期貨交易的“木馬”黑客

孫康

2003年濟南市公安局刑警支隊破獲全國首起黑客非法侵入他人網(wǎng)上期貨交易賬戶、盜用資金、操縱期貨交易價格案件，斬斷了利用互聯(lián)網(wǎng)絡虛擬世界從事犯罪的黑手，是在新形勢下與高科技犯罪的斗爭中打的漂亮一仗。

黑 客 入 侵

2003年2月14日上午，齊魯期貨經(jīng)紀有限公司客戶楊某打電話到期貨交易部，稱自己的賬戶資金被他人盜用購入天然橡膠30噸。與此同時，廈門市某進出口有限公司負責人也打來電話，稱網(wǎng)上交易系統(tǒng)被侵入，賬面原有的橡膠合約全部被人平掉，以低于市價1000多點的價格開倉賣出天然橡膠650噸，被盜用資金超過千萬元。齊魯期貨公司立刻按規(guī)定為楊某平倉，當日造成賬面虧損達390萬元，下午不得不關閉了所有用戶的網(wǎng)上交易權限，致使期貨業(yè)內(nèi)一片恐慌。

這是國內(nèi)期貨業(yè)首次發(fā)生此類案件，幾乎沒有可供借鑒的偵破經(jīng)驗。專案組為了在短期內(nèi)熟悉案情，加緊學習期貨、計算機、互聯(lián)網(wǎng)等方面的專業(yè)知識。有時為弄清期貨交易流水情況，一份詢問筆錄偵查員就記了整整兩天。經(jīng)連續(xù)多個深夜的學習，偵查員們在案件定性方面達成了共識，對案件有了新的深層次的認識。

上海期貨交易所提供的2月14日的對賬單顯示，犯罪分子操縱的交易共10余筆，從中獲利的客戶超過100家。通過仔細分析交易委托流水信息，又發(fā)現(xiàn)了犯罪嫌疑人操縱他人賬戶、盜用資金的互聯(lián)網(wǎng)IP地址，系從北京市一家網(wǎng)吧申請，要從眾多的上網(wǎng)記錄中尋找線索無異于大海撈針，偵查工作一時陷入僵局。

峰 回 路 轉(zhuǎn)

專案組在困難面前邊學習、邊分析，經(jīng)過夜以繼日的努力，終于完成了對10余宗涉案期貨交易的100余名受益客戶的細致分析、排查工作，并取得了重大進展，確定了幾個重點嫌疑客戶。同時，在北京市公安局網(wǎng)絡監(jiān)察處的大力配合下，對偵查獲得的嫌疑網(wǎng)絡系統(tǒng)網(wǎng)內(nèi)登錄與期貨、證券相關網(wǎng)站的嫌疑用戶進行了重點監(jiān)控。

3月16日，偵查工作取得了重大突破。專案組經(jīng)調(diào)查得知北京某期貨經(jīng)紀有限公司客戶楊某軍、陳某勝在2月14日均有獲利，而此二人的經(jīng)紀人均為趙某波，另根據(jù)監(jiān)控顯示，北京市西城區(qū)一互聯(lián)網(wǎng)用戶被發(fā)現(xiàn)登錄期貨相關網(wǎng)站，而此用戶的聯(lián)系人也是趙某波。兩條線索在此交匯，犯罪嫌疑人終于浮出水面。

2003年3月17日下午，偵查員在北京市某期貨經(jīng)紀有限公司門前將趙某波抓獲。經(jīng)突審，趙某波對其犯罪事實供認不諱。通過對其暫住地進行搜查，查獲其作案用的計算機，并在其硬盤上恢復出趙某波為破譯他人賬戶及密碼而個人編寫“木馬”程序——“期貨精靈”。

“期 貨 精 靈”

趙某波，男，25歲，北京市密云縣人，2000年7月自北京市首都經(jīng)濟貿(mào)易大學統(tǒng)計系投資經(jīng)濟專業(yè)畢業(yè)后，一直從事期貨、證券炒作。該趙平日酷愛計算機，自學掌握了高級的編程技術和豐富的網(wǎng)絡知識，經(jīng)常自己編制一些期貨交易統(tǒng)計和其他方面的軟件。2002年12月，趙某波代理楊某軍、陳某勝兩名客戶的期貨炒作業(yè)務，因戰(zhàn)績不佳虧損一萬余元，賬面虧空無法向客戶交代，趙便萌生了編制黑客程序、竊取他人賬戶密碼、利用大戶的資金制造異常行情、自己從中漁利的惡念。在經(jīng)濟利益的驅(qū)動下，趙某波很快在家中電腦上完成了用來竊取他人賬號、密碼和網(wǎng)上交易系統(tǒng)配置文件的“木馬”程序的制作和調(diào)試，并取名為“期貨精靈”。

2003年1月底，趙某波來到北京一網(wǎng)吧，在國內(nèi)幾家著名的期貨BBS論壇都發(fā)布了極具誘惑性的帖子，稱只要下載附件中的“期貨精靈”，便可方便快捷地登錄國內(nèi)著名期貨網(wǎng)站、論壇和搜索引擎，功能強大。而實際上，一旦用戶下載并安裝這個僅有100K字節(jié)的小“精靈”，它便會自動在后臺運行，修改用戶微機設置，隨時監(jiān)控用戶交易情況，盜取用戶個人數(shù)據(jù)和信息，不定期的以郵件的形式發(fā)送到趙某波注冊的郵箱中。即使用戶點擊彈出菜單中的退出項，程序也仍在運行。

“期貨精靈”共為趙某波竊取三十多名用戶的重要信息，趙成功登錄了十多名用戶的帳戶。趙某波選取了幾個資金多、利用價值大的賬戶，于2月14日上午，在網(wǎng)吧利用假身份登記后，下載了交易系統(tǒng)、行情查看系統(tǒng)、在不同窗口打開需要操縱的客戶，然后經(jīng)過兩次拉抬、打壓“天膠”的價格達到了自己的目的，共盜用資金逾千萬元，自己獲利卻不超過5萬元，造成的損失無法估計。

此案線索主要來自互聯(lián)網(wǎng)登錄記錄、通訊信息，取證的關鍵在于恢復其黑客程序和完整的網(wǎng)絡記錄。通過對互聯(lián)網(wǎng)登錄記錄的分析，縮小了偵查范圍，明確了偵查方向。通過計算機技術手段，辦案人員恢復出黑客源程序、竊取的信息記錄及瀏覽記錄，結合犯罪嫌疑人供述，能夠證明其全部犯罪事實，形成了完整的證據(jù)鏈條。

鏈接

方琛團伙期貨盜碼案

2010年12月1日，上期所在對期貨交易進行監(jiān)控的過程中，發(fā)現(xiàn)客戶謝某在不活躍期貨合約上，與涂某等2個客戶賬戶多次進行對敲，并在事后快速轉(zhuǎn)賬取現(xiàn)，疑似轉(zhuǎn)移受害人賬戶資金，非法獲利7502.4元。12月6日，監(jiān)控又發(fā)現(xiàn)客戶馮某與另一客戶潘某賬戶在不活躍期貨合約上對敲，盈利9304元。2011年1月13日，監(jiān)控再次發(fā)現(xiàn)客戶王某與客戶王某某在不活躍期貨合約上對敲，盈利19060元。

經(jīng)調(diào)查，三起案件中的盈利方客戶均處于失聯(lián)狀態(tài)，且都在長沙某營業(yè)部開戶，而虧損方客戶均否認進行過上述對敲交易，并一致表示賬戶被盜用了。調(diào)查組認為，三起案件操作手法相似，均選擇同一品種的不活躍合約，在較短時間內(nèi)完成對敲交易。盈利方客戶完成對敲交易后即刻將保證金轉(zhuǎn)移至銀行賬戶，并迅速取款，從開始對敲交易到取款平均時間約為30分鐘。

2011年1月該案件移送至證監(jiān)會立案查處，隨著調(diào)查的逐步深入，嫌疑人方某逐漸浮出水面。調(diào)查發(fā)現(xiàn)，2010年11月至2011年1月期間，嫌疑人方某利用“大白鯊”“波爾”等木馬軟件從多名投資者電腦中盜取了期貨交易密碼，并借用王某、馮某、謝某的身份證先后在長沙某期貨營業(yè)部開立期貨賬戶，利用期貨遠期合約不活躍的特點，在控制的期貨賬戶與受害人賬戶之間多次對敲遠期合約，致使實際控制賬戶盈利，受害人賬戶虧損，達到侵占他人期貨保證金的目的。

本案中，嫌疑人方某等人利用木馬軟件盜取其他投資者的賬戶和密碼，并通過對敲期貨遠期合約非法獲利，是一種典型的盜碼交易行為。所謂盜碼交易是指行為人通過不同手段獲取期貨客戶的賬號和密碼，利用不活躍合約，在自己賬號和他人賬號間進行方向相反、價格相同的期貨合約對敲交易，通過高拋低吸方式轉(zhuǎn)移賬戶內(nèi)資金，以此盜取他人資金的行為。

在盜碼案件中，違法犯罪嫌疑人往往通過不同手段獲取期貨客戶的賬號和密碼，主要方式有：一是木馬盜碼，通過網(wǎng)站漏洞把盜號木馬病毒掛上網(wǎng)站，達到竊取他人賬號和密碼的目的；二是偷窺盜碼，即違法犯罪嫌疑人偷聽客戶談話，或偷窺到客戶記載的賬號和密碼；三是職務盜碼，有些投資者會委托專業(yè)人員為其操作期貨賬戶，在委托結束后并未修改密碼，專業(yè)人員將賬戶密碼泄露給他人。