原標題：一企業支付網站線上“裸奔”，被黑客盜走730萬元還要受罰

企業付款賬戶直接沿用系統默認賬戶密碼，“admin“作爲賬戶號，密碼“123456”，這樣的設置在黑客看來宛若“裸奔”。

近日，上海浦東新區小陸家嘴地區發生一起入侵公司網絡系統實施盜竊的案件，損失高達730萬餘元。

接報後，浦東警方經縝密偵查，迅速鎖定嫌犯行蹤，組織警力分赴全國多地開展集中收網行動，通過72小時連續奮戰，成功抓獲非法侵入受害公司網站的劉某某、龍某某、金某某等15名犯罪嫌疑人，凍結資金476萬餘元，繳獲現金180萬餘元。

犯罪嫌疑人被抓獲。浦東警方供圖

代付系統遭入侵向7個賬戶匯款

2020年6月1日14時，浦東警方接到陸家嘴環路上一家公司報案稱，5月30日至31日期間，該公司自主研發的“代付系統”遭到非法入侵，並向該公司所屬銀行賬戶發出匯款指令，先後向7個銀行賬戶匯款共計人民幣730萬餘元。

案發後，警方高度重視，浦東公安分局反詐打擊專班即會網安支隊、陸家嘴公安處等相關單位成立專案組，開展案件偵查工作。

初步梳理受害公司情況後，警方發現該公司雖然支付操作需與手機號綁定接收驗證碼，但並沒有採用有字母、數字、符號相互交叉的相對複雜和難於破解的強密碼，而直接沿用了系統默認的賬戶密碼。

鑑於該公司過於簡陋的防護措施，警方認爲極有可能是外部入侵導致該案發生。

在該公司服務器系統後臺日誌中，警方發現了外來入侵痕跡，通過數據梳理確認共有國內外三個IP地址對“代付系統”進行入侵。

對方通過破譯管理平臺用戶名及密碼、下載客戶數據、破解“代付系統”客戶端平臺、修改用於驗證支付的手機號碼及支付密碼等操作掌控了資金流轉權限，隨後發送代付指令，從賬戶中盜走730萬餘元錢款。

從取款“卡農”深挖犯罪鏈條

鑑於曾有人於全國多地從收款賬號內取現總計190餘萬元，警方判斷涉案人員極有可能就在這些取現地點活動。

之後，警方通過比對數據分析以及收款賬號開戶人關係網絡，確認金某某等4人與案件有緊密關聯，是專門負責提供賬戶並實施轉款、取現的同夥。

6月2日，專案組兵分6路趕赴全國多地，對上述人員進行側面排摸，順利鎖定實施“黑客”入侵的龍某某以及張某、周某等負責網上洗錢的團伙成員身份判明行蹤。6月5日，專案組果斷開展集中收網行動，先後抓獲龍某某、金某某、張某、周某等10名犯罪嫌疑人。

到案後，龍某某交代自己系無業人員，但平日喜好網絡技術。5月31日凌晨，龍某某在網上收到一個名叫“張飛”提供的受害公司的賬號密碼，便對該公司後臺進行窺探並嘗試上傳木馬病毒控制網站。在成功登陸該公司“代付系統”後，龍某某向“張飛”提供了登陸系統客戶端的“後門”。

犯罪嫌疑人金某某等人交代，有一個叫做“阿強”的人聯繫金某某，並索要多個私人銀行賬號供自己使用，承諾給予一定好處。5月31日，金某某在取現後，抽取5萬餘元“好處費”後，將餘下的185萬元現金藏匿等待下一步指令。

而犯罪嫌疑人張某、周某則表示，按照“阿強”的指令，將收到的錢款用於購買虛擬幣，並通過網絡轉給了“阿強”。

隨後警方根據掌握的信息，再一次開展大規模對比排摸，最終鎖定“阿強”“張飛”及其他相關人員信息，於6月19日將主犯劉某某等4名犯罪嫌疑人一舉擒獲。

14天抓獲了15名犯罪嫌疑人。“上海警察來得太快了，我都來不及反應。”黑客龍某某面對“神兵天降”措手不及。

目前，警方已在犯罪嫌疑人金某某父親處繳獲現金155萬元，並凍結400餘萬贓款，上述14人及金某某父親共15名犯罪嫌疑人已被浦東警方抓獲，案件正在進一步偵查中。

查獲的現金。浦東警方供圖

企業網站不報備一直在“裸奔”

反思該起黑客入侵盜竊案件，浦東公安分局網安支隊中隊長申屠柳焱指出，企業本身存在重大安全漏洞，並且未完成報備登記的義務。

“根據法律法規，企業重要網站上線30內要完成報備，進行等級保護測評。”申屠柳焱介紹，而該企業爲了降低轉賬手續費自建網站平臺，還沒有進行報備“體檢”，公安機關無法對此進行監測。

上海浦東分局網絡與信息安全支隊稱，該公司自2019年五月份成立，近一年時間內幾乎未購買任何網絡安全保護措施。換句話說，該公司一直處於“裸奔”狀態。

浦東警方表示，後續將對企業自身存在的違法行爲進行處罰。