男子寻找电信漏洞靠电信发家致富被捕

电信公司提供固定电话、宽带、手机通讯等业务, 其用户凭消费积分可兑换商品 , 但很多用户都不知道这个信息。陆远胜、李开建正是抓住了这一点 , 通过技术手段破解大量电信用户信息 , 将其中的千万积分换成 Q 币充值卡贩卖 , 非法获利 10 余万元。近日 , 江苏省苏州市姑苏区检察院以涉嫌盗窃罪对陆远胜、李开建批准逮捕。

苦练编程技术 , 靠电信发家致富

陆远胜是云南人, 高中毕业那年他跟随同乡前往广州打工 , 认识了李开建。陆远胜常约李开建去网吧 , 游戏之余 , 泡网络安全技术论坛成了他的新兴趣。在论坛中 , 陆远胜发现编程技术不仅能让自己成为一名黑客 , 还能带来所谓“网络营销”赚钱的机会。于是 , 他辞别工友 , 前往湖南一家电脑培训学校苦学软件开发 , 编程水平在一年内就有了飞速提高。 2006 年 , 他退学前往上海淘金。

在上海, 陆远胜开了一家网店 , 叫“大牛工作室”。在黑客界中 , “大牛”是指技术非常高的人 , 陆远胜对自己的网络技术可谓自信满怀。适逢论坛上有人说通讯运营商的官网活动存在很大“商机” , 陆远胜跃跃欲试。

刚开始, 陆远胜接触的是“爱冲印”业务 ( 中国电信推出的基于宽带互联网的数码冲印及相关增值产品服务 ), 他利用“电信用户可凭借消费积分 , 通过网络上传照片 , 获得冲印照片、定制精美相册等服务”这一条件 , 到网上购买了数百张二手电信手机卡 , 用其中一些被遗忘的积分兑换了水晶相册、相片挂历等商品。

不久, 陆远胜就能抓住电信的每次优惠活动“商机” , 利用自己制作的秒杀软件 , 大量购入折扣电话卡 , 或参与充值送话费等活动。虽然参与这些秒抢活动需要数小时端坐电脑前不停点击鼠标 , 但他每次都能收获数以百计的商品 , 然后将其在网店上架 , 以批发价格售出。

陆远胜说自己每日必关注电信微博, 有新活动出来他定会第一时间参与。几年下来 , 他就成了虚拟商品零售商眼中的高产批发商。如今 , “大牛工作室”的信誉度已有四颗蓝钻。

截至案发, 陆远胜通过电信赚了上百万元 , 他用这些钱在家乡县城买了公寓供长辈居住 , 还在上海贷款买了房、娶了妻。

寻找系统漏洞 , 伺机盗取用户积分

“使用电信产品和服务会产生积分, 积分达到一定数量可以兑换指定商品 , 电信的座机、手机、宽带客户都可以用积分消费。对于普通用户来说 , 身份证名下的积分累计达到 2000 分 , 就可以兑换指定商品或话费。积分存在有效期限 , 除必须限期使用的奖励积分外 , 其他积分有效期只有三年 , 到期后积分会自动清零。”对于电信业务 , 陆远胜说得头头是道。

其实, 陆远胜心中盘算的是如何利用积分“做文章”。电信积分和移动积分、联通积分相比 , 用户知晓度较低 , 大部分人不仅不知道自己有积分 , 更不知道积分可以兑换 , 因此很多账户都保留着初始密码。但是 , 若要兑换这些积分 , 还需要掌握用户账号、身份证号码等信息 , 难度很大。为此 , 陆远胜一直在寻找破解之道。

2012年 11 月 , 陆远胜又惦记起这些“很可能被遗忘的”积分。他通过百度找到了一个软件 , 该软件可以通过扫描宽带用户 IP 段 , 扫描出用户账号和密码。陆远胜随意输入了几个从网上找来的苏州市 IP 段 , 没想到果然扫出了大量账号和密码 , 而这些密码大部分都是 123456 。仅仅几天时间 , 陆远胜就扫出了近 2000 个账户信息。

为确保万无一失, 他在淘宝上以每月 800 元的价格租用了一个香港服务器 , 将这些账户信息放了上去。因为 3000 积分才能兑换一张 30Q 币的充值卡 , 在筛选账户时 , 他只选择积分超过 6000 的 , 其中最大的一笔积分竟达 3 万 !

万事俱备, 只差破解用户的身份证号码了。由于电信平台中的账户所有人身份证号的后四位都用 XXXX 显示 , 陆远胜在论坛中找到另一个“大牛” , 花 300 多元让对方开发了一个能根据用户身份证前 14 位号码破解最后四位号码的软件。

最后, 陆远胜登录江苏电信积分兑换平台 , 填入账户名、密码、身份证号码等信息 , 点击“积分兑换”。可就在陆远胜以为即将得逞的时候 , 系统却显示“已发送验证码给客户 , 请验证”的字样。陆远胜顿时傻眼了。一怒之下 , 他按了“退出”。但不一会儿 , 他又再次登录 , 令人意想不到的是 , 系统居然通过了 ! 无比激动的陆远胜没有轻举妄动 , 而是告诉李开建 , 让对方速来。

半个小时以后, 二人在一家网吧碰头。陆远胜教会李开建操作方式后 , 将部分账号信息发至李开建的邮箱。此后的 15 个小时里 , 二人不停地兑换 Q 币充值卡 , 其间还找了两位朋友来帮忙。直到第二天早上 , 系统发觉异常并被电信公司立刻关闭 , 陆远胜才停止兑换。

陆远胜在网上卖掉了所兑换的Q 币充值卡 , 其支付宝里一下子就多了 10 余万元。

对电信公司 的 建议

姑苏区法院侦监处负责人陶波指出，陆某和李某能较为便利地破解系统，盗窃积分兑换物品，反映出电信公司在网络安全监管方面存在漏洞。目前，在该院建议下，江苏电信分公司已进行系统升级，并针对漏洞打好补丁，可避免此类失窃再次发生。另外，该院还建议电信公司广泛宣传，保证广大用户知晓其电信积分的使用价值，及时更换账户初始密码并兑换商品，以免失窃。

河南亿恩科技股份有限公司(www.sdyiwande.com)始创于2000年，专注服务器托管租用，是国家工信部认定的综合电信服务运营商。亿恩为近五十万的用户提供服务器托管、服务器租用、机柜租用、云服务器、网站建设、网站托管等网络基础服务，另有网总管、名片侠网络推广服务，使得客户不断的获得更大的收益。
服务器/云主机 24小时售后服务电话：0371-60135900
虚拟主机/智能建站 24小时售后服务电话：0371-55621053
网络版权侵权举报电话：0371-60135995
服务热线：0371-60135900