Ошибка ответа dpd

Заказал кроссовки в магазине Adidas

Смс подтверждения из магазина

Заказ всегда отслеживался по данному номеру заказа. 11.12.2021 приходит сообщение что сегодня они доставить не могут и доставят 13.12.2021.

13.12.2021 приходит еще сообщение что доставка будет сегодня.

Курьер звонит уже после оговоренного времени, но сути это не меняет, я все еще на работе и не могу вырватся, переносим с курьером доставку на следующий день.

14.12.2021 я целый день дома, жду звонка или прибытия курьера. Посылки нет.

15.12.2021 первым делом иду на сайт курьерской службы, отследить где же моя посылка. Результат ниже.

Перехожу как советуют в Управление доставкой. Результат

Опять же как и советуют звоню в центр обслуживания. Девушка долго что то выясняет и говорит что не может быть такого номера заказа, отвечаю что до сегодняшнего дня все именно по этому номеру отлично отслеживалось. Перехожу в чат с компанией и далее по ссылке в сообщении.

Вижу такой результат.

Сообщаю ей внутренний номер отправления. Девушка говорит что уточнит информацию, просит оставатся на линии и пропадает больше чем на 30 минут. В результате звонок просто скидывается. Перезваниваю естественно попадаю на другого оператора и начинаем с ней все с начала. В этот раз мне говорят , что по какой то непонятной причине отправление вернулось на терминал в Новосибирск, на что возражаю ей что 13 числа моё отправление было на руках у курьера.И с этого же числа в городе объявленно штормовое предупреждение и у нас не только не летная погода, но и дорога г.Норильск аэропорт Алыкель закрыта для всех видов транспорта. Кроме авиасообщения с большой землей связи нет и кроссовки могли только уйти своим ходом или улететь на оленях с Сантой. В результате опять разговор продолжается больше 30 минут и звонок скидывается. Делать нечего звоню снова начинаем заново. В этот раз мне говорят что курьер по ошибке оформила возврат и отправление вернется отправителю. На что говорю ну раз это ошибка , то исправьте и посылка еще в городе отмените возврат. Опять долгие выяснения, висения на линии, сброс звонка. Пошли заново, дозвон , вишу на линии, в этот раз ответ , что это отправитель т.е Адидас решил вернуть свою посылку, на что имеет полное право.На вопрос по какой причине, по причине того что заканчивался срок хранения посылки.

Очень говорю заранее они решили что он заканчивается. Ответ мы не причем все вопросы отправителю.

Звоню в Адидас, они разводят руками, не возвращали мы ваш заказ. Будем выяснять будьте на связи.

После всего этого на сайте дествительно появилась информация что посылка следует назад.

При этом в приложении информация что все еще в пути и ожидайте.

За этот месяц это не первый косяк службы. И я перестал плохо думать о Почте России.

1. Отслеживание почтовых отправлений
2. Службы доставки
3. DPD в России
4. Статусы посылок DPD в России
5. Статус «Неудачная попытка вручения»

На сервисе ГдеПосылка под статусом «Неудачная попытка вручения» подразумеваются следующие статусы почтовой службы DPD в России:

• — Не востребовано
• — Попытка доставки не удалась

DPD

DPD — Dynamic Parcel Distribution — ведущая международная служба экспресс-доставки посылок и грузов. DPD обеспечивает перевозку грузов по интегрированной международной сети, которая насчитывает свыше 830 терминалов в более чем 40 странах мира. DPD в России является признанным лидером российского рынка экспресс-доставки посылок и грузов и предлагает сервис на уровне современных… подробнее

Грузоперевозки Курьерские службы

Грузоперевозки

Уязвимость вызовов API без аутентификации в системе отслеживания посылок DPD Group могла быть использована для доступа к личным данным клиентов.

DPD Group — это глобальная служба доставки посылок, ежегодно доставляющая около двух миллиардов посылок по всему миру.

Чтобы отслеживать статус и положение своей посылки, клиенты должны ввести код посылки и почтовый индекс, и если они совпадают с действительной записью в базе данных, они имеют право просматривать детали доставки.

Доступ к данным получателя

Исследователи из Pen Test Partners изучили систему и обнаружили, что они могут опробовать коды посылок при вызовах API и получить обратно адреса OpenStreetMap с положением получателя на карте.

Хотя звонок вернул только скриншот карты, в большинстве случаев довольно легко получить почтовый индекс, используя названия улиц, изображенные на картинке.

Имея действительный код посылки и соответствующий почтовый индекс, неавторизованный человек может получить доступ к чужой странице отслеживания, отображающей информацию о доставке.

С предоставленным действительным токеном сеанса можно просмотреть базовые данные JSON, включая полное имя этого человека, адрес электронной почты, номер мобильного телефона и многое другое.

Исправление и воздействие

Партнеры по Pen Test обнаружили проблему 2 сентября 2021 г. и немедленно уведомили DPD. Фирма оценивала проблему в течение месяца и в конце концов выдвинула исправление в октябре 2021 года.

Таким образом, уязвимость доступа к API оставалась доступной для использования в течение как минимум месяца, но окно возможностей, вероятно, было гораздо более широким.

Хотя исследователи, вероятно, первыми обнаружили это, нельзя исключать сценарий «молчаливого» длительного насилия.

Эта атака API работала случайным образом, поскольку невозможно угадать номера посылок для заданных удостоверений, но она все равно была бы полезна в руках мошенников.

Знание сведений о статусе доставки и соответствующих контактных данных создает основу для успешной фишинговой атаки.

Поставщики услуг доставки посылок были наиболее имитируемым типом компаний фишинговых кампаний в конце 2021 года, так что это уже очень целевой сектор.

Мы связались с DPD Group, чтобы запросить дополнительную информацию об уязвимости API и ее потенциальном влиянии на клиентов, но пока не получили ответа от фирмы.

Последнее обновление 05.01.2023