黑客购买信息后攻破移动支付账号

三百余人信用卡被盗刷

办案民警搜查嫌疑人涉案赃物。 本文图片警方供图

窃取大量公民信息，“撞库”攻破300余人移动支付账号密码，犯罪分子盗刷账户内300余万元。

这是上海首例利用移动支付通道盗刷信用卡诈骗案。1月16日，记者从上海市公安局经侦总队获悉，近期上海公安机关在江西、湖南、四川、河南、江苏、浙江等六省分别实施收网行动，成功侦破这起诈骗案，一举抓获徐某、许某、段某等10余名犯罪嫌疑人，收缴作案用手机、电脑50余部，银行卡100余张，POS机70余台。

犯罪嫌疑人被警方抓获

窃取公民信息“撞库”攻破移动支付账号

据上海市公安局经侦总队一支队副支队长徐勤介绍，2017年4月，经侦总队接到报案，有不法分子利用移动支付通道盗刷他人信用卡资金，涉嫌信用卡诈骗。总队立即会同浦东分局组成联合专案组，开展立案侦查。

侦查员向资金流向涉及的电商平台，以及涉案POS机涉及的第三方支付机构获取盗刷交易相关数据，并以关键词为主要线索对全市范围内同类型案件串并，发现疑似被盗刷信用卡300余张，涉案金额300余万元。

经查，2017年3月至4月，以徐某、段某等人为首的犯罪团伙，通过张某等人非法购得大量公民信息，通过许某等专业编程人员编写黑客软件。此后，犯罪团伙利用上述非法获取的公民信息和扫码黑客软件，攻击移动支付平台数据库，非法获取平台用户的账号、登录密码甚至支付密码等信息。

徐勤表示，区别于一些常规银行卡案件，该案中不存在犯罪团伙直接接触受害人信用卡，而是犯罪团伙通过攻击第三方支付平台，使受害人支付平台账户所绑定的银行卡泄露，“等于犯罪团伙控制着你的信用卡，可以随意消费”。

徐勤特别提到，案件中许多受害人的常用网络账号密码都一样，这给了犯罪分子可乘之机。“比如，你的微博、微信和支付平台账号如果一样，一旦某个平台被攻破，犯罪团伙就可能通过该账号密码进行‘撞库’，从而攻破你的网络支付账号。”

警方介绍，在这起案件中，几种常见的支付平台皆有被“撞库”成功的情形。

警方收缴的pos机

套现方式：线上购物和线下盗刷

攻破受害人移动支付账号密码后，犯罪团伙通常通过线上线下两种方式套现。

徐勤介绍，在线上套现方面，以徐某为首的犯罪团伙利用上述信息成功登录移动支付通道的手机APP，通过电商平台的扫描二维码结算功能，疯狂购买各类易变现商品，如电子数码产品、充值卡、景点门票等。

而以段某为首的犯罪团伙，主要通过线下盗刷套现。犯罪团伙先根据窃取到的公民信息注册生成大量二维支付码，随后利用虚假身份购买大量pos机，通过pos机扫描支付码完成盗刷，成功将被害人信用卡内的资金转移到犯罪嫌疑人控制的结算卡内，最后再由犯罪嫌疑人章某等人通过全国各地的ATM机进行取现。

“现在确实存在一些pos机的登记和申领不完备，给了犯罪活动可乘之机。比如，有些商户和犯罪分子合作进行套现。同时，也有犯罪分子自己申领pos机进行套现。”浦东公安分局经侦支队副支队长单斌说，而最新的手法，还包括犯罪分子通过技术手段，把手机“变成”pos机，此案中，就存在一部手机可以“变成”十部pos机的情况。

目前，本案犯罪嫌疑人因涉嫌信用卡诈骗罪，已被公安机关执行逮捕。同时，公安机关已对公民信息泄露源头开展深入打击。

警方提示：一是切记不轻易泄露个人身份证号码、家庭住址、手机号码等身份信息，以及银行卡卡号、有效期、CVV码等银行卡信息，避免上述信息被犯罪分子获取后实施银行卡犯罪；二是使用信用卡在网上支付时，应正确识别经官方认证的正规互联网支付平台，远离不熟悉、非正规的互联网支付平台或非法链接，以防止银行卡信息被网络黑客窃取而被盗划资金。三是养成经常更改密码的习惯，尤其在遗失手机后，与手机软件绑定的信用卡密码要及时更换。四是外出消费时，不要使用存有大额资金的借记卡，尽量使用信用卡进行刷卡消费，并且在输入密码是注意用手遮挡，防止他人窥视，更不要将信用卡交给他人刷卡，做到卡不离身。

利用“美团”系统漏洞骗取平台退款 43名嫌犯被控诈骗近200万

近日，江苏省高邮市法院公开审理了一起利用美团网实施诈骗的案件，43名被告因利用美团网退款结算的漏洞，骗取退款近200万元，构成诈骗罪，分别被判处有期徒刑或拘役，并处罚金，其中有被告最高判刑12年。

根据美团外卖安全监察中心总监何亮介绍，在被告与商家结算的前一刻，与商家勾结，进行一个虚假交易，商家申请结算，所谓的“假冒的用户”申请退款，在系统还没有来得及检查的情况下，两个申请同时进行，导致了平台的损失。

原来，美团在消费者申请退款时会及时将款项退给消费者，但与商铺的结算通常都会采取按月累计结算，所以，只要在美团的结算日购买商品后立即申请退款，不仅买家可以收到退款，卖家也能收到美团的结算款，这就是系统的漏洞所在。因而，不法份子就瞄上了这一“发财捷径”，由所谓的“买家”联手卖家，找准时间结点，刷单，退券，结算，骗取大笔的结算款。

美团网和大众点评网都是“北京三快在线科技有限公司”旗下的网络平台。在两大平台上，正常的交易情况是，北京三快公司的销售员与两平台注册店铺签订协议，约定与商家的结算周期。比如，某个商家的结算周期为7日一结算，7月8日是该平台的结算日。某个消费者在7月7日晚上23时30分下单500元，支付成功之后，商家余额显示是500元，到了7月8日凌晨之后，商家就可以把这笔500元从余额里提现。但是，如果商家想把这笔钱提到商铺绑定的银行卡里，需要经过北京三快公司系统设置的“检查余额是否足以支付退款金额”的风险控制程序。假如这时消费者在此期间申请退款，商家同意之后，500元会退给消费者，这时该风险控制程序会检测到，因此，就不会打给商家。

而在2016年7至8月，美团网、大众点评网结算系统风险控制程序暂时失效。消费者只要在注册店铺结算日前一天下单、次日申请退款，北京三快公司在将消费款退还给消费者的同时，仍将该款项（扣除平台管理费）结算给商家。陈某就是利用了这个漏洞，先在美团下单付款，然后再申请退款，这样一笔订单就可以拿到两份钱。2016年8月11日，北京三快公司发现该漏洞，并发现有一名高邮籍人士伙同全国数十人人利用该漏洞骗取该公司钱款，遂向高邮市公安局报案。

美团网网络安全负责人表示，正好在结算的前一刻，他们串通起来做一个虚假的交易，商家申请结算，假冒的用户就申请，在系统还没有检查情况同时进行。

归案后，陈某很快交代了自己的多名犯罪同伙。后高邮警方经进一步侦查，确定全案犯罪嫌疑人的结构关系为——店铺注册人、店铺提供人、中间人、刷单手等，并按照该结构关系对相关人员展开抓捕行动。截至去年12月底，又有42名犯罪嫌疑人被抓或主动投案。年龄最大的今年48岁，年龄最小的21岁；其中有4人是在校大学生。分别来自江苏、安徽、浙江、重庆、广东、山西等10个省市。在整个犯罪团伙中，周某等43人分别担任店铺操作者、注册者、提供者、中间人、刷单手等。尽管后来美团网对漏洞进行了修复，但在此之前，这伙人已非法获利近两百万元。

高邮检察院检察官范协斌介绍，店铺的介绍者与店铺的操作者按照事先约定进行了分成，最多的分得了80多万。

这起案件之所以败露，就是缘于一家奶茶店老板不甘心拿小头，来了个“黑吃黑”。案发后，警方顺藤摸瓜，奔赴全国各地抓获了43名嫌疑人。

本案中，在极短的时间里，43个被告人总共涉嫌作案31次，骗得资金近200万元。被告人这种虚假交易的行为是一种针对美团网的欺诈行为，使得美团网陷入错误，从而同意了商家和“消费者”双方的退款，造成了美团网的财产损失，构成刑法第二百六十六条规定的诈骗罪。