10 kwietnia 2017

Technologia WAP-click, ułatwiająca proces subskrypcji użytkowników urządzeń mobilnych do różnych płatnych usług, jest znana od lat. Z powodu jej wykorzystania przez niektórych operatorów sieci, użytkownicy mogą tracić pieniądze na skutek przypadkowego zapisania się do niepożądanych usług, a, na domiar złego, wypisanie się z nich może być dla nich dość trudnym zadaniem. Doctor Web opisuje jak można zabezpieczyć się przed nieoczekiwanymi wydatkami powiązanymi z mechanizmami WAP-click.

Usługi, które organizują dostęp do płatnych treści z użyciem technologii WAP-click, są oferowane przez wielu operatorów sieci mobilnych. Używają one licznych programów partnerskich pozwalających posiadaczom stron www na „spieniężanie” mobilnego ruchu sieciowego. Na przykład MegaFon (drugi pod względem wielkości operator mobilny w Rosji) ogłosił nową technologię WAP-click już w 2012 roku. Dostawca reklamował ją jako usługę “pozwalającą abonentom sieci MegaFon na zakupy na stronach www należących do partnerów firmy plików audio, wideo i graficznych, oraz na używanie usług nie wymagających ładowania”.

Ta technologia jest dość prosta: mobilny użytkownik sieci www jest przekierowywany na stronę www zawierającą wiadomość powiadamiającą go o tym, że musi zapłacić za dostęp do żądanych treści. Strona www jest wyposażona w przycisk zapisujący użytkownika do płatnych usług z chwilą kliknięcia na nim.

Jeden ze zrzutów ekranu został zaczerpnięty z materiału na stronie appleinsider.ru

Wkrótce po tym ta usługa stała się przedmiotem dyskusji zarówno pomiędzy użytkownikami, jak i na stronach mediów internetowych: w szczególności technologia WAP-click została wspomniana przez serwisy VC.RU, Apple Insider i wiele innych. Jeden z użytkowników przygotował nawet petycję, żądając aby płatne subskrypcje były zawsze potwierdzane przez operatorów sieci z użyciem wiadomości SMS.

Ostatecznie subskrypcja jest dostępna dla wszystkich użytkowników w sieci operatora mobilnego. Posiadacze modemów USB stali się również ofiarami nieautoryzowanych subskrypcji i samodzielnie poszukują rozwiązań tego problemu: niektóre z tych rozwiązań zostały szczegółowo opisane na następujących stronach www - http://vsyako.blogspot.ru/2014/06/podpiski.html i https://антиподписки.рф. Dla użytkowników systemu Windows jedną z sugerowanych metod zwalczenia płatnych subskrypcji jest dokonanie odpowiednich zmian w pliku hosts. Początkowo zalecenia sugerowały ograniczenie dostępu do wap.megafonpro.ru, strony www przez którą przetwarzane są „zamawiane” subskrypcje. Być może przez chwilę ta metoda była efektywna, ale później wykryto, że MegaFon posiada kilka innych domen o tej samej funkcjonalności:

Przyjrzyjmy się prawdziwemu przykładowi działania technologii WAP-click. Specjaliści Doctor Web przeprowadzili eksperyment odzwierciedlający ich doświadczenie w użytkowaniu mobilnego Internetu od firmy MegaFon. Załóżmy, że w przededniu letniego sezonu wegetacji użytkownik zdecydował się na uprawę cebuli w swoim ogrodzie warzywnym. Naturalnie, najlepszym sposobem dokonania tej operacji jest zastosowanie się do instrukcji, które nasz ogrodnik znalazł używając wyszukiwarki Google. Żądanie wyszukiwania “jak i kiedy najlepiej zająć się uprawą cebuli” dostarczyło link wyglądający na taki, który spełniał oczekiwania użytkownika.

W kod HTML strony www do której prowadzi uzyskany link został wbudowany specjalny skrypt. Identyfikuje on dostawcę sieci użytkownika. W naszym przykładzie wszystkie następujące dalej działania są wykonywane tylko dla abonentów sieci MegaFon.

Podczas próby przejścia do tego zasobu sieci www wykonywany jest łańcuch automatycznych przekierowań. Składa się on z co najmniej 5-7 etapów. Ten łańcuch kończy się na stronie do subskrypcji online należącej do operatora MegaFon, zgodnie z danymi dostarczanymi przez usługę WHOIS.

Informacja na stronie serwisu obsługującego subskrypcje jasno ostrzega, że użytkownik musi zapłacić 30 rubli dziennie za dostęp do wymaganej strony www. Płatność za obejrzenie zasobu www jest wyjaśniona w sekcji “artykuły i wiadomości przeznaczone do użytku osobistego”, jednakże, w niektórych przypadkach, na przykład na urządzeniach z ekranami o wyższej rozdzielczości (tablet lub komputer z podłączonym modemem USB), to ważne ostrzeżenie staje się mniej zauważalne. Odwiedzający stronę może po prostu pominąć ten tekst zapisany drobną czcionką.

Nawet gdy użytkownik zgodzi się na zaproponowane warunki, to pomimo wyrażenia zgody i tak nie zobaczy informacji na temat cebuli. Po kliknięciu na przycisk subskrypcji zostanie on przeniesiony na stronę infonews24.ru poprzez kolejny łańcuch przekierowań. Ten zasób www należy do firmy LLC Informpartnyor (http://informpartner.com). Użytkownik otrzyma następnie wiadomość SMS powiadamiającą go o tym, że został właśnie z powodzeniem zapisany do płatnej usługi. Warto dodać, że posiadacze modemów USB, które nie wspierają powiadomień SMS, nie uzyskają wiadomości mówiącej im o tym, że zostali właśnie z powodzeniem zapisani do kosztownej usługi — dowiedzą się o tym dopiero wtedy, gdy otrzymają rachunek ich operatora sieci.

Od momentu kliknięcia przycisku subskrypcji konto użytkownika jest codziennie obciążane kwotą 30 rubli, nawet w przypadku gdy nie odwiedzał on płatnej strony www, nie korzystał z Internetu, a nawet wtedy, gdy jego telefon był wyłączony.

Nie jest prostą sprawą wypisanie się z tego typu usług płatnego dostępu do zasobów Internetu. Przez kilka dni nasi specjaliści wysyłali z „obciążanego” urządzenia mobilnego żądania USSD w celu określenia obecności na koncie użytkownika usług oferujących płatne treści, jednak odpowiedzi SMS od sieci MegaFon uparcie twierdziły, że dany numer abonenta nie posiada aktywnych subskrypcji.

Zaobserwowaliśmy dokładnie ten sam rezultat w “Panelu Kontrolnym” konta użytkownika sieci MegaFon, niezależnie od tego, czy logowaliśmy się z urządzenia mobilnego, czy też z komputera stacjonarnego, a także na specjalnej stronie www http://podpiski.megafon.ru, gdzie też nie było żadnej wzmianki o płatnych dostępach do zasobów Internetu. W naszym przypadku informacje o subskrypcji pojawiły się w “Panelu Kontrolnym” tylko po upływie kilku dni, w ciągu których z konta abonenta regularnie była pobierana opłata za subskrypcję.

Aby rozwiązać problem MegaFon sugeruje swoim użytkownikom założenie specjalnego konta zaprojektowanego w celu odpisywania płatności za subskrypcje. To konto eliminuje wszelkie szanse na niekontrolowane wydatkowanie pieniędzy z głównego konta użytkownika. Aby uzyskać tą darmową usługę, użytkownik musi skontaktować się ze wsparciem technicznym operatora, lub odwiedzić jego biuro obsługi.

Istnieje również alternatywna metoda uniknięcia subskrypcji WAP-click — MegaFon sugeruje wysłanie specjalnego żądania “УСТЗАПРЕТ1” (“USTZAPRET1”) na ich numer serwisowy, jednakże warto zauważyć, że ten „ban na subskrypcje” jest ważny tylko przez 90 dni, po których użytkownik sieci MegaFon może znów przez przypadek zapisać się do niektórych płatnych usług.

Jeśli zauważysz, że z Twojego konta mobilnego regularnie ubywają środki, powinieneś bezwarunkowo sprawdzić, czy przypadkiem nie jesteś obciążany za żadne płatne subskrypcje. Zaleca się również założenie specjalnego konta w celu zabezpieczenia środków zgromadzonych na Twoim głównym rachunku u operatora mobilnego. Doctor Web doradza zachowanie czujności podczas korzystania z Internetu mobilnego, a w przypadku, gdy wykryjesz przypadkowe zapisanie się do płatnych usług, zalecamy abyś wyłączył je tak szybko, jak to tylko możliwe — samodzielnie, lub kontaktując się z pomocą techniczną Twojego operatora mobilnego.