企業(yè)付款賬戶直接沿用系統(tǒng)默認賬戶密碼，“admin”作為賬戶號，密碼“123456”，這樣的設(shè)置在黑客看來宛若“裸奔”。

近日，上海浦東新區(qū)小陸家嘴地區(qū)發(fā)生一起入侵公司網(wǎng)絡(luò)系統(tǒng)實施盜竊的案件，損失高達730萬余元。

接報后，浦東警方經(jīng)縝密偵查，迅速鎖定嫌犯行蹤，組織警力分赴全國多地開展集中收網(wǎng)行動，通過72小時連續(xù)奮戰(zhàn)，成功抓獲非法侵入受害公司網(wǎng)站的劉某某、龍某某、金某某等15名犯罪嫌疑人，凍結(jié)資金476萬余元，繳獲現(xiàn)金180萬余元。

犯罪嫌疑人被抓獲。浦東警方供圖

代付系統(tǒng)遭入侵向7個賬戶匯款

2020年6月1日14時，浦東警方接到陸家嘴環(huán)路上一家公司報案稱，5月30日至31日期間，該公司自主研發(fā)的“代付系統(tǒng)”遭到非法入侵，并向該公司所屬銀行賬戶發(fā)出匯款指令，先后向7個銀行賬戶匯款共計人民幣730萬余元。

案發(fā)后，警方高度重視，浦東公安分局反詐打擊專班即會網(wǎng)安支隊、陸家嘴公安處等相關(guān)單位成立專案組，開展案件偵查工作。

初步梳理受害公司情況后，警方發(fā)現(xiàn)該公司雖然支付操作需與手機號綁定接收驗證碼，但并沒有采用有字母、數(shù)字、符號相互交叉的相對復(fù)雜和難于破解的強密碼，而直接沿用了系統(tǒng)默認的賬戶密碼。

鑒于該公司過于簡陋的防護措施，警方認為極有可能是外部入侵導(dǎo)致該案發(fā)生。

在該公司服務(wù)器系統(tǒng)后臺日志中，警方發(fā)現(xiàn)了外來入侵痕跡，通過數(shù)據(jù)梳理確認共有國內(nèi)外三個IP地址對“代付系統(tǒng)”進行入侵。

對方通過破譯管理平臺用戶名及密碼、下載客戶數(shù)據(jù)、破解“代付系統(tǒng)”客戶端平臺、修改用于驗證支付的手機號碼及支付密碼等操作掌控了資金流轉(zhuǎn)權(quán)限，隨后發(fā)送代付指令，從賬戶中盜走730萬余元錢款。

從取款“卡農(nóng)”深挖犯罪鏈條

鑒于曾有人于全國多地從收款賬號內(nèi)取現(xiàn)總計190余萬元，警方判斷涉案人員極有可能就在這些取現(xiàn)地點活動。

之后，警方通過比對數(shù)據(jù)分析以及收款賬號開戶人關(guān)系網(wǎng)絡(luò)，確認金某某等4人與案件有緊密關(guān)聯(lián)，是專門負責(zé)提供賬戶并實施轉(zhuǎn)款、取現(xiàn)的同伙。

6月2日，專案組兵分6路趕赴全國多地，對上述人員進行側(cè)面排摸，順利鎖定實施“黑客”入侵的龍某某以及張某、周某等負責(zé)網(wǎng)上洗錢的團伙成員身份判明行蹤。6月5日，專案組果斷開展集中收網(wǎng)行動，先后抓獲龍某某、金某某、張某、周某等10名犯罪嫌疑人。

到案后，龍某某交代自己系無業(yè)人員，但平日喜好網(wǎng)絡(luò)技術(shù)。5月31日凌晨，龍某某在網(wǎng)上收到一個名叫“張飛”提供的受害公司的賬號密碼，便對該公司后臺進行窺探并嘗試上傳木馬病毒控制網(wǎng)站。在成功登錄該公司“代付系統(tǒng)”后，龍某某向“張飛”提供了登錄系統(tǒng)客戶端的“后門”。

犯罪嫌疑人金某某等人交代，有一個叫做“阿強”的人聯(lián)系金某某，并索要多個私人銀行賬號供自己使用，承諾給予一定好處。5月31日，金某某在取現(xiàn)后，抽取5萬余元“好處費”后，將余下的185萬元現(xiàn)金藏匿等待下一步指令。

而犯罪嫌疑人張某、周某則表示，按照“阿強”的指令，將收到的錢款用于購買虛擬幣，并通過網(wǎng)絡(luò)轉(zhuǎn)給了“阿強”。

隨后警方根據(jù)掌握的信息，再一次開展大規(guī)模對比排摸，最終鎖定“阿強”“張飛”及其他相關(guān)人員信息，于6月19日將主犯劉某某等4名犯罪嫌疑人一舉擒獲。

14天抓獲了15名犯罪嫌疑人。“上海警察來得太快了，我都來不及反應(yīng)。”黑客龍某某面對“神兵天降”措手不及。

目前，警方已在犯罪嫌疑人金某某父親處繳獲現(xiàn)金155萬元，并凍結(jié)400余萬贓款，上述14人及金某某父親共15名犯罪嫌疑人已被浦東警方抓獲，案件正在進一步偵查中。

查獲的現(xiàn)金。浦東警方供圖

企業(yè)網(wǎng)站不報備一直在“裸奔”

反思該起黑客入侵盜竊案件，浦東公安分局網(wǎng)安支隊中隊長申屠柳焱指出，企業(yè)本身存在重大安全漏洞，并且未完成報備登記的義務(wù)。

“根據(jù)法律法規(guī)，企業(yè)重要網(wǎng)站上線30內(nèi)要完成報備，進行等級保護測評。”申屠柳焱介紹，而該企業(yè)為了降低轉(zhuǎn)賬手續(xù)費自建網(wǎng)站平臺，還沒有進行報備“體檢”，公安機關(guān)無法對此進行監(jiān)測。

上海浦東分局網(wǎng)絡(luò)與信息安全支隊稱，該公司自2019年五月份成立，近一年時間內(nèi)幾乎未購買任何網(wǎng)絡(luò)安全保護措施。換句話說，該公司一直處于“裸奔”狀態(tài)。

浦東警方表示，后續(xù)將對企業(yè)自身存在的違法行為進行處罰。