宜宾男子通过人脸识别盗走网友28万

　　1月16日，宜宾市公安局网安支队通报2017年网络信息安全典型案例：国内某大型支付平台网络漏洞被两名宜宾男子周某、杨某破解，2016年10月27日起至被抓获的短短几十天内，犯罪嫌疑人周某、杨某非法购买公民个人信息5000余组，盗窃受害人刘某、许某等人的账户资金共计282676元。事发后，支付平台及时赔偿了用户经济损失，犯罪嫌疑人被宜宾警方抓获后移送起诉，目前已分别被追究刑事责任。

　　支付平台报案：漏洞在宜宾被破解

　　据宜宾市公安局网安支队副支队长左建军介绍，2016年11月4日，我国某支付平台公司员工到宜宾市公安局报案：其公司近日发现多起用户账户资金被盗的案件，用户反映其账户中增加了非本人办理的昆仑银行卡，账户信息、绑定手机号被更改后造成资金被盗。通过公司网络技术后台筛查，作案人使用的IP归属地为宜宾电信，涉案账户20余个，涉案资金20多万元。

　　接到报案后，宜宾市公安局网安支队高度重视，联合长宁县公安局成立专案组进行攻坚并落地查证： 发现长宁县网民周某有重大作案嫌疑人。通过对周某所使用网络虚拟账号开展工作，发现杨某系其同案犯 ，两人通过网络聊天工具交流作案手法，并通过互联网联系“料商”购买大量的公民个人信息、联系“卡商”购买短信服务用于作案。

　　在掌握了二人大量的犯罪证据后，宜宾市、长宁县公安局专案组民警于2016年12月20日将犯罪嫌疑人 周某、杨某抓获归案。让办案民警大为震惊的是，两犯罪嫌疑人并非用什么高科技背景的资深“黑客”， 而仅仅是两名普通网民。因无意中发现漏洞，一时得手后“刹不住车”。

　　购买个人信息：验证账号“刷脸卡”

　　到案后，犯罪嫌疑人周某、杨某交待，根据自己对某支付平台账户登录、找回密码方式的了解，破解了该支付平台账户人脸识别校验系统的漏洞：该支付平台账户在修改密码或者换改绑定手机号码的情况下，系统会提示人脸识别，第一步需要用手机摄像头对着操作者，拍下操作者的正面静态照片，通过系统审核之后，第二步系统再次要求操作者将手机摄像头对着操作者，按照系统要求的指令作出“眨眼”“摇 头”“张嘴”等动作同时进行摄像，完成之后，系统会自动评估。

　　“如果照片、视频符合系统要求，便获得修改支付平台账户密码和换绑手机号码的权限，一旦修改完成用户的登录密码，并换绑为自己能够接收短信的一个手机号码，就可以将用户支付平台账户内的余额转走。”犯罪嫌疑人告诉办案民警。

　　据了解，犯罪嫌疑人在破解这一漏洞之后，开始大量在网上大量购买公民个人信息。通过加入QQ群联系到“料商”，大量购买公民个信息；同时通过QQ联系“卡商”，让卡商为自己提供换绑他人支付平台手机号的号码，并且接收短信验证码，为自己实施犯罪作准备。

　　犯罪嫌疑人周某、杨某作案后，在将他人支付平台账户内的资金转移到（乐通）赌博网站上，通过在网站内玩“PT老虎机”等赌博游戏进行洗钱，再将资金转入到自己使用的银行卡账号内。

　　支付平台赔偿了用户损失并修复了漏洞

　　据民警介绍，犯罪嫌疑人购买的公民个人信息资料包含公民的身份证照片正反照片、公民持证照、公民手机号码、银行卡号和开卡地等信息。

　　“系统仅会对第一张静态人脸照片进行识别，因此通过受害人的合成照片认证就可以通过校验，系统不会对第二次的动态视频再进行校验，只需辨认视频中的人是能够活动的活体。”民警说，完成上述验证后，该公民的账户密码就可以被修改。

　　幸运的是，犯罪嫌疑人及时被宜宾警方抓获，支付平台也及时赔偿了用户损失并修复了漏洞。（刘夏珺 成都商报客户端记者 罗敏）

编辑：杨建均

关注川南在线网微信公众号
长按或扫描二维码 ，获取更多最新资讯 其他