支付宝被盗刷，人脸动图竟然是合成的

随着信息化和经济社会的深度融合，滥用脸部数据、简历泄露等现象并不常见，一些不法分子从事犯罪活动。

浙江省温岭市人民法院审理了这样一起案件，犯罪嫌疑人涉嫌破坏计算机信息系统和侵犯公民个人信息。此案的案发，得从两名被害人支付宝账户的钱莫名被转走说起。

谁动了她们的支付宝？

2021年5月9日，江苏南京的刘女士向当地警方报案，称她一张储蓄卡里被转走了1.13万元。刘女士说，5月8日晚上10时，她就睡觉了，5月9日早上6时被闹钟叫醒，发现手机上有好几条扣款短信。她打开一看，发现有4次转账记录，时间为5月9日凌晨3时46分至3时53分，金额分别为5000元、5000元、1000元和300元。

这张储蓄卡一直在刘女士身边，卡里的钱是怎么被转走的？刘女士发现，短信显示有两部手机登录过她的支付宝。

差不多同一时间，云南李女士的银行卡也被盗刷2800元。李女士说，5月9日早上8时左右，她醒来后看到几条短信，包括支付宝被他人登录以及绑定的银行卡转账记录。当天凌晨2时31分至32分，她的银行卡被转账3次，金额分别为2000元、500元和300元。

除了报警，刘女士、李女士还将上述情况向支付宝公司作了反映。5月11日，支付宝公司员工徐先生来到温岭报案。

徐先生称，5月9日凌晨，他们发现两个支付宝账号存在异常，可能有被盗用的可能。经人工排查发现，这两个支付宝账号被一个陌生的手机登录并盗刷支付宝余额。根据被盗账号登录的WiFi地址，他们查出杨某有重大嫌疑，案发时此人在温岭。

嫌疑人被抓获

5月11日下午，杨某被抓获。在他的出租房内，民警查获2台笔记本电脑、6台POS机、十余部不同品牌的手机、3张身份证及9张银行卡。

2021年2月至5月，杨某用在网上购买或由他人非法提供的他人身份信息、高清人像图、支付宝账号等，制作成人像验证动态图像，利用软件等工具破坏计算机信息系统，冒用他人身份进行支付宝账户信息修改和实名认证。之后，他将这些支付宝账号提供或出售给他人，非法获利1.1万元。

杨某把支付宝账号分为V1、V2、V3三种：V1账号是他自己购买的支付宝账号，填上身份信息加上淘宝账号，以每个30元的价格打包卖给别人；V2账号就是在V1账号的基础上上传身份证正反面照片或者人脸验证，属于实名认证的一种账号；最高级的就是绑定银行卡的V3账号，转账额度更大。

杨某说，他将这些账号提供给多名上家，对方通过支付宝转账给他钱。上家称，这些账户用于帮助赌博网站收钱等。杨某清楚，通过这种方式能盗刷受害人支付宝账号里的钱，但他称自己没盗刷过。

售账号非法获利

5月30日，警方顺藤摸瓜，抓获了孙某。

经调查，2019年11月，孙某通过QQ群接触到人脸技术并制作V1、V2、V3账号，刚开始他倒卖支付宝V2账号赚差价，后来认识了杨某。孙某知道杨某会作图，于是和杨某合作。孙某在网上购买手机号码，由对方提供验证码，接着由杨某注册支付宝账号，注册成功后孙某把查到的照片及身份资料发给杨某，由杨某PS成正常的身份证正反面照片，再对原来的空白支付宝账号进行实名认证，孙某在网上卖给有需要的人，所得款项两人平分。

2021年5月，孙某在QQ上看到有人需要查照片，因为他加入的群有人可以查，他通过他人查到照片后卖给客户赚差价。孙某称，他做过代查照片信息、倒卖支付宝及闲鱼账号、帮忙代取被封账号里的钱等“业务”，知道卖给别人的账号被用于违法犯罪行为。

经查，2019年11月至2021年5月，孙某在网上低价购买他人身份信息、高清人像图、支付宝账号等，或通过杨某修改支付宝账户信息进行实名认证后高价卖出，或直接将身份信息及各种账号以高价卖给他人，共计非法获利2.7万余元。

客户资料反复卖

2021年7月19日，民警抓获了将大量客户信息出售给杨某等人的万某。

2018年7月，万某和朋友一起办了一家网贷公司，他任法定代表人。公司做了大半年时间，因收不回贷款，最终倒闭。公司营业时，客户在申请贷款时，需在一个App上填写个人身份信息，包括电话号码、身份证正反面照片、人脸照片、银行卡号等。公司倒闭后，这些客户的资料留了下来，万某将资料整理后保存了起来。

后来，万某看到有人在网上求购个人信息，就将客户资料出售。万某将这些客户个人信息反复卖给不同的买家。他在QQ群和微信群里打广告称“卖料子”，公开售卖客户个人信息。

经查，2018年7月至2021年7月，万某收集大量客户身份资料在QQ群和微信群里公开售卖，出售给杨某等人，从中非法获利1.5万余元。

3人都被判了刑

近日，温岭法院审理了此案。杨某被控犯破坏计算机信息系统罪，孙某和万某被控犯侵犯公民个人信息罪。孙某和万某对指控事实无异议，自愿认罪认罚；杨某对指控罪名提出异议。

杨某辩称，他使用的手机系统是开源系统，即任何人都有资格对系统进行修改，网络上也有众多的刷机网站和软件，而他购买手机也即拥有对手机系统进行修改的权利；他制作的人像动图对支付宝的系统没有修改和破坏，根本无法通过支付宝的验证识别。杨某认为，他的行为应该构成犯罪，但不是破坏计算机信息系统罪。

杨某的辩护人认为，杨某主要负责支付宝注册，但没有进行实名认证，支付宝账号被盗刷系他人所为。

法院审理后认为，支付宝系统属于计算机信息系统，杨某非法获取公民身份资料等个人信息，通过更改手机IMEI码并冒用他人身份进行支付宝账户信息实名认证，并实际认证成功，属于刑法规定的对计算机信息系统中存储、处理的数据进行修改、增加的操作，被告人获利超过5000元，属于情节严重的情形，其行为已构成破坏计算机信息系统罪。

法院认为，杨某违反国家规定，对计算机信息系统中存储、处理的数据进行修改、增加的操作，后果严重，其行为已构成破坏计算机信息系统罪。孙某与人结伙，违反国家有关规定，非法获取公民个人信息、向他人出售或者提供公民个人信息，情节严重，其行为已构成侵犯公民个人信息罪。万某违反国家有关规定，在提供服务过程中收集公民个人信息，并将在提供服务过程中获得的公民个人信息出售给他人，情节严重，其行为已构成侵犯公民个人信息罪。

温岭法院就此案作出判决，杨某被判处有期徒刑二年；孙某被判处有期徒刑一年二个月，缓刑一年六个月，并处罚金5.5万元；万某被判处有期徒刑一年二个月，缓刑一年六个月，并处罚金3万元。

观察思考

网络时代要加强个人信息保护

网上有一些软件，只要上传一张照片，就可以实现变脸特效，将静态的图片制作成动态图片，非常简单。

很多手机支付里设置了人脸识别，包括通过转动头部或眨眼等动作来验证。这也给了不法分子可乘之机，只要通过这些软件对照片进行处理，做成能眨眼、张嘴的小动图，进而通过验证并完成支付，将他人账户里的钱转走。

当前，电信网络诈骗犯罪频发，也催生了大量为不法分子实施诈骗提供帮助和支持并从中获利的黑灰产业，包括利用非法获取的他人信息注册支付账户转账洗钱。杨某等人出售的账号，无疑可以为不法分子提供洗钱服务。另外，即使这些账户被查封，也可以通过破解人脸识别达到解封账户的目的。

近年来，人脸识别技术的应用日渐广泛，为人们生活和消费提供了便捷。不过，安全始终是排在便捷之前的，希望支付公司人脸识别技术的迭代升级，可以确保认证环节安全可靠。对于广大网友来说，要保护好自己的个人信息，不要轻易将个人信息、照片等提供给他人。

此外，对于个人信息的保护还有待加强。小区保安、培训机构、招聘公司、贷款公司、银行职员等出售个人信息的事情常有发生，有多人因此被判刑。不过，买卖个人信息的现象仍没有从根本上得到遏制。有网友反映，仍经常接到针对性非常强的推销广告。

因此，必须加大对侵犯个人信息的打击力度，保持高压态势，形成保护个人信息的全民共识；完善行业自律的监管机制，形成简明、有效、合法的自我监督管理手段。个人信息不被侵犯，也就没人能动你的“脸”了。

来源： 人民法院报