窃取与银联结算密钥，编写非法结算程序，15 个月窃取 608 万元

分享汇科技（北京）有限公司（以下简称分享汇公司）与某科技有限责任公司（以下简称PP租车公司）系关联公司。罗某某于2014年6月30日至2015年8月18日期间就职于分享汇公司，担任高级开发工程师。

罗某某与李某系同学关系、与庄某系夫妻关系。

罗某某在工作期间发现PP租车公司与上海银联电子支付服务有限公司（以下简称为银联公司）之间的资金结算交易、对账系统存在漏洞，遂通过其窃取的PP租车公司与银联公司的资金结算密钥，编写相应的非法结算程序密钥，冒充PP租车公司身份，向银联公司发送资金结算请求，使银联公司将资金转入其指定的银行账户。

同时，其通过在PP租车公司自动化对账系统服务器上安装恶意程序，于每日自动化对账系统核实前一日银联公司对账单之前，对银联公司对账单中记录的非法资金结算记录进行修改，从而规避PP租车公司自动化对账系统的检查。

2015年5月至2016年2月期间，由罗某某制作后台程序，李某购买虚拟服务器、银行卡，并利用上述漏洞向银联公司发送虚假的转账请求，分多次从PP租车公司窃取共计人民币3687948元；2016年3月至7月期间，罗某某采用上述方法继续从PP租车公司窃取人民币2394014元，并指使庄某在本市多处的ATM取款机上取现共计人民币一百余万元。

2016年6月底，PP租车公司财务人员进行财务审核时发现公司的账目存在异常后报案，同年8月15日，公安机关将罗某某、庄某抓获归案。同日，罗某某协助公安机关将李某抓获归案。公安机关从罗某某处起获的赃款人民币1666495.09元，从李某处起获的赃款人民币1177980元均已发还爱车汇公司。后庄某退赔爱车汇公司人民币1727518.91元，李某在家属的帮助下退赔爱车汇公司人民币830000元。

另查，李某购买的位于本市昌平区天通中苑的房产1套，其中有人民币789331.28元系赃款，现该房产已查封在案。

庭审过程中，公诉人当庭宣读并出示了公安机关在侦查过程中调取的下列证据：

罗某某的供述证实：

2014年5月，其在PP租车公司上班期间发现公司的管理有漏洞，公司的服务器里有公司财务给银联发送转账指令的密钥。

2015年三四月份的时候，其跟同学李某吃饭，李某问其在PP租车公司有什么赚钱的路子，其就跟李某说了这个事。李某当时说考虑考虑，让其做一个技术上的调研看看是否可行。后其用PP租车公司的工作电脑进入公司的系统查看系统源代码和运行机制，发现公司的对账机制是T+1机制，比如银行当天到账，但对账单会在第二天发给公司，其当时觉得能够利用这个漏洞，之后其把这事跟李某说了。李某说要测试一下看看效果，有没有什么问题，并让其做一个后台给他使用。后其做了一个后台程序，李某买了一个服务器，其把程序部署到服务器上，具体的操作都由李某去做。经过一段时间的测试，大概到2015年6月份左右，其二人正式开始利用PP租车公司的系统漏洞把备付金转到私人账号上。其先进入公司的程序，到里面找到公司和银行结算的密钥下载下来，然后修改公司的程序，使自己制作的程序可以修改、控制公司的程序，之后其二人可以通过其制作的程序向银联公司提交转账申请，这是以PP租车公司的密钥提交的申请，在提交申请时，其二人会把要收钱的银行卡信息一并提交，这样银联就会把公司的钱直接打到其二人指定的银行卡里。因为当天结算后，银联会在第二天才把对账单发到公司的FTP服务器里，其制作的程序会自动到公司的FTP服务器里篡改银联发来的对账单，把转钱的记录删除。通过打时间差的方式，在每天公司对账之前把对账单篡改了就行，这样公司就发现不了对账单出现问题了。李某是在阿里云上买的虚拟服务器，虚拟服务器的IP地址其记不清了，当时其用的是自己的苹果笔记本电脑，里面应该有记录。

李某做的时候跟其说他转出200多万元，2015年7月份左右，李某找到其说他做完了要分一点钱给其，之后就分多笔给其打了46万元。到了2015年十一二月份，李某开始用现金给其钱，说这样安全，每次多少不固定，大概给其三四次钱，总共不到60万元，李某一共给其105万元。其当时跟李某商量从PP租车公司弄钱的时候约定弄出来的钱一人一半，其认为李某给的钱有点少，因为都是李某在操作，其不知道详细情况，于是就自己登陆上去操作。2016年4月至7月期间，其开始自己做，前后一共从PP租车公司转出230万元到自己指定的账户。这些账户都是其在网上论坛里买的，一共是10张银行卡，每张卡配1张身份证和1个U盾。

其是2015年8月从PP租车公司离职的，2015年五六月份开始做的时候都是李某在操作，其只是提供了程序，之后在2016年4月份其才自己开始做。其自己做的时候李某没有再从PP租车公司的账户上往外转账，其之所以知道是因为其做的程序上面有记录，这之后没有他登陆的记录，现在这些记录都已经删除了。

2016年7月中下旬，其让其爱人庄某拿着银行卡去取钱，其每次都开车送她去ATM机上取钱，其跟庄某说做点伪装再去，让她戴个帽子、眼镜。她刚开始不知道这是什么钱，后来到了八月份其告诉庄某这些钱是其通过PP租车公司的漏洞转出来的，她这时才知道，这之后其又强求庄某取了一两次钱。

证人肖某、陈某的证言证实：

2016年6月30日，公司财务人员进行财务审核时发现公司的账目存在异常，掌握这一情况后公司的技术人员开始介入调查，经过技术调查后发现从2015年5月9日开始，有人冒充公司的身份，向银联发起虚假的转账请求，截止到2016年7月2日共从公司非法转走600多万元。

嫌疑人获取了其公司的密钥，然后在向银联发起的报文请求中使用了该密钥进行加密，银联对密钥进行核对后确认是其公司发起的请求，于是就将资金打入嫌疑人指定的账户内，然后嫌疑人通过获取其公司FTP的用户名和密码，直接登录其公司的FTP服务器下载对账单，修改后再上传，篡改对账文件，通过修改对账文件使账目和转账金额一致。

证人钟某的证言证实：

罗某于2014年6月30日入职爱车汇公司，2015年8月18日因个人原因离职。罗某在职期间一直是技术员，在其手下工作，负责公司的基础系统构架，参与开发公司内部管理系统，包括支付系统、短信网关、还有其他一些小系统。罗某只负责系统的开发，系统投入运行后他是没有权利使用的，没有从银联提现的权限，没有管理公司与银联交易密钥的权限，也没有登录公司与银联对账的FTP服务器的权限。公司的FTP是有专人负责的，其本人以及公司的领导都不知道账号、密码。密匙就放在服务器上，公司平时也强调要保证密匙的安全，大家也都知道密匙涉及钱的问题，其所在的技术部门是不可以涉及到公司财务工作的。罗某因为开发系统需要用到这台服务器，他有权限登录存放密钥的服务器，因为这个服务器还部署了很多功能，公司很多系统都要用到这台服务器。

证人魏某的证言证实：

其是爱车汇公司的技术员，负责密钥的更新和维护，但是其本人不能使用，密钥已经与程序连接在一起，爱车汇公司的所有交易都是通过系统自动进行的，任何人都不能使用这个密钥，只有程序在使用。罗某在职期间可以登录存放密钥的服务器，但是没有权利对密钥进行任何操作。

爱车汇公司出具的工作说明证实：

按照PP租车公司2016年7月之前的机制，如果有异常访问在每天17点之前将FTP服务器上银联下发的对账文件下载，修改后再重新上传，则PP自动化程序核对的就是修改后的对账文件。PP租车发送给银联请求的服务器必须有一个IP地址来作为这台机器的标识，这个IP地址从2015年5月份到2016年7月份都没有更换过，而且只有一个IP地址向银联发送代付请求，该IP地址为×××。在2016年7月3日之前，PP租车公司和银联之间的通信没有增加白名单的限制，所以如果是其他IP向银联发送请求，只要有对应的私钥和密钥，都可以申请转账成功。

2015年5月9日至2016年7月2日，通过银联提供的提现记录和PP租车公司记录的提现记录对比，发现共发生520405笔提现记录，其中518548笔来自爱车汇公司服务器（×××）发起的请求，另有1857笔系非经爱车汇公司提起的提现请求。

法院裁决：

罗某某单独或伙同李某以非法占有为目的，秘密窃取公司钱款，数额特别巨大，其二人的行为均已构成盗窃罪，应予惩处；庄某明知是犯罪所得而予以转移，情节严重，其行为已构成掩饰、隐瞒犯罪所得罪，应予惩处。北京市海淀区人民检察院指控罗某某、李某犯盗窃罪，庄某犯掩饰、隐瞒犯罪所得罪的事实清楚，证据确实、充分，指控罪名成立。

关于本案的定性问题，经查，罗某某在PP租车公司担任高级开发工程师职务，主要工作职责为基础系统开发，并没有向银联公司发送提现请求的权利，其工作内容与财务无关。同时，证人钟某、魏某的证言可以证实罗某某虽因职务所需有权登陆储存资金结算密钥的服务器，但其无权对密钥进行任何性质的操作，也无权登陆PP租车公司用于与银联公司进行对账的服务器，PP租车公司的银行密钥亦有专人进行维护、更新。

综上，罗某某系利用其熟悉密钥工作原理和公司对账机制的便利条件而非职务上的便利实施了犯罪行为，故其行为不符合职务侵占罪的构成特征。罗某某、李某的主观目的在于利用系统存在的漏洞，通过窃取密匙、冒充公司身份发送资金结算请求的方式，达到非法占有公司钱款的目的，其二人对计算机的操作仅是犯罪手段以及掩盖犯罪事实的方法，故应当以盗窃罪追究其二人的刑事责任。综上，对于辩方提出的本案应定性为职务侵占罪以及破坏计算机信息系统罪的意见，法院不予采纳。

关于本案犯罪金额问题，经查，罗某某、李某存在事先意思联络、事中相互配合的行为，其二人的行为共同导致了PP租车公司资金损失的后果，应共同对盗窃罪既遂承担责任。

但2016年2月以后，李某放弃继续犯罪，罗某某采用相同手段继续实施盗窃行为并独自占有了所获赃款，其犯罪行为虽然利用了此前与李某共同实施犯罪时的程序和服务器，但二被告人前期的共同犯罪行为与罗某某后续单独实施犯罪造成的后果之间不存在因果关系，故李某仅应对其所参与部分的犯罪数额承担责任。综上，对于辩方提出的关于李某犯罪数额的意见，法院予以采纳；对于辩方提出的罗某某犯罪数额的意见，本院不予采纳。但在共同犯罪中，李某积极参与并有购置服务器、购买银行卡、套现、分配赃款等行为，其与罗某某各有分工、相互配合，所起作用基本相当，依法不应认定为从犯，故对于辩方提出的李某系从犯的意见，法院不予采纳。

鉴于罗某某协助公安机关抓获其他犯罪嫌疑人，系立功；罗某某、李某、庄某能如实供述自己的罪行，认罪态度较好，同时考虑到罗某某、李某退赔了大部分违法所得，弥补了被害单位的大部分经济损失，且庄某获得了被害单位的谅解，本院依法对罗某某、李某、庄某从轻处罚，并对庄某适用缓刑。辩护人其余部分相关辩护意见，本院酌予采纳。依照《中华人民共和国刑法》第二百六十四条，第三百一十二条第一款，第二十五条第一款，第六十七条第三款，第六十八条，第七十二条第一款、第三款，第七十三条第二款、第三款，第五十三条第一款，第六十四条之规定，判决如下：

一、罗某某犯盗窃罪，判处有期徒刑十一年，罚金人民币十万元。

二、李某犯盗窃罪，判处有期徒刑十年，罚金人民币十万元。

三、庄某犯掩饰、隐瞒犯罪所得罪，判处有期徒刑三年，缓刑三年，罚金人民币二万元。

四、责令罗某某向被害单位某科技有限责任公司退赔人民币三十三万六千四百五十六元三角一分、李某向被害单位某科技有限责任公司退赔人民币三十四万三千五百一十一元六角九分。

五、依法追缴李某位于本市昌平区天通中苑房产中与赃款人民币七十八万九千三百三十一元二角八分对应的收益。