Newsgroup: it.comp.sicurezza.varie
Titolo: questa è davvero una bella falla di amazon

vi racconto quanto mi è accaduto questa sera.
 
dopo cena, al mio account 
nome.c...@gmail.com
 vedo arrivare una 
conferma da amazon di un ordine che non avevo mai fatto. ovviamente mi 
sono allarmato, ho controllato all'interno dell'account e non c'era 
nessuna attività sospetta. ho pensato quindi fosse uno spam che 
stranamente era passato dai filtri, però guardando con attenzione ho 
notato un fatto particolare: non era indirizzata a 
nome.c...@gmail.com
, bensì a 
nomec...@gmail.com
, che come sapete è 
un alias. 
 
volendo capire di più ho voluto provare ad accedere ad amazon con quella 
mail, in particolare a richiedere un reset della password. non solo me 
l'ha fatto fare, ma una volta fatto e andato al login... mi ha fatto 
entrare nell'account di un'altra persona! cioè quella che ha fatto 
l'ordine!
 
ovviamente sono uscito all'istante e mi dispiace per questa persona a cui 
purtroppo ho fatto perdere il controllo dell'account, ma non è stato 
intenzionale perché mai mi sarei immaginato che una situazione del genere 
fosse possibile. 
 
ciò che mi viene in mente è che amazon ha consentito a questa persona di 
registrare l'account con una mail non verificata, evidentemente perché la 
verifica avrei potuto farla solo io. se è così si tratta di una cosa 
abbastanza folle. a voi viene in mente qualche altra possibilità?
 
 


Ipotizza il caso che il tale si sia registrato su gmail e su amazon con 
nomec...@gmail.com
 prima che ti registrassi tu con 
nome.c...@gmail.com
, e' possibile che con la tua registrazione sia 
riuscito a 'pestare', tramite l'alias, l'account del tale? Secondo me e' 
vero il contrario.
In tal caso la colpa sarebbe di google, non di amazon.
Di fatto ho provato con un account che ho, stile 
parapp...@gmail.com
 
e sono riuscito a creare un account su google stile 
parap....@gmail.com
, ho provato ad inviare una mail a 
parap....@gmail.com
, ma la riceve l'account preesistente, ovvero 
parapp...@gmail.com
.
Di fatto e' come se google considerasse 
parap....@gmail.com
 un alias 
di 
parap....@gmail.com
, anche se parap e pappero non corrispondono a 
nome e cognome di nessuno dei due account.
Buco di google ipotizzo.
Adesso vorrei cancellare l'account teste' creato, ma ho paura che me li 
cancelli tutti e due! :-)
 
 

 nome e cognome di nessuno dei due account.
Ovviamente intendevo 
parap....@gmail.com
 un alias di 
parapp...@gmail.com
 
 

 Buco di google ipotizzo.
 
Trattasi di feature
https://support.google.com/mail/answer/7436150
 
 
 
-- 
Perché sono qui? E come ci sono finito?

 
Una feature perniciosa, perche' se ho un account 
nomec...@gmail.com
 
non dovrebbe essere possibile creare un nuovo account 
nome.c...@gmail.com
, invece si puo' tranquillamente.

 
nome.c...@gmail.com
, invece si puo' tranquillamente.
 
A cosa ti riferisci? Su gmail non puoi. Puoi, a quanto ci racconti, su 
Amazon perché non verifica gli indirizzi email. Chissà quanti 
brainstorming avranno fatto per stabilire che, se a un nuovo account fai 
verificare l'indirizzo email, quello magari cambia idea e non procede 
all'acquisto.


fosse possibile. 
 
Per sicurezza e per tutelarti da possibili grane, comunica immediatamente la
storia ad Amazon. Nel caso (a) faranno il mazzo all'ignoto fesso, e nei casi
(b) e (c) risistemeranno le cose e magari chiuderanno l'account.
 
Soprattutto, nel caso (a), se l'ignoto fesso (perché uno che registra con la
mail di un altro è un fesso, e voglio essere buono) schiamazza con Amazon, e
magari, comincia a cianciare di accesso indebito ad account illecito (cit.),
e arriva da te assetato di vendetta, gli puoi dire di andare a ramengo.
 
Lasciando stare e facendo finta di nulla può non succedere nulla... come può
succedere che l'ignoto fesso arriva da te, e stavolta sei nel torto.
 
Leonardo
 
-- 
 
Ya se escucha sonar la metralla, ya el clarín toca fuego graneado:
ahora o nunca, muchachos arriba a acabar a estos hijos del diablo.

 In tal caso la colpa sarebbe di google, non di amazon.
 
la colpa è indubbiamente di amazon che non verifica la proprietà della 
email. è chiaro amazon considera le due email diverse, ma non è questo il 
punto: in quel caso l'utente ha registrato l'account amazon con un email 
sbagliata, consciamente o no, fatto sta che ha beccato una email 
esistente che però appartiene ad un altro. poteva anche usare 
nome.c...@gmail.com
, nel mio caso sarebbe stato bloccato solo perché 
ho già un account amazon con quella mail, ma si tratta di una 
coincidenza. 

 può succedere che l'ignoto fesso arriva da te, e stavolta sei nel torto.
 
assolutamente non intendo lasciar stare, anzi la questione mi provoca non 
poca inquietudine proprio per i motivi che hai riassunto te.
ieri ho segnalato la cosa al centro di contatto e ovviamente non hanno 
capito una sega (praticamente hanno inteso che mi lamentassi per aver 
ricevuto della posta indesiderata), stasera invece mi sono fatto chiamare 
e ho avuto conferma scritta che hanno compreso e preso in carico il 
problema.
 

 Puoi, a quanto ci racconti, su Amazon perché non verifica gli indirizzi email.
A parte che non l'ho raccontato io, puo' darsi che mi ricordi male, ma 
mi sembra proprio che all'atto dell'iscrizione abbia dovuto confermare 
l'indirizzo tramite mail.
 
 

 una cosa nota da sempre.
La prova che ho ho fatto oggi e ti ho descritto, dice il contrario.
 

 La prova che ho ho fatto oggi e ti ho descritto, dice il contrario.
 
non so che dirti. se provo in diretta a creare un account esistente, con 
dei punti a caso nel mezzo (nome.cognome, no.me.cognome, 
no.me.co.gno.me
, 
etc...) esce subito il messaggio: "Il nome utente inserito esiste già. 
Tieni presente che i punti e le maiuscole vengono ignorati nei nomi 
utente. Provare con un altro nome?".
 

Un bel giorno rootkit digitò:

Mi è capitata una cosa praticamente identica un mese fa. Ho ricevuto una
conferma di acquisto da Amazon su un'e-mail GMail sulla quale non avevo mai
registrato nessun account Amazon. Sono andato sul sito di Amazon, anche io
ho resettato la password e sono stato in grado di entrare nell'account di
questa tizia americana. Probabilmente avrei anche potuto cambiare
l'indirizzo di consegna e farmi spedire qualche decina di OLED TV (non ho
approfondito se aveva anche salvato direttamente i dati della carta di
credito).
 
Ho segnalato immediatamente la cosa al servizio Amazon. Qualche tempo dopo
mi è arrivata questa risposta:
 
 
I'm sorry you're receiving e-mails not intended for you. It looks like one
of our customers mistyped his or her e-mail address when creating a
forwarding rule in their e-mail account. Unfortunately we're unable to
change those settings.
 
Thanks for bringing this to our attention. It looks like one of our
customers mistyped his or her e-mail address when placing an order with us.
Most e-mail services will also let you set up a rule in your inbox to
ignore/delete the e-mails that are forwarded to you from a certain e-mail
address. I've taken care of the situation, and you will receive no further
e-mail in connection with this order. 
 
 
A me sembra una scusa abbastanza puerile per mascherare un problema di
sicurezza. Se fosse stata una semplice "forwarding rule" non sarei stato
certamente in grado di resettare la password di questa tizia.
 
Mi chiedo quanta gente meno onesta di noi due stia sfruttando questa falla
per comprare roba con gli account altrui...
 
-- 
Fletto i muscoli e sono nel vuoto.

 certamente in grado di resettare la password di questa tizia.
 
ma infatti anch'io ieri sera ho ricevuto questa risposta alla mia 
segnalazione:
 
"Ti ringrazio per la segnalazione. Quanto accaduto potrebbe derivare da 
un errore di battitura commesso da un altro cliente nell'inserire il suo 
indirizzo e-mail nell'account Amazon.
 
Ti assicuro che non abbiamo addebitato il costo dell'ordine sul tuo 
metodo di pagamento e che non riceverai più ulteriori e-mail relative a 
questo ordine.
 
Sono spiacente per i disagi arrecati.
 
Grazie della comprensione."
 
cioè nonostante glie l'abbia rimarcato più volte il problema non era che 
qualcuno si era creato un account di fatto con una mia identità digitale, 
ma che ero preoccupato di ricevere altre mail... che poi mi dicono "non 
riceverai più ulteriori e-mail relative a questo ordine" cosa falsa visto 
che stamani come previsto mi è arrivata anche la conferma di spedizione.
 


La prova che ho fatto io, e' stata quella di utilizzare un account 
esistente senza punti, per cui google non puo' aver creato degli alias 
mettendo dei punti a caso, ho quindi creato un account coi punti e 
google l'ha accettato senza proferire verbo, accedendo via web al nuovo 
account mi fa vedere la casella di posta con le consuete mail di 
benvenuto da parte di google, ma se provo ad inviare una mail al nuovo 
account, la riceve quello vecchio.
Non mi credi, fa lo stesso, me ne faro' una ragione! :-)

 Non mi credi, fa lo stesso, me ne faro' una ragione! :-)
Ciao, ho provato adesso (ho un account senza punti).. la risposta è stata
 
Il nome utente inserito esiste già. Tieni presente che i punti e le 
maiuscole vengono ignorati nei nomi utente. Provare con un altro nome?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 

 che stamani come previsto mi č arrivata anche la conferma di spedizione.
 
Sě, anche io ho ricevuto ancora un paio di e-mail dopo la segnalazione,
sempre correlate allo stesso ordine. Poi piů niente. Probabilmente per gli
ordini in corso non possono piů farci nulla...


 Non mi credi, fa lo stesso, me ne faro' una ragione! :-)
 
cioè stai dicendo di aver creato un account di posta, con tanto di 
username e password, quindi di aver inviato una mail a quell'account il 
quale... sarebbe stato recapitato ad un altro account? :-O
io ti credo anche, però ti renderai conto denuci una cosa di dimensioni 
epocali... :-)

 Libero di non crederci, e allora prova anche tu.
 
Appena provato e il risultato è questo:
 
 
http://tjl73.altervista.org/shot.php?UGMail.png
 
 
Non c'è stato verso di registrare un altro account per come l'hai
proposto tu.
 
Se preferisci farlo in autonomia, usa pure il mio indirizzo per provare
a registrare un altro account che sia riconducibile ad esso e poi facci
sapere qual è.
 
E', quindi, molto più probabile che Amazon ti consenta di proseguire
senza aver prima validato l'indirizzo mail (tempo fa, mi accadde con
fèssbuc, mi registrarono e chiesero un sacco di "amicizie", utilizzando
un mio indirizzo mail valido, pur senza averlo mai validato; me ne
accorsi solo la mattina successiva, quando mi arrivò la richiesta di
convalida della mail e provvidi ad eliminare tutto, con buona pace di
chi è ancora lì ad aspettare una conferma alla richiesta di amicizia).
 
 
Ciao,
un TJL73 empirico...
 
-- 
"Per ogni problema complesso,
 c'è sempre una soluzione semplice. Ed è sbagliata."
                                                  -- George Bernard Shaw

 epocali... :-)
 
Infatti ho inoltrato un feedback a google, che però non mi risulta abbia 
sortito gran che' o almeno non ho ricevuto alcuna notifica.
 
 


mi chiederei più che altro come mai, con tutte le infinite collisioni 
dovute ai possibili casi di omonimia, un incident così enorme e 
potenzialmente di gravità inaudita sia venuto fuori solo adesso, proprio 
a te e per un test causuale.
secondo me il test merita un double-check :-)
 


Beh, e' successo anche a te, hai dato la colpa ad amazon ma non e' detto.
In secondo luogo io l'ho segnalato, per cui, se lo vogliono fare, il 
double-check se lo faranno in google.


la colpa di amazon è detta, perché è comclamato che non verifica la 
ownership della mail all'atto della registrazione. d'altra parte anche 
nella tua ipotesi l'ominimo (o presunto tale) non avrebbe potuto 
procedere con la verifica senza passare da me.

per scherzo a registrarmi a nome di un amico.
 
Ed ecco che tutto si spiega.


cosa ci guadagno?
 
Per sbaglio. O magari pensando "Così non mi spammano".


 cosa ci guadagno?
 
magari anche niente, ma registrarsi con l'email di un altro è a tutti gli 
effetti un furto di identità.
 
io ero abbastanza confidente si trattasse di un errore: tuttavia se non 
avesse risolto amazon (ora l'account non è più accessibile) sarei andato 
di certo alla polizia postale.
 
 
 

 sarei andato di certo alla polizia postale.
 
Lo hai mai fatto? Io ci ho provato. O meglio, non di persona, ho provato 
a chiamare ripetutamente, ma nessuno mi ha mai risposto. Ti lascio 
intendere quanto riscontro abbiano avuto le mie email...
 
Forse presentandosi di persona qualcosa si risolve, ma bisogna essere ben 
motivati per saltare in macchina e macinare Km, io volevo denunciare un 
tizio che rivende illegalmente contatti (tra cui il mio), ma alla fine ho 
rinunciato. Sono riuscito a sparire dai radar dei markettari/broker/
venditori con altri mezzi.

 Lo hai mai fatto? 
 
no, ma nel caso non mi sarei limitato ad una informativa generica ma 
sarei andato proprio a sporgere denuncia sul posto.
se vedo che una persona apre un account a mio nome usando una mia email 
non posso stare troppo a cincischiare; o amazon veniva a capo 
dell'equivoco oppure per me era furto di identità. dopodiché se il tizio 
era (come poi è stato) un omonimo cialtroncello avrebbe imparato a sue 
spese a stare più attento.
 


Concordo. Se qualcuno entrasse nel mio account di Amazon potrebbe fare 
shopping allegramente a mie spese, ma fortunatamente la posta me la 
amministro da me e non faccio giochetti strani con gli alias. Io cmq 
darei la colpa 50/50 anche a Google, non ho mai capito questa politica di 
alias...
 
g4b0

 allegramente a mie spese,
 
... facendo recapitare la merce a te.
 
Se cambi indirizzo di recapito, devi ridare i dati della carta di credito.
 
-- 
Bye, Yorgos
My blog: 
https://yorgoskourtakis.wordpress.com/
 
To send me an e-mail, please change cambronne with merde

 
eh.. facciamo così: dammi le tue credenziali di amazon che ti compro la 
pentola d'oro zecchino... tanto la recapitano a te :)
 
Seriamente: Devi comunque sbatterti per riavere i soldi e intanto finché non 
vengono riaccreditati sei senza carta di credito. E se il venditore è amazon 
diretto è già più semplice, se non è amazon ma uno dei tanti che usa il 
marketplace può essere più rognoso


 credito.
 
Questo non lo sapevo, interessante. 
 
g4b0


però attenzione, lui non era entrato nel mio account di amazon (fosse 
stato così altro che denuncia): si è creato un account con una mia mail 
e, per quanto ne posso sapere, col mio nome e cognome.
 
quali che fossero le intenzioni non le potevo sapere, poteva essere in 
buona fede ma anche no. che so, poteva usare carte di credito rubate e mi 
sarei trovato nei guai.
 
la storia degli alias secondo me c'entra poco, perché se amazon non 
verifica la proprietà della mail un malintenzionato può usare qualsiasi 
email di chiunque, basta che non sia già presente sul database di amazon. 
d'altronde a me è parso sempre un concetto elementare, se chiedi la mail 
come identity verificare che sia l'identity corretta...

 riaccreditati sei senza carta di credito. E
 
Non hai capito il mio intervento o sono stato troppo sintetico.
 
E' indiscutibile la seccatura di vedersi recapitare un acquisto non 
voluto, da restituire, ma mi sembra altrettanto evidente che altri danni 
non ne subiresti.
 
Quindi l'ignoto che penetra nel tuo conto Amazon può solo farti i 
dispettucci, ma non acquistare per se stesso a tue spese.


Il 29/12/2017, g4b0 ha detto :

Ma... dieci giorni fa ho fatto spedire da Amazon un pacco a mio padre 
(600  km distante) e Amazon non mi ha chiesto alcunchè. Ho pagato con 
la solita carta ed è stato sufficiente
 
-- 
Ciao Furio
 
Falco una volta...Falco per sempre!
A TESTA SOTTO!!!   (cit. 13°)

 non ne subiresti.
 
le seccature possono essere anche *molto* grosse.
amazon lega all'account anche tutti i servizi cloud, dipende da cos'hai 
ma di certo per qualcuno la seccatura potrebbe essere di quelle che non 
si dimenticano facilmente.
 
interessante anche questa storia:
 
https://goo.gl/QS2NRo
 
 
in breve: partendo dalle info reperibili nell'account amazon 
(sostanzialmente le ultime 4 cifre visibili della carta di credito) sono 
arrivati via via all'apple id, quindi ad asfaltargli l'iphone il macbook 
e tutti i backup, all'account google e infine twitter.

amministro da me e non faccio giochetti strani con gli alias.
 
Aspe', perché funziona al contrario di così.
 
Dunque io c'ho un account regolare Amazon con una mail GMail mia. Tutto bene.
 
E poi arriva un altro tizio che, chi sa perché, registra un account usando la
MIA email (o un alias), e naturalmente il SUO indirizzo, la SUA carta e tutto
quanto.
 
Ordina un accrocco, lo paga con i suoi soldi, lo mandano al suo indirizzo. In
fondo - andrebbe ancora tutto bene. Solo che la notifica di spedizione arriva
a me. Se penso "Phisher del cazzo!" e cancello, al limite ancora tutto bene.
 
Ma invece io penso "WTF?". La mail pare proprio autentica!
 
Provo a entrare nell'account, non ci riesco. Resetto la password, funziona in
quanto la mail è MIA, ed adesso IO posso bloccare il SUO ordine (potrei anche
ordinare qualcos'altro a SUE spese facendolo arrivare a LUI).
 
Ma LUI in nessun modo può accedere al MIO account Amazon: anzi, adesso non si
può neanche più collegare al SUO, perché gli ho cambiato la password!
 
In sostanza, *lui* ha fatto una pirlata, *lui* ci ha rimesso.
 
C'è la possibilità (remota - tranne forse che in Italia) che lui denunci *ME*
per accesso abusivo al SUO account di Amazon: dopotutto io ho davvero forzato
l'accesso e sono davvero entrato in possesso delle sue credenziali, mentre al
massimo lui m'ha fatto arrivare delle email da Amazon, Bartolini e SDA, tutte
cose in fondo tollerabili... mentre i 25 vibratori diesel a testa oscillante,
pervenutigli a casa, a parte il costo esorbitante hanno fatto discutere molto
i suoi vicini (a meno che lavori nel ramo malte, cementi e calcestruzzi) :-D


 carta ed è stato sufficiente
 
Avevi già spedito a questo indirizzo, per cui era nel DB di Amazon nel 
tuo account?
 
Altrimenti devi per forza dare i dati della carta. Fidati.


Il Fri, 29 Dec 2017 22:24:47 +0000, rootkit ha scritto:
 
Limitiamoci agli acquisti.
 
Riassumendo: nessuno può, una volta entrato nel tuo account, comprare a 
tue spese per sé stesso, ma solo per uno degli indirizzi memorizzati.
 
Acquisto su Amazon da quando ha lanciato le vendite di libri in USA (anni 
'90), parlo quindi per esperienza diretta.


 Limitiamoci agli acquisti.
 
beh insomma parliamone.
rispetto a 15/20 anni fa i rischi sono un po' cambiati.

 Altrimenti devi per forza dare i dati della carta. Fidati.
 
Si, avevo già fatto una spedizione un paio di anni fa, ma non riesco a 
ricordare se mi erano stati richiesti dati della carta


 ricordare se mi erano stati richiesti dati della carta
 
Il che consente a me ed un amico (fidato) di condividere un solo 
account amazon per gli acquisti di entrambi (ma potremmo farlo anche in 
4 o 5) e dividere quindi i costi di abbonamento a prime.
 
Ciascuno ha il suo indirizzo postale con verificata la sua carta di 
credito: nessuno puo' comprare con la carta di un altro. L'email di 
registrazione è un alias email che fa il redirect all'email di 
entrambi.
L'unica seccatura è che ognuno vede cosa compra l'altro ma tanto non è 
che compriamo dildoanal.

 credito: nessuno puo' comprare con la carta di un altro. 
 
nei tuoi sogni, forse. io ho due carte e posso usarle in congiunzione con 
qualsiasi dei tre indirizzi di consegna che ho definito.

rootkit ci ha detto :

se le hai validate su tutti gli indirizzi, grazie al cazzo.
Ti ripeto che se una carta viene validata solo su un indirizzo, la 
potrai usare solo su quello.

 
 
Nevero
Un mese fa ho ordinato materiale, fatto arrivare a nuovo indirizzo, 
inserito ex-novo
Pagamento con carta memorizzata in precedenza
Dopo tre giorni e' arrivato a destinazione
Non e' stato necessario reinserire dati carta
Me lo ricordo con sicurezza perche' la carta non era in quel momento a 
mia disposizione, eppure ho inserito l'ordine, aggiunto nuovo indirizzo 
e concluso l'ordine con spedizione al nuovo indirizzo

 nuovo indirizzo
 
Sei un caso unico. Ci dici l'importo pagato?
 
Poco fa un mio amico, che ha Prime, ha ordinato per me un orologio da 
recapitare al mio indirizzo.
 
Ha dovuto reimmettere la carta di credito. Importo, 94 euro.


 se le hai validate su tutti gli indirizzi, grazie al cazzo.
 
questo può essere. d'altronde però questa "validazione" consiste nel 
confermare il pan della carta di credito, che non è quel gran segreto 
inviolabile: nel credito di fiducia che concedi condividendo l'account 
c'è anche l'eventualità che ne possa venire a conoscenza, ma che non ne 
approfitti per correttezza essendo, appunto, persona che gode della 
fiducia. peraltro ci sono anche tutti gli acquisti che non sono vincolati 
ad un indirizzo di consegna: gli ebook ad esempio, ma anche tutti i 
servizi cloud (musica, video, audible, aws...). ciascuno può acquistare 
con la carta di credito dell'altro e ciascuno può godere degli acquisti 
fatti dall'altro.
 
non negherai che, salvo non sia il tuo compagno, questa promiscuità di 
account è abbastanza bizzarra. soprattutto per la motivazione: per 
dividere 20 euro l'anno di spese? offritevi un caffè al mese e fate pari.

 account è abbastanza bizzarra. 
 
si e puo' anche causare complicati calcoli se uno dei due accreddita un 
buono.

 
 
E come fai a saperlo che sono un caso unico?
Hai statistiche significative sottomano?
Valore circa 80 euro, era un'antenna Ubiquiti

 significative sottomano? Valore circa 80 euro, era un'antenna Ubiquiti
 
Un caso unico nella mia esperienza. Ho assistito diversi amici non 
abituati ad acquisti internet e il caso che ti dicevo si è sempre 
presentato.
 
Per le statistiche degne di questo nome, penso che ci voglia tempo e 
pazienza. Ma se ti interessano, posso provarci.
 
Il valore del tuo acquisto è simile al mio, quindi mi sento di escludere 
che il comportamento di Amazon sia condizionato dal valore dell'acquisto.
 
Altro non so.


 Su questo ti do' ragione infatti tra amici non accade.
 
per carità, non accade che uno acquista con la carta dell'altro. però 
accade che, ad esempio, gli ebook comprati da uno sono a disposizione 
dell'altro. oppure i backup delle foto fatti da uno sullo spazio cloud 
associato al prime ci può andare sopra anche l'altro. se uno dei due 
esagera nei resi, ci rimette anche l'altro. e così via.
 
come dice il detto dei patti chiari?