Problem pojawił się w mechanizmie antyphishingowym Google Safe Browsing – stosowanym w przeglądarkach Chrome, a także w wielu wersjach Firefoksa oraz Safari. Dzięki GSB internauci usiłujący wejść na stronę, która w odnotowana jest jako potencjalnie niebezpieczna, w pierwszej kolejności widzą planszę informującą o zagrożeniu. Na właściwą stronę mogą wejść dopiero po potwierdzeniu, że robią to na własne ryzyko. W zeszły czwartek, na dobry początek długiego weekendu, komunikatem takim zbiorowo naznaczone zostały sklepy korzystające z platformy IAI-Shop.com – i to bez względu na to, czy korzystały z subdomeny IAI, czy z samodzielnej domeny.

– Sprawa jest dla nas wysoce bulwersująca. Zarówno my, jak i nasi klienci na skutek błędu albo człowieka, albo programu Google zostaliśmy zablokowani w przeglądarkach internetowych poprzez wyświetlanie planszy, że odwiedzana strona jest niebezpieczna, gdyż jest uważana za taką, która kradnie dane – komentuje Paweł Fornalski z IAI.

Oczywiście, podobnie jak ma to miejsce w np. oprogramowaniu antywirusowym, również i tu zdarzają się fałszywe alerty. Prawdziwy problem zaczyna się jednak pojawiać wtedy, gdy alert ma szeroki zasięg, a jego usunięcie trwa nie kilka godzin, a kilka dni. Tutaj w strefie rażenia znalazło się – bagatelka – około półtora tysiąca sklepów (zarówno małych, jak i całkiem dużych).

Cała sprawa dotyczyła sklepów posiadających odwołania do domeny IAI-shop.com (np. formularz logowania, grafika itp.). Co ciekawe, problemy miały pojawiać się też w przypadku wyświetlania aukcji Allegro, na których znajdowały się zdalne odwołania do obrazków na serwerach IAI-Shop.com.

Jak twierdzą pracownicy IAI, prowadzona przez długi weekend analiza sytuacji rozpoczęła się od sprawdzenia kodu skryptu. Gdy tam nic nie znaleziono, co – o ironio – potwierdził skaner samego Google, zaczęto szukać innych możliwych przyczyn całego zamieszania. I tu pojawia się zabawna wiadomość. Cytując za serwisem Sprawny Marketing:

Jak podaje Paweł Fornalski po lekturze stosownego dokumentu Google, „w zasadzie każda strona stosująca odwołania do popularnych marek i zawierająca pola login i hasło oraz odrobinę JavaScript może zostać potraktowana przez Google jako wyłudzająca”.

Mimo wielu prób kontaktu z Google problem został rozwiązany dopiero w poniedziałek. Przynajmniej w swej lwiej części, gdyż w środę w korespondencji z redakcją Dziennika Internautów Paweł Fornalski twierdził, że komunikat o próbie oszustwa wyświetlał się jeszcze przy niektórych sklepach.

IAI nie doczekało się odpowiedzi na zgłoszenia problemu, jednak nie zamierza zostawić sprawy bez echa. Zaistniałą sytuację uważa za rzutującą na reputacji firmy i oczekuje od Google Polska przeprosin, które spółka mógłaby przekazać klientom dla uwiarygodnienia tego, że wina nie leżała po stronie IAI. W przypadku dalszego braku reakcji IAI rozważa wkroczenie na drogę sądową.

Co na to Google?

Poproszony o skomentowanie sprawy przedstawiciel biura prasowego Google Polska, Piotr Zalewski, stanowczo podkreślił, że Google z zasady nie komentuje konkretnych spraw. Zaznaczył jednak, że Google przeważnie reaguje na zgłoszenia błędów w ciągu 24 godzin, a niejednokrotnie odbywa się to szybciej.

Tu należy się słowo wtrącenia: o ile w opisywanej sprawie redakcja nie ma możliwości sprawdzenia, czy i kiedy nastąpiło pierwsze zgłoszenie problemu przez IAI i mamy tu sytuację typu „słowa na słowa”, to według licznych opinii na forach webmasterskich i pozycjonerskich korzystanie z znajdującej się w Narzędziach Google Dla Webmasterów opcji „ponownego rozpatrzenia witryny” (mającej zastosowanie w przypadku np. wykluczenia witryny z wyników wyszukiwania, ale również przy oznaczeniu jako dotkniętą złośliwym oprogramowaniem) oczekiwanie na rozpatrzenie wniosku wymaga pewnej cierpliwości. Jak więc naprawdę jest z rozpatrywaniem raportów? Piotr Zalewski ten aspekt kwituje stwierdzeniem, że różne sprawy mają różne priorytety.

Piotr Zalewski podkreśla jednak, że w przypadkach, gdy na dana witryna zostaje oznaczona jako podejrzana o phishing lub rozprowadzanie szkodliwego oprogramowania, automatycznie wysyłany jest e-mail informacyjny skierowany na adresy admin@nazwadomeny oraz webmaster@nazwadomeny.

W czasie rozmowy poruszyłem jeszcze jeden wątek. W przypadku IAI mamy do czynienia nie z małą stroną Jasia Kowalskiego, a ze spółką giełdową (notowania na New Connect), z której sklepów korzysta całkiem spora grupa firm.

– Uważamy, że automatyczny system wykrywania złośliwego oprogramowania i phishingu jest obiektywny i nie faworyzuje dużych firm kosztem indywidualnych użytkowników posiadających swoją stronę WWW – ripostuje Piotr Zalewski.

Był błąd Google czy go nie było?

Próba uzyskania stanowiska Google Polska na temat tego, czy komunikat blokujący wejście na strony sklepów IAI faktycznie był fałszywym alarmem, czy też coś było na rzeczy, spaliła niestety na panewce. Piotr Zalewski cały czas podkreślał jedno – Google nie komentuje konkretnych przypadków. Poinformował jednak, że zdarza się, że system omyłkowo zaklasyfikuje w pełni bezpieczną stronę jako phishing lub złośliwe oprogramowanie. Szacujemy, że system myli się niezwykle rzadko – jedna na 10 tys. stron zaklasyfikowanych jako phishing jest oznaczona przez pomyłkę – dodaje Zalewski.

Tu jednak dochodzimy do jeszcze jednej kwestii. Wydawać się może, że w przypadku stwierdzenia fałszywego alarmu Google mogłoby wyświetlić w Narzędziach Google dla Webmasterów w sekcji wiadomości komunikat o tym, że problemu w zasadzie nie było. Pytanie, czy w przypadkach takich, jak opisany tutaj, właściciele stron mogą liczyć na podobną informację nie doczekało się odpowiedzi. Standardowo: „Google nie komentuje konkretnych spraw”.

IAI szacuje straty

Efekty całego zamieszania są co najmniej dwa: finansowe i wizerunkowe. Z jednej strony przez kilka dni wielu klientów mogło zrezygnować z chęci zakupu w danym sklepie, a z drugiej ich zaufanie do sklepów było podważane ostrzeżeniem o próbie oszustwa. Z kolei właściciele sklepów mogli tracić zaufanie do IAI, co również może się odbić na reputacji spółki. Przechodząc jednak od kwestii wizerunkowych do bardziej namacalnych, na łamach Antyweb.pl Paweł Fornalski stwierdził:

(...) większe [niż IAI - przyp. red.] straty ponieśli łącznie nasi klienci. Można przyjąć że problemem było dotkniętych około 1500 sklepów. Jeżeli zestawimy to z tym, że średnio podczas 3 dni wykonywanych jest zamówień na 5 mln złotych oraz doliczymy ich straty wizerunkowe, kwota robi się astronomiczna. Jeżeli zatem Google nie wykaże chęci współpracy, narazi się na gigantyczny pozew zbiorowy, który może, nawet jak na taką firmę, być dosyć dotkliwy. Wizerunek 1500 sklepów to już nie przelewki.

Póki co IAI domaga się od Google przeprosin i zaznacza, że wolałoby uniknąć przeniesienia sprawy do sądu. Rozwiązania takiego jednak nie wyklucza, a na poczynienie przez Google kroków w stronę polubownego rozpatrzenia sprawy czeka do popołudnia 13 stycznia.