Apie patirtį socialiniame tinkle „Facebook“ papasakojo Raimundas Sakalauskas.
„Bilietai.lt užsiima paprasčiausiu scamu. Jessica Shy koncertas mūsų kompanijai truputį apkarto – Eglė Žukauskaitė per pre-orderį pirko 7 bilietus. Koncerto dieną, atvykus į koncertą, patikroje buvo pasakyta, kad 6 bilietai yra panaudoti 6 skirtingų žmonių ir kad turbūt kažkam perdavėme ar pardavėme bilietus. Perdavė bilietus patys į koncertą, tą lietingą dieną, žinoma, atvykome su 3 mažais vaikais prieš pat pagrindinio atlikėjo koncertą... Bet apie viską iš pradžių.
Vietoje, aišku, niekas nieko padėti negalėjo, liepė kreiptis el. paštu. El. paštu, aišku, atsakymas tas pats – nieko negalime padėti. Iš savo pusės atlikome buitinį saugumo auditą:
Intensyviu ritmu gyvenanti Jessica Shy pranešė gerą žinią gerbėjams
„Bilietai.lt“ paskyros nėra – jos nulaužti negalėjo, buvo pirkta anonimiškai, tik su el. paštu. Čia būtų buvusi silpniausia grandis visame procese, tai pradėjome nuo to.
Telefonas yra „iPhone“ – nors nėra neįmanoma, bet nėra labai realus atakos vektorius.
Susiję straipsniai
El. paštas buvo „Gmail“ – peržiūrėjus autorizuotų įrenginių sąrašą ir el. pašto pranešimus su „attempted sign-in blocked“ arba „a new sign in“, visi įrenginiai yra tie, kuriais realiai naudojamės, ir nėra jokių įtartinų įrenginių.
Kol stovėdami prie bilietų patikros bandėme iš skelbimų susipirkti 6 trūkstamus bilietus, atėjo dar viena gana solidžiai atrodanti kompanija (tvarkingai apsirengę vyresni žmonės) su tokia pat istorija – bilietai pirkti per pre-orderį ir 3 iš jų buvo jau panaudoti. Paskutinį bilietą nupirkome būtent iš jų, paaiškinę, kad ką tik sudeginome valandą per lietų su vaikais, bandydami pakliūti į koncertą, ir vienintelis sprendimas buvo kitų bilietų pirkimas.
Kadangi man neleido kartu su šeima eiti aiškintis į kioskelį (t. y. nuskaičius tą vieną sveiką bilietą, vienas žmogus privalėjo įeiti į koncertą, ir kažkokie žmogiški faktoriai, kad, chebra, turime daug vaikų, reikia mūsų visų ten prie būdelės, nesuveikė), o koncertas jau buvo beprasidedąs, žmonių srauto nebebuvo – turėjau laiko pabendrauti su bilietus tikrinančiais darbuotojais.
Sakė, kad per daug metų darbo, kiek yra susidūrę su bilietų scamais, nėra susidūrę su atveju, kai viename PDF'e esantys bilietai būtų nuskenuoti 6-iose skirtingose vietose. Neatmestinas variantas, kad pavogtus bilietus pardavė šešiems skirtingiems žmonėms, bet realistiškai – kokie šansai? Ypač kai prie to patikros punkto identiškos situacijos buvo net 2.
Prie kioskelio dar buvo viena mergina, kuri preorderinius bilietus buvo pirkusi iš rankų. Kai bilietai nesuveikė, žmogus, iš kurio jie buvo pirkti, iškart pervedė jai atgal pinigus. Tai perkant iš rankų yra padidinta rizika, bet šiuo atveju, kadangi grąžino pinigus, bilietus pardavęs žmogus akivaizdžiai neturėjo siekio apgauti šios merginos.
Nežinau kitų dviejų istorijų konteksto, bet žinau, kad mūsų bilietai nebuvo pavogti. Jie tikriausiai tiesiog buvo parduoti du kartus.
Bilietai.lt, WTF? Kaip programuotojas labiausiai betinčiau ant to, kad sistemoje turite „race condition'us“, kurie išlenda, kai per 20 min. bandote parduoti 50 tūkst. bilietų. O jei kažkas neveikia, tai gi labai lengva permesti atsakomybę ant perkančiojo, pasakant, kad „turbūt pavogė jūsų paskyrą“.
Istorijos moralas – bilietus pirkti galima tik su kreditine kortele, nes nutikus tokiai istorijai „chargeback'as“ yra turbūt vienintelis būdas atgauti pinigus iš nesąžiningų pardavėjų.
EDIT: Atsirado vienos iš mano minimų situacijų dalyvis. Visgi pas juos tik 1 bilietas buvo panaudotas iš 4. Tada vieną jie sutiko parduoti mums, o 2 žmonės iš jų kompanijos nuėjo į koncertą“, – socialiniame tinkle „Facebook“ rašė R. Sakalauskas.
„Bilietai.lt“ sutrikimų nenustatė
Dėl R. Sakalausko paviešintos situacijos naujienų portalas Lrytas kreipėsi į Bilietai.lt. Bendrovės atstovai teigė patikrinę savo sistemas, tačiau jose sutrikimų ar kitų neįprastų veiksmų nenustatė.
„Gavę informaciją apie minimus atvejus, patikrinome savo sistemas. Jokių sutrikimų, saugumo incidentų ar kitų anomalijų nenustatyta. Kiekvienas Bilietai.lt bilietas turi unikalų kodą, o jo panaudojimas renginio vietoje yra tiksliai fiksuojamas.
Elektroninį bilietą bei jo QR ar brūkšninį kodą svarbu saugoti ir neperduoti tretiesiems asmenims. Taip pat rekomenduojame bilietus įsigyti tik iš oficialių pardavimo kanalų.
Susidūrusius su panašia situacija kviečiame kreiptis tiesiogiai į Bilietai.lt, pateikiant užsakymo ir bilietų informaciją – kiekvieną konkretų atvejį galime patikrinti“, – Lrytas komentavo bendrovės atstovai.