理财网站有漏洞　两小时被划走1800万

核心提示：2017年9月14日下午，山东某公司向济南历下警方报警称网站被人攻破，公司在第三方支付公司账户的钱被转走1800余万元。

资料图

广东男子黄迪(化名)发现理财网站存在漏洞后，就利用黑客技术采取“先充值1元，再修改成20万”的方式，从资金池内提现20万元。为了混淆警方视线，黄迪把这一漏洞公布于众，结果导致两小时内网站遭众黑客攻击，1800万元资金被提现。5月2日，记者从警方获悉，包括黄迪在内的18名嫌犯已被抓获。

2小时1800万元被划走

2017年9月14日下午，山东某公司向济南历下警方报警称网站被人攻破，公司在第三方支付公司账户的钱被转走1800余万元。

这是一家投资公司，用户可以网上投资、提现，其资金的转入转出都是通过第三方支付公司的账户来进行的。而这家投资公司为了保持每日的正常运营，在第三方支付公司的账户里都会保有3000万元的资金。

民警调查发现，从9月14日中午12点至下午2点短短两个小时的时间内，该理财网站有大量新用户注册，然后第三方支付公司账户内的资金全被这些新用户划走、提现。

通过对这些涉案账户对比分析，警方锁定了首位攻击网站的嫌犯黄迪。

嫌犯提现后8万元卖漏洞

黄迪没有正当职业，整日在网上闲逛，并试图利用自己所学的计算机技术来“发财”。他发现山东某公司的理财网站在第三方支付跳转时存在漏洞。 于是在该网站注册，充值1元，再借助某种软件劫取数据包、篡改数据。“修改数据，虽然他实际充值1元，但系统却认为他的账户内有20万元的资金。”黄迪之所以提现是20万，而不是30万或者更多，“是因为系统规定的每次取款最高额度就是20万元。”

得手后，曾有前科的黄迪十分狡猾：他先是把该漏洞以8万多元的价格卖给另一个黑客，然后又在自己的QQ空间内公布于众，致使该漏洞被其他黑客大量传播利用。“最多的一个黑客从资金池里转走了260万元。”民警说，黄迪此举的目的就是为了混淆视听，干扰警方的侦查视线，以便让自己能逃之夭夭。

在民警抓获黄迪的第二天，另一名黑客谢某自觉事情不妙，还拨打黄迪电话进行试探。民警接听电话后，告知谢某事件的利害。谢某迫于压力到派出所投案自首。

已冻结、追回900余万

截至目前，民警已抓获嫌犯18名，冻结及追回涉案资金987万，打掉了这个公安部督办、涉及全国22个省份的破坏计算机信息的特大网络盗窃团伙。

这些黑客在山东某公司理财网站注册时所用的身份信息等都是他人的、真实的。“这些都是他们专门花钱买来的一整套信息。”民警介绍，这所谓的一整套身份信息包括身份证、电话卡和五张相应的银行卡。一些理财网站在用户注册时，只注重个人信息是否一致，却不能认证是否本人操作，这也给了不法分子以可乘之机。

据齐鲁晚报