【每日安全资讯】华夏银行“内鬼”在服务器植入病毒 账户余额取之不尽

每天从银行取款5000至2万元，但取完钱后账户余额却不发生变化，似乎永远都取之不尽。这一幕不是在做梦，而是在真实发生.....这起事件的主角叫覃其胜，他是个一个编程高手，通过在银行工作的职务之便，将自己写的病毒植入总行服务器，在1年多的时间里取款1300余次，取款金额700余万元。

取不完的账户余额

日前，和讯银行从裁判文书网获悉，华夏银行原科技开发中心经理覃其胜因犯盗窃罪，被判处有期徒刑10年半。2019年2月1日，覃其胜案的二审刑事判决书在裁判文书网公布。

刑事判决书显示，被告人覃其胜，男，壮族，1975年10月出生于广西壮族自治区，硕士研究生文化，案发前曾系华夏银行科技开发中心开发四室经理。其岗位职责为负责核心系统功能扩充和优化升级的技术需求分析、功能规格编制、设计、开发、单元测试、集成测试等工作。

正是这样的一份特殊性质的工作内容，让覃其胜犯案有机可乘，并在案发后多次替自己隐瞒犯罪事实。

经审理查明，2016年11月至2018年1月，被告人覃其胜在北京市朝阳区环球金融中心华夏银行科技开发中心内利用该中心其他人员的账户登录华夏银行总行的核心系统应用服务器，将其编写的具有“将其控制的华夏银行卡夜间跨行ATM机取款不计入客户账”功能的“漏洞”程序植入该服务器；并在此期间实施1000多次跨行ATM机取款行为，累计取款人民币717.9万元未计入尾号为1730的客户账。

被怀疑后谎称是做测试

时隔1年多后，华夏银行发现上述问题。2018年1月26日，华夏银行首席信息官王某向公安机关报警，称有人往银行的程序内植入木马病毒，已发现的损失约700万。因涉嫌犯盗窃罪，覃其胜于2018年3月27日被刑事拘留，同年4月28日被逮捕。

“我们初步核查发现，有人通过木马程序在生产系统中通过ATM机非法盗取我行资金，涉案700余万元。案件发生地是北京市朝阳区环球金融中心。”据华夏银行首席信息官王某表示，单位发现问题后找覃其胜谈话，覃其胜谎称是在做测试，系在系统里放了一个测试程序，通过该程序，测试在某一段时间到某一段时间是否存在漏洞。

王某称，按照华夏银行规定，测试有可能会在生产环境里做，但需要有相应的报告、专门的流程；由专门的部门来做，不会由覃其胜来做。“实际测试会根据不同的要求来确定取现金额，覃其胜的行为经严重违反规定，不符合测试的规范要求。”

据调取操作的审计日志显示，2017年11月24日有人修改了卡应用系统的一个正常程序，使这个正常程序首先调用异常程序，让异常程序每天0：10开始执行。异常程序可以把指定账户在前一日22时30分至本日0时10分的成功交易修改为失败。覃其胜从2016年11月开始取款，一直到2017年10月，每日取款5000元至2万元不等。一共取了1300多笔，有719.2万元。

全额退赔被判刑10年半

法院认为：被告人覃其胜偷用他人账户进入华夏银行的核心系统植入漏洞、修改卡用户信息后，使其控制的特定银行卡夜间跨行ATM机取款不计入该卡账户；将取得的钱款用于个人理财、归还债务等，其行为系秘密窃取华夏银行股份有限公司的财物。考虑到覃其胜已退赔被害单位的经济损失，本院对其酌予从轻处罚。

综上，根据被告人覃其胜犯罪的事实、犯罪的性质、情节以及对于社会的危害程度，依照《刑法》规定，判决被告人覃其胜犯盗窃罪，判处有期徒刑10年6个月，罚金人民币11000元，剥夺政治权利2年。

一审宣判后，覃其胜不服判决提出上诉，称其只是在未报备的情况下违规进行了漏洞测试，通过测试也实际发现了系统漏洞，其没有非法占有的目的，其不构成盗窃罪。

对上述申诉，北京市第三中级人民法院并不认同，法院认为一审事实清楚，量刑适当。裁定驳回上诉维持原判。

* 来源：中国经济网

更多资讯

◈ 纽约联邦储备银行协助孟加拉国诉讼黑客网络抢劫案

http://t.cn/Etr902F

◈ 研究人员警告：安全漏洞将允许基于5G网络的间谍活动

http://t.cn/Etr9jck

◈ 2月数据库排行榜：MySQL 分数增长迅猛 Oracle 下降最多

http://t.cn/Etr9HXm

◈ 支付宝首批获得个人信息安全管理体系国家认证

http://t.cn/Etr9Rjz

（信息来源于网络，安华金和搜集整理）