首页 网络安全一个违规操作、损失 800 万、被判五年半:运维夏某某致「郑大一附院」智慧医院系统瘫痪 2 个小时,判破坏计算机信息系统罪

一个违规操作、损失 800 万、被判五年半:运维夏某某致「郑大一附院」智慧医院系统瘫痪 2 个小时,判破坏计算机信息系统罪

运维派隶属马哥教育旗下专业运维社区,是国内成立最早的IT运维技术社区,欢迎关注公众号:yunweipai
领取学习更多免费Linux云计算、Python、Docker、K8s教程关注公众号:马哥linux运维

夏某某任职北京中科某某科技有限公司,负责该公司为郑大一附院开发的“软件信息系统”的维护工作。

2017年10月31日20时许,夏某某参与并直接操作了郑大一附院“HIS数据库”的账号密码修改仪式,夏某某在未经授权或许可的情况下,私自记录了该账号密码。

后夏某某在未经授权或许可的情况下,私自编写了“数据库性能观测程序”和锁表语句,并利用私自记录的账号密码将该程序私自连接郑大一附院“HIS数据库”,导致该锁表语句在“HIS数据库”运行。

2018年12月24日8时13分至9时47分期间,夏某某先后六次利用“数据库性能观测程序”连接“平台数据库”的“锁定平台挂号表”功能,将数据库执行锁表命令。该命令执行后锁定fin_opr_register表,使其不能进行其它活动,并导致“HIS数据库”锁定。造成郑大一附院郑东院区、惠济院区、医学院院区所有门诊、临床计算机业务受到恶意语句攻击,门急诊挂号、门急诊叫号、门急诊支付、门急诊药房、门急诊检查、门急诊检验等业务系统均无法正常操作,所有门诊相关业务停止服务,造成该医院三个院区门诊业务停滞近两个小时,造成大量患者积压在门诊无法就诊,严重影响医院的正常医疗工作。

案发后,夏某某对其工作数据日志、办公电脑进行了清理。

2019年5月22日,经民警电话通知后被告人夏某某到郑州市公安局郑东分局投案。

经郑大一附院出具证明:郑大一附院“HIS数据库”的账号密码仅授权东软HIS程序使用,其他任何个人,公司,组织,单位不得使用此账号和密码与数据库发生连接和任何操作。

经河南联合司法鉴定中心出具司法鉴定意见:

1、送检笔记本硬盘检测出“his”应用程序源码,程序可以连接以下两个数据库:

  • “HIS数据库”:服务器IP:127.1.169.37、129.1.169.38,服务名称ZZUHISDB,用户名zdhis,密码gjb1299L3+Z6&$3.
  • “平台数据库”:服务器IP:129.1.168.33、129.1.168.34,服务名称RACDB,用户名honryhis,密码ZdyfyHiaq2018。

2、在“平台数据库”界面,点击“锁定平台挂号表”按钮可以对数据库的fin_opr_register表和t_register_info表进行加锁,只能读取、查询,不能写入、修改;“解锁平台相关表”按钮没有任何功能。

经郑大一附院出具证明:由于恶意锁表行为遭受损失等相关情况,包括

  • 从当日收入来测算。当日收入损失约为800万元。
  • 郑东院区门诊楼有380台电脑无法进入医生工作站正常工作,72台自助挂号机和49台报到机无法正常工作;河医院区门诊楼有1027台电脑无法正常进入系统,86台自助挂号机和55台报到机无法工作;惠济院区门诊部有82台电脑无法正常进入系统,11台自助挂号机和4台报到机无法工作。
  • 对该院智慧医院项目造成巨大影响。

证据证言

被告人夏某某的供述和辩解

我们公司要负责对整个医院的数据库相关的硬件和软件设备进行维护,简称运维。我是2012年开始对郑大一附院进行运维相关工作,我主要参与到数据库的运维是从2017年开始。目前我们公司主要有张某2和我对数据库进行维护,为了能及时监控医院的数据库运行状况,我就没等到公司上班就登录系统对郑大一附院的数据库进行监控,这是我分内的工作。

2018年12月24日8点左右,我在北京家中用公司给我配备的联想电脑,远程登录到郑大一附院的数据库和小型机的数据库,查看数据库的运行情况。大概8点30分,我看到微信群里河医的门诊系统卡顿,我担心公司的综合信息运用平台也会出问题,就启动了我自己编程的一个程序(程序名称:数据库性能观测软件)对我们公司的系统进行查看。在我运行系统的时候发现我运行的这个程序在报错,我就更改了几次数据参数,一直没有运行成功我就主动放弃了,整个操作过程大概20分钟。大概在10点多的时候微信群说河医系统运行正常,我就去公司上班了。

12月25日我们公司将小型机的数据库的性能报告导出来,同事张某2将报告发给我一份,让我帮忙分析问题出现的原因。26日我分析的时候发现小型机分析报告中第9条语句看着有点眼熟,拿出来跟我自己做的编程进行了比对,结果和我运行程序的语句一样。我自己推断可能是我运行的程序和性能报告第九条重叠,这个运行语句会造成锁表。接下来我就对我自己做的程序进行分析,发现自己写的程序是有问题可能会将锁表语句执行到HIS数据库中。

“数据库性能检测”软件是我2017年7、8月份自己写的,存在公司给我的电脑里,文件名叫his.exe。我用我自己原来准备做的his系统搭的框架直接改的程序,文件名没有进行更换。我写这个软件是为了监控我们公司的综合信息运用平台和郑大一附院的his系统。我点击运行这个软件后,软件界面上会有3个选项卡,一个是his数据库,一个是综合信息平台数据库,一个是参数配置。2018年12月24日上午我点击之后,进了综合信息平台选项卡,接着我操作了个检查链接的按钮,看有没有正常链上数据库,接着软件就报错了。因为报错,我就关了“数据库性能检测”软件,从软件的后缀名为“ini”文本文档修改参数。修改完之后,我又重新启动这个软件,还是运行失败,之后我又改了改,总之一共运行了4、5次,还是运行不成功我就放弃了。这个软件我写好之后运行过多次,没有问题,那时候这个软件只链接综合信息运用平台。我是2018年12月初把his系统链接到这个软件里的,当时的目的是想用我写的软件也能监控到his系统的数据库的性能,能方便我的日常工作。我把his系统链接到我的软件之后,第一次联网使用这个软件就是2018年12月24日上午,也就是出现报错的情况。

我写的程序当中造成锁表执行程序的语句是locktablefin_opr_registerinexclusivemode。这个语句的功能是用来锁综合信息平台fin_opr_register这个表的。锁表的目的是为了模拟一下在高并发情况下的死锁情况,测试一下我们公司综合信息运用平台的性能。这个语句我记得是在2018年上半年写到软件里的。我写这个软件的初衷是为了方便日常工作,这个软件写好之后,我可以通过这一个软件检测his数据库和综合信息平台的数据库性能。我编写的锁表的设计是可以手动锁表和解锁,而且这个功能只在链接综合信息运用平台的环境下才起作用。

连接我们公司综合信息运用平台的数据库链接配置IP地址有两个:129.1.168.33,19.1.168.34。用户名:horyhis,登录密码:Zdyfy!Hias2018。连接河医数据库系统的连接配置地址有两个129.1.169.37;129.1.169.38。用户名:zdhis;密码:gjb1299L+Z6&9。我在进入数据库性能观测程序后,通过鼠标点击软件初始界面左上方的HIS数据库和平台数据库进行连接切换。我写的数据库性能观测软件运行之后,默认的连接是his数据库,后来我才发现这个程序有问题,如果我运行这个软件的话可能会导致锁表的情况。我是12月26日才发现我写的语句可能存在问题的,但是我不确定12月24日的锁表是不是我造成的。

我设想的这个软件不是要在his系统里运行的,软件一启动就会默认链接上his的数据库,本来应该在切换到综合信息运用平台之后,我点击软件界面的测试按钮之后才能在综合信息运用平台里执行的锁表语句。由于代码编写的问题,可能存在软件一启动,就直接将锁表语句在his的环境下运行的可能性。我写的代码有问题,导致一运行就锁了his的挂号表,我觉得存在这样的可能性。我在12月27日左右使用360和火绒软件清理过电脑垃圾文件,我电脑里的火绒设定的自动清理,每天一清,360那个不一定,我觉得电脑垃圾多就清理。

我编写的“his.exe”软件(数据库性能观测软件)没有得到中科弘睿公司或者郑大一附院的授权,这个软件是我自己编写的。2018年11月底或者12月初的时候,我在这个软件里添加了his数据库模块,之后没有进行过模拟测试。我编写这个软件之前没有向中科弘睿公司或者郑大一附院进行过报备或申请。我编写的软件代码写的有问题,程序启动时默认链接his数据库,由于代码编写有误,可能错误执行了在综合信息运用平台中才能运行的锁表语句。数据库性能观测软件执行连接到his数据库需要在编程语句里写入账号和密码,账号是zdhis,密码是gjb1299L3+Z6&9。账号是中科弘睿公司设定的,密码是医院设定的,也是医院安排修改的,我是具体修改人。这个密码专用于程序链接his数据库。上述账号和密码是郑大一附院的his程序用的,我使用过,我在自己编写的数据库性能观测软件里就使用了上述账号和密码。从郑大一附院授权角度讲,我是没权利使用上述账号和密码的。2017年10月31日,郑大一附院网络安全加密实施仪式我在场,修改的zdhis的密码由3个院领导分别掌握各自的部分,我当时写了个修改密码的语句。这个语句在我电脑里有保存,我当时存到一个txt文档里。我存这个密码的时候是我私下偷偷存的,我给张某2说过我私下存有这个密码。我是管理人员,我想着存着密码以后我自己用了就方便了。郑大一附院的领导没有给我授权让我使用并掌握这个密码。我编写软件使用了zdhis的密码是我私下偷偷用的,没有跟任何领导汇报过。

法院裁定

郑州高新技术产业开发区人民法院认为:夏某某违反国家规定,擅自对计算机信息系统功能进行删除、修改、增加、干扰,造成计算机信息系统不能正常运行,后果特别严重,其行为已构成破坏计算机信息系统罪。公诉机关的指控成立,本院予以支持。

关于被告人夏某某及辩护人辩称其没有破坏计算机系统的主观故意的意见,经查,根据被告人夏某某供述、证人张某1、张某2、周某的证言可知,夏某某并无知晓使用郑大一附院东软his数据库“zdhis”账号和密码的权限,其工作内容并不需要登录上述帐号。夏某某在未经授权的情况下,趁被害单位修改密码之机私自记录上述账号和密码,并私自开发应用“数据库性能观测软件”,私自使用该账号密码连接被害单位his数据库,使其编写的锁表语句在his数据库运行,导致被害单位的门诊业务系统瘫痪,造成重大损失。

2018年12月24日,夏某某在运行自编软件报错的情况下多次修改参数继续运行,导致被害单位计算机信息系统6次执行锁表操作,系统近两个小时无法正常工作,严重影响医院正常工作。

夏某某作为专业技术人员,应明知其违规操作可能造成被害单位计算机系统不能正常运行,而放任该结果的发生,属于间接故意,应对危害后果承担法律责任,符合本罪的主观构成要件。该项辩解及辩护意见不能成立,本院不予采纳;

关于夏某某辩称医院门诊系统无法工作不一定是锁表造成,其启动的数据库观测软件是否连入his数据库不清楚,其辩护人辩称不能证明夏某某启用的数据库性能观测软件中的语句是唯一确定性的造成被害单位计算机信息系统运行不正常原因的意见,经查,根据鉴定意见可知,从夏某某电脑中检测出his应用程序源码。根据测试、实验,夏某某运行的数据库性能观测软件即his.exe应用程序能够使用zdhis账号密码连接被害单位his数据库,在夏某某连接平台数据库时可执行锁表操作。在被害单位提供的操作日志中显示2018年12月24日上午his.exe程序中锁表语句共执行六次。夏某某操作的数据库性能观测软件中的锁表语句与被害单位提供的操作日志中的锁表语句内容一致,夏某某供述的运行观测软件、程序报错修改参数多次尝试运行的时间经过和被害单位系统异常,多次执行终止锁表语句操作的时间经过相互对应,能够证明夏某某运行该软件是导致被害单位系统破坏的直接原因。

郑州赛欧思科技有限公司的分析报告能够印证以上事实。故辩护人的该项辩护意见不能成立,本院不予采纳;关于辩护人辩称证明被害单位造成损失的证据不足的意见,经查,根据证人张某1、李某、葛某、被害单位委托代理人杨某的证言可知,2018年12月24日上午的锁表操作给被害单位的门诊系统造成大范围的破坏,导致大量门诊病人及住院病患积压,医院正常业务停滞近两个小时。被害单位的经济损失根据其提供的医院收入信息汇总表、情况反映、查房整改通知书及微信群信息截图可以客观反映。故辩护人的该项辩护意见不能成立,本院不予采纳。

综上,被告人夏某某破坏医疗领域提供公共服务的计算机信息系统,致使生产生活受到严重影响,造成五十台以上的计算机不能正常运行,造成经济损失超过五万元以上,符合破坏计算机信息系统罪“后果特别严重”的规定,应处五年以上有期徒刑。辩护人辩称不构成本罪的意见不能成立,本院不能采纳。夏某某虽系主动到案,但未能如实供述犯罪事实,不能认定为自首。

根据本案的事实、情节、性质及社会危害程度,依照《中华人民共和国刑法》第二百八十六条第一款、《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条第二款之规定,判决如下:

裁判结果

被告人夏某某犯破坏计算机信息系统罪,判处有期徒刑五年零六个月。(刑期从判决执行之日起计算。判决执行以前先行羁押的,羁押一日折抵刑期一日,即自2019年5月23日起至2024年11月22日止。)

如不服本判决,可在接到判决书的第二日起十日内,通过本院或直接向河南省郑州市中级人民法院提出上诉。书面上诉的,应当提交上诉状正本一份,副本二份。

相关法律条文

《中华人民共和国刑法》第二百八十六条第一款:

【破坏计算机信息系统罪】违反国家规定,对计算机信息系统功能进行删除、修改、增加、干扰,造成计算机信息系统不能正常运行,后果严重的,处五年以下有期徒刑或者拘役;后果特别严重的,处五年以上有期徒刑。

违反国家规定,对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作,后果严重的,依照前款的规定处罚。

故意制作、传播计算机病毒等破坏性程序,影响计算机系统正常运行,后果严重的,依照第一款的规定处罚。

单位犯前三款罪的,对单位判处罚金,并对其直接负责的主管人员和其他直接责任人员,依照第一款的规定处罚。

《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条第二款之规定,破坏计算机信息系统功能、数据或者应用程序,具有下列情形之一的,应当认定为刑法第二百八十六条第一款和第二款规定的“后果严重”:

(一) 造成十台以上计算机信息系统的主要软件或者硬件不能正常运行的;
(二) 对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的;
(三) 违法所得五千元以上或者造成经济损失一万元以上的;
(四) 造成为一百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务或者为一万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上的;
(五) 造成其他严重后果的。
实施前款规定行为,具有下列情形之一的,应当认定为破坏计算机信息系统“后果特别严重”:
(一) 数量或者数额达到前款第(一)项至第(三)项规定标准五倍以上的;
(二) 造成为五百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务或者为五万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上的;
(三) 破坏国家机关或者金融、电信、交通、教育、医疗、能源等领域提供公共服务的计算机信息系统的功能、数据或者应用程序,致使生产、生活受到严重影响或者造成恶劣社会影响的;
(四) 造成其他特别严重后果的。

本文链接:http://www.yunweipai.com/33199.html

网友评论comments

发表评论

电子邮件地址不会被公开。

  1. 必填说道:

    医院这行业一天 800 W .. 搞一个 ?

  2. 刘洋说道:

    这就是一个替罪羊

  3. 替罪羊说道:

    做it太危险了

Copyright © 2012-2020 YUNWEIPAI.COM - 运维派
扫二维码
扫二维码
返回顶部