银行职员利用漏洞转1分钱电影

银行职员张伟在系统里敲下一串字符，银行影屏幕上跳出“操作成功”的职员转分绿色提示时，他手心全是利用漏洞汗。他给某电影票务平台的钱电对公账户转了1分钱，然后利用自己刚发现的银行影系统漏洞，把这笔转账记录改成了“已支付478元”。职员转分第二天，利用漏洞他走进影院，钱电用手机扫码取走了《流浪地球2》的银行影票，座位是职员转分IMAX厅正中央。

这个漏洞其实不难找。利用漏洞银行内部系统有个测试端口，钱电平时用来模拟小额交易，银行影但没做权限隔离。职员转分张伟在夜班巡检时随手试了试，利用漏洞发现只要在交易金额后加个特殊符号，系统就会跳过校验，直接跳转到人工复核界面——而复核员凌晨三点根本不在岗。他后来跟我复盘时说，那感觉像发现自家保险柜密码是123456，不试一下手痒。

他前后用了三次，看了《满江红》《无名》和《深海》。第四次操作时，复核员突然提前到岗，系统弹窗显示“异常交易待处理”。张伟慌了，直接拔掉机房网线，但监控日志已经自动上传。第二天下午，行长把他叫进办公室，桌上摆着打印出来的交易流水，1分钱的记录旁边用红笔圈了个大问号。

处分结果是记大过，扣三个月绩效，调离核心系统岗。行长私下跟他说：“你要转个几百块看场电影，我还能帮你签个招待费，你偏要玩技术，这下谁都保不住你。”张伟后来被调去档案室整理纸质凭证，每天对着泛黄的传票，他告诉我，那1分钱在账面上永远平不了——系统里有个“待核销异常”的挂账，像根刺一样扎在总账里。

这事儿让我想起另一桩案子。前年某地农商行柜员用类似手法给自己充了200块话费，结果被审计系统自动标记，因为异常交易阈值设定是50元。张伟的银行把阈值调成500元，本意是减少人工复核压力，结果反而给了他操作空间。制度设计就是这么拧巴，你堵住一个洞，旁边又开一扇窗。

张伟现在偶尔还会被同事开玩笑，说他是“全行唯一一个用1分钱看过IMAX的狠人”。他苦笑，说那三部电影其实都没看进去，全程盯着银幕下方的时间码，生怕系统突然跳出错报。你看，人占了便宜，心里那根弦反而绷得更紧。

后来系统漏洞被修复，补丁说明写的是“修复特定场景下金额校验失效问题”。没人记得这个漏洞曾经让一个年轻人动了三次手。银行内部通报会上，领导强调“要加强内控意识”，台下人都在低头刷手机。张伟坐在最后一排，把那份通报折成纸飞机，飞进了废纸篓。