Como o Yulmart pode ter acesso às compras das organizações não por um buraco, mas por uma porta

Há algum tempo, no site da Yulmart, eles permitiram vincular contrapartes legais (organizações) a contas físicas. pessoas, se já fizeram compras por telefone ou adicionaram uma nova. Para identificação da organização, foram selecionados TIN e PPC, nada foi escolhido para autenticação.



Em vez de ligar para o número de telefone do contato ou enviar uma solicitação por e-mail antes de vincular a organização à conta (esses dados são especificados durante a primeira compra), foi decidido simplesmente ocultar da conta todas as compras não realizadas por ela. A solução está longe de ser ideal, embora cumpra sua tarefa de uma maneira ou de outra. E tudo ficaria bem se Yulmart não tivesse esquecido sua muleta ao desenvolver um aplicativo móvel.

Como resultado, se você conectar uma organização arbitrária que fez compras no Yulmart à sua conta por meio do site, por meio do aplicativo móvel, teremos acesso a todos os pedidos, concluídos / não resgatados e atuais. A situação é desagradável (mesmo assim, a confidencialidade foi violada. Por que alguém, exceto o imposto, sabe o que eu compro lá?), Mas acaba não sendo a mais triste - podemos cancelar os pedidos atuais a qualquer momento do pagamento. Não remunerados, com certeza, os pagos têm um botão de cancelamento, mas não foram verificados por razões óbvias.



Cerca de duas semanas atrás, deixei um apelo correspondente por meio do serviço com comentários e sugestões (não há comentários correspondentes, e os gerentes encolhem os ombros a questão “onde escrever?”). E alguns dias depois, recebi uma mensagem informando que as informações foram transmitidas e serão corrigidas em um futuro próximo. Talvez eles o corrijam, mas até agora as coisas ainda estão lá, então a publicação no hiktims não será supérflua. Isso está certo?

UPD: corrigido. Mais precisamente, apenas o TIN e o PPC ainda são suficientes para vincular a organização, mas no aplicativo móvel e no site apenas os pedidos feitos a partir desta conta são visíveis.

Source: https://habr.com/ru/post/pt383675/