Salve, vi racconto la mia esperienza con Subito.it, perché ritengo che chiunque usi il servizio TuttoSubito debba conoscere questo rischio.
Il problema di sicurezza. Alla piattaforma si accede con semplici credenziali (username e password), da qualsiasi dispositivo e browser, senza che venga mai inviato un codice OTP. Non è prevista alcuna verifica dell’identità in due passaggi (2FA), né via SMS né via e-mail, a protezione delle operazioni sensibili. La verifica viene richiesta soltanto nella procedura di recupero password, cioè non dove servirebbe davvero.
Cosa comporta in concreto. Chiunque entri in possesso delle credenziali di un utente può accedere al suo profilo senza ulteriori controlli. Dopo un pagamento effettuato con TuttoSubito, può dichiarare, a nome del legittimo titolare, di aver ricevuto la merce (che in realtà non è mai arrivata) e ottenere così lo sblocco del denaro da parte di Subito. È esattamente quello che è successo a me: la spedizione risultava con un tracking non disponibile e i soldi sono stati trasferiti al malintenzionato. Posso documentare l’assenza del codice OTP con video che mostrano l’accesso da postazioni e browser diversi.
Le condizioni contrattuali. Considero questa mancanza una carenza grave, perché una piattaforma che gestisce pagamenti e li svincola sulla base di una semplice conferma online dovrebbe proteggere quell’operazione con un sistema di autenticazione forte. A mio avviso Subito non può invocare l’esonero di responsabilità previsto dall’art. 13 delle Condizioni generali del servizio TuttoSubito (https://info.subito.it/policies/tutto-subito.htm), perché il danno deriva proprio da una misura di sicurezza che la piattaforma non adotta.
L’assistenza. Non esiste un numero di telefono per parlare con un operatore: si può comunicare solo via e-mail e le risposte sono generiche e standardizzate, che si limitano a scaricare ogni responsabilità sull’utente senza affrontare il problema.
In sintesi: per la mia esperienza, sconsiglio di usare TuttoSubito finché non verrà introdotta l’autenticazione a due fattori.
