PeoPay, czy PeoSpy? Sprawd�, co wie o tobie popularna aplikacja do p�acenia smartfonem

W�r�d moich czytelnik�w jest mn�stwo pasjonat�w informatyki, przed kt�rymi nie ukryje si� �adna pr�ba naruszenia przez bank ich prywatno�ci. A pr�b tych jest, rzecz jasna, bez liku. Ka�dy, kto ma konto w mBanku zapewne zastanawia si�, dlaczego w ramach programu rabatowego mOkazje podsuwaj� mu same zajefajne propozycje. Nie po to serwery grzej� si� od analizy historii naszych kont i transakcji, �eby spece od mOkazji podsuwali okazje niefajne. Ale to jeszcze piku�. Wystarczy zap�aci� kart� za wibrator w seks-shopie, a ju� wiadomo�� o tym donios�ym wydarzeniu kr��y po �wiecie pomi�dzy bankiem, organizacj� p�atnicz�, a sklepem, kt�ry by�e� �askaw odwiedzi�. Grzej� si� serwery, marketingowcy kombinuj� jak zrobi�, �eby� nast�pnym razem kupi� dwa wibratory. Ale nawet inwigilacja, kt�ra ma miejsce za ka�dym razem, kiedy wyci�gniemy z kieszeni kart� , to piku� w por�wnaniu z tym, czego bank mo�e si� o nas dowiedzie�, gdy wyci�gniemy z kieszeni smartfona z aplikacj� do bankowo�ci mobilnej. To jest dopiero eldorado.

Pan Pawe� jest moim sta�ym czytelnikiem i czasem podsuwa mi ciekawe wie�ci na temat inwestycji alternatywnych. Ale nie tylko. Ostatnio pan Pawe� by� �askaw zainstalowa� w swoim smartfonie aplikacj� PeoPay, kt�ra pozwala p�aci� w sklepach (przynajmniej tych, kt�re maj� umow� na obs�ug� PeoPay'a) za pomoc� telefonu. Kto ma konto osobiste w Banku Pekao, mo�e u�ywa� aplikacji zamiast karty debetowej, dla pozosta�ych jest to rodzaj elektronicznej portmonetki, kt�r� najpierw trzeba do�adowa�. Ostatnio najwi�kszym sukcesem PeoPay'a by�o wprowadzenie tej odmiany p�atno�ci do sklep�w "Biedronka". Pan Pawe� nie ograniczy� si� jedynie do pobrania PeoPay'a i bezkrytycznego korzystania z aplikacji. " Lubi� sobie czasem kompilowa� androida w moim telefonie i zamieszcza� modu�y debuguj�ce inne aplikacje i blokuj�ce im dost�p do r��nych rzeczy. Podkusi�o mnie, �eby sprawdzi� pod tym wzgl�dem PeoPay'a. Jak si� okazuje, aplikacja robi r��ne ciekawe rzeczy, pono� dla bezpiecze�stwa u�ytkownika ".

Pan Pawe� wymienia owe "ciekawe rzeczy". Ot�� PeoPay w kom�rce u�ytkownika: " �adnie czyta wszystkie SMS-y, mo�e wysy�a� w�asne SMS-y z naszego numeru telefonu (po zablokowaniu tej mo�liwo�ci aplikacji z j�dra androida, bo "oficjalnie" nie da si� tego zrobi�, aplikacja odmawia dzia�ania), czyta rejestr po��cze�, odczytuje kontakty z telefonu (blokada z j�dra androida - efekt jak wy�ej), mo�e wykonywa� zdj�cia i nagrywa� d�wi�ki bez pozwolenia i potwierdzenia (gdy zablokuj� "nieoficjalnie" t� mo�liwo��, apka si� wywala....), a tak�e odczytuje konfiguracje kont zdefiniowanych w telefonie (czyli jak kto� ma konto mobilne na Facebooku, czy w Instagramie, to apka widzi jakie to konta, jak si� nazywaj�, widzi wszystkie e-maile, adresy, itp.) " - wymienia pan Pawe�. Sporo tego, prawda? " Jeszcze odczytywanie SMS-�w od biedy rozumiem, to mo�e by� potrzebne "pod" jakie� potwierdzenia do autoryzacji aplikacji. Ale inne rzeczy? Nie lubi� takich aplikacji, kt�re zbyt g��boko wnikaj� w dane w moim telefonie " - ko�czy czytelnik. I dodaje:

Dla tych z Was, kt�rzy lubi� wiedzie� wi�cej, wykaz wszystkich uprawnie�, kt�re posiada aplikacja PeoPay: android.permission.ACCESS_NETWORK_SATE, android.permission.CALL_PHONE, android.permission.CAMERA, android.permission.FLASHLIGHT , android.permission.INTERNET, android.permission.GET_ACCOUNT, android.permission.NFC, android.permission.CALL_LOG, android.permission.READ_CONTACTS, android.permission.READ_PHONE_STATE, android.permission.READ_SMS, android.permission.RECEIVE_SMS, android.permission.VIBRATE, android.permission.WAKE_LOCK, android.permission.WRITE_SMS , softax.pekao.pow erpay.permission. C2D_MESSAGE i jeszcze dwa inne, jak twierdzi pan Pawe� - nieistotne . Oczywi�cie od razu zrobi� zastrze�enie: nie chodzi mi o to, �eby czepia� si� PeoPay, bo domy�lam si�, �e inne aplikacje mobilne te� bywaj� w�cibskie. Chodzi mi raczej o to, �eby�my zdawali sobie spraw� w co gramy - chodzenie po mie�cie z urz�dzeniem dzia�aj�cym online i z w��czon� aplikacj� bankow� musi wi�za� si� z utrat� prywatno�ci. Pytanie tylko jak g��bok� i czy uzasadnion�.

Poprosi�em Bank Pekao o wyja�nienia. I przyznam, �e nieco mnie one uspokoi�y. Ot��, je�li chodzi o dost�p do SMS-�w u�ytkownika i mo�liwo�� wysy�ania w�asnych, to Pekao zapewnia, �e �w dost�p nast�puje tylko w procesie rejestracji u�ytkownika. " Uprawnienia te s� wymagane do dzia�ania mechanizmu weryfikacji SMS-�w autoryzacyjnych, wysy�anych podczas procesu rejestracji. Aplikacja jest zainteresowana wy��cznie odczytywaniem SMS-�w autoryzacyjnych, przesy�anych przez bank. Tre�ci innych SMS-�w aplikacja nie czyta. Uprawnienia wysy�ania SMS-�w s� konieczne do mechanizmu weryfikacji SMS-�w autoryzacyjnych. Z jego wykorzystaniem SMS-y odczytane i zweryfikowane s� usuwane ze skrzynki odbiorczej ". To, �e aplikacja czyta rejestr po��cze� i odczytuje kontakty z telefonu Pekao te� t�umaczy sensownie: " Funkcjonalno�� wyboru odbiorcy przelewu z listy wymaga dost�pu do kontakt�w zapisanych w telefonie. Aplikacja nie pos�uguj e si� rejestrem po��cze� i nie wymaga dost�pu do niego. Uprawnienie zwi�zane z list� odbiorc�w jest wymagane tylko do dzia�ania funkcji przelew�w zdalnych, wysy�anych na numery telefon�w ". Co do mo�liwo�ci robienia zdj��, nagrywania d�wi�k�w bez pozwolenia, to Pekao t�umaczy, �e jest to potrzebne, by prawid�owo dzia�a� skander QR kod�w.

Jest jeszcze punkt cz warty: dost�p do kont u�ytkownika np. w serwisach spo�eczno�ciowych. W tym przypadku operator PeoPay'a te� zapewnia, �e nie inwigiluje. " Dost�p do konfiguracji kont (uprawnienie android.permission. GET_ACCOUNTS) jest wymagany do dzia�ania funkcji wykorzystuj�cych mechanizm notyfikacji Push (us�uga GCM); wymaganie dotyczy wszystkich konfiguracji z systemem p��niejszym, ni� Android 4.04; uprawnienie GET_ACCOUNTS jest wykorzystywane wy��cznie w celu zweryfikowania gotowo�ci telefonu u�ytkownika do korzystania z notyfikacji Push oraz do wsparcia funkcji wysy�ania przelew�w zdalnych; uprawnienie nie daje mo�liwo�ci wgl�du w listy wiadomo�ci, czy w tre�ci wiadomo�ci; (nie ma mo�liwo�ci technicznej uzyskania dost�pu do konta facebook'owego) ". Pod ci��arem tych argument�w cz��ciowo uleg� nawet pan Pawe�. " Og�lnie argumenty ich s� przekonuj�ce. Jednak�e nie jest prawd�, �e aplikacja nie pos�uguje si� rejestrem po��cze� i nie wymaga dost�pu do niego. S� uprawnienia:� android.permission.CALL_LOG. Po co? Je�li chodzi o Facebooka, to zgodz� si�, �e nie ma dost�pu do konta Facebook u�ytkownika - chodzi mi o to, �e aplikacja ma dost�p do nazwy konta u�ytkownika Facebooka - w zwi�zku z tym mo�e teoretycznie bank wiedzie� kt�re konto Facebooka jest czyje " - argumentuje pan Pawe�.

Dziura w IKO, czy strachy na lachy? Zmieniasz kart� SIM i...

Lubimy mie� wygod�, a wygoda wymaga po�wi�ce�. Ale dobrze wiedzie� jak daleko te po�wi�cenia id�. " Interesuj�co wygl�daj� tak�e uprawnienia aplikacji mobilnej Pekao24. Mianowicie aplikacja ma dost�p do android.permission.WRITE_CALENDAR (add or modify calendar events an sendemail to quest without owners knowledge). Po co? Albo to: android.permission.CAMERA - dost�p do kamerki. Po co? Pewnie aplikacja z tego nie korzysta, ale po co ma mie� dost�p do aparatu fotograficznego?� Przecie� s�it foci nie b�d� sobie robi�, to aplikacja bankowa... Ponadto np aplikacja Pekao24 lubi mie� dost�p do GPS, a wi�c odczytuje nasz� lokalizacj� " - opowiada pan Pawe�. C��, tu akurat odpowied� na zarzut� jest prosta - w Pekao jest mobilna wersja programu rabatowego, kt�ra "podrzuca" klientowi promocje i rabaty dost�pne w pobliskich sklepach... Kamerka, to wiadomo - QR kody. Kalendarz? Dzi�ki temu b�d� do ciebie dzwonili tylko wtedy, kiedy nie masz �adnego spotkania ;-).

DZI� OSTATNIA SZANSA NA AKCJE ENERGI! Je�li zastanawiacie si� gdzie zyskownie ulokowa� pieni�dze w najbli�szym czasie, to zapewne przemkn�� Wam przez g�ow� pomys�, �eby kupi� akcje Energi, sprzedawanych w najwi�kszej prywatyzacyjnej ofercie od dw�ch lat. Mo�na to zrobi� tylko do dzi�, do p��nocy. Czy warto? Dla kogo to mo�e by� dobra inwestycja, a dla kogo nie? Czytajcie w blogu "Subiektywnie o finansach"