據(jù)外媒報道，美國檢察官表示一名前微軟程序員利用微軟內(nèi)部對測試賬戶監(jiān)管不嚴的漏洞，瘋狂套現(xiàn) 1000 萬美元，并購置了一輛特斯拉與價值 160 萬美元的房產(chǎn)，而其可能因此面臨高達 20 年的監(jiān)禁與 25 萬美元罰款。

事件回溯

據(jù)The Register的最新報道，一位前微軟開發(fā)工程師 Volodymyr Kvashuk 于本周二被逮捕，因其涉嫌從前雇主處竊取總值達 1000 萬美元的數(shù)字貨幣（代金券）。

據(jù)了解，今年 25 歲的 Volodymyr Kvashuk 為居住在華盛頓州倫頓市的烏克蘭公民，其于 2016 年 8 月被聘為微軟正式員工，并于 2018 年 6 月被微軟公司解雇。根據(jù)檢方公布的訴狀，Kvashuk 已被西雅圖聯(lián)邦地方法院起訴。

Volodymyr Kvashuk 曾任職于微軟 Universal Store 團隊（UST），負責處理該公司的電子商務業(yè)務。微軟公司 Azure DevOps 產(chǎn)品負責人 Sam Guckenheimer 曾在 2017 年做出正式說明稱：“UST 是微軟公司的主要商業(yè)引擎，使命是為微軟的全部商業(yè)產(chǎn)品提供 One Universal Store 支持。UST 涵蓋微軟公司銷售的所有產(chǎn)品，以及其他一切通過企業(yè)，消費者與商業(yè)，數(shù)字與物理，訂閱與交易進行的，經(jīng)由所有渠道及店面銷售的產(chǎn)品。”

根據(jù)訴狀，UST 成員負責在微軟在線商店中設(shè)置虛擬賬戶，通過專門創(chuàng)建的電子郵件地址立足生產(chǎn)環(huán)境測試與信用卡的關(guān)聯(lián)功能，從而在不產(chǎn)生實際費用的前提下進行產(chǎn)品購買。而后，Volodymyr Kvashuk 將其測試賬戶列入白名單，以繞過微軟的安全與風險監(jiān)測系統(tǒng)。

隨后，Kvashuk 利用這一漏洞購買了大量微軟商品，并以低于面值的折扣價從第三方手中換得大量貨幣——總價值高達 1000 萬美元。這一欺詐活動據(jù)稱于 2017 年開始，而后逐步升級。欲壑難填的 Kvashuk 基礎(chǔ)年薪為 11 萬 6 千美元，但卻在華盛頓州倫頓市購置了價值 16 萬 2 千美元的特斯拉汽車與 160 萬美元的房產(chǎn)。

目前，當局已經(jīng)要求對 Kvashuk 實施拘留，并稱他可能試圖逃離美國或者妨礙司法公正。如果確被判處犯有欺詐罪，這位前微軟開發(fā)工程師可能面臨高達 20 年的監(jiān)禁與 25 萬美元罰款。

微軟對測試賬戶監(jiān)管不力

在設(shè)計測試系統(tǒng)時，微軟方面忽略了一個重要的攻擊向量。訴狀解釋稱，“測試計劃本應阻止實物交付，但微軟公司沒有預想到測試人員會利用數(shù)字貨幣（「Currency Stored Value」，簡稱 CSV）進行購買測試，因此沒有采取任何阻止 CSV 交付的措施。”

如此一來，測試人員即可通過測試購買微軟數(shù)字禮品卡，獲取可兌換的有效產(chǎn)品密鑰，并向與購買者賬戶相關(guān)聯(lián)的數(shù)字錢包充值。在此之后，電子資金即可用于從微軟商店購買數(shù)字或者實體產(chǎn)品。

訴狀稱，Kvashuk 的操作已經(jīng)被微軟 UST 欺詐調(diào)查打擊小組（FIST）撤銷。該小組于 2018 年 2 月注意到，微軟 Xbox 游戲系統(tǒng)中的 CSV 購買訂單出現(xiàn)了可疑增量，調(diào)查人員追蹤這筆數(shù)字資金，發(fā)現(xiàn)產(chǎn)品已經(jīng)通過兩個不同的網(wǎng)站進行轉(zhuǎn)售，而其根源則是兩個被列入白名單的測試賬戶。

以此為起點，FIST 持續(xù)跟蹤其中涉及的賬戶與交易。在美國相關(guān)部門的協(xié)助下，調(diào)查人員得出結(jié)論，認為 Kvashuk 對微軟存在欺詐行為，包括嘗試利用虛擬賬戶隱瞞自己的身份，并使用比特幣混合服務隱藏公鏈交易。

除了指向 Kvashuk 的服務供應商記錄之外，訴狀還提到微軟公司的在線商店使用了一種被稱為模糊設(shè)備 ID 的指紋識別方式。據(jù)稱，調(diào)查人員成功將特定設(shè)備 ID 與 Kvashuk 的相關(guān)賬戶聯(lián)系了起來。

程序員的職業(yè)道德

無論從事什么行業(yè)，職業(yè)道德都是最基本的底線。2018 年 10 月份，InfoQ 也曾報道過類似事件：華夏銀行三室處長覃某將其編寫的“計算機病毒程序”植入華夏銀行總行核心系統(tǒng)應用服務器，并通過該計算機病毒程序使其跨行 ATM 機取款的交易不能計入賬戶，自 2016 年 11 月至 2018 年 1 月間，覃某通過其掌控的華夏銀行卡多次在 ATM 機上跨行取款，將銀行資金 717.9 萬元轉(zhuǎn)入其使用控制的銀行賬戶，非法占為己有。

對于 IT 從業(yè)者的程序員來說，職業(yè)道德應該是怎樣的呢？IEEE（電氣和電子工程師協(xié)會）曾制定過 IT 從業(yè)者的倫理準則（Code of Ethics），簡單翻譯以供參考：

總結(jié)

以上是生活随笔為你收集整理的微软程序员利用测试账户套现千万美元，或面临 20 年监禁的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。