来源:国家商报
429个订单，涉及827个用户。24天内，27人利用Aauto更快平台的升级漏洞恶意盗刷，金额达672万元。北京海淀法院近日通报，该院以盗窃罪判处27人有期徒刑一年一个月至十一年半不等。该案主审法官表示，利用网络平台的漏洞，从黑色产业链中获利，是当前司法打击的重点。
27人不到一个月恶意刷平台672万余元。
Aauto Quicker APP是一个短视频平台，在中国拥有广泛的受众。用户可以在这个平台上以“打赏”的形式给别人送礼物或被别人送礼物。所有礼品都可以在名为“黄钻”的平台兑换成代币，最后通过微信支付平台提现。
2018年7月，Aauto Quicker系统升级时，提现系统出现了一个小bug。订单失败后，黄钻被撤回，并更快地返回到Aauto中的用户账户，但支付网关并没有停止转账请求，并继续尝试。在此期间，如果开通相应的微信账户进行实名认证，资金将更快地从Aauto中的企业账户转入个人微信账户，用户将获得提现，且不扣除黄钻。利用这个漏洞，27人在24天内从Aauto faster的827个用户的4629个订单中盗取了672万元。
被告人谢某等人利用其控制的账号的直播功能，先用相应的黄钻奖励对方2000元，然后用未开通或微信实名认证已取消的账号反复提交提现申请，并在短时间内开通微信实名认证。资金到微信账户后，很快被转出，通过绑定的银行卡进行第二次分配。
就这样，一条租号、打赏、提现、转账、取钱的黑色链条迅速形成并蔓延，直到Aauto Quicker公司汇总财务数据，发现用户提现金额与个税数据不符且提现金额明显异常，这一漏洞才得以纠正。
法院审理查明，2018年7月21日1时至2018年8月2日22时，12天时间内，仅谢某通过上述方式买入他人账户10组，累计资金125万余元。谢最终被罚款11万元，并被责令退赔经济损失125万余元。同时，谢等26人因盗窃罪分别被判处11.5年至1年1个月不等的有期徒刑。
网络漏洞形成的黑色产业链是司法打击的重点。
据法官介绍，Aauto Quicker的盗刷案并不复杂，但它给了民众，尤其是从事黑灰产业的人两个重要的法律提示:一是利用制度漏洞非法拿钱是犯罪，二是明知他人从事非法活动而有偿出租账号也是犯罪。
“薅羊毛”是一种与电子商务相关的互联网现象。一般来说，“薅羊毛”行为根据严重程度可分为三类:一是偶尔利用平台漏洞，根据平台优惠规则获取优惠供自己使用的普通用户；二是利用平台优惠规则疏漏，利用信息和技术优势，然后进行二次转售变现的“羊毛党”；三是利用制度漏洞恶意牟利的黑灰产链。上面这个在Aauto faster偷刷的案例属于第三类。
对于第一种行为，用户属于正常的消费行为，在法律、商业规则、市场规则的范围内，无需担心。其实这个层面的消费者的注意力应该集中在对自身权益的保护上，尤其是当损失是平台自身的过错造成的，消费者没有欺诈等心态的情况下。对此，不同平台有不同的回应，如Qunar.com、东航超低价机票订单因系统错误，最终宣布正常出票；但万豪酒店出现酒店订单错误，酒店最终取消了预订用户的订单，平台赔偿5000积分。
对于第二类职业“羊毛党”来说，明显恶意违反平台规则，钻制度空子的，属于民事法律关系中的不当得利，受损平台可以请求返还，而刑法的评价相对模糊，不能一概而论。但主观恶性大、违法所得数额较大或者影响较大的，也构成刑事犯罪。
对于第三种黑灰产链条，利用系统漏洞进行恶意牟利，是当前打击的重点。在这种情况下，出现了黑产的新动向:非法支付渠道转入普通个人账户。
一般来说，网络黑产的供应链可以分为物料、流量、支付三大要素，以恶意注册账号为物料的主要支撑，以虚拟商品交易为现金变现的主要渠道；在羊毛灰制作中，细化为卡商负责注册平台账号——网络黑客负责买卖“秒杀软件”——“羊毛党”负责在平台上使用——接收端负责在二级市场变现。
但随着各互联网平台尤其是几大互联网巨头对恶意注册的联合打击，技术壁垒越来越高，“留号”成本越来越高。于是黑产将目标锚定到普通个人账户，比如肖旭、胡某提供的账户，都是正常账户，技术上无法识别；这虽然为打击犯罪提供了便利，但也给追查上游犯罪带来了挑战。
