二十世纪的漏洞威力有多大？至今仍让英国民众愤怒
最近，英国独立电视台（ITV）的一部新剧（Mr Bates vs. The Post Office）引发了英国无数国名的愤慨，也揭开了英国邮局（Post Office）十几年来一直试图掩盖的丑闻。
英国邮局（图片来源于上观新闻）
Mr Bates vs. The Post Office根据真实事件改编，讲述了英国邮局因为采购的系统存在漏洞，导致数百人锒铛入狱、多人自杀，数百个家庭因此倾家荡产，该案件也被认为是英国最严重的冤假错案之一。
被冤枉的代理商及其家人（图片来源于上观新闻）
一个系统BUG导致的冤假错案
英国邮局具有数百年的悠久历史，是英国政府非常重要的基层机构，一直为英国人提供不可或缺的服务。
但在千禧年后，在信息技术的冲击下，邮政业务量骤减，连年亏损。为节约成本，邮局通过特许经营等方式，让普通民众做代理商，但他们不属于邮局的正式雇员，民众可通过邮局代理商领取养老金等。
超市里的英国邮局柜台（图片来源于上观新闻）
为了让代理商模式顺利推行下去，英国政府在1999年耗费10亿英镑购买了地平线（Horizon）计算机会计系统。该系统由由英国企业ICL开发的，2002年ICL被日本富士通公司并购，“地平线”系统就成为了富士通旗下的产品。
到 2000 年 8 月，该系统已在英国的 10000 个分支机构中推广，并于 2000 年和 2001 年部署到 13000 多个邮局分支机构，每天需要处理数百万笔交易。
但万万没想到，这个系统存在巨大的漏洞，数据记录不正确。你敢信，一个耗费10亿英镑购买的财务系统，竟然会出现数据记录不正确的问题。很快，代理商们在操作系统时发现，代发的养老金账户数额有误，总是会有一部分钱不见了。
当这些信息反馈至英国邮局后，调查人员认为是代理商们私吞了这笔钱，并对他们进行立案调查。数据显示，从2000年至2014年，英国邮局因怀疑700多位代理商在账户管理系统“动手脚”，私吞公款，以盗窃、欺诈和做假账等罪名将他们送进监狱。有人为了脱罪不得不支付大量赔偿金，有的人则被迫入狱，甚至还有人愤而自杀。
2016年4月，“正义联盟”的555位邮局代理商向法院递交了诉状，起诉邮局。最终法院认为“在整个涉案期间，地平线系统存在重大问题”。
“英国邮局一直知晓地平线系统的可靠性存在严重问题，因此有明确的义务调查各项线索的合理性，并应考虑披露并向院方解释任何可能颠覆案件判决的信息。然而在此期间，英国邮局似乎从未充分考虑过对地平线系统提出质疑、或者表达相应的担忧。相反，其始终坚称 Horizon 系统是稳定且可靠的”
截至目前，英国邮局已经支付 8598 万英镑的赔偿金，但英国政府并不打算为这起丑闻而与富士通切割，因为它被英国政府视为不可或缺的IT供应商。英国海关总署和税务部门已使用富士通的系统几十年，英国最大的政府部门——就业与养老金部也很依赖富士通。
多年垃圾代码遗留下来的灾难
据 The Stack 透露，英国邮局因地平线系统漏洞犯下的“涉嫌欺诈罪行”而接受刑事调查，因此不得不“中止部分将现有软件迁移至云基础设施的转型计划”，最终导致在 2023 年内损失掉 3100 万英镑。
而如此巨大的损失额度，相当于英国邮局 2023 年全部重组成本的 81%。2021 年，英国邮局以 4250 万英镑的价码与富士通签订了地平线项目扩展合同，并称其为“高度复杂的遗留平台，用于编写软件的语言版本已经严重过时，且整体架构不够灵活、导致技术变革非常困难。”
时间来到 2022 年，邮局工作人员曾在博客中热情介绍了其转向亚马逊云科技的计划。2021 年的合同也包含对现有服务协议的多项修订，计划在 2023 年将现有软件迁移至亚马逊云科技。但根据最新披露的数据，这项举措在“烧掉”3100 万英镑之后仍宣告失败。
英国邮局在 2023 年 4 月公开承认，“在将服务迁移至新云服务商的过程中，我司遭遇到经济和能力上均无法克服的基础技术挑战。”为此，邮局方面只能再花 1600 万英镑选择续约。
2023 年 11 月，英国邮局又与富士通续签了 3600 万英镑的合同，其中提到地平线“是一套极为复杂的平台，用于编写软件的语言严重过时，且自身属于五大系统的集合体——即金融服务、银行、政府服务、邮件和零售。地平线自身的架构设计也极不灵活，导致技术变革难以推进。”由于只能继续使用原有数据中心，英国邮局需要对系统进行一番强化，以提供稳定性、避免过时并保障业务连续性。
有时候安全漏洞的危害超乎想象
随着人类对于计算机系统的依赖程度越来越高，安全漏洞带来的危害也往往超乎我们的想象，对于系统安全漏洞必须保持高度重视。
2017年，WannaCry勒索病毒肆虐全球，引爆互联网行业的“生化危机”。借助“永恒之蓝”高危漏洞传播的WannaCry在数小时内影响近150个国家，一些政府机关、高校、医院的电脑屏幕都被加密，致使多个国家政府、教育、医院、能源、通信、交通、制造等诸多关键信息基础设施遭受前所未有的破坏。
2021年，log4j2漏洞引发网安行业“大地震”。作为目前java全生态中的基础组件之一，该漏洞影响多达60644个开源软件，涉及相关版本软件包更是达到了321094个。截止到目前，依旧有很多系统受到log4j2漏洞的威胁。
英国邮局丑闻也告诉我们，漏洞越早修复影响越小。倘若英国邮局人员对业务人员的反馈进行严谨的安全测试，及早发现该漏洞并进行修复，自然也就不会出现如此严重的冤假错案和经济损失。安全左移已经是当下网安行业普遍认可的观点，在软件开发流程中尽早引入安全测试，以便尽早识别问题、解决问题。
还需注意的是，机器也会犯罪，尤其是在AI大行其道的情况下，有时候机器犯罪会比人犯罪带来更加可怕的后果。
参考链接
英罕见误判大案！736人蒙冤，祸首至今逍遥法外
系统 bug 致百人入狱，砸了 2.8 亿元仍上云失败！二十年了，这家大企业被日本软件坑惨了