Re: [軟體]台灣高鐵TExpress官方訂票APP會洩漏個資

作者: stringargs23 (string)   2016-02-13 09:43:32
※ 引述《Cutefox (上班族..大家有空聚聚)》之銘言:
: ※ 引述《mgdesigner (機槍設計師)》之銘言:
: : 昨天我在手機用這個軟體訂票,今天我在google月曆裡,一個其他月曆群組(之後代稱
: A
: : 曆)裡面的朋友們反應給我,月曆上出現了疑似是我的高鐵訂票訊息。
: : 於是我做了很多檢查,確定...
: : 1.我的google月曆並無設定該月曆為預設月曆(其實也無這種功能)
: : 2.也不是因為gmail信箱的通知信被自動匯入google日曆(我自己發給自己發現不會)
: : 排除掉這些可能,那就只有唯一的可能....
: : 高鐵訂票APP把我的訂票、購票訊息擅自發到google日曆,而且程式還寫錯,沒有發到
: 個?
: : 月曆,而是發到我google日曆有多個日曆,連非個人月曆的 A月曆都會發到,全世界都
: 知
: : 我何時何地要坐車了。
: : 我現在只好手動關閉高鐵訂票app修改google月曆的權限來應變,這太誇張了。
: 提供一下我的案例,
: 小弟去年公司出差,HR幫忙訂機票,然後將航班資訊發信到我的公司信箱中,
: 我為了方便,就轉到我gmail中,結果機票上的飛機航班訊息就出現在我的google行事曆
: 上了,
: 還會提醒航班出發時間咧,
: google有時候強大到一個恐怖的境界...
這和google沒有任何關係
剛才稍微看了一下高鐵App權限 確實有未經同意修改行事曆這項
http://i.imgur.com/ZFIfOta.png
高鐵官網也有寫:"...T Express亦可結合行事曆功能,主動提供付款、乘車提醒服務..."
(https://goo.gl/Rs7sWE)
實際訂張高鐵票試試 來張今天下午台北台中16:36的車
http://imgur.com/xF77atJ.png
按下確認 跳出"行事曆"權限要求
http://imgur.com/VJ4kZ3r.png
到這邊就可以確認高鐵App確實是會存取行事曆的
接下來按下"封鎖"
http://imgur.com/0Sg6L3Y.png
"很抱歉,高鐵T-EX已停止運作"
然實際上訂票是有成功的
http://imgur.com/7FvMs5D.png
(小魯沒有使用Google行事曆 故無法重現原原po說的bug。。)
這些資訊高鐵App上完全沒有說明
"訊息推播"也容易讓人誤認為是類似列車運行資訊之類的推送
功能立意不錯 若詳加說明內容以及如何開啟/關閉會更好
作者: tom282f3 (學妹戰士)   2016-02-13 15:06:00
專業推

Links booklink

Contact Us: admin [ a t ] ucptt.com