大学生徐某站在被告席上，大学手一直在抖。生用他没想到，肯德用肯德基App点餐时发现的基优“漏洞”，会把自己送进刑事法庭。惠券获刑

事情得从2020年说起。漏洞徐某偶然发现，诈骗肯德基的大学兑换券系统存在延迟——用A账号下单付款，但券码不会立刻核销，生用趁着这个时间差，肯德他可以把券挂到二手平台转卖，基优再在B账号上申请退款。惠券获刑一来一回，漏洞钱退回来了，诈骗券却还能用。大学他管这叫“薅羊毛”，一开始只试了几次，后来胆子大了，拉上两个同学，专门研究怎么批量操作。

他们搞了个“拼单群”，用几十个手机号注册新账号，专挑优惠力度大的套餐下手。最疯狂的时候，一天能刷出上百张券，转手卖给黄牛，每张赚十几块差价。徐某算了笔账：三个月下来，三人累计“套现”了二十多万元。他给自己换了台新笔记本电脑，剩下的钱存进余额宝，想着毕业前能攒够首付——哪怕是小县城的。

但肯德基那边不是傻子。系统日志里，同一IP地址频繁下单、退款、再下单，异常得刺眼。2021年初，百胜中国报了警。警方顺藤摸瓜，找到他们时，徐某还在宿舍里跟室友炫耀“技术操作”。他以为这只是民事纠纷，顶多赔钱道歉，直到收到拘留通知书才慌了——罪名是诈骗罪。

法院审理时，控辩双方争得最凶的点在于：这算不算“漏洞”？徐某的律师辩称，肯德基的系统规则本身允许退款，用户只是利用了规则，不构成虚构事实。但法官不这么看——他们注册大量虚假账号，虚构“新用户”身份，还伪造消费记录来规避风控，这已经不是“薅羊毛”，而是有预谋地骗取平台资金。最后，徐某被判处有期徒刑两年六个月，缓刑三年，罚款五万元。另外两个同学，一个判一年半，一个判八个月。

有意思的是，判决书里写了一句：“被告人利用系统漏洞非法占有他人财物，主观恶性明显。”这里的“他人”，不是肯德基高管，而是那些真正花钱买券的普通消费者——他们以为买的是正规优惠券，实际上是被盗刷的虚拟资产。徐某后来在悔过书里写：“我以为只是跟大公司玩智力游戏，没想到伤害的是同样想省钱的普通人。”

这案子在高校圈传开后，有人替他叫屈，说肯德基自己技术不完善，凭什么全怪学生？但我问过一位做电商风控的朋友，他说这种“漏洞”其实早就是行业标配的诱饵——平台故意留个口子，等你钻进来，后台全程录像。你以为你聪明，其实人家在钓鱼。徐某不是第一个，也不会是最后一个，但每次有人上钩，平台就能把风控预算做得更充足。

出了法庭，徐某的辅导员来接他。小伙子瘦了一圈，说想回学校把剩下的课读完。他本来明年毕业，现在能不能拿到学位证都悬。他爸从老家赶来，蹲在法院门口的台阶上抽了一整包烟，最后只说了句：“钱都退了，人没事就好。”可“人没事”这三个字，听着总有点讽刺——二十万换一个刑事案底，这笔账，谁算得过来？