美國囚犯用甚麼方法,利用平板電腦盜取22.5萬美元?

近日看到傳媒報導,關於美國愛達荷州懲教處,一班囚犯利用平板電腦的保安漏洞,364名囚犯集體騙取合共22.5萬元,並轉帳到他們的的帳戶當中。這次事件媒體都只有簡短的報導,至於囚犯利用甚麼技術則沒有提及。在好奇心的驅使下,我嘗試在網上搜尋資料,希望可以了解這次事件,到底囚犯是用了甚麼方法去騙取金錢呢?

翻查資料,其實早在數年前,美國就已經開始向囚犯提供平板電腦的服務。而這項計劃是由一間名為 JPay 的公司營運的。JPay 的服務主要是為美國的監獄提供型號 JP5mini 的平板電腦。JP5mini 是採用安卓系統 Android,而 JPay 以售價約 70 美元一台賣給獄中囚犯,為他們提供娛樂。其實 JPay 一直都因收費過高而招致大量批評,因為囚犯購買 JP5mini 之後,要下載應用程式或遊戲,還需要額外付費的。囚犯的家人需要利用 JPay 網站的 Send Money 功能,為獄中的使用者帳戶充值,囚犯收到充值金額後,就可以下載自己所需的應用程式。

那麼這次囚犯是利用甚麼方法騙取金錢的呢?首先 JP5 平板電腦是不能直接連到互聯網的。用戶需要利用獄中的無線網絡,再利用 JPay 的 App Manager 下載軟件或歌曲作離線使用。在程式開發設計時,考慮到大多數時間用戶都是離線操作,因此大部份資料,例如 App 的購買目錄、售價、甚至是囚犯的帳戶資料及結餘金額,都是直接記錄在平板電腦本機的資料庫中。

大家試想一下,假如你利用手機存取網上銀行服務,而你的帳戶結餘,是記錄在你的手機,而不是在銀行的資料庫中,只要你能破解手機內的資料,你就能隨意增加帳戶結餘,變成億萬富翁並非難事。而這次囚犯就是利用這原理,破解並修改了本機內的帳戶結餘,之後他們就可以瘋狂購買歌曲及遊戲了。幸好,這次漏動只限於修改結餘來下載應用,犯人不能將修改的金錢匯出到其他地方去,否則 JPay 這次損失就會更大了。

開發手機應用程式,為了提升效能及離線支援,將部份資料暫存到手機的數據庫是很普遍的事情。但是在交易時,必定會有機制去核實線上伺服器的資料,是否跟你提供的資料敏合,例如核對 App 的售價,以及用戶結餘等。只要有不符合的地方,就馬上封鎖帳戶。JPay 作為監獄的平板電腦供應商,卻犯了這種錯誤,實在有必要認真檢討一下。

 

 


Also published on Medium.

Leave a Reply

Your email address will not be published. Required fields are marked *

five + fourteen =

This site uses Akismet to reduce spam. Learn how your comment data is processed.