Απάτη μέσω efood

[unique798]

Οποτε... ανακεφαλαιωση. 

Καποιος εκανε login στον λογαριασμο σου, στο e-food και παράγγειλε χρησιμοποιώντας την αποθηκευμενη καρτα σου.. Δεν σου κλεψαν τον αριθμο της καρτας , δεν παραγγειλαν απο αλλο λογαριασμο (με την καρτα σου). Δεν μπηκες σε public wi-fi , δεν εχει καποιος αλλο προσβαση στο κινητο σου - λογαριασμο σου.

Πιστευω η πολη δεν εχει καμια σχεση! Ετυχε η παραβιαση να εγινε απο καποιον κατοικο της θεσ/νικης ή να εγινε το διαστημα που εισαι στην πολη. Δηλ. :

Παρασκευη (σημερα) θα επιστρεψεις Αθηνα. Αν δεν κανεις καποια ενεργεια μπόρει να ξαναπαραγγειλουν. 

Τελος. Για κανεις εγγραφη στο e-food θελει mail k κωδικο. Επιβαιβεωση του κινητου. Τα οποια τα εκανες εσυ ο ιδιος, στο παρελθον. Για να κανεις απο εκει και περα login χρειαζεσαι το mail ή facebook.

Aν με καποιο τροπο παραβιαστηκαν τα 2 παραπανω , τοτε θα μπορουσε να γινει η παραγγελια. Οποτε check k αυτο!

*** Καμια εγκατεστημενη εφαρμογη εκτος playstore ??? 

[pan05]

3 ώρες πριν, billdanos είπε

Δεν θα σου κοινοποιήσουν καμία IP διεύθυνση (και καλά θα κάνουν). Αυτά τα στοιχεία παραδίδονται μόνο στις αρμόδιες αρχές μετά την εκκίνηση των σχετικών διαδικασιών. 

Μιλάμε για το λογαριασμό του. Μια χαρά καλά θα κάνουν λοιπόν να του κοινοποιήσουν την IP διεύθυνση που προσπέλασε το λογαριασμό του, εφόσον το ζητήσει. Δες κάτω δεξιά πατώντας "λεπτομέρειες" στο gmail και θα διαπιστώσεις πώς το κάνει και η google.

3 ώρες πριν, sstratos είπε

Φιλε ΤS , το μόνο που μπορώ να σκεφτώ βαση των συνθηκών που έγινε (χρονικα/γεωγραφικα κτλ) ειναι οτι κάποια στιγμη (οχι την συγκεκριμένη) συνδέθηκες σε καποιο δημοσιο wifi ή του ξενοδοχείου σου , και απλά σου περάσανε τα πακέτα απο καποιο sniffer... για να εχει πρόσβαση καποιος "τυχαίος" στην βάση δεδομένων του efood ειναι δύσκολο 

Τα πακέτα πλέον (πρέπει να) είναι κρυπτογραφημένα ούτως ή άλλως πάνω από HTTPS. Θα μου έκανε τεράστια εντύπωση αν δεν ήταν.

[mypagio]

Ενημέρωση από το κατάστημα (ανευ ουσίας βεβαια):

Ο διανομέας είπε ότι έψαχνε να βρει το νούμερο, και εμφανίστηκαν μπροστά του 3 πιτσιρίκια ηλικίας 18-20 περίπου και του είπαν "φίλε για εμάς είναι η παραγγελία". 

Αυτός την έδωσε και έφυγε. 

Άνευ ουσίας βέβαια γιατί δεν λέει κάτι ουσιαστικό (Θα μου πειτε τι περίμενες) :

3 άτομα θα ήτανε βάση της παραγγελίας, πιτσιρίκια το πιθανότερο για να μπούνε σε αυτή τη διαδικασία να ρισκάρουν και ο διανομέας δεν ζήτησε κάποια επιβεβαίωση εφόσον δεν ήταν ανήλικοι, λέει, και δεν του φάνηκε κάτι ύποπτο (άσε που έκλεινε και θα πήγαινε σπίτι του και το μόνο που σκεφτόταν πιθανόν ήταν αυτό). 

Από εκεί και πέρα ξαναείπα στην εκπρόσωπο του efood ότι θέλω να μάθω με ποιον τρόπο Απέκτησαν πρόσβαση στον λογαριασμό μου και αυτό είναι και κάτι που θα πρέπει να απασχολεί την εταιρεία τους καθώς είναι δικό τους το κενό ασφαλείας. Μου απάντησε ότι έχει ενημερώσει τους ανώτερους της και θα έχουμε πάλι επικοινωνία εντός της ημέρας. 

Για ότι νεώτερο θα σας ενημερώσω. 

ΥΓ: Σε απάντηση προηγούμενης ανάρτησης, επιμένω ότι δεν θεωρώ τυχαίο το γεγονός της συγκυρίας ότι συνεβη όταν έκανα την παραγγελία στην περιοχή και ότι πιθανότατα κάτι το πρόβλημα επικεντρώνεται εκεί. Μπορεί να έχω και λάθος αλλά εμένα αυτό μου κάνει πιο πολύ. 

Επεξ/σία 28 Ιανουαρίου 2022 από mypagio

[Ukforthemoment]

Δηλαδή δεν υπάρχει κάποια επιβεβαίωση ότι όντως ο παραλήπτης είναι και αυτός που παράγγειλε; Οποιος θελει λεει οτι είναι δικά του;

[mypagio]

4 λεπτά πριν, Ukforthemoment είπε

Δηλαδή δεν υπάρχει κάποια επιβεβαίωση ότι όντως ο παραλήπτης είναι και αυτός που παράγγειλε; Οποιος θελει λεει οτι είναι δικά του;

Επειδη το ρώτησα συγκεκριμένα, αυτή την απάντηση ακριβώς πήρα. Εμένα πάντως εάν ήμουν διανομέας θα μου φαινόταν ύποπτο. Από εκεί και πέρα, όπως είπα, επειδή ήταν τελευταία παραγγελία αυτός το μόνο που σκεφτόταν ήταν να τη δώσει να φύγει. Φάουλ από εμένα, αλλά αυτό είναι το λιγότερο. Και σιγά αν ήταν αλλοδαπός μην ασχολιόταν καν. 

[witchofangmar]

Υπήρξε λοιπόν ξεκάθαρα πρόσβαση στο λογαριασμό σου, στο efood, από κάποιον τρίτο, ο οποίος έβαλε μια διεύθυνση «βολική» για να παραλάβει και χρησιμοποίησε την αποθηκευμένη κάρτα σου στην εφαρμογή για την πληρωμή. Τέλος, όλο αυτό συνέβη ενώ βρισκόσουν στην ίδια περίπου περιοχή στην θεσσαλονίκη.

Στο https://haveibeenpwned.com/ κοίταξες μήπως έχει διαρρεύσει κάπου το mail σου? Είναι αξιόπιστο και legit site (ίσως το ξέρεις ήδη).

[Agmourk]

Δεν ξέρω αν σχετίζεται αλλά θα πω μια γνώμη. Κάποτε, είχα παραγγείλει σε σπίτι φίλου απο το κινητό μου με δεδομένα (όπως και εσύ) και απο τον λογαριασμό μου. Με δικό μου όνομα, δικό μου κωδικό κλπ. Άλλαξα την διέυθυνση και στις παρατηρήσεις το κουδούνι που θα φέρνανε την παραγγελία. Όλα καλά. Μετά απο λίγο καιρό (6μηνο) παρραγείλαμε απο τον λογαριασμό απο το ίδιο μαγαζί να φάμε (στο ενδιάμεσο είχα κάνει πολλές παραγγελίες, έχοντας αλλάξει διεύθυνση πλέον). Όταν πήγε η κοπέλα μου να πάρει το φαγητό, δεν το βρίσκανε γιατί το όνομα της παραγγελίας ήταν στο όνομα του κουδουνιού που κάναμε την πρώτη φορά. Πως βρέθηκε απο τις παρατηρήσεις, σε username δεν ξέρω. Επίσης, η διέυθυνση ήταν εκείνη της πρώτης φοράς, παρόλο που τσέκαρα και διπλοτσέκαρα ότι ήταν άλλη στον λογαριασμό όταν πραγματοποιήθηκε η παραγγελία. Στο τερματικό έβγαζε την παλιά που παραγγείλαμε. 

Πιθανολογώ, κάποια σύνδεση του τερματικού του καταστήματος με το δεδομένο κενό ασφαλείας της πλατφόρμας του e-food (απουσία 2FA + ένα άλλο παιδί εδώ μέσα που του κάνανε παραγγελίες αβέρτα πιο παλιά απο την χρεωστική). 

Κάρτα δεν χρησιμοποιώ, παρά μόνο paypal (ή μέσω nfc σε άλλες άγορες). Και με το paypal μου είχανε κάνει π@#$τια αφού ξαφνικά στις αγαπημένες λίστες βρέθηκα με κάτι τραγούδια αράβικα και μου έδειχνε ότι έπαιζε μουσική ένα υπολογιστής στην Γαλλία. Τα έσβησα, άλλαξα κωδικό και ησύχασα. 

[mypagio]

1 λεπτό πριν, Agmourk είπε

Δεν ξέρω αν σχετίζεται αλλά θα πω μια γνώμη. Κάποτε, είχα παραγγείλει σε σπίτι φίλου απο το κινητό μου με δεδομένα (όπως και εσύ) και απο τον λογαριασμό μου. Με δικό μου όνομα, δικό μου κωδικό κλπ. Άλλαξα την διέυθυνση και στις παρατηρήσεις το κουδούνι που θα φέρνανε την παραγγελία. Όλα καλά. Μετά απο λίγο καιρό (6μηνο) παρραγείλαμε απο τον λογαριασμό απο το ίδιο μαγαζί να φάμε (στο ενδιάμεσο είχα κάνει πολλές παραγγελίες, έχοντας αλλάξει διεύθυνση πλέον). Όταν πήγε η κοπέλα μου να πάρει το φαγητό, δεν το βρίσκανε γιατί το όνομα της παραγγελίας ήταν στο όνομα του κουδουνιού που κάναμε την πρώτη φορά. Πως βρέθηκε απο τις παρατηρήσεις, σε username δεν ξέρω. Επίσης, η διέυθυνση ήταν εκείνη της πρώτης φοράς, παρόλο που τσέκαρα και διπλοτσέκαρα ότι ήταν άλλη στον λογαριασμό όταν πραγματοποιήθηκε η παραγγελία. Στο τερματικό έβγαζε την παλιά που παραγγείλαμε. 

Πιθανολογώ, κάποια σύνδεση του τερματικού του καταστήματος με το δεδομένο κενό ασφαλείας της πλατφόρμας του e-food (απουσία 2FA + ένα άλλο παιδί εδώ μέσα που του κάνανε παραγγελίες αβέρτα πιο παλιά απο την χρεωστική). 

Κάρτα δεν χρησιμοποιώ, παρά μόνο paypal (ή μέσω nfc σε άλλες άγορες). Και με το paypal μου είχανε κάνει π@#$τια αφού ξαφνικά στις αγαπημένες λίστες βρέθηκα με κάτι τραγούδια αράβικα και μου έδειχνε ότι έπαιζε μουσική ένα υπολογιστής στην Γαλλία. Τα έσβησα, άλλαξα κωδικό και ησύχασα. 

Θα συμφωνούσα σε όλα μαζί σου εαν:

1) δεν είχαν προστεθεί οι διευθύνσεις παραλαβής στον λογαριασμό μου (οι ίδια 3 φορές) 

2) στον όροφο και στο κουδούνι δεν έγραφαν το είμαστε από κάτω. 

3) έγινε από κατάστημα που δεν έχω ξαναπαραγγειλει και δεν είχα ιδέα.

4) έγινε στη 1 το βράδυ, ώρα που κατά πάσα πιθανότητα θα κοιμόμουν. 

Γιαυτό λοιπόν αποκλείω το να έγινε λάθος από το σύστημα στο κατάστημα και θεωρώ ότι ήταν παραβίαση του λογαριασμού μου. Ήταν εσκεμμένη ενέργεια. 

[witchofangmar]

Εσκεμμένη ενέργεια ήταν. Μπορεί να είχαν καιρό πρόσβαση στο λογαριασμό σου και να έκαναν παραβίαση όταν είδαν ότι είσαι και εσύ στην πόλη τους (για να μην χτυπήσει alert σε κάποιον παρατηρητικό, λέμε τώρα, υποθέσεις όλα αυτά).

[Macosj]

Εφόσον τηρείς τόσο τα μέτρα ασφάλειας, μόνο εσωτερική δουλειά φαίνεται ότι είναι, αλλά πόσο πιθανό είναι ένας υπάλληλος του efood να κάνει τέτοια πράγματα? Ή ακόμα πιο ακραίο είναι η συλλογή δεδομένων από υπάλληλο της κινητής τηλεφωνίας ( αλλά εκεί σιγά μην ασχολούταν με efood, θα πήγαινε για μεγάλη δουλειά). Άλλη λογική δεν υπάρχει, δεν θα μπορούσαν να αποκτήσουν πρόσβαση στο λογαριασμό σου αλλιώς. Νομίζω η περίπτωση χακ στους σερβερ της εταιρείας δεν υφίσταται πόσο μάλλον δε από Έλληνες ( αν ειμασταν στο Πακιστάν θα υπήρχε μια ελάχιστη πιθανότητα) 

Επεξ/σία 28 Ιανουαρίου 2022 από Macosj

[Agmourk]

3 minutes ago, mypagio said:

Θα συμφωνούσα σε όλα μαζί σου εαν:

1) δεν είχαν προστεθεί οι διευθύνσεις παραλαβής στον λογαριασμό μου (οι ίδια 3 φορές) 

2) στον όροφο και στο κουδούνι δεν έγραφαν το είμαστε από κάτω. 

3) έγινε από κατάστημα που δεν έχω ξαναπαραγγειλει και δεν είχα ιδέα.

4) έγινε στη 1 το βράδυ, ώρα που κατά πάσα πιθανότητα θα κοιμόμουν. 

Γιαυτό λοιπόν αποκλείω το να έγινε λάθος από το σύστημα στο κατάστημα και θεωρώ ότι ήταν παραβίαση του λογαριασμού μου. Ήταν εσκεμμένη ενέργεια. 

Ήταν σκοπιμο. Αυτό είναι πέραν συζήτησης. Το θέμα είναι, μήπως κάποιος στην περιοχή υποκλέπτει τα στοιχεία που στέλνονται στο τερματικό του καταστήματος και μέσω αυτού απέκτησαν πρόσβαση στον λογαριασμό σου. Αν και παραπάνω λένε ότι το μόνο που πηγαίνει είναι η παραγγελία (και ότι σχετίζεται) και το ποσό. 

[Macosj]

1 λεπτό πριν, Agmourk είπε

Ήταν σκοπιμο. Αυτό είναι πέραν συζήτησης. Το θέμα είναι, μήπως κάποιος στην περιοχή υποκλέπτει τα στοιχεία που στέλνονται στο τερματικό του καταστήματος και μέσω αυτού απέκτησαν πρόσβαση στον λογαριασμό σου. Αν και παραπάνω λένε ότι το μόνο που πηγαίνει είναι η παραγγελία (και ότι σχετίζεται) και το ποσό. 

Στο τερματικό του καταστήματος δεν πηγαίνουν τα στοιχεία της κάρτας, ο πελάτης πληρώνει το efood και αυτό πληρώνει το κατάστημα 

[sstratos]

1 ώρα πριν, pan05 είπε

Τα πακέτα πλέον (πρέπει να) είναι κρυπτογραφημένα ούτως ή άλλως πάνω από HTTPS. Θα μου έκανε τεράστια εντύπωση αν δεν ήταν.

Τα πακέτα ειναι κρυπτογραφημένα οταν τα στέλνεις απο browser.... Το efood app (και το κάθε ιδιωτικό app) δεν ξέρουμε εαν τα κρυπτογραφεί πριν τα στείλει στους server του. Για κανένα app δεν μπορούμε να ξερουμε εαν τα κρυπτογραφεί πριν τα στείλει 

[witchofangmar]

Για εμένα είναι απλό, κάποιος μπήκε στο λογαριασμό σου στο efood, εβαλε μια διευθυνση και έκανε παραγγελία. Το θέμα είναι πως βρήκε email/password και μπήκε στο λογαριασμό σου.

[Επισκέπτης]

8 ώρες πριν, laserjesus είπε

Το μόνο που μπορεί να κάνει με το GDPR είναι να διαγράψουν οτιδήποτε έχουν σχετικά με το account.

Δεν προβλέπεται να σου δώσουν στοιχεία.

Είσαι σιγουρος; Έχεις διαβάσει τα σχετικά άρθρα (13 έως 15, αν θυμάμαι καλά) και κατέληξες στο συμπέρασμα ότι το gdpr είναι μόνο για να διαγράψουν στοιχεία;

13 λεπτά πριν, witchofangmar είπε

Για εμένα είναι απλό, κάποιος μπήκε στο λογαριασμό σου στο efood, εβαλε μια διευθυνση και έκανε παραγγελία. Το θέμα είναι πως βρήκε email/password και μπήκε στο λογαριασμό σου.

Οτι κάποιος μπήκε, μπήκε.

Πώς μπορείς να λες ότι είναι απλό και είχαν email/ password;