Почта России позволяет кому угодно получить ваше отправление⁠⁠

Мой друг сейчас не в России, я слежу за его кошкой, цветами и получаю почту. Раньше заказные письма получали по следующей схеме: я прихожу в отделение, даю извещение, говорю что подтверждение по смс, друг мне цифры из смс перекидывал в ватсап, я забирал заказное письмо.

В этот раз писем друг не ждал, написал что интересно от кого оно. Я добавил в приложении почты России это отправление по штрихкоду с извещения - и оно добавилось. Там и от кого показано, и кому и весь трекинг. Как позже выяснилось в приложении не проверяется получатель, зная номер отправления или трек кто угодно может добавить его себе в приложении, узнать данные отправителя и получателя, и видеть трекинг. Но просто трекинг это еще не такая уж дыра (хотя тут уже есть доступ посторонних к ПД), добавив отправление себе в приложение появляется кнопка "Покажите QR-код оператору для получения".

А дальше мне уже стало интересно насколько же все плохо с почтой России. В результате небольшого пентеста за месяц получено мной три отправления для других адресатов. Два заказных письма и посылочка с алиэкспресс. При чем у операторов программа показывает, что отправление адресовано одному человеку, а получает по QR-коду другой. Отделения тоже все три раза были разные.

В ходе этого теста отправления я получал с согласия получателей и им их отправления передал.

Почта России у вас есть что сказать?