工程师利用支付宝漏洞盗取11万被判8年

中国IDC圈9月22日报道：支付宝充值系统存漏洞，充值失败信息保留；系统工程师转移充值话费被判8年

利用技术漏洞，科技公司员工取得了他人的充值卡号码和密码，进而盗取了11万余元转入自己的支付宝账号。近日，一中院以盗窃罪终审判处被告人方启凯有期徒刑8年。

支付宝充值失败留密码

30岁的方启凯，大学本科文化，案发前系北京高阳捷迅信息技术有限公司（下简称高阳公司）的一名工程师。

2009年间，支付宝公司开通话费支付业务，用户都可以通过购买手机充值卡、充入支付宝账户后进行网上购物，高阳公司负责这一话费充值系统的运行维护。即在支付宝与移动、联通、电信之间搭建平台，负责将支付宝用户购买的手机充值卡转变为支付宝账户的存款。方启凯正是负责这一系统维护的工程师。

据法院审理查明，案发前方启凯在其工作期间，发现了话费充值系统存在漏洞。即用户在充值过程中输入充值卡号和密码后，如果因为系统问题而无法正常进入支付宝账户实现转换时，充值卡信息会保留在高阳公司的系统，只要再次输入卡号和密码即可成功充值。

开设79个账户转移盗款

2010年1月至3月间，方启凯就利用了这一漏洞，多次通过互联网进入高阳公司系统数据库，调取用户充值失败而暂存于此的充值卡信息，然后将其转入自己在支付宝设立的48个账户和快钱设立的31个账户，共计111650元。这些钱除了被方启凯购买联通话费卡外，绝大部分仍存于账户之中。

2010年3月间，支付宝公司接到用户投诉后与高阳公司联系，高阳公司经调查发现方启凯登录公司系统时的IP地址非常可疑，于是找方启凯进行询问，后者当即就承认了将用户充值卡充入自己账户的事实，后高阳公司报警。

之后，高阳公司通过支付宝公司赔付47550元，方启凯的家属代其退赔32000元。

因非法占有被认定盗窃

海淀法院今年7月一审以盗窃罪判处方启凯有期徒刑8年，之后方启凯上诉称自己的行为属于侵占性质，不应构成盗窃。

其辩护人也认为，方启凯盗窃的不是高阳公司的11万余元，而是高阳公司数据库内存留的用户充值卡卡号及密码信息，这些充值卡并不属于高阳公司，本案甚至没有明确的被害人。同时，两审判决都未明确被害人的名称、数量。

对此，法院认为方启凯的行为符合以非法占有为目的，秘密窃取他人财物，因此应当被认定盗窃，故维持原判。

■ 提醒

账户里别放太多钱

针对类似的网络盗窃、诈骗案件，支付宝提醒买家，如果支付宝出现问题，发现自己没有交易就收到账户异常信息，一定要提高警惕。哪怕是显示客服的工作人员主动打电话，也要提高警惕。

支付宝用户平时也要定期杀毒。支付宝账户中，最好不要闲置数额较大的钱，等需要买东西时再充值。根据经验，钱太少不法分子便会放弃盗取。