小城“金融黑客”的“生意经”:“攻击”千亿级城商行APP

作者: 陈圣洁
金融安全的挑战无处不在

中原地区的安阳市内黄县是古之名城。

这里地处黄河故道,因黄河而得名,是春秋时期政治家商鞅、东晋十六国时期冉魏皇帝冉闵、唐代大诗人沈佺期的故里,楚霸王项羽夺军救赵、“破釜沉舟”之地。

这里有着悠久的历史,但也是人口68万(第七次人口普查数据)的中等县城。

但就是在这么一个地区的县城宾馆里,却出现了一个敢于攻击“千亿”级城商行APP的“金融黑客”团伙。

近日,一则法律文书显示,由内黄籍一“专科大佬”带着俩“初中文化”小弟组成的团伙,在2019年对长沙银行APP发动“攻击”,在短时间内违法开设多个账户,用于非法“捞金”。

他们做成了,也终于被法律处罚了。

小县城里的“大黑客”

所谓的大佬只是“戏称”,这个组织的人员构成,用一般思路来看简直“寒酸”。

根据相关法律文书,此团伙的组织者是尚某,安阳万软电子科技有限公司的高管(以下简称万软公司),1987年出生,专科文化。

此外他还有两名下属——司某、刘某。都曾是万软公司的员工,两者均为初中文化。

2019年,尚某等人经营了一家名为安阳万软电子科技有限公司,公司坐落于在内黄县振兴路以北无名路东南侧的一家新兴宾馆内。

附图:

万软公司是一家“业务”颇广的公司。

公司经营范围不仅包括网上销售计算机软件及辅助设备、通讯设备、影音设备、数码产品、汽车配件、农副产品、化妆品、首饰、工艺品、五金交电、日用百货;还囊括互联网信息服务、影视作品网络服务、市场营销策划……几乎是天上地下无所不包。

光看上述经营范围和员工配备,这个公司就像是千万家小企业中的普通一份子,而非传说中“神秘”且“高端”的黑客。

成功发现程序“漏洞”

事情转折在2019年2月,尚某给司某、刘某带来了一份资料。

资料内含公民身份证号码、姓名、手机号码等信息内容及串码;一个固定银行卡号;以及一个F打头的应用程序软件。

这F打头的软件,外人都不懂。但对一些程序员来说,却不陌生。

根据一些网络资料显,这是一个强大的抓包软件工具,常用于在客户端和服务器之间设置一道关卡,而这个功能,被这个团伙用在了非法用途。

相关法律文书显示,尚某、司某、刘某等人能借此拦截由长沙银行服务器向长沙银行APP发送的数据校验结果、并加挂银行卡信息、审核状态信息,并加以修改。

利用软件的这一技术功能,尚某等人以相关公民身份,持续在长沙银行的APP上,提出II类银行账户的申请。

当时,在缺少“视频审核的业务流水号”、“证件上传成功”等验证环节的情况下,尚某等人成功通过电子渠道开设了大量相关账户。

骗领信用卡获利

骗取银行账户只是第一步,司某等考虑的是后续牟利。

在当时,银行的Ⅱ类户是相当是一个“钱夹”的概念,可用于日常刷卡购物、网络缴费、通过该账户购买银行理财产品。

而根据裁判文书,尚某等人的目的在于使用虚假的身份证明骗领信用卡

尚某等人开设的长沙银行II类户虽不能正常使用,但可作为绑定账户,开立具有限额消费和缴费、限额向非绑定账户转出资金等功能的他行III类户。

其中,在刘某用以上述方法开设了80个长沙银行II类账户时,还获得了160元的“意外之财”。

一个程序加一批身份资料,就能骗领信用卡,司某从中看到了又一个“商机”。

在和尚某、刘某等人“干了一票”后,司某又另起炉灶,与杜某合作。

司某与杜某商议,由杜某找人非法开长沙银行的卡并负责出售卡,赚到的钱每人一半,司某提供技术,杜某具体操作。

最后,司某向杜某提供F开头应用程序软件并远程演示申请开设方法。两人利用长沙银行系统的漏洞,在长沙银行手机银行“e钱庄”系统内非法开立3353个手机银行账户,累计开设异常账户4万多个

两人共获利15万元,其中司某分得约7.5万元。(二审数字)

三人均被判刑

2019年7月前后,尚某等人的行为“东窗事发”,先后被刑事拘留。

经相关法院一审后,司某因破坏计算机信息系统罪,被判处有期徒刑五年,并没收违法所得的7.5万元。

尚某、刘某因妨害信用卡管理罪,均被判处有期徒刑三年,并处罚金2万元。其中尚某的有期徒刑三年,宣告缓刑四年;刘某有期徒刑三年,宣告缓刑三年,并没收违法所得160元。

案件虽然结束了,但仍留下了许多谜题:

为何由一群“高薪、高学历”精英搭建的APP,竟然会被几个文化水平并不高的小县城黑客突破?

尚某给出的技术和公民身份资料究竟是哪里来的?

尚某使用虚假身份证明骗领的信用卡有什么作用?

杜某等人出售的账号都卖给了什么人,被用作什么?

对于这些问题,裁判文书并未涉及,但值得深思。

风险提示及免责条款
市场有风险,投资需谨慎。本文不构成个人投资建议,也未考虑到个别用户特殊的投资目标、财务状况或需要。用户应考虑本文中的任何意见、观点或结论是否符合其特定状况。据此投资,责任自负。
4条评论
收藏
qrcode
写评论

icon-emoji表情
图片
4 条评论
MobileUser3546
举报

为了这点钱冒这些险,还是吃了没文化的亏

1
回复
1929
举报

谁说APP的一定要高精英写的,写代码根本可以不看学历

1
回复
未来末来
举报

fiddler

0
回复
见闻用户
举报

该软件为Fiddle,一个常用的抓包软件,可能长沙银行的网络协议未使用Https

2
回复