廣發(fā)網銀系統在一次升級后，在北京、上海等地相繼有12名持卡人遭遇了類似的網銀失竊。都是犯罪分子在網上修改他們接收“動態(tài)驗證碼”的綁定手機號后冒名盜刷。資深黑客表示，這一系列案件說明，廣發(fā)網銀系統可能存在較大漏洞。記者調查發(fā)現，與其他銀行網銀設置相比，廣發(fā)網銀客戶信息更容易被冒名修改。

　　記者上午獲悉，部分被盜刷持卡人在被要求簽訂“對外保密”協議后，廣發(fā)銀行已經為他們“先行墊付”了被盜刷金額。廣發(fā)工作人員表示，此舉并不意味著銀行存在過錯。

　　盜刷案發(fā)

　　一覺醒來信用卡被盜刷了

　　葉先生告訴記者，他習慣睡覺前把手機關了。

　　7月4日早上，葉先生一覺醒來打開手機，5條來自廣發(fā)銀行客服95508的短信就讓他驚訝不已。

　　第一條短信顯示他的信用卡消費了2000元。第二條是“尾號4497的信用卡余額不足，交易失敗”。后面的三條短信內容相同，“尾號是1194的信用卡卡片有效期輸入錯誤，交易失敗”。

　　“短信都是夜里一兩點鐘發(fā)的，我睡得正香，信用卡肯定是被盜刷了。”葉先生說。

　　葉先生介紹，5月20日廣發(fā)銀行系統升級后，網銀支付不再使用密碼，取而代之的是手機動態(tài)驗證碼。客戶每次消費100元以上，綁定的手機號碼就會收到動態(tài)驗證碼，用以在網上確認。

　　葉先生說：“讓人奇怪的是，盜刷是通過網銀進行的，但我的手機并沒收到動態(tài)驗證碼。我向銀行客服咨詢后，對方答復，驗證短信發(fā)到一個138開頭的手機號碼上了。”這是北京號碼，葉先生當著記者的面撥打，但是無法接通。

　　QQ維權12人遭類似盜刷

　　在與廣發(fā)銀行交涉過程中，葉先生發(fā)現一個廣發(fā)卡被盜刷者組成的QQ群。群里還有11人有著和他完全一樣的遭遇，大家都是在廣發(fā)網銀系統升級不久，重新填寫個人信息后被盜刷的。他們來自北京、上海、廣東、浙江等多個省市，初步統計被盜刷總金額有5萬余元。

　　經過溝通，大家發(fā)現，他們的卡都是在上海環(huán)迅電子商務有限公司這個第三方支付平臺上被盜刷的，被盜資金都被轉入滕馳策劃公司。

　　12人中，除葉先生的手機動態(tài)驗證碼被修改為138開頭的手機號外，其余人的號碼全部被修改為159開頭的特定號碼，且都為北京號碼。

　　通過上海環(huán)迅公司，記者拿到一份騰馳策劃公司的聲明，稱其也是受害者，盜刷者是他們的一名會員，目前已無法與其聯系，其賬戶也被凍結。

　　錯在卡主銀行說法引不滿

　　葉先生表示，他們在向廣發(fā)銀行反映情況時，他們的客服中心工作人員表示，信用卡在網上被盜刷，很可能是客戶自己泄露了個人的資料信息和密碼，“要么是被熟人竊取了信息，要么就是上了釣魚網站或木馬病毒的當。”持卡人對此說法紛紛表示不滿。

　　“銀行總說被盜刷的責任在我們，是我們沒保管好密碼，難道廣發(fā)就一點責任沒有嗎？”一位王先生說。他告訴記者，他的電腦里安裝了360安全衛(wèi)士、網購保鏢等各種殺毒軟件，他很注意定期更新，電腦從未報警說有木馬。“我網購6年，工行、招行、交行等銀行的網銀都有，且最近兩個月都用過，就算電腦被種了木馬，為什么別的網銀沒事，只有廣發(fā)卡被盜刷呢？”

　　質疑漏洞

　　響應升級完善資料后失竊

　　葉先生告訴記者，今年5月上旬，廣發(fā)銀行通過短信、公告等形式告知持卡人，該行網銀將于5月20日23時至次日12時暫停服務，全面升級，要求之前填寫資料不全的持卡人完善“個人資料”，包括卡片有效期和卡片背后的三位驗證碼等內容。

　　7月2日，葉先生登錄網銀，將尾號4497的信用卡的個人資料進行了“完善”，對尾號為1194的卡片沒做處理。“就這么寸，‘完善’后的卡片兩天后就被盜刷了。”葉先生說。而其他受害者也都有和葉先生類似的經歷。

　　存在漏洞個人信息易泄露

　　精通網站系統的資深黑客小魚(化名)表示，從被盜刷持卡人反映的情況來看，他們的個人資料被黑客用木馬程序或釣魚網站竊取的可能性很大。但他同時指出，這也說明廣發(fā)網銀的系統存在漏洞。

　　小魚說，“其實任何網銀系統都有漏洞，因為系統是人設計的，就必然有各種缺陷。所以銀行也會不斷地進行系統升級，提高系統的安全性能。但是多人在同一時段因為同樣的原因遭遇盜刷，說明這家銀行網銀的漏洞可能比較明顯、嚴重。而這一點也被黑客發(fā)現并鉆了空子。”

　　小魚進一步分析，這起系列案其實也暴露出廣發(fā)銀行網銀系統在修改綁定手機號碼的問題上，存在安全隱患，因為它確實不如其他銀行的設置合理、安全。

　　記者調查銀行用U盾最多

　　剛接到讀者爆料時，記者隨即致電廣發(fā)客服，詢問如何修改接收動態(tài)驗證碼的手機號碼。對方答復，除到柜臺辦理外，還可直接登錄廣發(fā)網銀修改。

　　具體分兩種情況：之前設置過“私密問題”(指卡片的有效期和卡片背后的三位驗證碼。)的，答對即可修改；未設置的可直接修改。重填資料后會有驗證短信發(fā)送到新手機號上，輸入驗證短信，手機號碼修改成功，原手機號不會再收到驗證信息。

　　小魚認為，這種設置貌似安全，但一旦系統存在漏洞被黑客攻破，客戶信息被竊取，所謂的“私密問題”也就不再“私密”，難以起到安全保障作用。

　　葉先生懷疑，犯罪分子就是“山寨”了能接收動態(tài)驗證碼的手機號碼后盜刷，他的正牌手機反而接不到短信，“手機驗證關”失靈了。

　　記者此后調查多家銀行發(fā)現，大多數銀行的網銀使用ukey (一種通過USB直接與電腦相連、具有密碼驗證功能的存儲設備，如工商銀行的U盾)作為安全保障。

　　招商銀行雖然也使用動態(tài)驗證碼，但其客服人員表示，更改驗證手機號碼不能通過網銀進行，只能在柜臺修改。

　　最新進展

　　更新設置備案手機接提醒

　　記者近日登錄廣發(fā)網銀的官方網站發(fā)現，網銀已經推出一套新的安全模式。網銀客服告訴記者，由于原先系統的安全級別不夠，已修改了部分安全內容。

　　在新系統下，想修改接收動態(tài)驗證碼的手機號碼，需先在網上填寫原來的手機號碼，網銀會向該號碼發(fā)送驗證短信，成功接收并將驗證內容在網上填寫正確后，才可將號碼更改為新號碼。同時，新網銀系統具備登錄短信提醒功能，登錄網銀時系統會自動給備案手機發(fā)送一條通知短信。

　　先行墊付賠錢先簽保密協議

　　9月20日，數名受害者告訴記者，廣發(fā)銀行總行已經對他們反映的問題作出答復，要求他們簽署了一份“先行墊付”協議，然后將盜刷金額先退還給他們。

　　但協議中附加了保密條款，要求獲得退款的客戶“對外保密”，不得外泄協議內容。

　　記者上午獲悉，已經有部分人拿到了退款。

　　據悉，廣發(fā)銀行總行已成立專案組，對這起群體性失竊案進行調查。

　　持卡人姜先生告訴記者，他發(fā)現網銀失竊后報案，東城警方目前已經刑事立案，警方正在偵查中。

　　廣發(fā)回復墊付不意味有錯

　　昨天下午，記者致電廣發(fā)銀行總行公共事務部詢問此事，接線人員表示稍后給予答復。隨后，一位女工作人員回電表示，將于傍晚做出書面答復。但截至記者上午發(fā)稿時，書面答復仍未收到。記者再次致電相關部門，得到“昨天處理這事的人不在，得問一下”的答復。

　　在昨天的采訪交涉中，女工作人員提到，雖然銀行已經對部分受害者“先行墊付”，但這并不意味著銀行存在過錯。“先行墊付”是對于特殊、緊急情況下出現問題的應急處理。“如果調查到最后，發(fā)現銀行不存在問題，這筆錢我們還會再要回來。”她說。

　　律師說法

　　網銀失竊持卡人難得賠償

　　據悉，在北京，尚無網銀失竊后法院判決銀行承擔賠償責任的先例。

　　法院普遍認為，黑客通過種木馬竊取儲戶個人資料，屬于“因個人原因導致信息泄露”，儲戶應承擔不利后果。儲戶如不能提供證據證明銀行存在過錯，銀行不承擔責任。

　　北京市雙利律師事務所律師劉琳認為，由于專業(yè)能力所限，讓儲戶和律師去證明網銀系統存在漏洞，根本做不到。不少律師也表達了類似觀點。

　　異地被盜可在申領地報案

　　劉琳認為，遇到網銀失竊，持卡人應在第一時間報案，然后再與銀行協商。“越早破案，贓款追回的可能性越大，直接從犯罪分子手里要回錢，比從銀行手里要錢容易得多。”他說。

　　劉琳告訴記者，根據公檢法聯合發(fā)布的《關于信用卡詐騙犯罪管轄有關問題的通知》，對以竊取、收買等手段非法獲取他人信用卡信息資料后在異地使用的信用卡詐騙案，持卡人可在信用卡申領地的公安機關報案。即持卡人在北京辦卡，被外地犯罪分子在網上盜刷，可以直接在北京報案。