程序員居家隔離期間發現網絡安全漏洞 竟當成“財富密碼”騙得20余萬元

自學網絡技術，利用公司網站漏洞輕松獲取管理員賬號，從此他找到了“財富密碼”，陸續騙得20余萬元。“感謝檢察機關給我們提出的建議，幫助公司堵住管理漏洞。”3月18日，江蘇省江陰市檢察院檢察官丁曉偉來到被害單位愛麗公司（化名）開展“送法進企業”活動，將該公司存在的管理漏洞、風險點予以梳理，并提出有針對性的建議，預防利用網站漏洞導致的積分兌換詐騙案件再次發生。

尹立用詐騙來的錢支付該車的首付

會員登錄網站發現賬號被盜

愛麗公司是一家主要銷售女性用品的科技公司，張女士是愛麗公司的會員之一，按照公司運營模式，會員和公司之間是合作關系，“我們在公司網站上注冊會員，成為公司代理，然后從公司進貨。”張女士表示，產品賣出去后，其中的差價會以積分的方式返還給代理，積分可以兌換提現，1個積分就是1元錢。

2020年9月，張女士準備將積分兌換，在登錄愛麗公司官網時卻發現登錄失敗，無法正常進入個人信息界面，張女士隨即聯系了公司運維方，要求查明個中緣由。

運維方查看公司后臺后，發現了一絲不尋常。管理員賬號原本是由公司一員工使用，自其2019年12月離職后，該賬號便禁用了幾天，后由于工作需要，該賬號才繼續正常使用。就在張女士賬號被盜前幾天，有人使用該管理員賬號對張女士賬號進行了修改操作，修改完賬戶的原始名字、手機號碼、銀行卡等信息后，再從前臺登錄申請提現。

經過全面排查，公司發現共有15名會員信息被更改。發現情況不對后，愛麗公司向公安機關報了警。經分析研判，2020年12月，警方在湖北將犯罪嫌疑人尹立抓獲歸案。

自學網絡技術 偶然發現漏洞

1992年出生的尹立出生于湖北武漢，大學畢業后在深圳一家公司從事JAVA后臺開發，2020年春節回武漢后，由于突發疫情，尹立無法按時返回深圳繼續工作。

居家隔離的尹立出于興趣開始自學網絡安全、技術方面的知識，學習一段時間后，自認為“技術到手，天下我有”的尹立在互聯網上隨機尋找網站進行練手。2020年7月，在一次學習瀏覽時，他看到了愛麗公司的商城網站，認為網站有漏洞，為了測試一下近期的學習成果，尹立通過滲透技術，輕松獲取了該公司后臺管理員的賬戶名和密碼。于是，他使用管理員的賬號及密碼登錄網站后臺的財務板塊，看到了愛麗公司會員個人詳情、積分情況、關聯銀行卡等信息。

在好奇心的驅使下，尹立將其中一名會員的信息更改成自己親戚的信息，然后以更改后的會員身份登錄愛麗公司網站，申請會員積分提現。

在申請提現的過程中，尹立發現1個積分可以提現1元，為了避免被會員發現，他會挑選積分相對較少的會員賬戶進行操作、申請提現。愛麗公司財務人員收到提現申請，進行審查后便將錢款轉賬至尹立修改后的銀行卡里。此時，尹立就像發現了“財富密碼”，義無反顧地踏上了違法犯罪的道路。

更改會員賬號 兌換積分提現

為了能夠逃避法律的追究，尹立不使用自己的銀行卡、手機號碼，他向父母、親戚朋友借來銀行卡，從網上購買虛擬的手機號，用在更改的會員信息上。

尹立之所以能屢屢得逞，和愛麗公司的管理審核不嚴有一定關系。據愛麗公司負責人介紹，公司財務人員在審核積分兌換時，只審核會員姓名與銀行卡號，只要屬于同一人，就安排打款。

2020年8月至9月，尹立先后多次采用上述手段實施詐騙，共騙得愛麗公司20余萬元，詐騙來的錢被其用于吃喝開銷、償還小額貸款和買車首付。尹立到案后如實供述上述犯罪事實，退出全部違法所得。2021年6月1日，公安機關偵查終結后將該案移送江陰市檢察院審查起訴，10月13日，該案一審開庭。近日，法院以詐騙罪判處尹立有期徒刑二年九個月，并處罰金1萬元。

案結事未了，為了從源頭上堵住隱患，防止相同情況再次發生，針對案件中發現的管理漏洞、風險點，今年3月18日，江陰市檢察院依托建立的“精準普法月月行”機制開展了“送法進企業”活動，面對面提出建立完善的實質審核機制、開設后臺自動比對功能、加強賬號分類管理等8條建議。據了解，目前，該企業均已嚴格落實檢察建議。（文中涉案人物均為化名）

通訊員 劉穎潔 趙春燕 揚子晚報網/紫牛新聞記者 劉瀏

校對 徐珩