смогут доказать, что они были вызваны действиями пользователя.
Эти меры позволят пользователю снизить риск кражи данных до минимума.