假如黑客能每个月从一亿张银行卡中窃取一分钱，是否可以逍遥法外? 第1页

你说的黑客是不是逍遥法外我不清楚

但是现实有一个例子

外卖平台每天扣上千万骑手三块钱保险钱

而这三块钱并没有全额买保险

可是外卖平台却一直好好的

根本没人去追究这个问题

这个钱积累起来数目巨大

变成了某些人合法的外快

不用假如，真有过这样的例子。

银行的一个工作人员，具体是谁忘了，少发用户的银行卡利息，只发整数部分，小数私吞。比如利息123.45，只发123。凭借私吞每个人几毛钱，轻松月入几万。

多数人不会注意到利息少了几毛钱，也就没在意。结果后来遇到个杠精，计算利息发现不对劲，少了几毛，去一查，事情暴露了。当事人被抓了。

分分钟被抓 。谁敢这么做肯定完蛋。

在银行总行部门干过多年苦力，密切接触核心数据的我，特别适合来回答一下这个问题。

我接触的数据有多核心呢？ 客户，账户，总账（会计），凭证，交易，冻结……几乎没有隔离墙。

首先，我们必须接受一个潜在假设，即：「他是个黑客或者黑客组织，既然他是黑客那么他肯定不是一个傻逼。中国的黑客中有过一个著名傻逼，就是熊猫烧香的那个作者，之后就没有了」。

然后我们继续说结论：
这件事根本不需要动用安全部门就会被发现，
金融科技系统的人不会糊涂，
因为：一定会被发现。
即使有基层的傻瓜想赚不义之财，也不会动账户，因为：一定会被发现。

（移动通信公司曾屡次出现出售客户信息情况）

插播一个笑话：
您好，请问是 ”张建设“先生吗？不是啊，打扰了。
您好，请问是 刘中国 先生吗？。不是，我是刚才的张建设。彼时金融机构还没有执行“实名制”。

以下回答假设此黑客具有高超技术，同时假设银行的安全部门全部休假。必须由其他业务部门来发现异常。业务部门通过如下被动方式发现异常：

1、小银行没有1万万这么多账户，大银行省级分行也没有这么多多账户。
2、1亿次交易会引发【交易量异常】。
3、被【反洗钱系统】识别。
4、交易金额【均数异常】。
5、客户流水【对账单】大量异常。
6、【柜员系统】异常。
7、激发【司法监控账户动账】。
8、【冻结账户】异常回退交易。
9、【事后监督】系统识别异常。
10、其他【商业智能系统】识别异常。

1）
我国的银行通俗上讲分为：
1、村镇银行（客户数不过万），
2、农村商业银行（农信社）（例如 重庆农商，成都农商……），
3、城市商业银行（城信社）（典型的北京银行、上海银行……），
4、股份制银行（全国化的12家）（中信，广发，光大……），
5、四大行（工农中建）。
6、互联网银行（微众银行，网商银行，不再考虑之内）

农村商业银行最多能有几千个账户
银行公布的年报里面有自己的：账户数、客户数、新增账户、新增客户数。

2）科技部门统计每日交易量，用来监测系统负荷，稍有压力就会升级设备。 一旦出现千万级别的新增交易量，日报、周报、都会提示交易量异常增长。

他们还得解释为啥突然多了一亿笔交易，这交易量和交易总金额的相关关系异常。
例如转账交易中转账的平均金额是有规律的。

3）反洗钱系统会直接检测到“某”账户交易频次过高。
央行出的反洗钱手册里面明确要求（注意一对多收款账户）， 而且收款账户如果还是个人账户，那么就更加异常了。

客户的金融交易达到“一定金额”时，机构应向反洗钱监测分析中心提交大额交易报告。客户交易或行为符合规定的可疑标准，或交易的金融、频率、流向、性质等有异常情形，经分析认为涉嫌洗钱的，应报告可疑交易。

4）交易金额分布直方图会变得难看。

交易金额集中在1分钱，交易金额/频次折线图上会出现一个高耸的锐角。曾经有个故事：在银行工作的情侣，用转账备注当作短信互诉衷肠，毕竟短信还是挺贵的，一条一毛钱呢。发了几百条就被注意到了。

5）一亿条转账流水记录会出现在客户对账单，（对公客户）必须会找银行询问情况。

对公客户都是由专业会计、财务管理，她们的职责是保障每一分钱都能说的清楚。要避免出现流水记录，就只能手工执行帐务操作，你得有核心系统的数据库的密码，而且直接调账就无法实现跨行交易。

5.1 ) 因为柜员系统给每个柜员的授权都很有限，所以这个1亿次的交易无法通过前台实现。稍微大点的操作，都得双人复核，又得模拟出一套指纹授权，好有难度。

批量代发系统，即使能接受一亿条指令，那excel也装不下1亿条记录。excel97版本只能存放65536（行数据）条记录，升级版本无限制但是会打不开。柜员系统无法提交1亿条转账命令。当然可以新增一个柜员，授权极大的金额，再用此柜员的权限来操作，但是柜员是（隶属）挂在总行，分行，支行的。

6）这一亿账户里边会有许多属于在逃人员（监控账户）。动帐通知会安静且直接的发送到执法机构。（欢天喜地查水表）

7）有的人对会计科目并不了解，不知道要动钱必须把科目做平。
借贷必相关，出入账金额必相等。
总账与分户账对账必须平，银行查账的时候，差一分钱都不行，当然也有强行手工调整的时候。
还得学习财务会计，再弄懂银行的会计科目的勾稽关系（大概要几个月）。
注意：各个银行的会计科目是不同的。

8）还必须回避已冻结账户（老赖、民事纠纷），否则会有无数条警报、系统报错，交易回退。

9）事后监督系统。专门检查已经完成的业务，对各项财务票据、原始凭证等进行验证。

10）
如果这个收款账户在本行，那么这个账户钱多会被注意到。 如果这个账户是在其他银行，那就得跨行收款。跨行走小额系统，人民银行清算中心注意到这个高频收款账户。

以上回答假设没有任何网络安全人员参与入侵识别。

110：那么技术实现上，到底难不难呢？：答案是不难，但是一定会被发现。

存款是银行的负债。

在存款系统上，有个账户表，里面有帐户余额，可用余额，其中可用余额=帐户余额-冻结金额，只要把这帐户A的两个金额增大，帐户A里面的钱就多了。例如设置可用余额=X+100万，可用余额=X+100万。

改完之后，这新增的100万能不能拿出来呢？不能。
因为交易执行之前会有多重验证，例如拿余额跟帐户流水表做验证，看看交易发生之前可用金额是不是一致，所以，还需要把流水表里面的当前金额改成X+100万。
必须是要改流水表里面最新的一条记录，因为流水明细有编号，那个编号也会验证。

理论上这么做之后，就可以正常存取款转账了。
但是，流水表相关的，有流水明细，流水日志，帐户表有帐户明细，帐户总表等等，每个表都有自己的附属表。这里面有一个地方没改，就无法继续交易或者会报错。

然后，流水表即使能修改，也无法做到没有痕迹，
交易前金额+交易金额=交易后金额=帐户余额，这三个项目要匹配。
0+1=1
1+11=12
12+2=14+100
会计系统也会直接报错，

那一百万是银行凭空多出来的对客户的负债，财务部、会计部会问账上的钱去哪里了。

后台查账也会首先当作系统差错来查，但是系统差错和人工操作有核心区别。即，
系统差错必须遵循交易完整性；
系统差错必须可重现，
系统差错可追溯。
系统差错必能够找到为此负责的计算机代码。

想要不被发现几乎是不可能的。

曾经中国移动四川分公司出现多扣费，多扣一点点，合计几个亿。
这件事现在貌似已经找不到网页记录了，但我还记得。
所以：金额少不如动作少。动作越复杂越容易被发现。

———————

转换一下思路：

所有预付费的方案都是在怎么做，包括：中国电网，中国移动，公交公司……
尤其中国电网，每个人预付费几百块，数亿客户，每年利息就天文数字。
北京有2000万常住人口人，每人最少一张公交卡，每张卡最多预1000，更多充不进去了。
这是2000万人×500元/卡/人（粗略均值）=100亿元，每天利息收入几十万元。
利息这件事还引发过大讨论。

工总行曾经就有这么两个主儿，不是窃取，比你高明，写了个小程序，在日结利息的时候，把四舍五入舍的钱，轧差结进了一个中间账户，偷偷自动换成澳币，悄悄地汇出去了。

要不是系统升级，来不及跑就被逮了，这俩人原本在墨尔本把海滩都买好了，本来打算去南十字星下过夫夫生活的，这下好了，肥皂捡够了出来，要五十多岁了。