支付漏洞挖掘

利用付费漏洞，半年赚了1300万，光打赏主播就花了400万。

作者|张浩东

生产|支付百科

今年8月，一名17岁的黑客因利用DDoS攻击中国南方航空公司的售票系统而被判4年。由于无法处理大量请求，中国南方航空公司的售票系统崩溃了四个小时。

不仅黑客会入侵金融机构的系统，即使没有技术背景，也发现了第三方支付平台的漏洞，非法获利后被法院判刑15年。

01

利用漏洞拿钱

2015年，只有20岁的小安开了一家网店和游戏工作室。他的主要业务是帮人管理一些软件，代人向会员收费。他的月收入能达到五六千元，业绩好的时候甚至能拿两万。

有一次，小安帮人充值会员时，无意中发现了第三方支付平台的漏洞。当他的支付账户余额不足时，他在购物网站上购买了一张会员卡。系统显示交易成功，但是客户说没有收到会员卡。购物网站向他发起了退款。

就这样，安的付款账户莫名其妙地被充了120元。清空空支付账户里的钱后，经过几次反复测试，购物网站也推出了退款。安觉得自己找到了赚钱的捷径。

由于大部分人在使用支付软件时都会绑定银行卡，如果账户余额不足，会直接从银行卡里扣钱。但是，小安并没有绑定银行卡，机缘巧合，他发现了这个漏洞。

比起每个月挣五六千元，小安更想发大财。他先一次性买了十张会员卡，非法所得1200元。此时的他已经没有心思继续经营网店，每天靠钻空子拿钱为生。

当警察抓住小安时，他们只缴获了300多万元现金。但经警方核实，该案作案时间为2015年11月至2016年4月。在半年左右的时间里，小安盗得1300多万元，其中1000万元已用于各种消费和奖励。

小安没有用这笔钱买房买车，也没有去高档场所。充值网游和打赏女主播是小安的主要开销，每笔打赏都有数万元，最高的一笔直接打赏8万元。短短几个月，主播累计打赏金额超过400万元。

警方依法以盗窃罪逮捕了他。法院最终判决小安犯盗窃罪，以非法占有为目的盗窃被害单位的财物。数额特别巨大，依法判处有期徒刑15年。

02

面临法律的严惩

近年来，利用支付平台、银行等金融机构的漏洞非法获利的案例不在少数。在他们的背后，不仅是一些机构风控管理的缺失，也可以看出用户法律意识的淡薄。

随着科技的快速发展，第三方支付平台和银行电子产品越来越多，网上银行和手机银行的功能也在不断创新，竞争越来越激烈，各种软件漏洞带来的风险也在加速暴露。

此前，招行因为系统问题，未能有效监控持卡人的虚假交易。招商银行某持卡人通过构造虚假商户申请了多台品牌POS机，然后利用这些POS机进行虚假交易，从而获得信用卡积分。

与大多数人的流动资金需求不同，持卡人不需要将信用卡中的资金转入借记卡，而是在每笔交易完成后发起退款，这样就可以在不支付手续费的情况下频繁骗取高额信用卡积分。

持卡人非法获取的信用卡积分兑换星巴克、SPG、南航、航空空里程、酒店积分等高端权益，最低兑换成本132244.03元。

作为用户，虽然可以利用漏洞获取非法收入，但不能一直存在。支付机构和银行发现后，不仅要修补漏洞，还要因为用户不能继续走“捷径”赚钱而面临严重的法律后果。

以盗窃罪为例，根据《刑法》第二百六十四条，数额巨大或者有其他严重情节的，处三年以上十年以下有期徒刑；数额特别巨大或者有其他特别严重情节的，处十年以上有期徒刑或者无期徒刑。

对于新兴的互联网金融企业或银行等传统金融机构，要想从根本上解决各种漏洞，就要不断升级系统的安全等级，更新安全措施，抵御各种非法入侵。