利用共享单车漏洞开锁 竟是几个十岁的小孩干的

　　5月2日17：54，刘阿姨来电：我是杭氧宿舍的居民，我们小区停了好几辆共享单车，这些单车很容易就能开锁。几个十岁左右的小孩子，不知道用什么方法，将锁打开，就在小区里骑了起来。真的很的，万一摔着了，谁来负责。共享单车的公司能处理好锁，至少这么轻易就打开，肯定是不行的。

　　刘阿姨今年70多岁，是杭氧宿舍的老居民。5月2日那天，刘阿姨发现小区里面有几个孩子正在骑共享单车——

　　大概有四五个伢儿，其中还有个女伢儿，几个人看起来年龄都不大，最大的也就十岁左右，可能好几个还不到十岁。

　　他们有几个在骑车，还有一个在弄一辆的共享单车（ofo）车锁。那个锁是圆形的，被他一按就按开了。

　　几个伢儿就在小区里骑来骑去。我觉得，这些车锁不是都要扫码才能开的吗？伢儿们看着也没有手机，怎么弄开锁的呢？

　　孩子们骑车的时候也没看到有大人在附近。我上前劝了几句，孩子们也没有理我。

　　杭氧宿舍里有多辆小黄车的二维码和车身编号被刮花或涂抹，用软件已扫不出来。还有一辆连二维码和车身编号都没有。

　　前天下午四点多，我去杭氧宿舍转了转。小区里停着各种颜色的共享单车，有二十多辆，其中最多的是小黄车（ofo）。大部分小黄车都被做了“手脚”。二维码和车身编号都看不清楚，要么被涂抹了，要么被刮花了。

　　我在小区里碰到一个胖胖的小伙子，骑着一辆前后二维码和车身编号都被刮花的小黄车。

　　“共享单车就跟自己家的一样，开锁都是小儿科。”小胖说，“我的情况就不跟你多说了，但是我们怎么开锁的，我可以告诉你。”

　　他说，最早一批小黄车是使用按键式机械锁，但是很快就被同学们破解了。主要是因为按键锁有漏洞，按住锁的某个，就可以看出密码是哪几位。之后ofo换了一种机械锁，使用了圆形的转轮机械锁。

　　“虽然避免了被第一种方式破解，但还是小儿科。都是用机械数字密码，而且每辆车的密码固定。你用1块钱先租一次，知道了一次密码，同一辆车今后就算不扫码也能打开锁。很多人就把车身上的二维码和车辆编号都涂抹掉，这样别人就扫不出来骑不走了，这辆车也就变成‘私家车’了。”

　　小胖坐在小黄车上，对我打开了话匣子：“骑呗和ofo一样，机械密码锁，所以也可以用这种方法。小黄车现在又有更新了，弄了一批跟其他共享单车一样的二维码电子锁。”

　　“破解办法是土了点，但是管用就行。比如，你还车要锁车吧，在锁到一定时，系统认定你还车了，但这个时候车锁其实没有被锁住。直接用硬物抵住，或者索性不管，让车回到没有锁住的状态，这样就随时可以自己骑了。最关键就是不用钱。”

　　小胖带我在小区里转了一圈，发现了一辆小白车（哈罗单车）。车锁被一块玻璃碎片卡住了，拿掉玻璃碎片，车锁直接打开。任何人都可以免费骑走。

　　“这个破解方法很多同类型的车锁都能用。这个骑小白车的人还算是老实了，还有人加锁，或者把车凳拿了。我觉得那样就是搞了。”小胖说。

　　我加入了几个共享单车解锁交流群，绝大部分针对小黄车（ofo）。群里一般都会注明开锁流程，比如，先发一个口令为单车编号的红包，通常只要5毛钱，谁抢了红包就要在1分钟内提供解锁密码。

　　我在上随便找了一辆小黄车，照流程在群里发了一个5毛钱的红包。过了一会儿，有群管理员发出了密码，跟这辆小黄车的密码一致。

　　我联系上群里的一位负责人。他告诉我，5毛开锁主要是利用学生优惠，算是赚一点外快。

　　这位负责人说，有的共享单车在校园里投放，有5元包月的，也有9.9元包学期的，每天能开20次锁。“学生自己肯定用不了那么多，不用白不用，5毛帮别人开，周六、周日生意最好，半天就能回本了。”

　　他还说，其实只有一个号帮忙开锁也赚不了多少钱，帮别人开学生身份和卖管理（卖群管理员资格）更赚。“我自己就有好几个学生身份，轮着开，收入也更可观了。”

　　他说，可能是运营方意识到了漏洞，申请学生身份的政策不断升级，现在帮人办一个就要收费二三十元。卖群管理员资格，主要是群主按月向群管理员收费。群内禁言，只能由群管理员收取红包和发言解锁，求助者只管发红包就好。

　　这位负责人表示，还可以教我如何自己去申请学生身份，但教一次要收费五六十元。

　　ofo杭州地区负责人在电话里听完我的叙述，表示已经知道了这个问题，但他说具体问题要等待总部出面回应。

　　骑呗单车的工作人员说，现在骑呗有机械锁和电子锁两种，没有发现被人私自占用的情况。

　　哈罗单车的工作人员说，他们之前没有遇到过这样的情况，接下来会找技术人员研究解决。

　　快报“律师来了”签约律师，浙江厚启律师事务所传统犯罪研究中心副主任说，私自拆锁、破解锁、涂抹二维码等将共享单车的行为，导致其他乘客无法再骑乘该车辆，了共享单车提供者对共享单车的所有权、控制权，这样的行为可以认定为盗窃罪。

　　针对网上收费开锁的情况，刘律师认为：如果是学生用真实身份信息办理包月的，出售自己多余包月的次数，是钻了该单车公司运营规则的。如果不是真实身份包月，或是没有包月的，而是通过一些非法手段侵入共享单车经营者计算机系统获取二维码密码，进而出售的，可认为法获取计算机信息系统数据、非法控制计算机信息系统罪，或是提供侵入、非法控制计算机信息系统程序、工具罪等犯为。