張利斌碩士畢業(yè)后先后在外企、互聯(lián)網(wǎng)信息中心和兩家內(nèi)資公司待過。

雖然張利斌和他妻子都在大公司上班,收入也不低,但他有一塊心病,一直想要第二個孩子,后來便到香港生了第二個孩子。但因為這樣不符合國家政策,公司方面也因此一直向張利斌施壓,2012 年5 月,他又辭去了軟件工程師的工作。

從辭職開始,張利斌便把精力投入到獨立開發(fā) “小兵掛號” 軟件上去。但這款用來在北京市預約掛號平臺搶號的收費軟件并沒有取得預想中的成功。

2012年8月,張利斌在登陸小客車系統(tǒng)時發(fā)現(xiàn)可以隨意輸入手機號讓系統(tǒng)發(fā)送驗證碼。職業(yè)特性使他敏銳地意識到這是個漏洞,便想利用該漏洞做一些對自己有利的事情。

2012 年12月中旬,張利斌遭遇了一連串不順心的事:父親病重住院、兒子生病做手術,自己和妻子一直沒搖到購車指標更弄得他心煩意亂。

這時,他記起了小客車指標系統(tǒng)的漏洞,一來想通過這種方式泄憤,二來想從網(wǎng)站弄一些手機號碼,好通過給這些號碼發(fā)短信推廣一下小兵掛號。于是從 2012 年中旬起,他便用自己的筆記本電腦開發(fā)起了針對小客車系統(tǒng) “忘記密碼” 功能進行攻擊的軟件。他把這款軟件命名為 “digmobile”,即“ 手機挖掘機”。

同時,他還通過百度收集到300 多個北京地區(qū)的手機號段,以及300 多個免費的代理 IP。為了這次行動,張利斌還花了400 多美元租用了兩臺日本服務器以隱藏自己真實的IP地址,然后對程序進行了測試。

幾次測試下來,確定自己寫的程序沒有問題之后,張利斌將編寫的程序上傳到兩個服務器上。該程序會不斷重復登錄搖號網(wǎng)站,在該網(wǎng)站注冊過的手機號碼會被程序自動記錄下來,并且搖號網(wǎng)站會給該手機號碼發(fā)送驗證短信,聲稱密碼丟失,需要該短信驗證找回密碼。

軟件運行之后,張利斌在電腦旁盯到5點多就去睡覺了。當天早上8點和13點,他又分別觀察了兩次。中午這次發(fā)現(xiàn)搖號網(wǎng)站彌補了之前的漏洞,改成額外需要輸入身份證號碼了,程序就失效了,于是張利斌就停止了程序。

就這樣,從12 月23 日凌晨 3 點一直到程序停止運行,搖號網(wǎng)站接受了3000 多萬次惡意訪問。而張利斌獲取了 90 多萬個在網(wǎng)站注冊過的手機號碼。

“黑客” 不“黑 ”?

12月 23日晚上,張利斌在自己的手機早晚報上看到了關于此事的新聞報道。當時,他意識到事情鬧大了,心里也害怕,就把 IP 地址改了。但他又嫌改服務器地址麻煩,只改了一個,加上還有其他事要忙,他就把修改另一個IP地址的事給忘了。

過了三四天,張利斌又通過水木社區(qū)網(wǎng)站找了兩家短信群發(fā)的代理商,從 90 多萬個手機號碼中提取與自己手機號碼相近的 7000 多個手機號,群發(fā)了 “小兵掛號” 的推銷短信。

令張利斌沒想到的是,12月 30日,北京市公安局網(wǎng)絡安全保衛(wèi)總隊通過技術手段鎖定了他的位置,公安機關隨即將其抓獲。

公安機關將案件移送檢察院時的罪名是破壞計算機系統(tǒng)罪,但是檢察院起訴時改成了非法獲取計算機系統(tǒng)數(shù)據(jù)罪。

辦案檢察官宋迎新解釋道:“公安機關認定是破壞計算機系統(tǒng)罪,主要是因為他們認定張利斌的攻擊行為之后,網(wǎng)站癱瘓了。但是后來檢察院調(diào)查的時候發(fā)現(xiàn),是搖號網(wǎng)站為了遏制損失,主動關閉了忘記密碼功能。 ”

現(xiàn)場處理該事件的技術人員劉波也在證言里證明,是他采取的關閉系統(tǒng)找回密碼功能的應急措施,后來網(wǎng)站系統(tǒng)就恢復了正常。網(wǎng)站“忘記密碼”功能關閉了大約2.5個小時,此次惡意訪問行為沒有造成網(wǎng)站癱瘓。

宋迎新說:“他這個行為是一種攻擊行為,屬于刑法第二百八十五條第二款‘采用其他技術手段,獲取該計算機信息系統(tǒng)存儲的數(shù)據(jù)’。如果是入侵的話,后果更為嚴重。 ”

檢察機關認為沒有逮捕必要性,對張利斌作出不予批準逮捕的決定。

“他給我的印象蠻溫文爾雅的,很明顯的工科男,思想比較簡單。他做這個事之前也沒有想到會上升到犯罪這么嚴重的層次,覺得這么大一個網(wǎng)站,幾千萬次訪問沒什么問題,不會給網(wǎng)站帶來多大影響。 ”辦案檢察官告訴記者。

互聯(lián)網(wǎng)從業(yè)人士告訴記者:“張利斌采用的是窮舉手機號的方法,通過重復對找回密碼的URL鏈接發(fā)送請求來篩選注冊號碼。只是將重復訪問的過程自動化而已,技術含量低,也沒有入侵服務器,還算不上黑客行為。 ”

為什么張利斌在看到媒體報道以后還找代理商群發(fā)短信推廣自己的 “小兵掛號” 軟件?

檢察官說:“一方面是沒想到能找到他,另外一方面,他覺得既然已經(jīng)這么做了,至少也得有些收益,想繼續(xù)推銷這個軟件。 ”

“要是沒有那么大社會影響的話,從他的犯罪性質(zhì)來講不是特別嚴重的犯罪行為。從他個人來講,他認為這不是一種攻擊,是一種重復登陸的行為。也沒想到北京市交通委還要為此付短信費。 ”檢察官說道,“庭審階段,張利斌已賠償了交通委4萬多的經(jīng)濟損失。”

亞太網(wǎng)絡法律研究中心主任劉德良教授分析說:“張利斌通過軟件間接地獲取了有效的手機號碼,數(shù)量巨大,超出了一般意義上的重復登陸,超出了一般所理解的用戶權限,并且想通過發(fā)送短信推銷自己的軟件,目的是非法的,而且具有一定的社會危害性。根據(jù)最高院關于辦理危害計算機信息系統(tǒng)安全刑事案件的司法解釋,符合刑法中的非法獲取計算機系統(tǒng)數(shù)據(jù)罪。其行為是否是重復登陸和犯罪成立與否沒有關系。”