科技猎巨人网络被指网络诈骗洗钱 安全支付漏洞还是刻意为之？
巨人网络集团董事长史玉柱要退休了，但是，这位一手操纵脑白金广告后又从事互联网游戏业的51岁“传奇人物”的离去却背负着不少人的骂名。
两年多来，巨人网络因成为不法分子“洗钱”的管道，并且对系统漏洞几乎熟视无睹，而被受害者认为“不作为”。
两年多来，全国不知有多少家媒体为受害者声张权利，但巨人网络面对报道往往无动于衷，两次刊发声明“喊冤”。最近一次央视《经济半小时》有关此事的专题报道，被史玉柱在微博上一度公开“骂娘”(之后删除了该条微博)。
据不完全统计，两年内至少有467万元被窃资金流入巨人网络。
目前所知的受此事件损失最大是温州人张先生，他在网络购物支付时，一次性33万余元全部被转到巨人网络。(详见本报3月22日报道)。
截止目前，只有极少受害者拿回钱款，警方立案者寥寥，调查取证难度颇大。一些人开始尝试通过民事诉讼途径追讨钱款，有些案子还未起诉，巨人就私下和解了。
众多网游公司中，为何钱款偏偏流入巨人网络?为何两年来，巨人网络在支付安全方面毫无改进?
用“身份证号码生成器”亦可实名注册
按理，根据受害者所提供支付订单号查到非法资金流向的巨人网络账号后，巨人网络或警方可以查到该账号的注册信息。根据文化部颁布的《网络游戏管理暂行办法》第20条规定：“网络游戏虚拟货币交易服务企业提供服务时，应保证用户使用有效身份证件进行注册，并绑定与该用户注册信息相一致的银行账户”，可以根据该账号所提供的身份证号追查嫌疑人。
然而实际操作中，巨人网络并未严格遵守该规章，这在一定程度上让不法分子有机可乘。4月10日，《it时报》记者登陆巨人网络，注册账号时随意使用了一个假名字，填写身份证号时，用了网上的“身份证号码生成器”生成的假身份证号码，最后竟成功完成注册。
曾供职于盛大网络的网游业内人士黄海明(化名)向《it时报》记者透露，事实上大多数网游公司都没有做到真正的“实名注册”，他解释道，“如果网游公司需要姓名与身份证号匹配，需要公安部公民身份网上查询服务，每次收费5元，这就会增加成本，一般网游公司不会这么做。”
同日，记者使用“身份证号码生成器”注册搜狐畅游、盛大游戏账号，均成功通过注册。记者同时注意到，如果在盛大交易，还需要绑定手机号来激活“快钱”账号，这一定程度上增加了不法分子的作案门槛。相比之下，支付宝就无此漏洞，记者用“身份证号码生成器”注册没有成功。
巨人没有检测下单和支付ip地址是否一致
根据史玉柱公布的不法分子作案流程，这些受害者都是中了木马病毒，银行账号被控制然后转入了巨人等网游公司。
瑞星公司安全专家唐威分析认为，此次事件可能是钓鱼行为，也可能是网银超级木马所为。
钓鱼行为的原理就是，受害者进入钓鱼网站提交信息，钓鱼网站自动抓单获取支付代码。
“钓鱼ip地址是不法分子的，而受害者支付时ip地址是自己的。”在巨人事件发生后，河南南阳计算机高手王建然主动站出来协助受害者抱团维权，他告诉《it时报》记者，根据下单人和支付ip地址的不同，“完全可以自动判断骗子游戏账户”。
据其4月10日为《it时报》的测试结果，盛大、搜狐会自动判断ip地址是否一致，直接将钓鱼行为拦截在外，“其实以前他们也有这个漏洞，但现在堵上了。”王建然说。
而另外一种可能，即网银超级木马所为，可以参考2011年徐州警方破获的‘浮云’木马网络盗窃案，该案部分资金就流入巨人网络等网游公司。犯罪分子交代，受害者支付时，利用木马修改其资金支付去向和支付金额，转账到他们设计好的账户中。
“案件告破后，巨人网络应该发现自己的充值系统存在一定漏洞，但事后，该公司并没有修复这个所谓的漏洞，而是让它继续存在。”受害者沈先生质疑道。
巨人没有监测大额资金
这位计算机高手还认为，这些非法交易与正常交易存在明显异常，巨人网络应该容易甄别。“一是瞬间大笔资金进入，金额上远远不同于普通游戏玩家;二是迅速将所有资金兑换成游戏币购买装备，然后并不消费而是立即将游戏装备打折出售。但赔钱的生意谁会做?”
瑞星安全专家也认为，实时监测账号异常行为并不存在技术难度。徐州警方也表示，如果有风险控制，那么可以发现这些异常的大额进账。
不过巨人网络称，对网游运营商而言，如何甄别正常玩家充值与涉嫌网银欺诈的资金充值，一直是个行业难题。
此外，巨人网络在得知受害者被骗并根据受害者提供的信息知悉异常账号后，虽然对媒体宣称“接到受害人举报后第一时间进行核查并冻结账号”，但实际情况是，他们往往无动于衷，称需警方函才配合调查。“如果受害者一发现问题，巨人网络立即冻结其账号，那么警方调查时将有现实基础，也不会错失办案最佳时机。”上海大成律师事务所高级合伙人商建刚指出。
一个可以借鉴的例子是，去年春节，汇元网收到了一笔20万元的大额储值订单。陌生账号的这笔巨额交易引起了网站方面的重视，汇元网风控人员进行了交易拦截，客服人员给该账户注册手机去电核实，却发现手机关机。网站方面启动“安全支付联盟”应急措施与第三方支付公司取得联系，找到资金来源，正是穆先生银行账号转出的20万资金，最后向穆先生退回资金。
记者手记：
别被黑色利益蒙住双眼
为什么不法分子偏偏选择巨人?金山网络安全工程师李铁军告诉《it时报》记者，网游公司提供道具、虚拟货币等交易，很容易被利用为洗钱渠道，真实货币和虚拟货币在中间流通自由。
“可能是中间缺少认证环节，比如在确认支付时，再次输入密码。”黄海明认为，很可能是巨人网络的某个漏洞被不法分子抓住，巨人等网游公司通常提供很多支付接口以便用户支付，这为他们提供了作案便利。
黄海明说，很可能巨人网络发现了漏洞，但它也不愿去堵，而这是整个网游业的通病。“如果要去弥补漏洞，请技术专家找出遗漏代码，聘请他们的月薪2万，会增加额外成本，而对于网游公司来说，自己也不亏，还会增加他们的营收。”
本报曾报道，巨人网络其实是“黑色利益链”的一部分，王建然打个一个比喻：“当受害人1000元被吞后，巨人网络得到1000元，不法分子得到游戏币;当不法分子低价出售游戏币变现，巨人网络在其中抽成20%左右。巨人网络总共可得1200元左右。”
所谓抽成，指的是通过巨人网游平台账户充值转化成游戏币、购买游戏内商品、再以人民币卖出的过程中，巨人会从中收取中间交易费。这也是巨人的王牌游戏《征途2》所宣称的商业模式。“非法资金客观上推高巨人网游平台上的交易量，从而壮大其交易收入。”王建然认为，这一商业模式也助长了巨人网络对非法资金的麻木。
这些漏洞真的难以弥补吗? 黄海明告诉记者，如果真的要查不法分子，技术手段完全可以实现。这些不法分子获得资金购买道具装备后，往往会在淘宝上出售，而每一个道具都有其唯一识别id码，只要巨人愿意向警方提供这一id码，警方就可以从淘宝上找到那个“卖家”。
“反观支付宝、腾讯支付等，就很少听到有类似事件发生，这体现的是一家公司对用户的关心程度，而巨人网络的声明给人一种自己也是被冤枉的感觉，现在分析下来看，他们是冷漠。”
“支付漏洞其实就是故意让骗子利用的诈骗后门，好比一个房子，本来很安全，故意开个门，让骗子自由出入。” 王建然说。
 相关融资事件 相关新闻 进入企业库 |
您可能还喜欢：
- 13-04-15巨人网络被指网络诈骗洗钱 安全支付漏洞还是刻意为之？
- 13-04-13史玉柱退场的背影： 中国步入企业家稀缺年代？
- 13-04-11史玉柱归隐背后的16家上市公司：不做企业家做资本家
- 13-04-11刘韧专访史玉柱：从童年到富豪的九个故事
- 13-04-11史玉柱：巨人新ceo一定是内部提拔
- 13-04-11史玉柱的“马云式”困局：巨人网络藏黑色诈骗产业链曝光
- 13-04-11【每日人物关注】史玉柱：别了，巨人！
- 13-04-10史玉柱谈辞任：巨人数亿美元 我想支100元总裁都不让
- 13-04-10史玉柱早已不负责具体事务 传刘伟最可能接班
- 13-04-10史玉柱辞任巨人ceo：4月19日董事会宣布新任ceo
