Newsgroup: it.lavoro.informatica
Titolo: questa è davvero una bella falla di amazon

vi racconto quanto mi è accaduto questa sera.
 
dopo cena, al mio account 
nome.c...@gmail.com
 vedo arrivare una 
conferma da amazon di un ordine che non avevo mai fatto. ovviamente mi 
sono allarmato, ho controllato all'interno dell'account e non c'era 
nessuna attività sospetta. ho pensato quindi fosse uno spam che 
stranamente era passato dai filtri, però guardando con attenzione ho 
notato un fatto particolare: non era indirizzata a 
nome.c...@gmail.com
, bensì a 
nomec...@gmail.com
, che come sapete è 
un alias. 
 
volendo capire di più ho voluto provare ad accedere ad amazon con quella 
mail, in particolare a richiedere un reset della password. non solo me 
l'ha fatto fare, ma una volta fatto e andato al login... mi ha fatto 
entrare nell'account di un'altra persona! cioè quella che ha fatto 
l'ordine!
 
ovviamente sono uscito all'istante e mi dispiace per questa persona a cui 
purtroppo ho fatto perdere il controllo dell'account, ma non è stato 
intenzionale perché mai mi sarei immaginato che una situazione del genere 
fosse possibile. 
 
ciò che mi viene in mente è che amazon ha consentito a questa persona di 
registrare l'account con una mail non verificata, evidentemente perché la 
verifica avrei potuto farla solo io. se è così si tratta di una cosa 
abbastanza folle. a voi viene in mente qualche altra possibilità?
 
 


Ipotizza il caso che il tale si sia registrato su gmail e su amazon con 
nomec...@gmail.com
 prima che ti registrassi tu con 
nome.c...@gmail.com
, e' possibile che con la tua registrazione sia 
riuscito a 'pestare', tramite l'alias, l'account del tale? Secondo me e' 
vero il contrario.
In tal caso la colpa sarebbe di google, non di amazon.
Di fatto ho provato con un account che ho, stile 
parapp...@gmail.com
 
e sono riuscito a creare un account su google stile 
parap....@gmail.com
, ho provato ad inviare una mail a 
parap....@gmail.com
, ma la riceve l'account preesistente, ovvero 
parapp...@gmail.com
.
Di fatto e' come se google considerasse 
parap....@gmail.com
 un alias 
di 
parap....@gmail.com
, anche se parap e pappero non corrispondono a 
nome e cognome di nessuno dei due account.
Buco di google ipotizzo.
Adesso vorrei cancellare l'account teste' creato, ma ho paura che me li 
cancelli tutti e due! :-)
 
 

 nome e cognome di nessuno dei due account.
Ovviamente intendevo 
parap....@gmail.com
 un alias di 
parapp...@gmail.com
 
 

 Buco di google ipotizzo.
 
Trattasi di feature
https://support.google.com/mail/answer/7436150
 
 
 
-- 
Perché sono qui? E come ci sono finito?

 
Una feature perniciosa, perche' se ho un account 
nomec...@gmail.com
 
non dovrebbe essere possibile creare un nuovo account 
nome.c...@gmail.com
, invece si puo' tranquillamente.

 
nome.c...@gmail.com
, invece si puo' tranquillamente.
 
A cosa ti riferisci? Su gmail non puoi. Puoi, a quanto ci racconti, su 
Amazon perché non verifica gli indirizzi email. Chissà quanti 
brainstorming avranno fatto per stabilire che, se a un nuovo account fai 
verificare l'indirizzo email, quello magari cambia idea e non procede 
all'acquisto.


fosse possibile. 
 
Per sicurezza e per tutelarti da possibili grane, comunica immediatamente la
storia ad Amazon. Nel caso (a) faranno il mazzo all'ignoto fesso, e nei casi
(b) e (c) risistemeranno le cose e magari chiuderanno l'account.
 
Soprattutto, nel caso (a), se l'ignoto fesso (perché uno che registra con la
mail di un altro è un fesso, e voglio essere buono) schiamazza con Amazon, e
magari, comincia a cianciare di accesso indebito ad account illecito (cit.),
e arriva da te assetato di vendetta, gli puoi dire di andare a ramengo.
 
Lasciando stare e facendo finta di nulla può non succedere nulla... come può
succedere che l'ignoto fesso arriva da te, e stavolta sei nel torto.
 
Leonardo
 
-- 
 
Ya se escucha sonar la metralla, ya el clarín toca fuego graneado:
ahora o nunca, muchachos arriba a acabar a estos hijos del diablo.

 In tal caso la colpa sarebbe di google, non di amazon.
 
la colpa è indubbiamente di amazon che non verifica la proprietà della 
email. è chiaro amazon considera le due email diverse, ma non è questo il 
punto: in quel caso l'utente ha registrato l'account amazon con un email 
sbagliata, consciamente o no, fatto sta che ha beccato una email 
esistente che però appartiene ad un altro. poteva anche usare 
nome.c...@gmail.com
, nel mio caso sarebbe stato bloccato solo perché 
ho già un account amazon con quella mail, ma si tratta di una 
coincidenza. 

 può succedere che l'ignoto fesso arriva da te, e stavolta sei nel torto.
 
assolutamente non intendo lasciar stare, anzi la questione mi provoca non 
poca inquietudine proprio per i motivi che hai riassunto te.
ieri ho segnalato la cosa al centro di contatto e ovviamente non hanno 
capito una sega (praticamente hanno inteso che mi lamentassi per aver 
ricevuto della posta indesiderata), stasera invece mi sono fatto chiamare 
e ho avuto conferma scritta che hanno compreso e preso in carico il 
problema.
 

 Puoi, a quanto ci racconti, su Amazon perché non verifica gli indirizzi email.
A parte che non l'ho raccontato io, puo' darsi che mi ricordi male, ma 
mi sembra proprio che all'atto dell'iscrizione abbia dovuto confermare 
l'indirizzo tramite mail.
 
 

 una cosa nota da sempre.
La prova che ho ho fatto oggi e ti ho descritto, dice il contrario.
 

 La prova che ho ho fatto oggi e ti ho descritto, dice il contrario.
 
non so che dirti. se provo in diretta a creare un account esistente, con 
dei punti a caso nel mezzo (nome.cognome, no.me.cognome, 
no.me.co.gno.me
, 
etc...) esce subito il messaggio: "Il nome utente inserito esiste già. 
Tieni presente che i punti e le maiuscole vengono ignorati nei nomi 
utente. Provare con un altro nome?".
 


La prova che ho fatto io, e' stata quella di utilizzare un account 
esistente senza punti, per cui google non puo' aver creato degli alias 
mettendo dei punti a caso, ho quindi creato un account coi punti e 
google l'ha accettato senza proferire verbo, accedendo via web al nuovo 
account mi fa vedere la casella di posta con le consuete mail di 
benvenuto da parte di google, ma se provo ad inviare una mail al nuovo 
account, la riceve quello vecchio.
Non mi credi, fa lo stesso, me ne faro' una ragione! :-)

 Non mi credi, fa lo stesso, me ne faro' una ragione! :-)
Ciao, ho provato adesso (ho un account senza punti).. la risposta è stata
 
Il nome utente inserito esiste già. Tieni presente che i punti e le 
maiuscole vengono ignorati nei nomi utente. Provare con un altro nome?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 

 maiuscole vengono ignorati nei nomi utente. Provare con un altro nome?
 
Sembrerebbe che nel computer di ugo ci siano dei folletti natalizi
dispettosi...
 
 

 l'indirizzo tramite mail.
 
Forse ricordi male... Ritenta, sarai più fortunato!
 
 
 
 

 succedere che l'ignoto fesso arriva da te, e stavolta sei nel torto.
 
e chissà che "l'ignoto fesso" non sia alto 1.90, grosso come una cabina
telefonica degli anni '80, bello nerboruto e con l'incazzatura già
decollata a mille! 
 
X-D
 
 
 
 

 problema.
 
e allora "magna tranquillo" [cit.]
 
;-D
 
 
 

 Non mi credi, fa lo stesso, me ne faro' una ragione! :-)
 
cioè stai dicendo di aver creato un account di posta, con tanto di 
username e password, quindi di aver inviato una mail a quell'account il 
quale... sarebbe stato recapitato ad un altro account? :-O
io ti credo anche, però ti renderai conto denuci una cosa di dimensioni 
epocali... :-)

 ha scritto:

ormai ugo è giunto alla fanta-informatica...
 
 

 Libero di non crederci, e allora prova anche tu.
 
Appena provato e il risultato è questo:
 
 
http://tjl73.altervista.org/shot.php?UGMail.png
 
 
Non c'è stato verso di registrare un altro account per come l'hai
proposto tu.
 
Se preferisci farlo in autonomia, usa pure il mio indirizzo per provare
a registrare un altro account che sia riconducibile ad esso e poi facci
sapere qual è.
 
E', quindi, molto più probabile che Amazon ti consenta di proseguire
senza aver prima validato l'indirizzo mail (tempo fa, mi accadde con
fèssbuc, mi registrarono e chiesero un sacco di "amicizie", utilizzando
un mio indirizzo mail valido, pur senza averlo mai validato; me ne
accorsi solo la mattina successiva, quando mi arrivò la richiesta di
convalida della mail e provvidi ad eliminare tutto, con buona pace di
chi è ancora lì ad aspettare una conferma alla richiesta di amicizia).
 
 
Ciao,
un TJL73 empirico...
 
-- 
"Per ogni problema complesso,
 c'è sempre una soluzione semplice. Ed è sbagliata."
                                                  -- George Bernard Shaw

 epocali... :-)
 
Infatti ho inoltrato un feedback a google, che però non mi risulta abbia 
sortito gran che' o almeno non ho ricevuto alcuna notifica.
 
 


mi chiederei più che altro come mai, con tutte le infinite collisioni 
dovute ai possibili casi di omonimia, un incident così enorme e 
potenzialmente di gravità inaudita sia venuto fuori solo adesso, proprio 
a te e per un test causuale.
secondo me il test merita un double-check :-)
 


Beh, e' successo anche a te, hai dato la colpa ad amazon ma non e' detto.
In secondo luogo io l'ho segnalato, per cui, se lo vogliono fare, il 
double-check se lo faranno in google.

 mettendo dei punti a caso,
 
LOL :) Google infatti non mette punti a caso. Per Google, "ugogagliardelli" e "ugo.gagliardelli" e "u.g.o.g.agliard.elli" sono la stessa cosa. Immagino che l'algoritmo, in fase di registrazione, rimuova i punti e verifichi se uno username del genere gia` esista. D'altronde, se Google.
No,  tu non sei riuscito a creare due account diversi. Stai raccontando una balla.


la colpa di amazon è detta, perché è comclamato che non verifica la 
ownership della mail all'atto della registrazione. d'altra parte anche 
nella tua ipotesi l'ominimo (o presunto tale) non avrebbe potuto 
procedere con la verifica senza passare da me.

 No,  tu non sei riuscito a creare due account diversi. Stai raccontando una balla.
 
uelà, le feste stanno inducendo un cambiamento inaspettato nel 4-ndre-4...
 
X-D
 
 


Padrone di non crederci, pero' e' cosi'. Cio' che immagini, coincide con 
quella che dovrebbe essere una buona pratica di verifica, ma la immagini 
solo.
 

per scherzo a registrarmi a nome di un amico.
 
Ed ecco che tutto si spiega.


 cosa ci guadagno?
 
Far impazzire il reparto logistica? :-D
 
 

cosa ci guadagno?
 
Per sbaglio. O magari pensando "Così non mi spammano".


 cosa ci guadagno?
 
magari anche niente, ma registrarsi con l'email di un altro è a tutti gli 
effetti un furto di identità.
 
io ero abbastanza confidente si trattasse di un errore: tuttavia se non 
avesse risolto amazon (ora l'account non è più accessibile) sarei andato 
di certo alla polizia postale.
 
 
 

 sarei andato di certo alla polizia postale.
 
Lo hai mai fatto? Io ci ho provato. O meglio, non di persona, ho provato 
a chiamare ripetutamente, ma nessuno mi ha mai risposto. Ti lascio 
intendere quanto riscontro abbiano avuto le mie email...
 
Forse presentandosi di persona qualcosa si risolve, ma bisogna essere ben 
motivati per saltare in macchina e macinare Km, io volevo denunciare un 
tizio che rivende illegalmente contatti (tra cui il mio), ma alla fine ho 
rinunciato. Sono riuscito a sparire dai radar dei markettari/broker/
venditori con altri mezzi.

 ha scritto:

A beneficio anche di altri, in che modo ci saresti riuscito?
 
 
 


Gettando fumo negli occhi. Ogni volta che mi chiamavano dicendo: 
"Buongiorno, parlo con g4b0?", io rispondevo sempre: "No, con chi parlo?".
Loro a quel punto normalmente si identificavano in modo piú o meno 
preciso, al che gli dicevo un nome di fantasia, improvvisando di volta in 
volta. Una volta ho addirittura detto che quello che stavano chiamando 
era un numero governativo che non dovrebbe comparire in alcun database, e 
che avrei fatto le dovute indagini per risalire alla fonte.
Un'altra volta ho insistito per avere l'indirizzo esatto, in modo tale da 
mandare i colleghi a fare un sopralluogo, hanno messo giú immediatamente 
(che poi i miei colleghi sono programmatori, non avevo ancora neanche 
finto di essere qualcun'altro :D)
 
Risultato: é qualche mese che non ricevo piú chiamate, probabilmente il 
mio numero é stato catalogato come non valido nei vari db. Almeno lo 
spero.
 
Info a corollario: quando indagavo sui miei dati in loro possesso si 
trattava sempre di dati vecchi di almeno 5/6 anni, lo deducevo 
dall'indirizzo dal quale ho traslocato anni fa.
 
Ah, sono almeno un paio d'anni che non metto il numero di telefono in 
nessun form, sia web che cartaceo, e dove necessario ne uso uno che posso 
tranquillamente bruciare il giorno in cui inizieranno a chiamarmi. Ma se 
ho ben capito a breve istituiranno anche il registro delle opposizioni 
per i numeri mobile, quindi forse risolveremo una volta per tutte...
 
g4b0

 Lo hai mai fatto? 
 
no, ma nel caso non mi sarei limitato ad una informativa generica ma 
sarei andato proprio a sporgere denuncia sul posto.
se vedo che una persona apre un account a mio nome usando una mia email 
non posso stare troppo a cincischiare; o amazon veniva a capo 
dell'equivoco oppure per me era furto di identità. dopodiché se il tizio 
era (come poi è stato) un omonimo cialtroncello avrebbe imparato a sue 
spese a stare più attento.
 


Concordo. Se qualcuno entrasse nel mio account di Amazon potrebbe fare 
shopping allegramente a mie spese, ma fortunatamente la posta me la 
amministro da me e non faccio giochetti strani con gli alias. Io cmq 
darei la colpa 50/50 anche a Google, non ho mai capito questa politica di 
alias...
 
g4b0

 allegramente a mie spese,
 
... facendo recapitare la merce a te.
 
Se cambi indirizzo di recapito, devi ridare i dati della carta di credito.
 
-- 
Bye, Yorgos
My blog: 
https://yorgoskourtakis.wordpress.com/
 
To send me an e-mail, please change cambronne with merde

 
eh.. facciamo così: dammi le tue credenziali di amazon che ti compro la 
pentola d'oro zecchino... tanto la recapitano a te :)
 
Seriamente: Devi comunque sbatterti per riavere i soldi e intanto finché non 
vengono riaccreditati sei senza carta di credito. E se il venditore è amazon 
diretto è già più semplice, se non è amazon ma uno dei tanti che usa il 
marketplace può essere più rognoso


 credito.
 
Questo non lo sapevo, interessante. 
 
g4b0


però attenzione, lui non era entrato nel mio account di amazon (fosse 
stato così altro che denuncia): si è creato un account con una mia mail 
e, per quanto ne posso sapere, col mio nome e cognome.
 
quali che fossero le intenzioni non le potevo sapere, poteva essere in 
buona fede ma anche no. che so, poteva usare carte di credito rubate e mi 
sarei trovato nei guai.
 
la storia degli alias secondo me c'entra poco, perché se amazon non 
verifica la proprietà della mail un malintenzionato può usare qualsiasi 
email di chiunque, basta che non sia già presente sul database di amazon. 
d'altronde a me è parso sempre un concetto elementare, se chiedi la mail 
come identity verificare che sia l'identity corretta...

 riaccreditati sei senza carta di credito. E
 
Non hai capito il mio intervento o sono stato troppo sintetico.
 
E' indiscutibile la seccatura di vedersi recapitare un acquisto non 
voluto, da restituire, ma mi sembra altrettanto evidente che altri danni 
non ne subiresti.
 
Quindi l'ignoto che penetra nel tuo conto Amazon può solo farti i 
dispettucci, ma non acquistare per se stesso a tue spese.


Il 29/12/2017, g4b0 ha detto :

Ma... dieci giorni fa ho fatto spedire da Amazon un pacco a mio padre 
(600  km distante) e Amazon non mi ha chiesto alcunchè. Ho pagato con 
la solita carta ed è stato sufficiente
 
-- 
Ciao Furio
 
Falco una volta...Falco per sempre!
A TESTA SOTTO!!!   (cit. 13°)

 non ne subiresti.
 
le seccature possono essere anche *molto* grosse.
amazon lega all'account anche tutti i servizi cloud, dipende da cos'hai 
ma di certo per qualcuno la seccatura potrebbe essere di quelle che non 
si dimenticano facilmente.
 
interessante anche questa storia:
 
https://goo.gl/QS2NRo
 
 
in breve: partendo dalle info reperibili nell'account amazon 
(sostanzialmente le ultime 4 cifre visibili della carta di credito) sono 
arrivati via via all'apple id, quindi ad asfaltargli l'iphone il macbook 
e tutti i backup, all'account google e infine twitter.

amministro da me e non faccio giochetti strani con gli alias.
 
Aspe', perché funziona al contrario di così.
 
Dunque io c'ho un account regolare Amazon con una mail GMail mia. Tutto bene.
 
E poi arriva un altro tizio che, chi sa perché, registra un account usando la
MIA email (o un alias), e naturalmente il SUO indirizzo, la SUA carta e tutto
quanto.
 
Ordina un accrocco, lo paga con i suoi soldi, lo mandano al suo indirizzo. In
fondo - andrebbe ancora tutto bene. Solo che la notifica di spedizione arriva
a me. Se penso "Phisher del cazzo!" e cancello, al limite ancora tutto bene.
 
Ma invece io penso "WTF?". La mail pare proprio autentica!
 
Provo a entrare nell'account, non ci riesco. Resetto la password, funziona in
quanto la mail è MIA, ed adesso IO posso bloccare il SUO ordine (potrei anche
ordinare qualcos'altro a SUE spese facendolo arrivare a LUI).
 
Ma LUI in nessun modo può accedere al MIO account Amazon: anzi, adesso non si
può neanche più collegare al SUO, perché gli ho cambiato la password!
 
In sostanza, *lui* ha fatto una pirlata, *lui* ci ha rimesso.
 
C'è la possibilità (remota - tranne forse che in Italia) che lui denunci *ME*
per accesso abusivo al SUO account di Amazon: dopotutto io ho davvero forzato
l'accesso e sono davvero entrato in possesso delle sue credenziali, mentre al
massimo lui m'ha fatto arrivare delle email da Amazon, Bartolini e SDA, tutte
cose in fondo tollerabili... mentre i 25 vibratori diesel a testa oscillante,
pervenutigli a casa, a parte il costo esorbitante hanno fatto discutere molto
i suoi vicini (a meno che lavori nel ramo malte, cementi e calcestruzzi) :-D


 parlo?".
 
sì ma quello delle telefonate commerciali è un altro discorso che nulla 
ha a che vedere con i crimini informatici e la polizia postale.
per quelle ci sono delle procedure che ho sperimentato funzionanti e, 
grazie alla pec, di moderato sbattimento.

 carta ed è stato sufficiente
 
Avevi già spedito a questo indirizzo, per cui era nel DB di Amazon nel 
tuo account?
 
Altrimenti devi per forza dare i dati della carta. Fidati.


Il Fri, 29 Dec 2017 22:24:47 +0000, rootkit ha scritto:
 
Limitiamoci agli acquisti.
 
Riassumendo: nessuno può, una volta entrato nel tuo account, comprare a 
tue spese per sé stesso, ma solo per uno degli indirizzi memorizzati.
 
Acquisto su Amazon da quando ha lanciato le vendite di libri in USA (anni 
'90), parlo quindi per esperienza diretta.


 Limitiamoci agli acquisti.
 
beh insomma parliamone.
rispetto a 15/20 anni fa i rischi sono un po' cambiati.

 Altrimenti devi per forza dare i dati della carta. Fidati.
 
Si, avevo già fatto una spedizione un paio di anni fa, ma non riesco a 
ricordare se mi erano stati richiesti dati della carta


 ricordare se mi erano stati richiesti dati della carta
 
Il che consente a me ed un amico (fidato) di condividere un solo 
account amazon per gli acquisti di entrambi (ma potremmo farlo anche in 
4 o 5) e dividere quindi i costi di abbonamento a prime.
 
Ciascuno ha il suo indirizzo postale con verificata la sua carta di 
credito: nessuno puo' comprare con la carta di un altro. L'email di 
registrazione è un alias email che fa il redirect all'email di 
entrambi.
L'unica seccatura è che ognuno vede cosa compra l'altro ma tanto non è 
che compriamo dildoanal.

 credito: nessuno puo' comprare con la carta di un altro. 
 
nei tuoi sogni, forse. io ho due carte e posso usarle in congiunzione con 
qualsiasi dei tre indirizzi di consegna che ho definito.

rootkit ci ha detto :

se le hai validate su tutti gli indirizzi, grazie al cazzo.
Ti ripeto che se una carta viene validata solo su un indirizzo, la 
potrai usare solo su quello.

 
 
Nevero
Un mese fa ho ordinato materiale, fatto arrivare a nuovo indirizzo, 
inserito ex-novo
Pagamento con carta memorizzata in precedenza
Dopo tre giorni e' arrivato a destinazione
Non e' stato necessario reinserire dati carta
Me lo ricordo con sicurezza perche' la carta non era in quel momento a 
mia disposizione, eppure ho inserito l'ordine, aggiunto nuovo indirizzo 
e concluso l'ordine con spedizione al nuovo indirizzo

 nuovo indirizzo
 
Sei un caso unico. Ci dici l'importo pagato?
 
Poco fa un mio amico, che ha Prime, ha ordinato per me un orologio da 
recapitare al mio indirizzo.
 
Ha dovuto reimmettere la carta di credito. Importo, 94 euro.


 se le hai validate su tutti gli indirizzi, grazie al cazzo.
 
questo può essere. d'altronde però questa "validazione" consiste nel 
confermare il pan della carta di credito, che non è quel gran segreto 
inviolabile: nel credito di fiducia che concedi condividendo l'account 
c'è anche l'eventualità che ne possa venire a conoscenza, ma che non ne 
approfitti per correttezza essendo, appunto, persona che gode della 
fiducia. peraltro ci sono anche tutti gli acquisti che non sono vincolati 
ad un indirizzo di consegna: gli ebook ad esempio, ma anche tutti i 
servizi cloud (musica, video, audible, aws...). ciascuno può acquistare 
con la carta di credito dell'altro e ciascuno può godere degli acquisti 
fatti dall'altro.
 
non negherai che, salvo non sia il tuo compagno, questa promiscuità di 
account è abbastanza bizzarra. soprattutto per la motivazione: per 
dividere 20 euro l'anno di spese? offritevi un caffè al mese e fate pari.

 account è abbastanza bizzarra. 
 
si e puo' anche causare complicati calcoli se uno dei due accreddita un 
buono.

 
 
E come fai a saperlo che sono un caso unico?
Hai statistiche significative sottomano?
Valore circa 80 euro, era un'antenna Ubiquiti

 significative sottomano? Valore circa 80 euro, era un'antenna Ubiquiti
 
Un caso unico nella mia esperienza. Ho assistito diversi amici non 
abituati ad acquisti internet e il caso che ti dicevo si è sempre 
presentato.
 
Per le statistiche degne di questo nome, penso che ci voglia tempo e 
pazienza. Ma se ti interessano, posso provarci.
 
Il valore del tuo acquisto è simile al mio, quindi mi sento di escludere 
che il comportamento di Amazon sia condizionato dal valore dell'acquisto.
 
Altro non so.


 Su questo ti do' ragione infatti tra amici non accade.
 
per carità, non accade che uno acquista con la carta dell'altro. però 
accade che, ad esempio, gli ebook comprati da uno sono a disposizione 
dell'altro. oppure i backup delle foto fatti da uno sullo spazio cloud 
associato al prime ci può andare sopra anche l'altro. se uno dei due 
esagera nei resi, ci rimette anche l'altro. e così via.
 
come dice il detto dei patti chiari?

 Altro non so.
 
Mai sentito parlare di sistemi anti-fraud e algoritmi di machine 
learning (adesso vanno tanto di moda)?
 
Amazon, e molti altri, usano sistemi che controllano e si adattano alle 
abitudini del cliente: frequenza acquisti, media importi, elenco 
indirizzi IP, frequenza cambio password, robustezza password, ecc...
 
Per esempio anche se la carta è una Visa con attivato il controllo 3D 
Secure non è detto che venga richiesto. Stesso dicasi per il codice PIN.
 
Se l'acquisto non è considerato "a rischio" Amazon non chiede conferma 
di nulla.
 
Prova a fare un acquisto collegandoti da un IP della Cina poi ne riparliamo.

 Secure non è detto che venga richiesto. Stesso dicasi per il codice PIN.
[...]
A me chiede sempre un codice da generare tramite chiavetta che mi ha 
dato la banca, che poi mi manda un SMS dell'avvenuta transazione.
Quindi direi che i controlli sulle carte di credito, non siano diretta 
responsabilità di Amazon ma del sistema di pagamento.

 responsabilità di Amazon ma del sistema di pagamento.
 
Sono di tutti e due. Amazon può pre-autorizzare il pagamento e poi la 
banca lo declina. O Amazon per i cavoli suoi può decidere di non 
autorizzare affatto pagamento e alla banca non ci arrivi.
O la banca lo autorizza e poi Amazon in post-auth lo cancella (mai visto 
ma nessuno vieta questa possibilità).
 
La richiesta del PIN dipende dal tipo di contratto che Amazon fa con i 
dettagli di pagamento del cliente, "oneclick" o "recurring". Il secondo 
non richiede il PIN e può essere usato anche per pagamenti "onclick" ma 
non viceversa. (Da aprile Visa aumenterà i controlli su queste tipologie)
 
Il perché Amazon ad un certo punto, cambiando i dettagli di spedizione 
dell'utente, chieda il PIN quando prima non lo faceva, di primo acchitto 
non lo so. Mi viene in mente che faccia uso di entrambi i tipi di 
contratto "onlick" e "recurring" o che ne salvi uno nuovo, per il quale 
ha bisogno del PIN.
 
Usare un "recurring" quando il pagamento è di tipo "onclick" è comodo 
per l'utente finale che non deve mettere il PIN ma è più "rischioso" (e 
immagino si paghino più commissioni se poi viene disputed) per 
l'esercente, quando infatti il "recurring" dovrebbe soltanto essere 
usato senza interazione dell'utente per servizi a pagamento fisso (tipo 
sottoscrizioni settimanali, mensili o annuali).


Amazon ha il suo PSP (payment service provider)
 
https://en.wikipedia.org/wiki/Amazon_Pay
 
 
che ha le stesse funzioni degli altri PSP
 
questa una breve lista parziale ne esistono a centinaia
 
https://en.wikipedia.org/wiki/List_of_online_payment_service_providers
 
 
 
in italia mi viene in mente gestpay di banca sella
 
la richiesta di pin è dettata dal merchant e la sua politica di 
sicurezza, e dall'accettazione o meno del cliente
 
e soprattuto da come è implementato l'e-commerce,
 
Ciao


in realtà no. non tutti i merchant aderiscono al 3d secure e nemmeno gli 
istituti di credito forzano ad utilizzarlo (almeno non in italia). 
d'altronde chi è maggiormente interessato è proprio il merchant il quale 
per le transazioni validate da questo sistema è tutelato dalle frodi.


Che alla fine e' la stessa cosa. Se l'istituto di credito richiede una 
conferma tramite codice, dovrai inserire il codice, altrimenti no. In 
ogni caso e' il sistema di pagamento che lo richiede o meno.

 per le transazioni validate da questo sistema è tutelato dalle frodi.
 
vero, anche se diverse statistiche dicono che il 3d secure (e  per lo 
più tutti i metodi "intrusivi") abbassano il tasso di conversione, 
ovvero l'utente arriva alla schermata del 3d secure o di quel che l'è e poi
 
- non si ricorda la password
- non si ricorda il pin
- non si ricorda dove ha lasciato l'agendina con tutti i codici di 
sicurezza o l'ha dimenticata a casa...
- ha lo smarfògn scarico e non può accedere all'app...
- il ciondolino generatore del token l'ha dimenticato al lavoro...
 
e il pagamento non avviene.
 
Queste cose ci possono far sorridere ma la fuori ci sono più idioti di 
quello che si possa pensare, e il merchant lo sa bene. Ecco perché 
Amazon se può evita di chiedere qualsiasi cosa.

 e soprattuto da come è implementato l'e-commerce,
 
di nuovo: nì
 
il psp mette a disposizione delle funzionalità e alcuni vincoli (alcuni 
obbligatori) e il merchant implementa quello che gli serve e fa comodo 
bilanciando costi e benefici
 
quindi la politica di sicurezza è dettata da entrambi
 
se un giorno il psp si sveglia e per autorizzare i pagamenti di un certo 
tipo es. il nuovissimo PayPal Padulo chiede al merchant di fornire la 
lunghezza del pisello (scansionata via app) del cliente, il merchant 
obbedisce o perderà la possibilità di usare quel metodo di pagamento 
(sai come sarebbe triste Ciccio nel non poter usare PayPal Padulo)
 
3dsecure è per lo più non obbligatorio in quasi tutti i circuiti Visa, 
se lo fosse il merchant sarebbe obbligato a gestirlo o perderebbe la 
possibilità di accettare pagamenti Visa
 
Amazon gioca "in casa" ma avrà comunque dei costi di gestione per i 
refunds, chargebacks e via discorrendo... quindi si saranno messi seduti 
intorno a un tavolo e avranno pensato a bilanciare pin, password e token 
con il numero di frodi e soprattutto il rate di conversione ( = utente 
che inizia la sessione di pagamento e la conclude con successo)

 che inizia la sessione di pagamento e la conclude con successo)
 
ad ogni modo dove gli istituti rendono obbligatori i protocolli di 
sicurezza (es. in india) anche amazon si adegua.
d'altra parte per una multinazionale dell'e-commerce il rapporto costi/
benefici dipende molto (anzi, direi tutto) dal singolo mercato dove opera.
 

 
 
Pecunia non olet, purtroppo.