Play: błąd w systemie pozwalał poznać nazwę lub nazwisko osoby przypisanej do numeru

Szef firmy Mój Szpieg, Michał Dziak, wykrył specyficzny błąd w usłudze internetowej sieci Play. Dzięki niemu użytkownik mógł dowiedzieć się, do kogo konkretnie należy dany numer telefonu. Okazało się, że bez problemu można w ten sposób sprawdzić m.in. numer ministra spraw zagranicznych Grzegorza Schetyny, czy ministra koordynatora służb specjalnych Marka Biernackiego.
Nowy błąd w sieci Play jest naprawdę bardzo specyficzny i natrafić na niego mogą przede wszystkim klienci, którzy wybrali taryfę dla firm. Michał Dziak, młody wrocławski przedsiębiorca, zamierzał rozreklamować swoje nowe przedsiębiorstwo wysyłając do innych firm, dostępnych w rządowej bazie, wiadomości przy pomocy bramki SMS. Zdziwił się, gdy po dodaniu listy odbiorców, przy niektórych z nich zaczęły pojawiać się nazwiska lub inne nazwy określające właściciela danego numeru.



Poza nazwami branżowymi, takimi jak „Zamrażanie Rur” czy „koparka”, na liście znajdowały się bardziej intymne nazwy („kochanie”, "misiek"), a nawet pełne nazwiska. Tak zidentyfikowano m.in. szefa dolnośląskiej Platformy Obywatelskiej, który na liście pojawił się jako „PO Jacek Protasiewicz”. Same nazwy pochodziły z książek telefonicznych abonentów, do których je dodano. Co ciekawe, pan Dziak poinformował Play o problemie już w kwietniu tego roku, ale sieć nie zrobiła dosłownie nic aż do tej pory.

Właściciel firmy Mój Szpieg ustalił, że wyświetlane informacje są prawdopodobnie pobierane z bazy, do której użytkownicy sami wysyłają dane z własnych książek telefonicznych. Problem w tym, że nie są one jak widać w ogóle zabezpieczone i nawet obca osoba może, wpisując dowolny numer dostępny w „fioletowej sieci”, poznać dane osobowe lub przynajmniej ich część. Co ciekawe, problem dotyczy też usługi VoIP, którą oferują fioletowi.

Marcin Gruszka, rzecznik firmy Play, twierdzi, że operator przyjrzy się sprawie i w przypadku znalezienia błędu, bramka SMS dla firm zostanie zamknięta. Ujawnił także, że za samą usługę odpowiadać ma zewnętrzna firma. Co ciekawe, Gruszka twierdzi, że cała sprawa to nie „wyciek danych osobowych”, a raczej zwykła „dziura w systemie”. Niemniej, taka sytuacja nie powinna mieć miejsca.

źródło