计算机犯罪第一季 第3篇
计算机犯罪案件里，刑法第二百八十五条和第二百八十六条经常一起出现。有人把它们简单理解成前一条管黑客进入，后一条管删库停机。这个记法能帮人找到大概方向，真到案卷里却不够用。
我把两个法条、2011年司法解释和几件指导案例逐项对照，发现实务中最费力的工作集中在几个具体问题。系统属于哪一类，行为人取得了数据还是控制权，程序由谁提供，系统功能受到什么影响，数量和损失怎样计算。每个问题都可能把案件带到不同条款。
第二百八十五条第一款保护三类特定系统
第一款规定，违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统，处三年以下有期徒刑或者拘役。罪名通常称为非法侵入计算机信息系统罪。
这款的对象范围受到严格限定。普通企业网站、电商后台、个人手机和一般商业服务器，不会因为同样遭到非法进入就自动适用第一款。系统需要属于国家事务、国防建设或尖端科学技术领域。
法条关注的是侵入行为。只要违反国家规定进入受特别保护的系统，犯罪构成并未另外写入情节严重、获取数据或造成损失。没有下载文件，也没有修改内容，不代表必然排除本罪。进入行为是否完成，仍要结合账号权限、系统验证、访问日志和具体技术路径判断。
第一款的最高法定刑为三年。这个量刑结构与第二款、第三款不同，也使特定系统内数据被大量获取时出现法律适用争议。处理个案时，不能只比较刑期轻重选择罪名，仍要从法条对象、行为内容和证据证明出发。
第二款分别处理获取数据和控制系统
第二款的完整行为比罪名简称长。行为人违反国家规定，侵入第一款以外的计算机信息系统，或者采用其他技术手段，获取系统中存储、处理、传输的数据，或者对系统实施非法控制，达到情节严重，进入刑事评价。
非法获取数据与非法控制系统常写在同一份文书里，证明对象却不相同。获取数据要回答取得了什么，数据原来存在哪里，行为人怎样接触并保存，权限为什么不包含这次取得。非法控制要回答行为人获得了哪些操作权限，能否支配系统功能，控制持续多久，涉及多少系统。
下载文件是常见的获取方式，接口返回、内存读取、批量查询和截取传输内容也可能形成获取。数据没有被永久保存，不能直接否定已经取得。反过来，客户端页面正常显示的内容，也不能仅凭被程序读取就认定为非法获取。授权范围、访问方式和安全保护措施都要进入判断。
控制也不等于拥有系统的最高管理员权限。能够让终端执行指令、拦截通信、调用摄像头、修改配置或利用后门持续进入，都可能构成控制。控制程度是否达到刑法要求，需要从可执行的功能、持续性和对象数量进行证明。
2011年司法解释给出了情节严重的几项标准。获取支付结算、证券交易、期货交易等网络金融服务身份认证信息十组以上，获取其他身份认证信息五百组以上，非法控制计算机信息系统二十台以上，违法所得五千元以上或者造成经济损失一万元以上，都可能达到入罪门槛。数量或数额达到相应标准五倍以上，可能进入情节特别严重。
这些门槛解决的是情节问题，不能替代行为认定。查获五百组账号密码，仍要证明它们从涉案系统非法取得，并与行为人建立关联。银行卡流水超过五千元，也要查清钱是否来自非法获取或控制行为。
第三款把程序工具的提供者单独纳入
第二百八十五条第三款规定两类提供行为。第一类是提供专门用于侵入、非法控制计算机信息系统的程序、工具。第二类是行为人明知他人实施侵入、非法控制系统的违法犯罪活动，仍然向其提供程序、工具。
专门工具的认定看程序功能。司法解释列出的核心功能，是避开或突破计算机信息系统安全保护措施，未经授权或超越授权获取数据、实施控制，或者程序本身专门设计用于侵入、控制和非法获取数据。
一款程序同时具有合法测试和非法利用功能，不能因为曾被犯罪使用就直接归入专门工具。侦查机关需要固定涉案版本，说明运行条件，展示它如何避开保护措施，核对默认功能与用户配置。程序名称、宣传语和图标可以提供线索，证明力远远不够。
明知提供的路径更重视主观认识。程序可能是远程控制、自动化运维或网络测试工具，本身用途并不单一。提供者看到客户明确要求窃取账号、绕过验证、控制他人设备后，继续改代码、提供服务器和售后支持，案卷才可能逐步形成明知的证据链。
本款也要求情节严重。提供普通类型专门程序工具二十人次以上，向明知从事相关违法犯罪的人提供工具二十人次以上，违法所得五千元以上或者造成经济损失一万元以上，均可能达到标准。金融身份认证类工具的人次标准更低。
人次统计需要去重和核实。一个购买人续费多次，代理商内部测试生成多个卡密，同一团队使用多个账号，能否分别计算，不能只看后台导出的总记录。判决使用二十人次时，应当能回到具体接受者和实际提供行为。
第二百八十六条关心系统能否正常运行
第二百八十六条前三款构成破坏计算机信息系统罪的主要规范。第一款处理对系统功能进行删除、修改、增加、干扰，造成系统不能正常运行且后果严重的行为。第二款处理对系统中存储、处理、传输的数据和应用程序进行删除、修改、增加，后果严重的行为。第三款处理故意制作、传播计算机病毒等破坏性程序，影响系统正常运行并造成严重后果的行为。
三款的行为对象有所区别。第一款面对功能，第二款面对数据和应用程序，第三款面对破坏性程序的制作传播。它们都要求严重后果，证明重心因此落在运行状态、受影响范围、修复过程和经济损失。
删除数据库、改掉核心配置、向服务发送大量无效请求、植入定时触发的破坏程序，都可能进入审查。单纯出现删除或修改动作仍不够。系统原来怎样运行，行为以后哪项功能失效，持续多长时间，用户受到什么影响，需要有日志、故障记录、技术说明和证人证言相互印证。
司法解释把十台以上系统的主要软件或硬件不能正常运行，对二十台以上系统中的数据进行删除、修改、增加，违法所得五千元以上或者经济损失一万元以上等情形列为后果严重。为大量设备或用户提供域名解析、身份认证、计费等基础服务的系统，不能正常运行达到规定规模和时间，也可能入罪。
破坏国家机关或者金融、电信、交通、教育、医疗、能源等领域提供公共服务的系统，致使生产生活受到严重影响或者造成恶劣社会影响，可能构成后果特别严重。此处保护公共服务运行，和第二百八十五条第一款限定的三类特定系统并不完全重合。
控制过程中改数据，不一定构成破坏
非法控制常伴随数据操作。木马进入服务器后，会新增账号、写入文件、修改页面。只要出现增加和修改，就按破坏计算机信息系统罪处理，会把控制行为与破坏结果混在一起。
指导案例145号给出了判断方法。行为人控制一百一十三台服务器并上传带有跳转功能的网页。法院认定系统功能没有受到实质破坏，服务器仍能正常运行，相关增加和修改主要服务于非法控制，最终以非法控制计算机信息系统罪处理。
这个案例没有排除数据型破坏。法院关心的是被操作的数据在系统中的功能和价值，操作是否导致正常运行受损。有人改一条网页文字，系统继续服务。有人改一项权限配置，整个生产系统停摆。动作名称相同，系统后果不同。
辩护审查可以从故障发生时间入手。系统何时异常，日志何时记录涉案操作，运维人员采取了什么措施，恢复后哪些功能仍受影响。时间无法对应，或者故障早于涉案操作，因果关系需要重新核对。
计算机病毒只是第三种破坏路径
日常说的病毒范围很宽，刑法和司法解释有具体要求。能够复制传播并破坏系统功能、数据或应用程序，能够在预设条件下自动触发破坏，或者专门设计用于破坏的程序，才进入第二百八十六条第三款所说的计算机病毒等破坏性程序。
带有隐藏功能的软件不当然属于破坏性程序。程序会不会自行传播，触发条件是什么，执行以后改变哪些数据和功能，必须通过检材、源代码、动态运行和受影响系统记录查清。
司法解释还规定了后果严重标准。让可复制传播的破坏程序实际传播，造成二十台以上系统被植入特定破坏程序，向十人次以上提供破坏性程序，违法所得五千元以上或者造成经济损失一万元以上，都可能达到入罪程度。
制作人、传播人和实际使用人的责任也要分开。只参与普通模块开发的人是否知道破坏功能，售后人员是否帮助触发，购买者有没有实际投放，不能由一个安装包统一回答。
第二百八十六条之一属于另一类义务犯罪
刑法修正后增加的第二百八十六条之一，规定拒不履行信息网络安全管理义务罪。网络服务提供者不履行法律、行政法规规定的安全管理义务，经监管部门责令采取改正措施而拒不改正，并出现大量违法信息传播、用户信息泄露造成严重后果、刑事案件证据灭失情节严重等法定情形，可能构成犯罪。
这一条不要求服务提供者亲自侵入或破坏系统。它以法定安全管理义务、监管责令和拒不改正为前提。办案时要查主体是否属于网络服务提供者，具体义务来自哪部法律行政法规，责令内容是否明确送达，拒不改正与法定后果之间有什么联系。
企业发生数据泄露，不能直接推出本罪成立。没有责令改正、义务依据不清或者后果未达到司法解释标准，刑事构成就缺少相应环节。行政违法、安全事故和刑事犯罪需要分别评价。
第二百八十七条把目的犯罪接回来
有人使用计算机实施诈骗、盗窃、贪污、挪用公款、窃取国家秘密或其他犯罪，刑法第二百八十七条要求依照相关犯罪定罪处罚。计算机在这里是手段，财产、国家秘密或其他法益是直接侵害对象。
一套钓鱼程序窃取账号以后转走资金，案件可能同时具有非法获取身份认证信息和盗窃、诈骗的事实。怎样处理，要看各行为的独立性、目的关系和竞合规则。不能看到程序就只研究计算机罪名，也不能看到损失就忽略前端侵入和工具提供行为。
同一团队内部还可能出现分段责任。制作程序的人只知道客户要批量登录，使用人随后实施诈骗。制作人对后续诈骗是否有共同故意，需要从沟通和分赃证明。对诈骗不明知，不代表提供专门侵入工具的风险自然消失。
两个法条的案卷审查顺序
面对第二百八十五条和第二百八十六条，我通常先看系统对象。它是否属于三类特定领域，是否具备自动处理数据功能，物理设备和虚拟实例怎样对应。
接着还原权限和数据路径。账号从哪里来，安全保护措施是什么，程序做了哪些请求，获得了什么数据或操作能力。再看结果，系统有没有停机，数据是否受损，修复花了多少钱，损失计算有没有原始凭证。
程序工具另做一条线。版本、源代码、销售对象、运行测试、客户需求和售后记录放在一起。人员也另做一条线，每个人接触什么，知道什么，决定什么，获利多少。
这些事实完成以后，再套入条文与司法解释的数量数额标准。法条并没有因技术复杂而改变证明规则。越是专业的案件，越需要把每个结论落到能查看、能复现、能质证的材料上。
单位名义实施也要追到具体责任人
2011年司法解释规定，以单位名义或者单位形式实施危害计算机信息系统安全犯罪，达到定罪量刑标准的，依照第二百八十五条、第二百八十六条追究直接负责的主管人员和其他直接责任人员。
这项规定没有把单位名称变成责任主体。办案机关仍要查谁决定业务，谁组织开发和使用，谁明知违法功能后继续推进。公司的法定代表人可能不接触项目，技术负责人也可能只负责正常产品线。
公司账户收款、统一签合同、员工领取工资，可以证明行为具有组织性。个人责任还要看权限和参与。会议纪要、审批记录、代码提交、客户沟通和资金分配能够说明谁真正负责。
单位内部合规制度也不能单独替人免责。制度是否实际执行，涉案人员有没有绕开，管理者发现异常后采取什么措施，都要结合。纸面上禁止一切违法用途，销售团队长期演示侵入功能，制度的证明力会受到影响。
刑法在这里追究具体自然人，也要求责任与个人行为对应。案件人数越多，越需要避免用公司违法四个字把所有人一起带过。
参考资料
阅读提示
本文只作一般法律知识交流。法条适用需要结合行为对象、技术过程、后果和证据判断，不能仅凭软件名称或公安机关早期使用的涉嫌罪名下结论。