有人拿着拘留通知书来问计算机案件，往往先问一个很直接的问题。通知书上写着非法获取计算机信息系统数据罪，这个罪到底重不重。也有人把聊天记录和软件截图翻出来，希望律师尽快判断会判几年。
这个心情很容易理解。家里突然少了一个人，办案机关又只给了一个罪名，家属能抓住的似乎只剩那几个字。可我把现行刑法、司法解释和公开案例放在一起看，计算机犯罪最容易误判的地方也在这里。罪名只是侦查机关现阶段使用的法律名称，案卷需要回答的是谁对什么系统做了什么，程序怎样运行，拿到了哪些数据，系统后来还能不能正常工作。
技术行为没有还原以前，围着罪名反复猜，常常越猜越乱。
罪名会变，已经发生的动作不会变
刑事案件立案和采取强制措施时，办案机关需要先给行为找一个法律入口。这个入口可能随着证据增加而调整。侦查阶段写非法控制，审查起诉阶段改成提供程序工具，到了法院又围绕破坏计算机信息系统罪展开争论，并不罕见。
最高人民法院发布的指导案例145号就提供了一个很清楚的例子。行为人向目标服务器植入木马，取得后台操作权限，又上传带有赌博关键词和自动跳转功能的网页。公诉机关以破坏计算机信息系统罪起诉，法院最后认定为非法控制计算机信息系统罪。关键差别落在系统功能有没有受到实质破坏，服务器是否因此不能正常运行。
这起案件里，行为人确实修改、增加了系统中的数据。如果只看动作名称，修改数据很容易让人想到刑法第二百八十六条。法院继续往下看，发现这些操作主要为了取得和利用服务器控制权，尚未造成系统功能实质损坏，也没有让系统不能正常运行，评价便落到了刑法第二百八十五条第二款。
罪名发生了变化，服务器被怎样进入、木马怎样植入、权限怎样取得，这些事实没有变化。辩护工作的落脚点也由此变得清楚。先把技术动作查明，再讨论法律名称。
先把案卷里的行为人分开
计算机犯罪常以团队形式出现。一个软件从产生到使用，可能经过出资、需求设计、编程、测试、销售、部署、售后和实际操作。侦查机关在早期材料里会把这些人放在同一条业务链上，家属也习惯说他们是一个公司的，或者都在一个群里。
刑事责任需要落到个人。写过登录模块的程序员是否知道软件会批量尝试他人账号，负责界面的员工是否接触过绕过验证码的功能，代理商销售的是普通自动化软件还是专门工具，实际使用者有没有参与定制，这些问题要逐人回答。
同一项目里，有人决定功能和价格，有人拿固定工资完成局部任务，也有人只提供服务器或收款账户。职位高低可以提供线索，却不能替代对行为和主观认识的证明。共同犯罪要求共同故意和共同实施，不能因为出现在同一份组织架构图里，就把每个人知道的事情视为完全相同。
我更愿意先做一张人员表。表里不急着写主犯、从犯，只记五类事实。这个人什么时候加入，接触过哪些模块，参加过哪些谈话，拿了多少钱，案发以后控制了哪些设备和账号。表做完以后，责任差异通常已经露出来一半。
再看程序碰到了哪一道权限边界
普通用户看到的只是一次点击。服务器看到的是一连串请求。登录时提交了什么身份认证信息，接口是否校验设备和令牌，程序有没有调用原本不向该账号开放的功能，返回的数据属于公开信息还是受限数据，都要按顺序还原。
刑法第二百八十五条第一款保护的对象很窄，指向国家事务、国防建设、尖端科学技术领域的计算机信息系统。侵入这三类特定系统，法条并未另外要求达到情节严重。系统是否属于特定领域，不能只凭所有者带有政府、国企或科研机构字样作判断，还要看系统承担的具体功能、服务对象和管理属性。难以确定时，2011年司法解释要求委托省级以上负责计算机信息系统安全保护管理工作的部门检验，再由司法机关结合案情认定。
第二款面对的范围更广。行为人侵入其他计算机信息系统，或者采用其他技术手段，获取系统中存储、处理、传输的数据，或者对系统实施非法控制，达到情节严重，可能构成非法获取数据罪或者非法控制系统罪。
这里的侵入不只包括破解陌生账号。最高检指导性案例中，员工把自己有权使用的账号、密码和令牌交给他人，二人超出工作范围登录内部系统并下载数据，法院仍然认定构成非法获取计算机信息系统数据罪。账号是真的，权限来源却被改变了，访问范围也越过了公司明确设置的界限。
这也是实务中常见的争点。账号由谁申请，授权给谁，用途写在哪里，离职后是否注销，内部制度有没有实际执行，服务器日志能否对应到具体终端。只有把这些材料接起来，才能判断一次登录属于正常使用、违反内部管理，还是已经达到刑法意义上的侵入和非法获取。
程序本身要单独审
刑法第二百八十五条第三款规制提供侵入、非法控制计算机信息系统程序、工具的行为。它有两条路径。一类程序本身具有专门用途，能够避开或者突破安全保护措施，未经授权或超越授权获取数据、控制系统。另一类程序可能有中性用途，提供者明知他人用它实施侵入或非法控制，仍然提供。
两条路径需要的证明内容不同。认定专门工具，要看功能设计、运行条件和真实用途。认定明知提供，要看需求沟通、版本修改、异常反馈和继续服务的过程。把软件名称叫成外挂、插件、爬虫或测试工具，都不能直接完成证明。
检例第68号中的小黄伞软件被认定为专门用于侵入计算机信息系统的程序，办案机关核对了源代码、自动拨号功能、验证码处理方式、账号登录结果和数据抓取内容。软件会在批量尝试几组账号后自动切换网络地址，也会把验证码图片送到打码平台，登录成功后再抓取账号昵称、注册时间和等级。这个结论由一组能相互印证的材料托住，不是鉴定书写一句具有侵入性就结束了。
辩护审查也应沿同一条路线反向展开。检材中的安装包是不是涉案期间销售的版本，测试环境是否接近真实服务器，程序能否在没有额外配置的情况下实现指控功能，合法功能占多大比例，用户必须做哪些操作。版本对应不上，后面的功能评价就可能失去基础。
取得控制和造成破坏需要分清
非法控制与破坏计算机信息系统经常同时出现在一个案件里。两者都可能伴随修改数据、增加代码或改变设置，界线要看行为指向和实际后果。
行为人取得服务器后台权限，利用权限上传页面或调用功能，系统仍然持续运行，这类事实更接近非法控制。行为人删除核心数据、改掉关键配置、干扰服务，使系统不能正常运行，并造成司法解释规定的严重后果，才会进入破坏计算机信息系统罪的审查范围。
2011年司法解释列出了几类后果严重标准。十台以上计算机信息系统的主要软件或硬件不能正常运行，对二十台以上系统中的数据进行删除、修改、增加，违法所得达到五千元，造成经济损失达到一万元，均可能触及入罪标准。为大量用户提供基础服务的系统持续不能正常运行，也有单独标准。
数字不能脱离对象直接使用。一台物理服务器上运行十几个虚拟实例，能否直接算成十几台计算机信息系统，需要看这些实例是否具备独立的数据处理和服务功能。平台提交的损失清单里，抢修人工、业务损失和原有设备更新费用也要分开。司法解释所说的经济损失，包括用户的直接损失以及恢复数据、功能所支出的必要费用，必要二字不能省略。
数据的内容还会把案件带向别处
计算机犯罪的行为对象是系统、控制权和数据，数据本身又可能受到其他法律保护。下载公民手机号、行踪、财产信息，案件可能同时涉及侵犯公民个人信息罪。窃取商业秘密并用于经营，可能引出侵犯商业秘密罪。使用计算机实施诈骗、盗窃，刑法第二百八十七条要求依照相关犯罪定罪处罚。
这一步不能靠想象竞合关系。先查数据是什么，再看行为人拿它做了什么。用户账号等级、平台订单状态、客户通讯录和未公开源代码，法律性质相差很大。数据从系统里出来以后有没有出售，有没有用于转账、导流或敲诈，也会改变评价。
有些案件最后保留计算机犯罪罪名，有些案件按诈骗、盗窃等目的犯罪处理，还有些会出现数罪并罚或择一重处的争论。辩护人如果只盯住拘留通知书上的罪名，容易漏掉后续真正影响刑期的风险。
数量和数额要回到明细
计算机犯罪司法解释设置了多组入罪标准。非法控制二十台以上系统，违法所得五千元以上，造成经济损失一万元以上，均可能构成情节严重。提供普通类型的专门程序工具二十人次以上，也可能达到第三款的入罪标准。
案卷里常见的卡密数量、支付笔数、设备编号和账号数量，不能天然等同于法条使用的计量单位。一个客户买了五个卡密，可能只在一台设备上使用。代理商为测试生成的内部账号，不能与真实购买人混在一起。一次付款包含维护费和其他软件费用，也不能全部算作违法所得。
有效的数量审查要能逐项复核。销售记录与聊天对象是否对应，支付账户的实名人是谁，退款有没有扣除，重复设备能否去重，程序工具是否真正交付并具备涉案功能。数字大并不妨碍核对，数字越大，抽样和统计方法越要说明白。
证据先后有一条很实际的顺序
计算机案件的证据很多，真正决定方向的材料通常集中在几个节点。原始设备怎样扣押和封存，电子数据怎样提取，完整性校验值是否记录，涉案版本从哪里取得，动态测试能否复现，平台日志有没有完整上下文。
2016年电子数据规定要求侦查机关全面、客观、及时收集电子数据，检察院和法院围绕真实性、合法性、关联性审查判断。能够扣押原始存储介质的，原则上应当扣押、封存。无法扣押时，要说明原因、数据来源和存放地点，并计算完整性校验值。收集提取通常还应由两名以上侦查人员进行。
一份打印出来的聊天截图可能内容完全真实，仍然需要回答它来自哪台手机、哪个账号、怎样导出、前后消息是否完整。一个软件测试视频看起来很直观，也要核对测试版本、服务器环境和操作步骤。电子数据不会因为能在屏幕上播放，就自动获得更高证明力。
同一套软件可能拆出几种责任
公开案件里常出现开发者和使用者罪名不同。开发者提供专门程序工具，风险落在第二百八十五条第三款。购买者拿软件登录他人系统、取得数据，可能按第二款处理。有人取得数据以后实施诈骗或盗窃，案件又会沿目的犯罪继续评价。
这种差别来自各人完成的动作。程序提供者有没有实际进入目标系统，使用者是否参与定制，双方对后续用途知道多少，都要由证据回答。只卖一次软件的人与长期维护攻击服务器的人，参与范围也不相同。
同一人可能跨过多个阶段。他先写程序，再向客户演示，后来亲自操作后台取得数据。案卷应当按时间拆开，判断这些行为属于一个连续犯罪过程，还是具有独立故意和结果的数个行为。罪名竞合和数罪问题只有在事实分段完成后才能讨论。
这也是行为优先于罪名的另一项理由。拘留通知书只能给出一个现阶段入口，完整责任要等人员和行为全部展开。家属看到同案人罪名不同，不宜直接比较谁更重，先看两个人究竟分别做了什么。
家属最早能做的工作很有限，也很要紧
家属无法阅卷，也不适合自己去联系同案人员核对说法。早期能做的，是保存现有合同、工资记录、工作群通知、正常业务材料和设备购买凭证，把人员关系和业务时间写清楚，尽快委托律师会见。
最忌讳的是登录涉案账号删除内容，要求员工统一口径，或者把仍在运行的服务器迁走。这些动作会带来毁灭、伪造证据或串供的怀疑，也可能破坏原本对当事人有利的材料。
律师会见以后，可以先确认涉嫌罪名、被指控的大致行为、讯问关注点和个人身体状况。进入审查起诉阶段阅卷后，再把口供、聊天、日志、鉴定和资金明细放在同一条时间线上。这个过程不够戏剧化，却最能减少误判。
一宗计算机犯罪案件从行为出发，最后仍然要回到罪名。顺序不能颠倒。先问人做了什么，系统发生了什么，证据怎样证明。等这些问题有了答案，罪名通常已经不再神秘。
参考资料 中华人民共和国刑法 危害计算机信息系统安全刑事案件司法解释 指导案例145号 检例第68号 刑事案件电子数据规定 阅读提示
本文依据截至2026年9月公开有效的法律、司法解释和案例材料撰写，只作一般法律知识交流。具体案件仍需结合完整证据、程序阶段和办案机关认定判断。