漏洞，漏洞，漏洞……——从一桩银行卡案往深处看去
作者：胡发云
|
|
|
|
| |
|
|
| |||
|
|
| |||
|
漏洞，漏洞，漏洞……——从一桩银行卡案往深处看去
作者：胡发云
|
|
| ||
|
| ||||
|
| ||||
|
漏洞，漏洞，漏洞…… ——从一桩银行卡案往深处看去
年快过完了，给大家拜一个晚年，并用这篇文章，给大家提个醒，在一个漏洞百出又无健全保障的世道，每个人只有尽力保护好自己。 下面贴出这篇文章的完整稿。
2009年3月20傍晚，发现我的手机屏幕上出现了几个字“ISIM码出错”，不能打出也不能接听。上网一查，说卡坏了，或手机欠费。第二天上午，去楼下一家联通营业厅询问，营业员告知，我的手机昨天中午12时左右在汉口新华下路联通营业厅已被换新卡，老卡作废。申请换卡人叫胡丽，自称是胡发云的女儿，我说我没有女儿，也从来没有委托任何人帮我换卡。光谷营业厅让远在三十公里之外的汉口新华下路联通营业厅发来自称胡丽者和她父亲“胡发云”模糊不清的身份证复印件，两个人都从未见过。我的手机号属于靓号，这家营业厅没有资格办理补卡，更没有执行一般补卡的一系列规定，如必须本人办理或本人委托办理，交出旧卡、近两个月缴费清单、非原始密码和最后5次以上通话记录。从传真件上看，补卡人出示的身份证信息和我预留的信息有多处不符。办卡人相貌和我预留的身份证照片差异很大……就在这样的情况下，联通营业厅轻率给对方进行了补卡(应该叫盗卡)。 一张指甲盖大小的手机卡，往下会引出什么样的故事呢？
我让营业厅调出换卡人在换卡之后的通讯记录，仅有的几条记录全是打给招商银行电话银行95555的。此时，我已经预感到，此次被人非法换卡，可能涉及到我招商卡的存款。光谷联通营业厅在我出示完整证件后及相关资料后，重新给我换卡，恢复我的手机通话。我打电话给招商银行，对方说我的查询密码和取款密码均以被更换，不能进行任何操作，并告知我的账户上已经被划走22万元。 数年前，在招商银行工作人员热情推荐下，开通了电话银行服务，此项服务指定由我的手机和住宅电话进行操作，也就是说，此时的手机和宅电，除了通话，还成为银行认定持卡人身份的一个ID，与密码一起组成开启金库的钥匙。
我是一个保密意识较强的人。事发前不久，存入一笔款项回到家里之后，随即又更改了密码，并将银行卡放入保险箱，从此在没有任何操作。犯罪嫌疑人是如何修改或更换了我的密码的？如果他已经知道或破译了我的密码，在短暂而宝贵的犯罪时间里，完全可以直接划款，为何要耽搁时间冒风险去修改密码？如果不知道我的密码，他又是如何仅仅只通过电话就修改了密码？招行答复，他们只能查出嫌疑人进行过密码修改，如何修改的他们不能得知。近年来，媒体也不断爆出用户密码失窃导致存款被盗划的新闻，此类事件，疑点多多。案件审理过程中，我得知，每一个招行的持卡人，他的存款及交易信息，都被自动上到招行网上银行大众版。进入个人信息栏，只需卡号和密码，而要破解网上银行那种六位数的密码，就比在取款机及其他场合获得要容易得多，也安全得多。
让我震惊的是，我的银行卡上除了一万多元是活期，其余都是定期，那些定期存款是如何被转走的？当我询问招行时，招行答复，定期存满年限之后，持卡人如果没有操作，便由银行自动转存为下一个年度的定期，但是这个定期，可以在电话银行中由持卡人自行转为活期，也就是说，只要掌握了卡号和密码，可以在任何时候将转存后的定期变为活期。而这些规定，招行从来没有对我进行告知。我问，这样的定期还定吗？对方说，你可以在定期期满之后，取出再存，这样就不会被人划走。于是，你必须永远牢记期满的时间，因为过时一分钟后，它就是活期了。很可能在你去银行的路上，它就会被别人转为活期而划走。
22万元的电话银行诈骗案，按数额已是大案，按性质，是一种新型案件。我分别到银行卡开户行所在地和我居住地的两家公安机关报案。也履行了一系列法律手续。但他们对于这样类型的案件，显然缺少相关的知识和经验，作为报案人，我不得不常常充当破案人的角色，甚至在取证的时候，我得事先带好U盘，移动硬盘，数码相机，录音笔等等下载、记录工具。据警官们说，这些现代玩意他们都没有。将截获的录像、录音资料拿回到公安机关查看的时候，他们连播放软件都没有。局长接见过我，说曾召集他们几个警官开过会，要把此案作为大案要案来抓。不久后，倒是他老人家自己因贪腐问题被抓了进去。而这时我才知道，此案在热闹了几天之后，早已偃旗息鼓，连案都没有立。继而听到这位局座对他的下属说，听说这个胡发云，参加了一个什么县长的签名。似乎是说，这样的人，我们如何还给他破案？两个涉案单位联通和招行，也一直无意报案。直到一年多之后，招行一位副行长来见我，说此案他们可能要输，已经报案了，希望给他们提供破案线索。此时，离案发已经一年多。我想，嫌疑人怕已经用这笔钱做了整容远走高飞又去干更大的事业了。
在警方配合下，我拿到嫌疑人电话转款的录音，接线员小姐那温柔殷勤的语音，却听得我毛骨悚然。我想如果有一天嫌疑人被抓，他最痛恨的可能就是这个几乎是一步一步引领他完成犯罪的小姑娘，在他的应答不断出错，连银行电脑系统都发出警示的情况下，她依然一步一步放行，有的时候几乎是要告诉他如何答了，摘录如下： …… 女：您好。转账收款方是谁呢？ 男：收，收款人叫宋单花。 女：宋是哪个宋呢 男：宋朝的宋。宋朝的宋. 女：嗯 男：单双的单。 女：嗯?是丹青的丹吗？ 男：丹青的丹。对。 女：哦 男：花是花草的花。 女：她账号是多少？ 男：6225 女：嗯 男：8812 女：嗯 男：7285 女：嗯 男：4521 女：嗯，您说这个单是是宋丹丹的丹吗？ 男：对对对，单双号的单。 女：哦，单双的男：单双号的单。 女：请问转账金额是多少呢？ 男：我这个账户的话最多今天能够转多少呢？ 女：（胡发云按：这些问题她前面已经问过，现在显然已经生疑）您自己……请问您的姓名？ 男：胡发云 女：您是卡主本人吗？ 男：对啊 女：您的身份证号码是多少？ 男：我的身份证号码是吧？ 女：对 男：那我要看一看 女：好 男：420*** 女：嗯 男：19** 女：嗯 男：**** 女：嗯 男：0010（胡发云按：与开卡时预留的不一样） 女：您的限额是无限额的，因为你当时自己设制的这个是没有最高的限额。 女：23万，好 女：您这个活期余额不足了，您的账上的余额是22万1千零3元零4分 男：哦，那就转22万元吧女：好女：系统提示您这个属于大额转账，需要进行身份验证 男：嗯，好的 女：好，刚才报的就是您的身份证号码，我跟您核对一下 女：（胡发云按：接线员自己主动为对方报出身份证号）***********对吗？ 男：对的 女：请问下您第一次领身份证的城市是在哪里呢？ 男：武汉哪！ 女：好，您在招商银行除了刚才这张金卡还有别的一卡通吗？ 男：还有什么别的一卡通什么意思啊？ 女：对就是在招行有几张一卡通呢？ 男：这张是金卡啊。 女：嗯，除了这张金还有别的吗？ 男：应该没有啊女：确定吗，之间有没有办卡销户这种情况呢男：那我怎么记这么清楚年纪这么大。 女：是这样的胡先生，就说您就打个比方就说，跟招行一直以来，从刚才除了这张金卡之外，有没有说办理这张卡销过户啊或者是有别的？就是除了这张金之外，还有招行其它的储蓄卡这种情况呢？ 男：应该没有，我就办了这么张金卡。 女：用您这种名义下都没有办过吗？ 男：应该没有。 女：您确定是吧。 男：是的。 女：那系统提示这个信息不正确！ （胡发云按：系统上有我另外一张与主卡绑定的银行卡，这张卡一直在使用。） 男：那以前办的我也记不是很清楚啊。 女：那您的意思是之前有办过然后不记得现在到底 男：我不记得销了户没有因为时间可能有点长嘛 女：哦，这样子，那我给您提一下新问题？ 女：请问下您登录这张卡就是刚才这张金卡您留下的联系电话是多少呢？ 男：联系电话是我看一看啊…… 女：好 男：8751 女：嗯 男：等一下啊87510608吧……好象是（胡发云按：嫌疑人报出的电话错误。） 女：有没有留别的电话呢 男：当时留的手机和固定电话啊 女：手机号码是多少呢？ 男：就是我这个本机号码啊 女：您报一下号码好吗？ 男：就是1301***， 女：嗯 男：80*****啊 女：好，身份验证成功通过了。非常感谢胡先生您的配合。那我继续为您办理这笔转账业务…… 男：好的女：稍后看一下短信息。 男：好的。 (胡发云按：由于嫌疑人是单机操作，当对方给他发来授权码的时候，他不得不挂机查看，但是此后他已经没有可能再与上面那个接线员联系。过了几分钟，接线员竟主动给他打来了电话。) 女：喂您好。请问是胡先生吗？ 男：对，是我， 女：胡先生您好，这里是招商银行电话银行中心，我的工号是6917，打扰您了， 男：好的 女：刚才您来电转了一笔账但是没转出去就断线了，对吗？ 男：对对对那个验证码的问题我刚才看了一下短消息短信息吧 女：好，那您输入查询密码，重新帮您做一下…… 男：嗯，好的女：转账已经成功了，您可以让对方注意查收了男：好的谢谢你女：不客气欢迎您再次来电。 我想，到此刻，嫌疑人一定有了一种绝地重生的感觉。
22万元顺利打入“宋丹花”卡上，她迅即开始了洗钱行动。 2009年3月20日14点05分，“宋丹花”在武汉市江汉北路的华泉货币商店极其利索地购买了一块155085元的金砖，紧接着又到不远处的世贸大厦内另一家华泉货币商店购买了一块44480元的金砖，然后在不同地点的取款机上，分数次将余下的两万多元取走。从补卡，转款到购买金砖、提取现金，整个作案过程，只用了两小时左右。 冒名“宋单花”的犯罪嫌疑人在看金货，她以极短的时间完成了刷卡购金的动作。 我和两位警官来到华泉货币商店。一进店门，便可以看到液晶显示屏上“金条双向买卖随时变现”的大幅字样。又在他们柜台上看见一种“回购单”，表明出售金砖可以随时回购。警官提出要调看监控录像时，店员说她们的负责人旅游去了，他回来才能决定。我们又赶往设在世贸大厦的另一家华泉货币，店内外有好几处摄像探头，店员说监控设备在金库里，不让进去。世贸大厦大楼内外也装有各个角度的监视器。两位警官与世贸大厦负责人联系。对方让我们等候。我第一次看见警方在强势集团面前的无力感。他们抽烟，等候，等候，抽烟，这一等候就是两个多小时。最后得到的答复是负责人已经不在了，择日再来。一位身份不明的人说，我们要看的那几个机位，摄像头坏了。 面对这种傲慢，冷漠，甚至有保护罪犯之嫌的态度，警方一句重话都没有，怏怏打道回府。而那个外出旅游的金店负责人，就再也联系不上他了。 幸好在此之前，我已经通过别的渠道，弄到了部分录像视频，可以清楚看见那个身材高挑，模样端庄，干事冷静利索的女嫌犯。据营业员陈述的情况，她应该和补卡是同一个人，只是在购买金砖的时候戴了假发。 有录音，有录像，有签名，有几张不同的身份证，有嫌疑人用不同电话与银行联系的记录，还有营业员的口述——如果再进一步取证，还可以调出取款机，银行办卡窗口及相关街道的录像资料……这比一般说的蛛丝马迹要多得多了。几天后我去电询问案情进展，对方似有为难之处，语焉不详，个中原因，我是很久以后才知道的。但是案子大约是停了下来。我说，我个人的损失，已经在通过民事诉讼解决。我所以关注并配合刑事侦查，是因为这桩案件涉及到许多电话银行用户的利益。
被告方一直强调我泄露了个人信息，应负全责。有位代理人更说，不排除原告与嫌疑人串通，诈骗银行钱财的可能性。要不然，人家怎么会知道你那么多信息呢？我说，这个问题首先要问的是你们这一类单位，手机办卡，银行开户，加入某种金融活动，都要填写一大堆表单，还要附上身份证复印件……上面除了密码没有（有些密码的元素就已经包含在里面了，如生日，电话，住址门牌，开户日期，常常被一些记性不好或偷懒的人拿来做密码。），你们是如何保护这些客户的个人信息的呢？怎么会有那么多房产商，汽车销售商，保险公司知道我的电话呢？我说，就在近日，我接到新浪读书频道的一份有偿使用我作品协议书，要我提供和填写的资料——除了密码之外，包括这个案子的犯罪嫌疑人所需的一切。所有这些掌握我们个人信息的单位，又是如何对我们负责的呢？在一个第二代身份证刚刚出来，就出现了连银行和通讯部门都无法鉴别的伪造品的社会，我们的身份信息还有什么意义？
终审判决，联通赔付30%，招行赔付70%。熟悉司法的朋友们都很庆幸，说和这样的单位打官司，能有如此结果，可以说是完胜。我纳闷了，这22万元人民币本来就好好地躺在我的银行卡里，侵权单位只是让它再躺回去而已，又不是白给我。况且折腾了16个月，律师费、交通费、误工费、资料费、16个月的利息费，还有中国人向来视之若无的精神损失费，这些法律都没有支持。我说，如果是一个靠这笔钱治病的，因为耽搁而死去，是不是也算完胜呢？而对于这些单位来说，只是从那一长串资产数字中，拔下几根毫毛而已。友人说，得了吧，和这些单位打官司，老百姓很少赢的，连取证都没门。
虽然两家单位已经对我进行了赔付，但是我依然对你的这个冒名者和你的女伙伴怀有兴趣。老实说，你们的素质并不高，你们本应该做得更好。但是，在中国，当一个犯罪分子简直就是一种幸福，你看，你们一路顺风顺水地干着违法的事儿，一路都有贵人相助。伪造二代身份证，用伪造的身份证去银行开户、去电信营业厅补办手机卡，用盗卡手机敲开电话银行大门，应答错漏百出，依然被人引领走出险境，直到电话中断，人家还追打过来，接着给你补办。然后购金砖，取现金，然后扔掉手机卡，消失在大武汉的车水马龙中。一应相关单位，像当年老百姓保护八路军一样保护你们，连公安部门都不忍为你们立案……你们真的应该心生感恩之情。事到如今，我倒想给你们说说另一些话，或者说给你们支一支招，我不是想当一个教唆犯，而是对于眼下那些狂妄又麻木的集团，我们只有道高一尺，才能迫使他们魔高一丈，一个真正强大的单位或社会，是在挑战和攻击中成熟的，就像那些跑得最快的角马，是被狮子的利牙训练出来的一样，这样才有一个种族生生不息的繁衍。 你们很聪明，选择了一种低成本，小风险，零接触的崭新作案方式，可以说，在作案成功之前——也就是转账完成之前，你们几乎没有什么风险，比那些拦路抢劫，入室偷盗，性价比要高得多。但是你们技术上，心理上都很不成熟，连那个殷勤得让人心疼的接线员都听出几分端倪来了。第一，作案之前，要做好充分的资料准备，将对方的所有个人信息掌握准确周全。补卡之前，准备好缴费清单，通话记录（这个并不难，你们连二代身份证都已经做出来了。）最好是当事人直接经办，即便败露，一般来说，对方不会多事。让你走人而已。第二，套取或破解密码之后，无需进入人工服务，这样是会录音的。用自动语音一样可以转款。你就不至于暴露自己的声音，现在科技发达了，声纹也会成为破案依据。第三，提前准备好打入款的银行卡，最好在外地，越远越好。跨省侦察一直是公安机关的软肋，起码可以争取更多的时间。第四，作案时间要选择在周末、节假日或深夜，电话银行是24小时工作的。第五，至于洗钱，购买金砖依然不失为一种选择，安全时，可以立即卖出，危险时，藏之深山，要花小钱，敲打一些下来，也很方便换取现金。当然，也可以将款打往国外。第六，在可能有监视器的地方，注意伪装或遮掩自己的面部，像这一次，男的声纹，女的面容都已经被记录下来了，总是一种隐患。如果警方发布了通缉令，你们可能已经在大牢里了。第七，如果你们的技术水平更高一点，可以先从从容容做好一系列案头工作，选择更有油水的对象，在一个较为安全工作时间段里，批量盗划，然后一劳永逸。最后一点，你们最好寻找那些有难言之隐，被盗划之后又不便报案的人。不要再找我这样的，没有多少钱，又特别较真，并对此类事情充满了好奇心的人。 这些忠告，是对你们说的，也是对银行卡用户说的，更是对那些相关单位说的。这样的世道，有什么不会发生呢？我们只有更多地自保。
一个不认真的社会是滋生漏洞的沃土 http://law.cyol.com 2011-02-10 10:59:15 今天的法治版头条刊《一桩银行卡案背后的那些漏洞》发了武汉作家胡发云寄来的一封读者来信。来信讲述的银行卡案不是他的创作，而是亲身遭遇。 从手机号码被未尽核实业务的营业厅补给了犯罪嫌疑人，到电话银行的接线员“带领”嫌疑人完成转账操作，作者用亲身经历的22万元巨款被盗走的遭遇告诉我们，我们都听说过的银行卡相关的犯罪案件其实离我们并不远，因为嫌疑人能够涉险完成每一步都有赖于一个一个的漏洞。 从我们的姓名，身份证复印件，电话号码，家庭住址等个人信息被泄露，变得毫无隐私可言，到看起来十分严格而科学的规章制度不能被严格执行，再到商业竞争下服务人员热情有余而保密意识略显淡薄……这一连串的漏洞就像是为犯罪分子准备好的捷径，他们只要顺着这些漏洞，就可以又快又安全地实施犯罪行为。 作者和编者希望借这封来信给各位读者提个醒，要尽可能的保护自己的隐私，在大环境和小环境没有做好准备应对信息泄密之前，可以和那些高科技保持一定的距离。 此外，我们还希望我们的社会有一天可以变成一个“较真”的社会。较真可能牺牲一点效率，但是，那也要比漏洞百出损失不断要好。因为，漏洞不补，就还会有羊要亡。在一个不太认真的社会里，我们每一个人都可能成为那只亡的羊。
胡发云文集：http://www.hxzq.net/showcorpus.asp?id=13
| |
|