用来历不明的源代码构建微店 35万元商品被卷走

admin

原文摘自：http://mt.sohu.com/20160720/n460070391.shtml

以下是正文复制：
为了让微店看上去更加美观，能吸引更多顾客，不少微商选择使用源代码来构建微店。殊不知，一些来历不明的源代码存在很大的安全漏洞——近日，义乌一家开微店没多久的知名制袜企业就因此损失惨重。顾客钻了漏洞明明没付钱，结果他们的后台却显示对方已付了款，35万多元的商品就这样被卷走了。
没付钱卷走35万元商品
余先生是义乌某知名制袜企业的营销总监。去年8月，这家制袜企业在微信上开设微店并发布“微商宣言”，称要建5万个微店，把产品的线上售卖渠道权开放给全球的创业者。
这家制袜企业的微店不仅卖自己生产的袜子，还联系了很多合作供应商，线上销售的产品包括钱包、皮鞋、裤子、首饰、手机等多种生活消费品。平常，负责打理微店的有一个团队，企业的财务部门月底时跟他们兑一次账。
4月下旬，一名开微店的同行突然打电话给余先生，说他们的微店的销售体系出了问题。“一些人下单后并没付款，但我们的后台却显示他们已经付过款了，结果很多商品没收到钱就发了出去。”他问余先生的微店是否遇到了相同的情况。
恰逢月底，这家制袜企业的财务部门兑账后大吃一惊——微店里竟有35万元左右的商品没收到过钱，但后台却显示顾客已付款并寄了出去。经过进一步调查，他们发现这些未付款取得货物的顾客超过100人，涉及的商品有1000多件。
明明没付款，微店后台为什么显示已收到了钱？这名微商同行告诉余先生，构架微店时使用的源代码存在漏洞。据了解，义乌这家制袜企业的微店是委托深圳一家科技公司建设的，这家公司花钱买来一套源代码稍作修改后，搭好了微店的框架。
“这套构架微店的源代码全国30%左右的微商在用，不少人被懂漏洞的顾客钻了空子。”这名微商同行说。事发后，余先生让工作人员逐一联系那些利用漏洞“买走”商品的顾客。“大约有80%的人寄回了商品，价值28万元左右。”
5月18日，余先生代表这家制袜企业向义乌市公安机关报了警。“按照法律规定，这类案件的涉案价值超过5000元，将构成非法破坏计算机信息系统罪；涉案价值超过6000元，将构成诈骗罪。”义乌市公安局刑侦大队四中队民警钱金义说。
源代码漏洞致企业受损
经查，涉案的100多名顾客中有11人的行为已涉嫌触犯刑律。“他们在微店里‘购买’的商品价值都超过了5000元并都已收货，其中最多的一人没付钱就挑走了两万多元的商品。”钱金义说。
6月14日至25日，义乌警方分赴北京、重庆、四川、江西、河南、福建、湖南和江苏等地，先后抓获八名涉案的顾客。他们年龄最大的25岁，最小的16岁。“除了那名25岁的女子在北京一家会计事务所工作，其余的都是在读大学生或中专生。”
据了解，这些顾客都加入了一个名叫“线报群”的QQ群。这个QQ群有一定的准入条件，每个月群成员必须向群主交纳80~200元费用。“作为福利，他们将不定期收到一些购物网站的漏洞和破解方法及错标价格的信息，进而从中‘捡漏’。”
4月1日，义乌这家制袜企业微店的漏洞信息被发布到“线报群”。随后，群主教会大家破解的方法——先在电脑上安装一个模拟器，这样就可以通过电脑进入微店购买商品；接着再安装一个抓包软件修改支付代码，订单状态就变成了“已付款”。
钱金义说，涉案的八名顾客都对计算机程序比较在行，七名学生的专业大多与计算机有关，每个人都添加了上百个类似“线报群”的QQ群。“虽然其中不乏知名大学的学生，但他们以为这种行为只是捡小便宜‘捡漏’，却不知已触犯了刑律。”
案发后，涉案的八名顾客认罪态度都比较好，均已将非法取得的商品如数退还给义乌这家制袜企业的微店。目前，他们已被采取刑事强制措施，义乌警方正在对这起案件作进一步侦查。
目前，义乌这家制袜企业的微店已修复存在漏洞的源代码。鉴于有30%左右的微商在用涉案源代码，义乌警方通过新报发出提醒，在构建微店要求美观的同时更应注重安全，请大家尽快寻找专业科技公司修复漏洞，或放弃使用来历不明的源代码。

通过以上教训，我们要时刻记住：
建网站一定要使用来路明确的代码；
建网站一定要选择有一定技术力量的公司，切勿选择那些只会套用他人代码改改的公司合作；
建网站一定要仔细观察该公司是否有自主产品，并且有持续不断升级的公开信息，如果没有，说明该公司产品没有持续性，没有目标性。
建网站一定要反复确定，该公司是否对其产品的描述是否客观性，如果只是一味夸大，拒绝与国内外同产品比较，或者比较只说优点，不谈缺点，说明存在猫腻，有失公正性，该企业存在诚信缺失。