Обнаружена брешь в платежной системе QIWI

Игорь Бахарев
Обнаружена брешь в платежной системе QIWI
Это косяк самой платежной системы.

В процессе тестирования HTTP и SOAP протоколов обнаружена неприятная вещь - можно сформировать поддельный http-запрос от интернет-магазина (ИМ) на выставление счета, заблокировав передачу реального запроса.

В поддельном запросе изменяется сумма на гораздо меньшую. После оплаты счета на уменьшенную сумму статус заказа в ИМ на основании данных в SOAP-ответе автоматически изменяется на "Оплачен". Таким образом, теоретически можно обмануть ИМ (если не отслеживать уведомления и счета на сайте qiwi.ru), купив товар совсем не за ту цену, которая указана в ИМ. Например, я только-что купил сам у себя автомобильный колесный диск стоимостью 3385 руб. всего лишь за 5 руб.

Написал в тех. поддержку QIWI с подробным изложением проблемы и примером реализации обмана. В качестве решения проблемы предложил либо добавлять хэш к запросу на выставление счета, либо в SOAP-ответе передавать в ИМ оплаченную сумму. А лучше реализовать и то, и другое.

Буду ждать от них ответа.

А пока рекомендую сравнивать суммы оплаченных заказов в своем ИМ и в личном кабинете на qiwi.ru.

Источник (http://viarts.ru/forum/raznoe/1825-obnaruzhena-bresh-v-platezhnoi-sisteme-qiwi.html)
Материал по теме

Яндекс Маркет дал селлерам возможность настраивать скидки

Материал по теме

В мобильное приложении Авито Авто добавили раздел с бонусами от дилеров

Материал по теме

X5 Group тестирует сервис доставки товаров из зарубежных онлайн-магазинов

Подписаться на новости

Актуальное сейчас

ПВЗ Ozon бунтуют против нового сбора

Сервисный сбор, который с апреля 2024 года вводит Ozon, вызвал необычайный ажиотаж у селлеров и чиновников. Напомним, что из-за нововведения владельцы ПВЗ будут вынуждены отдавать маркетплейсу от 0,1% до 2%...

Яндекс Маркет дал селлерам возможность настраивать скидки

Яндекс Маркет расширяет возможности программы лояльности. Теперь продавцы смогут настраивать скидку по зелёным ценам, а не только предлагать за покупку своих товаров на Маркете повышенный кешбэк баллами Плю...

Ozon: больше половины селлеров запустили свой первый бизнес именно на маркетплейсах

Ozon провел опрос среди своих продавцов и узнал, почему маркетплейсы становятся первой площадкой для начала бизнеса, а также выяснил, как предприниматели оценивают свои первые результаты.  Согласно д...

В мобильное приложении Авито Авто добавили раздел с бонусами от дилеров

Сервис Авито Авто выпустил обновление для карточек объявлений в мобильном приложении. Теперь под описанием автомобиля появился раздел со спецпредложениями от дилера. При входе в объявление пользователь ...

Ozon вводит сервисный сбор для владельцев пунктов выдачи

Ozon с апреля 2024 года вводит сервисный сбор для партнеров, владеющих пунктами выдачи заказов (ПВЗ). Цель сбора – привлечение новых клиентов, обеспечение доступных цен и продвижение пунктов выдачи. ...

X5 Group тестирует сервис доставки товаров из зарубежных онлайн-магазинов

X5 Group запустила в пилотном режиме новый сервис 5post.market, который позволяет выкупать и доставлять товары из зарубежных интернет-магазинов. На 5post.market представлена женская, мужская и детска...

Согласие на обработку персональных данных

×

Физическое лицо, оставляя заявку на веб-сайте e-pepper.ru через форму «Обсудим ваш проект» и форму подписки на e-mail рассылку, действуя свободно, своей волей и в своем интересе, а также подтверждая свою дееспособность, предоставляет свое согласие на обработку персональных данных (далее — Согласие) Обществу с ограниченной ответственностью «АЭРОКОМ» (ООО «АЭРОКОМ») (ИНН 9705136776, info@aeroidea.ru, +7(495)120-12-38, +7 968 900-23-45), которому принадлежит веб-сайт https://e-pepper.ru и которое зарегистрировано по адресу 111024, г. Москва, вн.тер.г.муниципальный округ Лефортово, ул. Авиамоторная, д.50, стр.2, этаж 2, помещ.XI, комната 25, офис А79, на обработку своих персональных данных со следующими условиями:

  1. Данное Согласие дается на обработку персональных данных, как без использования средств автоматизации, так и с их использованием.
  2. Согласие дается на обработку следующих моих персональных данных: персональные данные, не относящиеся к специальной категории персональных данных или к биометрическим персональным данным: адрес электронной почты (e-mail); имя; сведения о месте работы; номер мобильного телефона.
  3. Цель обработки персональных данных: обсуждение возможного проекта.
  4. В ходе обработки с персональными данными будут совершены следующие действия: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.
  5. Третьи лица, обрабатывающие персональные данные по поручению ООО "Аэроком” для указанной в согласии цели:
    • АО "АМОЦРМ", 21205, г. Москва, вн.тер.г. Муниципальный Округ Можайский, Тер Сколково Инновационного Центра, б-р Большой, д. 42 стр. 1
    • ООО "Яндекс", 119021, г. Москва, ул. Льва Толстого, д. 16
  6. Персональные данные обрабатываются в течение 30 дней с момента отказа в дальнейшем обсуждении проекта или с момента принятия решения о заключении договора на проект в соответствии с ч. 4 ст. 21 152-ФЗ, смотря что произойдет раньше.
  7. Согласие может быть отозвано вами или вашим представителем путем направления ООО "Аэроком” письменного заявления или электронного заявления, подписанного согласно законодательству Российской Федерации в области электронной подписи, по адресу, указанному в начале Согласия.
  8. В случае отзыва вами или вашим представителем Согласия ООО "Аэроком” вправе продолжить обработку персональных данных без него при наличии оснований, указанных в пунктах 2 — 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона № 152-ФЗ «О персональных данных» от 27.07.2006 г.
  9. Настоящее согласие действует все время до момента прекращения обработки персональных данных, указанных в п. 6 и п. 7 Согласия.