華夏銀行技術(shù)處長(zhǎng)給系統(tǒng)植入病毒 ?以測(cè)試BUG的名義上千次盜取資金

每經(jīng)記者 胡琳    每經(jīng)實(shí)習(xí)編輯 盧九安    

圖片來(lái)源：攝圖網(wǎng)

近期，《每日經(jīng)濟(jì)新聞》記者注意到一起程序員利用銀行職務(wù)之便，將自己寫(xiě)的“計(jì)算機(jī)病毒程序”植入總行服務(wù)器。在1年多時(shí)間，該程序員利用漏洞多次跨行ATM機(jī)取款，涉及金額高達(dá)700余萬(wàn)元的案件。

案發(fā)后，該程序員一再堅(jiān)稱，他只是在未報(bào)備的情況下違規(guī)進(jìn)行了銀行漏洞測(cè)試。究竟是程序員“單純”的測(cè)試BUG，還是秘密竊取銀行財(cái)物呢？

被懷疑后謊稱是做測(cè)試

43歲的覃其勝曾是華夏銀行科技開(kāi)發(fā)中心開(kāi)發(fā)四室經(jīng)理，擁有讓人羨慕的工作和家庭；但是他口中所謂的測(cè)試系統(tǒng)漏洞，卻掩蓋不住秘密竊取銀行財(cái)物的事實(shí)。

在北京市朝陽(yáng)區(qū)環(huán)球金融中心華夏銀行科技開(kāi)發(fā)中心內(nèi)，覃其勝偷用他人賬戶，進(jìn)入華夏銀行核心系統(tǒng)植入其編寫(xiě)的“計(jì)算機(jī)病毒程序”。該“計(jì)算機(jī)病毒程序”可以讓他控制的華夏銀行卡夜間跨行ATM機(jī)取款不計(jì)入該卡賬戶。通過(guò)漏洞，覃其勝在2016年11月至2018年1月之間，通過(guò)1000多次跨行ATM機(jī)取款，將銀行資金共計(jì)人民幣717.9萬(wàn)元轉(zhuǎn)入其控制的銀行賬戶。

而這一年多的時(shí)間，覃其勝一直在所謂的測(cè)試系統(tǒng)漏洞。測(cè)試中涉及的資金本該設(shè)立專門(mén)賬戶保管，但是覃其勝直接將資金取出后自用，直到一年后，華夏銀行發(fā)現(xiàn)問(wèn)題。

華夏銀行分管信息技術(shù)部、開(kāi)發(fā)中心的首席信息官王某稱，初步核查發(fā)現(xiàn)，有人通過(guò)木馬程序在生產(chǎn)系統(tǒng)中通過(guò)ATM機(jī)非法盜取銀行資金，涉案700余萬(wàn)元。案件發(fā)生地正是北京市朝陽(yáng)區(qū)環(huán)球金融中心華夏銀行科技開(kāi)發(fā)中心。

華夏銀行發(fā)現(xiàn)問(wèn)題后找覃其勝談話，覃其勝謊稱在測(cè)試是否存在漏洞。覃其勝說(shuō)，在系統(tǒng)里放了一個(gè)測(cè)試程序，通過(guò)該程序，他實(shí)際操作用銀行卡跨行取現(xiàn)。

王某稱，按照華夏銀行規(guī)定，測(cè)試有可能會(huì)在生產(chǎn)環(huán)境里做，但需要有相應(yīng)的報(bào)告、專門(mén)的流程；由專門(mén)的部門(mén)來(lái)做，不會(huì)由覃其勝來(lái)做。“實(shí)際測(cè)試會(huì)根據(jù)不同的要求來(lái)確定取現(xiàn)金額，覃其勝的行為已經(jīng)嚴(yán)重違反規(guī)定，不符合測(cè)試的規(guī)范要求。”

到這個(gè)時(shí)候，覃其勝仍堅(jiān)持表示，這事本身比較復(fù)雜，工作量也大，認(rèn)為上報(bào)了銀行也不會(huì)關(guān)注，就沒(méi)有匯報(bào)。

覃其勝稱，他從2016年11月開(kāi)始取款，一直到2017年10月；取款會(huì)有取款成功也計(jì)入到賬戶的時(shí)候，所以取款數(shù)目不定，有時(shí)每日取5000元、有時(shí)取2萬(wàn)元；一共取了1000多筆，共有719.2萬(wàn)元。

被判處有期徒刑十年六個(gè)月

北京市朝陽(yáng)區(qū)人民法院認(rèn)為，首先，覃其勝偷用他人賬戶進(jìn)入華夏銀行的核心系統(tǒng)植入漏洞、修改用戶信息后，使其控制的特定銀行卡夜間跨行ATM機(jī)取款不計(jì)入該卡賬戶；將取得的錢(qián)款用于個(gè)人理財(cái)、歸還債務(wù)等，其行為系秘密竊取華夏銀行的財(cái)物。

其次，被告人覃其勝?zèng)]有在生產(chǎn)環(huán)境進(jìn)入核心系統(tǒng)的職權(quán)。被告人覃其勝負(fù)有對(duì)核心系統(tǒng)功能和優(yōu)化升級(jí)進(jìn)行設(shè)計(jì)、開(kāi)發(fā)、測(cè)試等職權(quán)，但覃其勝的職務(wù)沒(méi)有使其直接在生產(chǎn)環(huán)境下進(jìn)入核心系統(tǒng)的便利。

最后，覃其勝對(duì)銀行資金沒(méi)有管理的職權(quán)。覃其勝是被害單位的技術(shù)人員，保管銀行資金不在其職權(quán)范圍內(nèi)；即使在測(cè)試中涉及資金問(wèn)題，按照被害單位的管理要求也應(yīng)該設(shè)立專門(mén)賬戶保管，而覃其勝直接將涉案資金取出后自用。

值得注意的是，覃其勝已退賠華夏銀行該事件中的所有經(jīng)濟(jì)損失。

綜上，北京市朝陽(yáng)區(qū)人民法院認(rèn)為覃其勝盜竊公司財(cái)物，數(shù)額特別巨大，其行為已構(gòu)成盜竊罪，依法應(yīng)予懲處。法院判決覃其勝犯盜竊罪，判處有期徒刑十年六個(gè)月，罰金人民幣一萬(wàn)一千元，剝奪政治權(quán)利二年。

一審宣判后，覃其勝不服判決提出上訴，稱其只是在未報(bào)備的情況下違規(guī)進(jìn)行了漏洞測(cè)試，通過(guò)測(cè)試也實(shí)際發(fā)現(xiàn)了系統(tǒng)漏洞，其沒(méi)有非法占有的目的，不構(gòu)成盜竊罪。北京市第三中級(jí)人民法院認(rèn)為一審事實(shí)清楚，量刑適當(dāng)，裁定駁回上訴維持原判。

（封面圖片來(lái)源：攝圖網(wǎng)）