張利斌碩士畢業(yè)后先后在外企、互聯(lián)網(wǎng)信息中心和兩家內(nèi)資公司待過。

雖然張利斌和他妻子都在大公司上班,收入也不低,但他有一塊心病,一直想要第二個孩子,后來便到香港生了第二個孩子。但因為這樣不符合國家政策,公司方面也因此一直向張利斌施壓,2012 年5 月,他又辭去了軟件工程師的工作。

從辭職開始,張利斌便把精力投入到獨立開發(fā) “小兵掛號” 軟件上去。但這款用來在北京市預(yù)約掛號平臺搶號的收費軟件并沒有取得預(yù)想中的成功。

2012年8月,張利斌在登陸小客車系統(tǒng)時發(fā)現(xiàn)可以隨意輸入手機號讓系統(tǒng)發(fā)送驗證碼。職業(yè)特性使他敏銳地意識到這是個漏洞,便想利用該漏洞做一些對自己有利的事情。

2012 年12月中旬,張利斌遭遇了一連串不順心的事:父親病重住院、兒子生病做手術(shù),自己和妻子一直沒搖到購車指標(biāo)更弄得他心煩意亂。

這時,他記起了小客車指標(biāo)系統(tǒng)的漏洞,一來想通過這種方式泄憤,二來想從網(wǎng)站弄一些手機號碼,好通過給這些號碼發(fā)短信推廣一下小兵掛號。于是從 2012 年中旬起,他便用自己的筆記本電腦開發(fā)起了針對小客車系統(tǒng) “忘記密碼” 功能進行攻擊的軟件。他把這款軟件命名為 “digmobile”,即“ 手機挖掘機”。

同時,他還通過百度收集到300 多個北京地區(qū)的手機號段,以及300 多個免費的代理 IP。為了這次行動,張利斌還花了400 多美元租用了兩臺日本服務(wù)器以隱藏自己真實的IP地址,然后對程序進行了測試。

幾次測試下來,確定自己寫的程序沒有問題之后,張利斌將編寫的程序上傳到兩個服務(wù)器上。該程序會不斷重復(fù)登錄搖號網(wǎng)站,在該網(wǎng)站注冊過的手機號碼會被程序自動記錄下來,并且搖號網(wǎng)站會給該手機號碼發(fā)送驗證短信,聲稱密碼丟失,需要該短信驗證找回密碼。

軟件運行之后,張利斌在電腦旁盯到5點多就去睡覺了。當(dāng)天早上8點和13點,他又分別觀察了兩次。中午這次發(fā)現(xiàn)搖號網(wǎng)站彌補了之前的漏洞,改成額外需要輸入身份證號碼了,程序就失效了,于是張利斌就停止了程序。

就這樣,從12 月23 日凌晨 3 點一直到程序停止運行,搖號網(wǎng)站接受了3000 多萬次惡意訪問。而張利斌獲取了 90 多萬個在網(wǎng)站注冊過的手機號碼。

“黑客” 不“黑 ”?

12月 23日晚上,張利斌在自己的手機早晚報上看到了關(guān)于此事的新聞報道。當(dāng)時,他意識到事情鬧大了,心里也害怕,就把 IP 地址改了。但他又嫌改服務(wù)器地址麻煩,只改了一個,加上還有其他事要忙,他就把修改另一個IP地址的事給忘了。

過了三四天,張利斌又通過水木社區(qū)網(wǎng)站找了兩家短信群發(fā)的代理商,從 90 多萬個手機號碼中提取與自己手機號碼相近的 7000 多個手機號,群發(fā)了 “小兵掛號” 的推銷短信。

令張利斌沒想到的是,12月 30日,北京市公安局網(wǎng)絡(luò)安全保衛(wèi)總隊通過技術(shù)手段鎖定了他的位置,公安機關(guān)隨即將其抓獲。

公安機關(guān)將案件移送檢察院時的罪名是破壞計算機系統(tǒng)罪,但是檢察院起訴時改成了非法獲取計算機系統(tǒng)數(shù)據(jù)罪。

辦案檢察官宋迎新解釋道:“公安機關(guān)認定是破壞計算機系統(tǒng)罪,主要是因為他們認定張利斌的攻擊行為之后,網(wǎng)站癱瘓了。但是后來檢察院調(diào)查的時候發(fā)現(xiàn),是搖號網(wǎng)站為了遏制損失,主動關(guān)閉了忘記密碼功能。 ”

現(xiàn)場處理該事件的技術(shù)人員劉波也在證言里證明,是他采取的關(guān)閉系統(tǒng)找回密碼功能的應(yīng)急措施,后來網(wǎng)站系統(tǒng)就恢復(fù)了正常。網(wǎng)站“忘記密碼”功能關(guān)閉了大約2.5個小時,此次惡意訪問行為沒有造成網(wǎng)站癱瘓。

宋迎新說:“他這個行為是一種攻擊行為,屬于刑法第二百八十五條第二款‘采用其他技術(shù)手段,獲取該計算機信息系統(tǒng)存儲的數(shù)據(jù)’。如果是入侵的話,后果更為嚴重。 ”

檢察機關(guān)認為沒有逮捕必要性,對張利斌作出不予批準(zhǔn)逮捕的決定。

“他給我的印象蠻溫文爾雅的,很明顯的工科男,思想比較簡單。他做這個事之前也沒有想到會上升到犯罪這么嚴重的層次,覺得這么大一個網(wǎng)站,幾千萬次訪問沒什么問題,不會給網(wǎng)站帶來多大影響。 ”辦案檢察官告訴記者。

互聯(lián)網(wǎng)從業(yè)人士告訴記者:“張利斌采用的是窮舉手機號的方法,通過重復(fù)對找回密碼的URL鏈接發(fā)送請求來篩選注冊號碼。只是將重復(fù)訪問的過程自動化而已,技術(shù)含量低,也沒有入侵服務(wù)器,還算不上黑客行為。 ”

為什么張利斌在看到媒體報道以后還找代理商群發(fā)短信推廣自己的 “小兵掛號” 軟件?

檢察官說:“一方面是沒想到能找到他,另外一方面,他覺得既然已經(jīng)這么做了,至少也得有些收益,想繼續(xù)推銷這個軟件。 ”

“要是沒有那么大社會影響的話,從他的犯罪性質(zhì)來講不是特別嚴重的犯罪行為。從他個人來講,他認為這不是一種攻擊,是一種重復(fù)登陸的行為。也沒想到北京市交通委還要為此付短信費。 ”檢察官說道,“庭審階段,張利斌已賠償了交通委4萬多的經(jīng)濟損失。”

亞太網(wǎng)絡(luò)法律研究中心主任劉德良教授分析說:“張利斌通過軟件間接地獲取了有效的手機號碼,數(shù)量巨大,超出了一般意義上的重復(fù)登陸,超出了一般所理解的用戶權(quán)限,并且想通過發(fā)送短信推銷自己的軟件,目的是非法的,而且具有一定的社會危害性。根據(jù)最高院關(guān)于辦理危害計算機信息系統(tǒng)安全刑事案件的司法解釋,符合刑法中的非法獲取計算機系統(tǒng)數(shù)據(jù)罪。其行為是否是重復(fù)登陸和犯罪成立與否沒有關(guān)系。”