【案例】黑客小伙入侵電商竊取化妝品送媳婦

編者按

近年來，黑客入侵APP，篡改數據的案例非常多，很多學習計算機專業的大學生利用自己掌握的技術手段非法獲利，給其他人造成不可估量的經濟損失。

90後小伙為了討媳婦歡心，侵入某化妝品公司銷售App後台，篡改數據後以幾分錢的價格騙購單價數百甚至上千元的化妝品，再讓他媳婦在微店上銷售。在短短20天內作案數十次，僅花了幾元錢騙購了價值數萬多元的化妝品。近日，該小伙以詐騙罪被提起公訴。

這樣的小伙是如何走上犯罪道路的，我們來回顧一下他的成長曆程：

儘管只有初中畢業，90後的他對計算機卻始終保持著濃厚的興趣，尤其喜歡打遊戲，對各類遊戲及後台的各種數據非常敏感。憑藉在網路遊戲方面的特長，成功獲得一家知名移動社交App公司的青睞，做起了遊戲安全員的工作，主要審查公司手機App上的遊戲是否存在外掛現象，月薪1.2萬元，並讓同樣愛好網遊的女朋友對其產生崇拜與愛慕。確立了戀愛關係。女友從2016年6月開始做某知名化妝品的代理，並通過微店進行銷售。

90後小伙見媳婦工作辛苦，掙錢較慢於是開始琢磨利用自己的「專長」幫女友低價進貨。2016年他侵入了該化妝品公司的銷售App後台，發現了漏洞。隨手杜撰了一個用戶名，用平板電腦在該化妝品公司的App上登錄並下單購買各種個化妝品等，待數據發送後，他立刻在他的台式電腦上，用平時工作中常用的截取數據軟體，攔截數據包，將其中一串數字中的0改為1，然後他發現App上顯示的商品單價從幾百元甚至上千元自動變成了幾分錢，這一次總價定格在幾角錢。為了不讓人發現，他以200元的價格從網上購買了一個支付寶賬號，用該賬戶付了款，同時，他又聯繫了平時一起打遊戲的外地網友，讓他幫忙代收貨。

因為用戶名、付款賬戶是杜撰的，收貨人和地址也無法直接查到他本人，他發現商家根本沒有發現價格上的貓膩。沒過幾天他又申請了新的賬號故伎重施。

該化妝品公司經營地在上海。2016年9月初，該公司在核對賬單時突然發現，8月份的網上銷售訂單有幾筆存在異常，每樣產品均以幾分錢的單價成交，而事實上，網上商品沒有一件是低於80元的。該公司就在內部先進行了排查，沒有發現員工內部賬戶進行登錄並修改的情形。更改網上價格，只有老闆的秘書或理有許可權，而這些人都否認改過。公司藉助伺服器租賃商的工具查找到有人在他們資料庫做了數據注入，最終導致訂單金額變更，經濟損失高達約7萬元人民幣。該公司馬上向公安局報了案，經過偵查人員的調查，最終抓獲罪犯。

實驗證明所有的APP總會在某個方面存在容易受到攻擊的安全隱患。現在APP很容易便能被入侵，客戶端很可能是最薄弱的環節，最有可能成為攻擊者的目標。

APP的開發人員是否採用方法來實現APP的逆向工程複雜化（代碼混淆或者打包）。否則，罪犯將很輕易就能看到APP的代碼，找到漏洞，並利用漏洞入侵。

APP是否檢查設備的root許可權。如果惡意軟體感染了有root的設備，那麼它將能夠做任何事情。在這種情況下，關鍵是要確定開發人員是否將用戶憑證以純文本的形式保存在設備上。

是否有驗證，向用戶展示APP的GUI（overlay 保護）。Android允許監視向用戶展示的APP，惡意軟體可以通過向用戶展示具有相同GUI的網路釣魚窗口並竊取用戶憑證來進行攔截。

是否有APP完整性驗證，例如APP是否能驗證自身代碼的更改。這關係到入侵者是否能注入他的代碼到APP，然後發布到應用商店，並保持原來APP相同的功能和特徵。

近年來，類似這樣的案例非常多，很多學習計算機專業的大學生利用自己掌握的技術手段非法獲利，給其他人造成不可估量的經濟損失。

我國立法在打擊計算機犯罪方面正不斷完善，既規定了非法侵入計算機信息系統罪，非法獲取計算機信息系統數據、非法控制計算機信息系統罪，提供侵入、非法控制計算機信息系統的程序、工具罪和破壞計算機信息系統罪，又對其下游犯罪——明知是犯罪所得及其產生的收益而予以窩藏、轉移、收購、代為銷售或者以其他方法掩飾、隱瞞的，以掩飾、隱瞞犯罪所得、犯罪所得收益罪定罪處罰。本案中騙購的商品也是犯罪所得，若其他人明知是犯罪所得仍進行掩飾、隱瞞的，也涉嫌犯罪。

界小編結語

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！