一夜蒸發(fā)的百萬存款

林莉麗

隔空取物，聽上去是武俠小說里才會(huì)有的高級“功夫”，事實(shí)上我們身邊也有這樣的“靈異事件”。但它并不是什么武功，而是極其惡劣的犯罪行為。這一次被犯罪分子盯上的，則是銀行卡里的存款。

所有存款一夜蒸發(fā)

江西省瑞金市年輕白領(lǐng)丁小姐，在新天地附近一家外企上班。2015年9月的一天清晨，她起床后看見手機(jī)上有兩條來自銀行和手機(jī)運(yùn)營商的短信，發(fā)送時(shí)間分別是凌晨3：43和4：12。第一條短信說的是她的招商銀行一網(wǎng)通在修改密碼，第二條是來自運(yùn)營商的短信，提示丁小姐開通了短信過濾和短信保管兩個(gè)功能。對于凌晨三四點(diǎn)正處于熟睡之中的丁小姐來說，根本不可能主動(dòng)開通這兩項(xiàng)根本不熟悉的功能。那么究竟是誰動(dòng)了她的銀行卡，并向手機(jī)運(yùn)營商開通了新業(yè)務(wù)呢？丁小姐驚醒之余，出于謹(jǐn)慎，她查了一下自己的銀行賬戶，瞬間驚出一身冷汗，賬戶內(nèi)10萬多元的余額在一夜間歸零， 但蹊蹺的是，銀行的余額變動(dòng)提醒她一次都沒有收到。丁小姐定下心神，馬上掛失了這張銀行卡，并撥打了 110 報(bào)警。

噩夢其實(shí)才剛剛開始。沒多久，丁小姐就收到她的另一張浦發(fā)銀行信用卡通過微信推送給她一條消息，告知她消費(fèi)被刷900多元。接著，驚魂未定的丁小姐接二連三地接收到類似的信息。更令她感到不寒而栗的是，掛失了這兩張卡之后，并沒有使自己的資金擺脫被劫的命運(yùn)。之后的48小時(shí)內(nèi)，她發(fā)現(xiàn)自己名下的另兩張儲(chǔ)蓄卡，在她完全不知情的情況下，又分別申請了兩筆貸款共計(jì)十幾萬，這意味著，她不僅金融身份被人盜用，所有的余額變動(dòng)，業(yè)務(wù)辦理等通知短信和動(dòng)態(tài)密碼也都被攔截了。一夜之間，丁小姐變得身無分文，還背上了高額的欠債。所幸，丁小姐立即致電銀行說明了情況，銀行暫停了此筆貸款業(yè)務(wù)。

隨后，丁小姐立即凍結(jié)了所有的卡，并一同關(guān)閉了微信、支付寶等所有的線上支付，但這些都不能消除她發(fā)自內(nèi)心的恐懼，因?yàn)檎嬲目謶智∏∈悄銦o法控制局面。丁小姐坦言，“事發(fā)后，我一開始都失眠，因?yàn)槲液芎ε拢恢绬栴}到底出在哪里，我的信息到底是在哪個(gè)環(huán)節(jié)被泄露了，而且這個(gè)泄露只涉及我的銀行卡嗎？還是我其他方面也會(huì)有問題？”

當(dāng)承辦檢察官向丁小姐了解案情時(shí)，她這樣說道：“從收到可疑短信，到自己所有賬戶被徹底洗劫一空，甚至欠下高額的債務(wù)，整個(gè)過程只有兩天，這期間我沒有點(diǎn)擊任何不明鏈接，平時(shí)也相當(dāng)注重網(wǎng)絡(luò)安全，所有涉及轉(zhuǎn)賬都用U盾，上網(wǎng)也使用專業(yè)版網(wǎng)上銀行……”那么她的密碼到底是怎么被破解的呢？回想起來，所有這些不可思議的事件都是從凌晨收到的那兩條蹊蹺的短信開始的。

野蠻“撞庫”和云端保存

據(jù)后來偵查發(fā)現(xiàn)，丁小姐收到的第一條短信是來自銀行的。也就是說在那個(gè)時(shí)候，犯罪分子已經(jīng)登錄了她的網(wǎng)銀，并試圖更改她名下儲(chǔ)蓄卡的關(guān)聯(lián)手機(jī)。那么她的網(wǎng)銀密碼又是怎么流出去的呢？這就是犯罪分子利用一些掃號軟件進(jìn)行撞（數(shù)據(jù)）庫獲取的?！白矌臁笔呛诳偷膶I(yè)術(shù)語，指的是通過掃描網(wǎng)站或者分析現(xiàn)有數(shù)據(jù)，嘗試批量登陸其他網(wǎng)站后，得到一系列可以登錄的用戶名和密碼。一旦這些網(wǎng)站的安全措施不到位，被攻破了，后臺的數(shù)據(jù)被獲取了，那么用戶的手機(jī)號碼和密碼組合就直接泄露了。這種所謂的撞庫，就是用不?？焖賴L試的方法，破解用戶的賬號和密碼。這種簡單粗暴的方法，直接獲取了用戶最關(guān)鍵的登錄信息，相當(dāng)于竊取了用戶的網(wǎng)絡(luò)身份。犯罪分子會(huì)根據(jù)軟件自動(dòng)記錄撞庫成功的手機(jī)號和密碼，把它們一一對應(yīng)起來，生成一個(gè)文本文檔。

就這樣，丁小姐的銀行卡密碼被犯罪分子輕易攻破了，但這還不足以使她的所有積蓄都一夜蒸發(fā)。犯罪分子要把錢拿到手，關(guān)鍵的一點(diǎn)還得突破至關(guān)重要的一把鑰匙：隨機(jī)的短信驗(yàn)證碼，這直接導(dǎo)致丁小姐會(huì)收到第二條短信。犯罪分子用丁小姐手機(jī)開通的短信過濾和短信保管功能，其中，短信過濾可以設(shè)置關(guān)鍵詞和來信號碼，這樣丁小姐就收不到所有的余額變動(dòng)通知和動(dòng)態(tài)驗(yàn)證碼了；短信保管則可以把用戶接收到的短信同步保存在云端，這樣一來犯罪分子就能進(jìn)入短信保管的保管箱，提取到這個(gè)動(dòng)態(tài)驗(yàn)證碼。如此一來，丁小姐的錢就這樣神不知鬼不覺地被轉(zhuǎn)走了。

自助換卡以假亂真

經(jīng)警方調(diào)查，類似的手法在全國已經(jīng)作案多起，這種新騙術(shù)手法簡單而隱蔽，如果不能盡快破案，將會(huì)演變?yōu)闃O大的金融安全隱患。就在警方馬不停蹄地調(diào)查取證的時(shí)候，升級版的作案新手法又出現(xiàn)了。這次的受害人陳先生是一名國企高管，他同樣損失慘重，在一夜間被轉(zhuǎn)走了28萬元。這里面1萬元是工資，還有27萬元是剛剛到期的理財(cái)。與此同時(shí)，全國各地還有幾名和陳先生同樣遭遇的被害人。令人咂舌的是，他們都發(fā)現(xiàn)了手機(jī)曾一度突然不在服務(wù)狀態(tài)。

原來，在警方的提醒下，運(yùn)營商發(fā)現(xiàn)安全漏洞，關(guān)閉了相關(guān)的短信過濾和保管功能。原本以為，犯罪分子會(huì)有所收斂，但他們又“開發(fā)”了全新的作案手法：換卡。犯罪分子攻破了受害人的網(wǎng)上營業(yè)廳之后，以受害人的“名義”申請了4G換卡業(yè)務(wù)。犯罪分子利用受害者的手機(jī)號和密碼登錄營業(yè)廳，申請升級手機(jī)SIM卡，而運(yùn)營商一般默認(rèn)登錄人就是持卡人本人，再加上隨機(jī)動(dòng)態(tài)碼的驗(yàn)證，因而跳過更多身份驗(yàn)證的環(huán)節(jié)直接就可以把卡快遞到指定的地址。這原本是一項(xiàng)便民的服務(wù)，但被利用，此時(shí)持卡人的登錄密碼已經(jīng)被攻破，驗(yàn)證碼和短信通知也已經(jīng)被攔截。所以新卡在持卡人毫不知情的情況下，被寄到了不法分子的手上。當(dāng)新卡一旦被激活，真正的持卡人手上的這張卡就自動(dòng)失效了。

攻破3.2億條個(gè)人信息

案件一個(gè)個(gè)地涌現(xiàn)，那么作案的犯罪分子究竟在哪里？錢又被他們轉(zhuǎn)去了哪里呢？警方調(diào)查后發(fā)現(xiàn)，丁小姐和陳先生的錢都被轉(zhuǎn)到了一個(gè)名為“章一丹”的福建省農(nóng)村信用社賬戶，然后在短時(shí)間內(nèi)又分發(fā)到了幾十上百個(gè)下級賬戶。這是典型的電信詐騙手法，這些賬戶遍布全國，追蹤難度極大，破案成本也相當(dāng)高。黃浦警方奔赴全國調(diào)取了相關(guān)賬戶的取款記錄和監(jiān)控錄像，在茫茫人海中鎖定了一個(gè)最有嫌疑的賬戶，并立即趕往海南儋州。

經(jīng)過仔細(xì)分析后，警方判斷對象很有可能再次取款，于是決定在附近守株待兔。就這樣，經(jīng)過好幾天的調(diào)查和跟蹤，黃浦警方終于抓到了本案的第一個(gè)犯罪嫌疑人，楊水建。但楊水建只是個(gè)取款人，他身后更隱藏著元兇巨惡。警方順藤摸瓜，找到了這個(gè)犯罪團(tuán)伙的其他案犯，唐春模、童可立和辛道煌。令人驚訝的是，這種不需要與受害人通話或短信，甚至也不需要受害人配合轉(zhuǎn)賬或點(diǎn)擊任何鏈接，便可以將對方的資金全部獲取的始作俑者，竟然是幾個(gè)初中學(xué)歷的80、90后。正是這幾個(gè)不起眼的年輕人，自2015年8月至9月，這短短的一個(gè)月期間，已經(jīng)從7名被害人的賬戶中轉(zhuǎn)賬或消費(fèi)人民幣170余萬元。

警方在抓捕其中一名嫌犯辛道煌時(shí)，他還正埋頭進(jìn)行數(shù)據(jù)撞庫和切割的工作。更令警方瞪目結(jié)舌的是，從嫌犯租賃的服務(wù)器上查獲了3.2億條個(gè)人信息，都是手機(jī)號碼、密碼、身份證等組合，而且全是他們掃號掃出來的結(jié)果。如果按照我國平均每人擁有一個(gè)手機(jī)號碼來算，3.2億條信息，意味著每四個(gè)人當(dāng)中就有一個(gè)人的信息已經(jīng)被泄露或者被攻破。這是一個(gè)海量數(shù)字，攻破這么多賬戶信息的竟只有四個(gè)人。

2016年11月，黃浦區(qū)人民檢察院對被告人童可立等四人以信用卡詐騙罪、侵犯公民個(gè)人信息罪提起公訴。起訴書指控的犯罪事實(shí)表明，被告人唐春模負(fù)責(zé)隊(duì)伍召集和統(tǒng)籌，童可立負(fù)責(zé)掃碼撞庫，辛道煌將他撞庫獲取的數(shù)據(jù)進(jìn)行分割整理剔除后，再交還給童可立，由童可立進(jìn)行具體的營業(yè)廳及網(wǎng)銀轉(zhuǎn)賬操作，非法所得分發(fā)到幾百個(gè)下級賬戶后，最終由楊水建安排馬仔進(jìn)行取款。今年5月24日，黃浦法院一審對被告人童可立、唐春模、楊水建三人以信用卡詐騙罪和侵犯公民個(gè)人信息罪兩罪判罰，分別判處十五年、十六年和九年有期徒刑；對被告人辛道煌以侵犯公民個(gè)人信息罪判處有期徒刑四年。至此，這一手法簡單而隱蔽，社會(huì)危害性極大的滬上知名電信詐騙案畫上了一個(gè)句號。

手機(jī)運(yùn)營商和銀行系統(tǒng)，是我們個(gè)人信息和財(cái)產(chǎn)安全鏈條中最重要的兩環(huán)。記得有人開玩笑地說，要想賬戶不被盜，最簡單的方式是不要開通網(wǎng)絡(luò)版和手機(jī)版，因?yàn)橐坏┒嘁粋€(gè)平臺，安全性就降低一分。但如今是信息飛速發(fā)展的時(shí)代，有多少人能抵擋住便利的誘惑，繼續(xù)耐著性子去營業(yè)廳排隊(duì)辦理業(yè)務(wù)呢？安全和便利，永遠(yuǎn)都是天平的兩端，任何一頭都不應(yīng)該被忽視。所以，要想大家的“辛苦錢”都不被賊惦記，無論是用戶本人、銀行還是運(yùn)營商，都必須扎緊籬笆，時(shí)刻提防不法分子的入侵。

編輯：成韻 chengyunpipi@126.com