Poszedł do sklepu i zrobił zakupy. Przy kasie zapłacił za czyjś obiad

Historia Łukasza, który przypadkowo potwierdził cudzą płatność, wywołała dyskusję o bezpieczeństwie płatności mobilnych. Mężczyzna chciał zapłacić za zakupy w Dino, a opłacił… czyjś obiad. Portal Zaufana Trzecia Strona wyjaśnia, jak mogło dojść do tej niecodziennej sytuacji.

Fot. Shutterstock

Nieoczekiwane konsekwencje rutynowej płatności

Cała sytuacja zaczęła się przy kasie w supermarkecie. Łukasz, tak jak robił to wielokrotnie wcześniej, wygenerował kod BLIK w aplikacji banku, aby zapłacić za zakupy. Po wpisaniu kodu w terminalu otrzymał standardową prośbę o potwierdzenie transakcji w aplikacji bankowej, którą odruchowo zaakceptował.

To, co wydawało się rutynową czynnością, okazało się kosztowną pomyłką. Kasjer poinformował Łukasza, iż płatność została odrzucona. Mężczyzna wygenerował więc nowy kod BLIK i tym razem transakcja przebiegła prawidłowo. Dopiero później, sprawdzając historię operacji w aplikacji bankowej, odkrył, iż z jego konta pobrano również 51,79 zł za zamówienie w serwisie Pyszne.pl – usługi, z której nigdy wcześniej nie korzystał.

Co mogło się wydarzyć?

Portal Zaufana Trzecia Strona przedstawił kilka możliwych wyjaśnień tej nietypowej sytuacji:

1. Hipoteza „grubego palca” – w tym samym czasie, gdy Łukasz chciał zapłacić za zakupy, inny użytkownik próbował zapłacić za jedzenie zamówione przy pomocy platformy Pyszne.pl. Osoba ta pomyliła się przy wprowadzaniu swojego kodu BLIK, przypadkowo wpisując kod, który należał do Łukasza. Gdy Łukasz potwierdził transakcję w aplikacji, autoryzował właśnie tę obcą płatność.
2. Hipoteza błędu systemowego – w którymś z systemów po drodze wystąpił błąd, który spowodował, iż dwie różne osoby zobaczyły w swoich aplikacjach ten sam kod lub prośba o autoryzację transakcji została błędnie przekierowana.
3. Hipoteza ataku – ktoś celowo próbował odgadnąć aktywne kody BLIK, aby opłacić swoje zamówienie. Ta wersja wydaje się jednak bardzo mało prawdopodobna, gdyż atakujący raczej wykorzystałby taką metodę do zakupu droższych przedmiotów.

Oficjalne wyjaśnienie od BLIK-a

Po publikacji artykułu, BLIK ponownie skontaktował się z Łukaszem i przekazał dodatkowe wyjaśnienia. Potwierdził, iż doszło do sytuacji, w której inny użytkownik wpisał kod wygenerowany przez Łukasza, a zbieg okoliczności był na tyle niefortunny, iż doprowadziło to do zaakceptowania przez Łukasza płatności innej osoby.

BLIK poinformował, iż zgodnie z ustawą o usługach płatniczych, Łukasz ma możliwość pisemnego zwrócenia się do swojego banku o pozyskanie danych osoby, która skorzystała z jego kodu, w celu odzyskania środków.

Ostatecznie wypracowano rozwiązanie

Pan Łukasz natychmiast podjął próby wyjaśnienia sytuacji, składając reklamacje we wszystkich możliwych instytucjach. BLIK odesłał klienta do banku, tłumacząc, iż nie przechowuje danych użytkowników ani ich numerów kont, bank odrzucił reklamację, argumentując, iż transakcja została prawidłowo potwierdzona przez klienta.

Ostatecznie serwis Pyszne.pl, stanął na wysokości zadania. Choć podkreślił, iż technicznie nie ma wiele wspólnego z zaistniałym problemem, zaoferował poszkodowanemu voucher o wartości 100 zł do wykorzystania na swojej platformie. Jednocześnie firma wyjaśniła, iż zgodnie z regulaminem nie może przekazać danych osobowych związanych z transakcjami osobom trzecim – takie informacje mogą być udostępnione jedynie uprawnionym służbom w ramach toczącego się postępowania.

Przypadek Pana Łukasza pokazuje, jak ważne jest uważne sprawdzanie szczegółów każdej transakcji przed jej zatwierdzeniem w aplikacji bankowej. BLIK podkreśla, iż ich system jako jedno z nielicznych narzędzi płatniczych w Polsce daje możliwość weryfikowania odbiorcy płatności i wysokości kwoty podczas autoryzacji. Z doświadczenia wiadomo też, iż jest to przy okazji jedno z bardziej bezpiecznych narzędzi. Wystarczy nieco uwagi.