大学生“套路”京东背后：校园白条明与暗

fudashuai

       “学生在校园里的社会关系是非常牢固、非常稳定的……他欠了贷款咬牙也要还上，他承受不起（赖账）这个后果。”

       按照一位京东金融内部人士对媒体的说法，京东有针对网络“黑产”的专门团队，其中不乏前公安民警和前检察官。

       虽然京东白条“长得很像信用卡”，但因为没有第三方金融机构介入，与客户的关系不是“借贷”而是“赊购”，因此并非是信用卡，它也不需要金融牌照。

       警方抓了三十多名嫌疑人，据一被告人的代理律师介绍，其中大约有一半在公安侦查阶段就因为足额退赔而获得京东谅解，后来免予追究刑事责任，最后站在法庭上的被告人，多是未退赔者。　　文 | 南方周末记者 柴会群　　南方周末实习生 全思凝 蒋芷毓　　责任编辑 | 钱昊平

　　2019年3月8日，一起看似寻常的团伙诈骗案在长沙市天心区人民法院开庭审理，并当庭宣判。数家媒体记者被法院邀请旁听。

　　该案共有9名被告人——看起来并不是很多，诈骗金额共计110万余元——数字也不是很大，两名主犯分别获刑10年9个月和10年6个月，从犯则均在3年以下——量刑并不算重。

　　不寻常的是，互联网巨头北京京东世纪信息技术有限公司（ 以下简称京东 ）成了受害人。接到法院通知后，京东派了3个人前往。

　　诈骗京东的，是一群涉世未深的“95后”，他们基本都没有犯罪前科，其中一名主犯是在校大学生，有的还是未成年人。这群“小伙伴”利用京东校园白条的一系列漏洞，先后114次假冒大学生骗取校园白条赊购额度，在京东商城赊购商品，并将其变卖瓜分。他们分工明确，甚至还有上下线，有的属于临时“兼职”，有的则将其当作了“事业”。

　　此类诈骗案并非孤例。同样是在长沙，芙蓉区人民法院2018年也审理过一起涉及京东白条的诈骗案，作案手法与本案类似，被假冒的大学生共计89人。

　　长沙天心区法院此次邀请媒体旁听的初衷，是希望通过此举震慑犯罪分子，体现该院在优化营商环境、保护民营经济发展方面的努力。开庭前一天，法院负责人还与京东公司3名工作人员座谈，京东对法院等政法机关及时打击黑产犯罪、有效保护企业利益表示衷心感谢。

　　然而一家媒体在报道时却“跑偏”，将视线对准京东内部的管理：互联网巨头被几个小孩“套路”了。

　　1

　　灰色地带

　　主犯汪铭曾是湖南某学院化学系的学生，最初只是觉得“好玩”，之后才走上了针对京东的职业诈骗之路。2016年9月，正在读大二的他通过一个金融QQ群了解到，京东校园白条存在一个致命的漏洞。

　　“实名认证那一关可以直接跳过，不需要绑定银行卡了，可以直接进行下一步的操作……”宣判之后，汪铭对采访他的数名记者说。

　　2014年2月上线的京东白条是国内第一款互联网消费金融产品，一度是“行业创新的典范”，其模式是：京东公司给白条用户一定的现金使用额度（一般在15000元以下），允许用户在京东商城购买相应额度的商品，最长可以延后30天结算，即“先消费，后付款”，如果超期未支付全部应付款项而导致信用违约，则需支付违约金。

　　校园白条是京东白条独有的、专门面向大学生的一款产品。其2015年初刚推出之际，正值各种面向大学生的“校园贷“兴盛之时，据媒体报道，校园白条大约占高校校园贷市场份额的三分之一，与蚂蚁“花呗”相当。

　　从事证券工作的孙天驰，曾是北京大学金融法研究中心一名硕士研究生。在读研期间，他曾专门对京东白条做过研究，并且十分看好这款产品。在他看来，虽然京东白条“长得很像信用卡”，但是因为没有第三方金融机构介入，与客户的关系不是“借贷”而是“赊购”，因此并非是信用卡，它也不需要金融牌照。

　　孙天驰认为，当时由于考虑到学生的偿还能力差，各银行已取消了针对本科生的信用卡办理业务，这让像京东白条这样的消费金融产品在高校有了市场：“（有些）大学生爱花钱，但是没有（经济）基础和能力，我给你放贷，你还不了，（可是）你有老师，有爸妈，我就可以考虑（向你）放贷。”

　　在孙天驰看来，虽然向大学生放贷具有一定风险，但对于放贷者而言，总体上还是安全的，“学生在校园里的社会关系是非常牢固、非常稳定的……他欠了贷款咬牙也要还上，他承受不起（赖账）这个后果。”

　　从2016年下半年开始，因为催款引发了大学生跳楼等恶性事件，校园贷开始受到政府打击，京东白条亦被银监会认为属于校园贷整治范围。不过，京东在此背景下仍“逆势而动”，全力进军校园贷市场，据媒体报道，其金融服务自称已覆盖全国约3000所高校，约2800万大学生。

　　按照京东公司员工报案时对警方的说法，校园白条区别于普通白条的一大特点，是可以通过“线下面签”这一方式申请额度，不必非得绑定大学生本人的银行卡。而代表京东对大学生客户进行“面签”审核的，就是京东聘用的大学生。

　　绑定银行卡是互联网金融公司进行“风控”的主用手段之一。因为这相当于让银行帮其对客户的身份进行把关，防止可能出现的欺诈行为。

　　京东的这种做法让孙天驰大为不解：几乎所有大学生入学之后都有银行卡，京东通过绑定银行卡对校园白条客户进行实名认证，既方便又安全，为何非要用原始的线下“面签”方式？

　　而汪铭等人正是沿着京东公司面向大学生开通的这条特殊通道，骗走了京东公司上百万元的商品。在他看来，“这太简单了”。

　　2

　　可以“重复注册

　　汪铭等人“套路”京东的第一步是购买身份证信息，再通过学信网来验证主人是否大学生。

　　学信网的全称是“中国高等教育学生信息网”，由教育部直属事业单位全国高等学校学生信息咨询与就业指导中心主办。作为教育部指定的学历证书唯一查询网站，学信网也是京东校园白条用作验证用户身份信息所依据的主要平台。

　　然而，京东最初似乎并没有意识到，某位大学生在学信网上的学籍信息，外人只要将其身份证号绑定一个新手机号就可以获取。

　　律师黄思敬在代理这起案件时发现了这一“漏洞”。根据犯罪嫌疑人的供述，学信网上的账号可以“重复注册”——一个已经在学信网上注册过的大学生，可以用同一个身份证号加上一个新手机号再次注册，且原用户不会知道新账号的存在。

　　一名涉案人员接受南方周末记者采访时介绍，汪铭等人的具体做法是：在网上找到专门卖身份证的QQ群，购买大量身份证号信息，然后将符合大学生年龄段的号码挑出来，安排人专门在学信网上通过“重新注册”的方式进行验证。一旦“验”出是大学生，便花几百元将这张身份证买下。

　　验证时需要新手机号码，出于安全和节省成本考虑，汪铭从一个专业网站上购买了虚拟手机号码，用于接收注册时的短信验证码，“一毛钱一条信息”。由于随机生成的虚拟号码并不稳定，在验出某张大学生身份证后，再去买一张“不需身份证就能买到”的手机卡。

　　同样为了节省成本，这些手机卡通常被装在售价一二百元一部的老年手机里。据这名涉案人员介绍，汪铭有一个“下线”，平常身上带有六七部这样的手机，随时接到汪铭发来的信息，以便在申请校园白条时用以接收验证码。另有一台智能手机则用来登录京东APP下单购物。南方周末记者在网上查询发现，早在2015年6月，某互联网安全服务网站就曾公开披露学信网验证问题导致学籍和个人信息可被盗取，该漏洞类型属于“账户体系控制不严”，危害等级为“中”，漏洞状态为“厂商已经确认”。

　　2019年3月26日，南方周末记者联系学信网，希望就重复注册问题进行采访。次日，有自称学信网工作人员回电称，过去因为学生换手机号等原因，曾允许重复注册，后来只允许学生注册一次。“至少这两年规定我们是不允许（重复）的。”该人士称，重新注册必须手持身份证拍照上传学信网，待工作人员人工审核成功后方可通过，重复注册不影响学历、学籍信息。

　　不过，南方周末记者委托多名在读大学生尝试发现，有的仍然可以重复注册，并不需要上传手持身份证照片交学信网后台审核。

　　上述人员还表示，京东到目前为止和学信网没有合作关系，“我们不知道京东到底怎么审查的这个信息”。

　　3

　　假“面签”

　　从学信网上成功获取一个大学生信息后，汪铭等人就可以此人的名义在京东金融App上申请校园白条，并且能够通过京东后台的身份审核。之后他们要想获得京东的赊购额度，需要突破的惟一障碍，就是京东在各个大学设立的“面签官”。

　　“面签官”又叫“面签员”，是京东为了拓展校园白条市场在高校专设的岗位，均由所在高校大学生兼职。

　　一位曾担任过京东某高校“面签官”的大学生说，京东为了推广校园白条，在其所在学校设置了CEO（首席执行官）、CFO（首席财务官）、COO（首席技术官）等岗位。他是这所学校的CEO，同时兼任“面签官”，负责对那些不想通过绑定银行卡申请校园白条的大学生进行身份审核。审核的主要方式就是让申请人手持身份证，由他用京东配备的设备拍照，上传到京东总部备案。审核成功后该学生便可当场获得赊购额度。

　　对于汪铭而言，要突破这些学生“面签官”的审核并不难，他第一次试验时就成功了。

　　不过，为了规避风险，汪铭并不愿亲自去“面签”，而是以每次一两千元的价格招募社会人员，假冒大学生去高校“面签”。他所招募的面签人有的为了降低风险，会以更低的价格向外“转包”，通常为500元左右，由此形成了一条假“面签”利益链。该案中，有一个面签人最多面签成功过15次，这意味着他先后假冒了15个大学生申请到了校园白条。

　　汪铭的“下线”刘德明，在认识汪铭之后，曾去“面签”过一次，并从汪铭那里领到了800元钱。后来他也开始找别人“面签”，从中赚取差价，同时他还和女友在贵州帮汪铭“下单”和“收发货”，每月领取固定工资。

　　2017年3月，刘德明找到了和他“玩得蛮好”的初中同学李强，让他帮忙去“面签”。据李强回忆，刘德明当时向他保证“自己全担着”：“你放心，（如果京东找过来，）我们把钱还上。”

　　李强相信了，因为身份证不是他的，留的电话号码也不是他的。他所要做的，不过是根据刘德明的安排，拿着一个大学生的身份证去找京东“面签官”照个相。后来李强才知道，这是整个诈骗链中风险最大的环节，而刘德明联系他是为了找“替死鬼”。

　　2017年3月27日，应刘德明之邀，刚满18岁的李强和初中同学陶励志一起从长沙远赴800公里外的郑州“面签”。刘德明则和女友刘莎莎从更远的贵阳出发，与他们在郑州会合。

　　在这起京东白条诈骗案中，共有114名大学生的身份证信息被假冒，涉及七十余所大学，遍布全国二十多个省市，其中不乏211、985大学。汪铭等人雇用的面签人员，经常乘坐飞机赴各地“面签”。

　　李强一行在郑州“面签”了两所高校，陶励志只面签过一次。

　　李强的第一次面签是在“面签官”宿舍里完成的。如刘德明所说，就是持身份证拍了一张照，总共不过几分钟，而他跟身份证上的人“完全不像”。

　　第二次时间更快。李强持另一个大学生的身份证联系“面签官”时，后者正要上体育课，让他去操场等着。“见面话都没讲，他说是你吧，照个相。”

　　两次面签通过之后，李强分别获得了6000元和8000元的赊购额度。他还记得8000额度通过后，刘德明马上买了个苹果手机，并交给汪铭卖掉了。“他会把所有的钱（额度）都用光，几十块也用掉。”

　　在郑州待了一天之后，4人又乘飞机赶赴大连，刘德明的女朋友刘莎莎又在当地一所大学“面签”了一次。刘莎莎是9名被告人当中惟一的女性，案发时是一名大专在读学生。据一位代理律师介绍，根据所持身份证的不同，刘莎莎在面签时有时是长头发，有时是短头发，有时会戴眼镜，有时则摘了眼镜。

　　4

　　1/3的通过率如何提高到100%

　　面对“假面签”，向长沙警方报案的京东员工承认，公司虽然对聘请的学生“面签官”进行过培训，但以业务培训为主，“他们可能没有甄别真假的能力”。

　　事实上，并非仅仅是“能力”问题那么简单。中国裁判文书网上有若干起涉及京东校园白条的诈骗案判例，其中一起发生在辽宁锦州，2016年10月至11月间，一对周姓姐妹通过给面签员好处费的方式，让她们招来的12名社会人员冒充大学生申请注册了校园白条账号。

　　上述京东前“面签官”还告诉南方周末记者，“面签官”只负责开通白条账户，不承担白条不还风险，除非有证据表明“面签官”故意提供虚假材料诈骗，否则最严重也就是撤职而已。

　　另一起发生在沈阳的案子更为离奇，2016年10月中旬，一伙人在收揽社会人员的身份证件信息后，通过广告公司修改图片，伪造了沈阳某大学的录取通知书和入学缴费发票。之后，一个作案者竟然假冒大学生成功通过京东审查获得了“面签员”资格，他一口气审核通过了同伴安排的155个“京东校园白条”账户。

　　这起案件的背景是，针对刚入学的大一学生还没有在学信网注册，京东便推出了另一条校园白条注册通道：用录取通知书和入学缴费发票来证明大学生的身份。

　　据李强介绍，京东校园白条的“面签”最初是通过远程视频，由京东本公司的人负责审核，当时汪铭团伙的面签通过率只有三分之一，后来改为聘用学生线下面签之后，通过率就几乎100%了。

　　刘德明对警方说，汪铭安排他做的那个面签就是通过远程视频完成的。另一名曾通过远程视频面签的涉案人员刘某某介绍，第一次做面签是在学校教室，当时非常紧张，面签员问他时，他将上线给的一张纸放在摄像头后直接念，结果面签员也没怀疑，照样通过了。刘某某一共做过六次面签，前三次为视频，后三次改为线下。

　　京东金融曾对媒体解释，视频面签改为线下面签，是为了防止欺诈。

　　在从事证券工作的孙天驰看来，京东之所以采取“线下面签”审核方式，一是可以确认学生身份，明确债务人所在学校、学院、导师、宿舍地址等信息，方便日后催收，二是便于线下推广。京东前“面签官”也提到，采用“线下面签”方式正是因为这样便于推广校园白条。

　　上述京东前“面签官”说，他们除了对找上门来的学生进行“面签”之外，另外一项重要任务就是发展白条账户，每发展一个，都有相应的提成。

　　赶上新生入学或有宣传活动，负责人如能一次性发展200个白条账户，就能拿到4000元。当然，这部分收入不可能全归自己，比如需要拿出一部分给一起“做活动”的同伴。

　　李强回忆，他面签时，在简单的聊天过程中，“面签官”就试图将他发展为“下线”，“他说把那个机器（京东给“面签官”配备的注册设备）给我，让我去找人面签，他拿提成给我。”

　　对于校园白条的审核漏洞，京东金融公关部回应南方周末记者称，人工审核验证等流程属于行业通用做法。2017年京东金融已在案发后取消了这种审核方式，升级为人脸识别等智能审核手段。

　　5

　　固定证据再“收网”

　　京东的报案材料显示，其早在2017年1月就已发现汪铭、李强等人冒用大学生身份通过面签，骗取白条额度并进行购物消费，却一直到当年10月才向警方正式报案。根据起诉书，汪铭等人的作案时间一直持续到2017年7月。

　　裁判文书网上一份判决书显示，2017年6月，长沙警方破获了另一起与本案相似的“京东白条诈骗案”，有个报案人与本案的报案人之一同名。这表明，即使在警方破了那起案件之后，汪铭等人仍有机会“套路”京东。

　　汪铭等人案发后，其中一人的代理律师对南方周末记者说，京东的准备工作做得非常充分，将所有证据固定之后才开始“收网”。

　　网络诈骗案中，通常警方办案最难的一个环节就是锁定犯罪嫌疑人的真实身份。而在这起“白条案”报案材料中，京东准确地写明了多名“面签”者的真实姓名和完整身份证号。

　　长沙“京东白条诈骗案”曝光之后，多家媒体刊载了内容相近的文章，称截至2018年底，京东金融配合各地警方破获电信网络诈骗、非法侵入计算机系统、贷款诈骗、侵犯公民个人信息等各类案件八十余起，抓捕犯罪嫌疑人五百余人。相关报道中还写道，京东金融与警方建立了绿色沟通渠道，第一时间反馈信息，并使用科技手段积极配合警方破案。

　　按照一位京东金融内部人士对媒体的说法，京东有针对网络“黑产”的专门团队，其中不乏前公安民警和前检察官。

　　2019年3月8日的庭审中出现了一个花絮，休庭期间，在主审法官协调下，几名被告人家属与旁听的京东员工约定，如果退还违法所得，京东可以对被告人出具谅解书，根据法律规定，被告人由此可以被从轻处罚。

　　然而，在几名被告人家属当场通过手机转账“退赃”之后，京东方面却拒绝出具谅解书。

　　审理案件的法官胡益对南方周末记者说，这是因为双方对应退金额发生了分歧。几名被告人都曾假冒大学生到京东“面签”，每“面签”成功一次在内部仅分得几百元，而京东每次的损失则达数千元。被告人家属认为，他们所退的数额应是小孩所分得的赃款，而京东方面则主张只有足额退赔其损失才出具谅解书。

　　此前一起京东白条诈骗案判例中，一被告人的代理律师告诉南方周末记者，她的当事人假冒他人“面签”获利不过六七千元，但退赔给京东近4万元，京东才肯出具谅解书。

　　该当事人亦获得了被冒用身份的大学生的谅解，后者不小心遗失过身份证，但没有登报声明。结果这些身份证辗转到了不法人员手中，成为诈骗的工具。对此，京东金融公关部向南方周末记者表示，在认定盗刷后，已免除用户还款责任，并对相关账务进行特殊处理，不会影响用户征信。

　　向警方举报汪铭等人时，京东提供了一份多达45人的犯罪嫌疑人名单，被警方抓获的也有30人之多。据一被告代理律师介绍，其中大约有一半在公安侦查阶段就因为足额退赔而获得京东谅解，后来免予追究刑事责任，最后站在法庭上的被告人，多是未退赔者。

　　胡益说，虽然京东最后没有出谅解书，但考虑到被告人家属退赔行为本身也符合法律规定，仍然酌情对相应被告人从轻处罚。其中一名大学生彭某某，在宣判三天之后即刑满释放。经家长争取，学校保留了他的学籍。

　　主犯汪铭与张可均未退赔，分别被判有期徒刑10年9个月和10年6个月。两人的家人均未为他们聘请律师，甚至也没有去旁听。一名涉案人员告诉南方周末记者，汪铭的父母离婚，张可的父亲早亡。

　　刑法规定，诈骗金额在50万以上即构成“特别巨大”，主犯依法要被判10年以上有期徒刑。由于两人的量刑刚满10年，因此有律师认为，退赔和聘请律师对其量刑的影响不大。

　　对于自己的刑期，汪铭似乎并不意外。法院宣布判决结果后，汪铭在接受记者采访时甚至笑了起来：“（我用）挣的钱在学校旁边开了个京东快递店——还是在帮京东赚钱。”　（文中汪铭、张可、李强、刘德明、刘莎莎、陶励志均为化名。）