“我對我手機的狀況、電腦、釣魚網(wǎng)站、偽基站等非常了解，對木馬病毒也有研究。所以這種事發(fā)生在我身上，簡直令人難以置信。”經(jīng)歷了銀行卡被人分4筆轉(zhuǎn)走了20萬，做了多年IT、現(xiàn)為某寶支付架構(gòu)師的郭先生，至今也沒弄明白犯罪分子究竟是怎么做到的。
昨天下午，郭先生告招商銀行北京朝外大街支行索賠20萬一案在朝陽法院開庭審理，銀行方面自然是認(rèn)為自己沒有過錯，不同意賠償。這一次，犯罪分子利用網(wǎng)銀偷偷轉(zhuǎn)賬的手段也是頭回遇到，著實讓人摸不著頭腦。
事件
招行賬戶莫名遭遇異地轉(zhuǎn)賬
手機號同時段現(xiàn)南京通話
2015年10月20日22點11分至19分，郭先生先后收到4條招商銀行微信公眾號發(fā)來的交易提醒，他一直作為工資卡使用的招商銀行“一卡通”儲蓄賬戶被人用網(wǎng)銀分4次、每次5萬元總計轉(zhuǎn)走了20萬元人民幣。而這也是招行手機網(wǎng)銀每日允許的轉(zhuǎn)賬金額的最高限。
交易提醒顯示的收款人姓名均為“趙啦啦”，一個看著不太像名字的名字。郭先生說，他不認(rèn)識什么趙啦啦，也沒有操作過這4筆轉(zhuǎn)賬。當(dāng)時手機就在他身邊。根據(jù)郭先生以往轉(zhuǎn)賬的經(jīng)驗，每發(fā)起一筆網(wǎng)銀轉(zhuǎn)賬申請，手機都應(yīng)該收到銀行發(fā)送的短信驗證碼，只有輸入驗證碼，才能完成轉(zhuǎn)賬交易。但當(dāng)天4筆轉(zhuǎn)賬發(fā)生時，他的手機沒有收到過一條驗證碼短信。
郭先生起初以為銀行系統(tǒng)出了故障，他當(dāng)即拿起手機撥打9555招行客服查詢，后得到確認(rèn)，該銀行卡里果然少了20萬。為了保住剩下的6萬元，郭先生讓銀行凍結(jié)了賬戶，之后他手機收到銀行發(fā)來的凍結(jié)賬戶的短信提醒。郭先生隨即向通州警方報案。
蹊蹺的是，郭先生的移動通話詳單顯示，其手機卡于當(dāng)天22時09分在南京產(chǎn)生了長達11分31秒的主叫通話，時間剛好覆蓋4筆轉(zhuǎn)賬發(fā)生的時間。但此時郭先生正在位于北京通州的家中。因此，有理由懷疑，在此期間郭先生的手機卡被人在異地控制并使用了。
今年4月，央視起底電信詐騙之驗證碼騙局。犯罪分子謊稱事主訂閱了手機報服務(wù)，退訂需回復(fù)驗證碼，騙得事主手機的USIM卡驗證碼。然后利用中國移動推出的“自助換卡”在線服務(wù)，生成一張新的手機SIM卡，并利用這張“劫持”來的手機卡接收各類短信驗證碼，洗劫事主的各種賬戶。但在該案中，新卡一旦生效，事主的舊卡便同時作廢，無法繼續(xù)使用。按道理來講也應(yīng)當(dāng)是如此。
但郭先生的情況卻又不太一樣。他不但可以使用手機撥打銀行客服電話，還收到了凍結(jié)賬戶的短信提醒。只不過，起到關(guān)鍵作用的轉(zhuǎn)賬驗證碼短信似乎是被人“截”走了。
此外，招行網(wǎng)銀日志記錄，4筆轉(zhuǎn)賬操作登錄的IP地址為138開頭，經(jīng)專業(yè)IP地址查詢，顯示為重慶。
爭論
招行認(rèn)為若非本人泄露 個人信息他人無法獲得
昨天，招行方面指出，本案并非偽冒卡交易糾紛，涉案交易渠道為網(wǎng)銀交易，交易全程不需要實體卡片。
招行查詢系統(tǒng)發(fā)現(xiàn)，該案涉及的轉(zhuǎn)賬匯款均是通過招行網(wǎng)絡(luò)平臺上的個人銀行大眾版進行的操作，且確曾給銀行備案的手機號發(fā)送過驗證碼。銀行稱，在整個交易過程中，操作人需要先輸入卡號、身份證號、查詢密碼、附加碼進行登錄，繼而在交易操作界面輸入動態(tài)短信驗證碼、取款密碼后才能完成交易。而這些信息均屬于原告?zhèn)€人信息，由其本人保管，如非本人輸入或本人泄露，第三方無法獲得。
法官詢問郭先生是否將密碼告訴過他人。郭先生非?？隙ǖ乇硎緵]有，“因為是我的工資卡，密碼連我媳婦都不知道?！边@個回答引得旁聽席上一片竊笑。
招行懷疑，可能是郭先生在進行日常交易時中了木馬病毒，導(dǎo)致個人信息被竊取。郭先生的手機SIM卡也像是被人復(fù)制了，因此相關(guān)信息也存在泄露的可能，故責(zé)任不在銀行。但原告認(rèn)為，手機卡被復(fù)制只是一個猜想，本案是儲蓄存款合同糾紛，被告應(yīng)證明款項是郭先生本人支取的，否則應(yīng)視為被告保管不當(dāng)，需承擔(dān)相應(yīng)責(zé)任。昨天，此案沒有結(jié)果。
追訪
多人受害時間相近手段相似 均現(xiàn)南京主叫電話
事發(fā)一天前，郭先生剛轉(zhuǎn)了筆錢到這張招行儲蓄卡戶頭，準(zhǔn)備給父母在燕郊買房養(yǎng)老，計劃因此泡湯，郭先生至今不敢跟父母說。為了不讓父母看到，郭先生新注冊了一個微博賬號，將遭遇發(fā)了條微博，沒想到收到若干留言。原來，郭先生不是唯一的受害者。
昨晚，本報記者根據(jù)郭先生提供的聯(lián)系方式，先后與4名在京的受害者取得聯(lián)系，發(fā)現(xiàn)了一些共性及蹊蹺之處。
4人都是招行客戶，且中招的都是工資卡。4人中3人銀行卡被盜刷轉(zhuǎn)賬與郭先生發(fā)生在同一天，集中在20日當(dāng)天晚上7點多，損失金額分別為3.93萬元、5萬元和10萬元，收款人姓名均為“趙啦啦”。
另外一位吳先生是在21日凌晨1點多被人分4筆轉(zhuǎn)走了20萬。收款人姓名不是趙啦啦，但與他聯(lián)系上的外地一名招行客戶的錢被轉(zhuǎn)入的是同一賬戶。
令人捉摸不透的是，與郭先生一樣，4人的手機號在此期間均發(fā)生過在南京主叫通話的記錄，通話時間長短不一，但均恰好覆蓋了各自賬戶被人進行轉(zhuǎn)賬操作的時段。不知這樣的做法在犯罪過程中能夠起到怎樣的幫助或掩飾作用？另外，有人查過對方登錄IP地址，顯示是在重慶。
4人均向記者表示，被人盜刷轉(zhuǎn)賬期間，手機未收到過銀行發(fā)來任何驗證碼短信，甚至他們均定制了服務(wù)的賬戶變動提醒短信也沒有收到過。 兩位男士是在事后2天左右接到了冒充銀行工作人員的詐騙電話，一人及時識破，將已被他人轉(zhuǎn)入“朝朝盈”理財賬戶中的5萬元及時轉(zhuǎn)回，未新增損失。那位吳先生則在發(fā)現(xiàn)20萬已經(jīng)被轉(zhuǎn)走后，慌了神，在發(fā)現(xiàn)賬戶內(nèi)近9萬余額自己無法轉(zhuǎn)出的情況下，再次上當(dāng)，將驗證碼告知對方，導(dǎo)致又增加了近9萬元損失。
另外兩位女士則是偶然間發(fā)現(xiàn)，最遲鈍的一人是在10天后收到單位工資入賬的短信發(fā)現(xiàn)賬戶余額不對，一查才知道被人轉(zhuǎn)走了5萬。目前4人中有3人已起訴招行，并進入訴訟程序。
有人懷疑是手機的問題，郭先生使用的是三星手機，更多人用的是蘋果手機。郭先生告訴記者，他所失竊的這張招行卡配有U盾，但招行網(wǎng)銀的大眾版本是不需要U盾進行交易的。受害者李先生也告訴記者，他的卡也有U盾，但招行網(wǎng)銀大眾版用不上。他認(rèn)為，這是一個很大的漏洞。
警方說
“驗證碼”短信被攔截
是中木馬病毒
記者為此采訪了北京市公安局刑偵總隊和網(wǎng)安總隊的專業(yè)反詐騙民警。民警們認(rèn)為，“驗證碼”短信被攔截，是一種非常典型的中木馬病毒后的表現(xiàn)，郭先生等多位當(dāng)事人應(yīng)該是在自己并不知情的時候中了木馬病毒?！般y行肯定是發(fā)送了驗證碼，而事主們肯定沒收到，也就是說在這個時間段內(nèi)，事主們的手機短信被攔截了，這就好比有人給你家送快遞，可是在電梯口被人拿著你的身份證和手機‘代收’了?！?
根據(jù)民警的判斷，在中木馬之前，當(dāng)事人在招商銀行的網(wǎng)銀用戶名、密碼等相關(guān)信息以及手機號肯定已經(jīng)泄露，犯罪分子若要完成轉(zhuǎn)賬，惟一需要跨過的障礙就是由銀行發(fā)送的驗證碼。對方會向這些手機號精準(zhǔn)投放木馬病毒，一旦中招，就會出現(xiàn)郭先生等人遭遇的局面。
據(jù)刑偵總隊民警介紹，木馬分為多種，但比較常見的木馬病毒會將短信完全攔截，使手機機主根本收不到。“它是通過‘關(guān)鍵詞’進行攔截，比如犯罪分子設(shè)置的關(guān)鍵詞通常就是‘驗證碼’，凡是短信中帶有這個詞的，就全到了騙子那里。郭先生說他很快又收到了賬戶凍結(jié)短信，這是因為凍結(jié)短信里不含有‘驗證碼’的關(guān)鍵詞，木馬病毒不會攔截?！?
記者從市公安局網(wǎng)安總隊了解到，受害人面對的其實是整整一條詐騙產(chǎn)業(yè)鏈，有人通過購買或黑客手段獲取銀行內(nèi)部信息，但并無能力實施詐騙行為，這些人被稱作“料主”，而真正實施詐騙的人，能力一般也都會有限制，例如，某人只能實施針對某省工行客戶的詐騙，另一人只能實施針對某地交行客戶的詐騙，他們會在網(wǎng)上向“料主”購買有針對性的信息。因此，一些案件中出現(xiàn)某家銀行客戶集體中招，并不足為奇。
最好使用U盾
銀行卡盡量不要存太多錢
據(jù)民警介紹，相比于短信驗證碼，使用物理隔離的U盾、密碼器等會相對好一些。但是由于U盾需要在電腦上安裝使用，手機U盾和密碼器也需要單獨攜帶，很多人為了方便，還是愿意選擇驗證碼。
記者上午聯(lián)系多家銀行咨詢，被告知，由于現(xiàn)在手機支付太過普遍，如果犯罪分子侵入了事主手機，即使不通過銀行轉(zhuǎn)賬的方式，也一樣能夠?qū)⑹轮鞯呢敭a(chǎn)轉(zhuǎn)移出去。如利用微信、支付寶等第三方支付平臺，可以在無需使用U盾、密碼器的情況下將錢弄走。銀行暫時還沒有將所有支付功能、轉(zhuǎn)賬功能合并處理，單獨為客戶設(shè)置一個非常低限額的業(yè)務(wù)。
記者從銀行了解到，對市民而言，如果擔(dān)心中木馬之后銀行資金在自己毫無察覺的時候被轉(zhuǎn)走，那么可以不要使用短信驗證碼的方式，而使用手機U盾。手機U盾相對便捷，而且由于是物理隔離方式，安全性更高。與手機關(guān)聯(lián)的銀行卡盡量不要存太多的錢，能滿足日常手機支付即可。
