计算机犯罪第一季 第10篇
提到破坏计算机信息系统，很多人先想到删库和让网站瘫痪。刑法第二百八十六条覆盖的范围更完整。有人改系统功能，有人删改数据和应用程序，也有人制作、传播能够自动触发破坏的程序。三类行为都要求出现法定严重后果。
案件里最容易混淆的，是非法控制与破坏。取得服务器权限、增加文件、修改页面，可能已经构成非法控制，却没有让系统不能正常运行。把操作动作和运行后果分开，破坏罪的边界会清楚很多。
第一款处理系统功能受到干扰
刑法第二百八十六条第一款规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成系统不能正常运行，后果严重，构成犯罪。
功能是系统能够完成的工作。身份认证、订单处理、计费、生产控制和数据查询都可能属于功能。行为人关闭服务、改掉配置、占用资源或持续发送异常请求，使这些功能无法按正常状态运行，可能落入第一款。
法条把不能正常运行写进构成。系统有异常日志、响应变慢或个别用户失败，不等于当然达到。要看核心功能是否可用，影响范围和持续时间怎样，业务有没有替代方案。
分布式拒绝服务攻击会让服务器被大量请求占满，正常用户无法访问。证明此类案件，要把攻击流量、系统容量、故障时间和行为人控制的设备连接起来。促销活动本身造成的流量高峰、运维配置错误和外部网络故障，需要排除或合理区分。
第二款处理数据和应用程序遭到删改
第二款规定，违反国家规定，对系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加操作，后果严重，依照第一款处罚。
删除数据库是最典型的情形。修改库存、交易金额、权限配置，向系统写入恶意代码，也可能属于。增加操作不一定带来可见破坏，新增后门、虚假记录或干扰程序运行的数据，同样需要审查。
数据必须属于计算机信息系统中存储、处理或传输的内容。普通纸质记录后来录入系统，行为人毁掉纸张，不适用本款。文件已从系统导出，后续篡改副本，也要看是否反向影响系统数据。
后果与数据功能有关。删除一份可恢复的临时文件，与删除唯一数据库导致业务长期停止，危害不同。数据有完整备份且快速恢复，仍可能有操作行为，是否达到严重后果要按司法解释核对。
第三款处理破坏性程序的制作传播
第三款规定，故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重，依照第一款处罚。
司法解释把破坏性程序分为几类。能够通过网络、存储介质或文件复制传播，并破坏系统功能、数据或应用程序。能够在预设条件下自动触发破坏。其他专门设计用于破坏的程序。
普通程序出现缺陷导致系统崩溃，不当然属于故意制作破坏性程序。开发者是否有破坏目的，程序有没有专门设计的触发和破坏功能，传播者知不知道内容，需要证据证明。
勒索软件通常会加密文件、限制系统使用，并要求付款。具体案件可能涉及破坏计算机信息系统、敲诈勒索和非法控制等罪名。程序怎样进入，是否实际加密，索要财物与恢复密钥之间有什么联系，要结合行为过程处理。
严重后果有明确数量数额标准
2011年司法解释第四条规定了系统功能、数据和应用程序破坏的后果严重标准。造成十台以上计算机信息系统的主要软件或硬件不能正常运行，对二十台以上系统中的数据进行删除、修改、增加，违法所得五千元以上或者造成经济损失一万元以上，均可能达到。
为一百台以上系统提供域名解析、身份认证、计费等基础服务，或者为一万以上用户提供服务的系统，不能正常运行累计一小时以上，也可能构成后果严重。
达到前述数量数额标准五倍以上，可能属于后果特别严重。为更多设备或用户提供基础服务的系统不能正常运行达到相应规模和时间，也有更高标准。
破坏国家机关或者金融、电信、交通、教育、医疗、能源等领域提供公共服务的系统功能、数据或应用程序，致使生产生活受到严重影响或者造成恶劣社会影响，司法解释把它列入后果特别严重。
数量不能从资产表直接抄
司法解释使用计算机信息系统数量。企业资产表记录物理服务器、虚拟机、终端和容器，统计口径与刑法概念可能不同。
一台物理服务器承载多个独立业务系统，是否分别计算，要看每个系统能否自动处理数据、是否独立提供功能。多台终端连接同一个集中系统，数据操作实际影响多少独立系统，也要说明。
对二十台以上系统中的数据实施操作，需要证明每台系统都发生删除、修改或增加。扫描过二十个地址，成功进入五台，不能把尝试对象都算入。
同一设备重复感染、重装后再次上线，后台可能生成多个编号。设备唯一标识、网络记录和被害人清单需要去重。统计报告只写共计若干台，缺少明细，无法复核。
经济损失包括恢复功能的必要费用
司法解释把经济损失定义为犯罪行为给用户直接造成的经济损失，以及用户为恢复数据、功能支出的必要费用。
直接损失要有因果关系。系统停机期间无法完成的交易，是否全部会成交，是否转到其他渠道，不能只按历史峰值估算。恢复费用要看项目、工时、采购和发票，必要性也要审查。
被害单位借机更换老旧服务器、升级整套安全系统，支出可能有合理部分，也可能包含长期建设费用。刑事案件不能把事故后的所有投入都计入损失。
内部员工加班修复可以形成成本，计算方式要有工资、工时和任务记录。平台自行出具的损失说明是证据线索，金额较大或争议明显时，需要更充分的财务和技术材料。
指导案例145号划出了控制与破坏的界线
行为人向一百一十三台服务器植入木马，取得后台权限，又增加网页和跳转代码。公诉机关以破坏计算机信息系统罪起诉。
法院认为，这些修改和增加没有造成系统功能实质性破坏，也没有让系统不能正常运行。行为人利用后门支配服务器，更符合非法控制计算机信息系统罪。
这个裁判提醒办案人员，数据操作不自动等于破坏。要看被操作数据的系统功能和价值，正常运行有没有受损。后门本身增加了安全风险，也可能构成非法控制，仍需严重后果支撑破坏罪。
辩护审查可以把运行结果单独列出来。系统何时停机，哪些服务中断，用户能否继续使用，运维人员如何恢复。起诉书只写修改文件，没有后果证据，破坏罪构成可能存在缺口。
吕某案展示密码修改怎样影响运行
最高人民法院公报刊载的吕某破坏计算机信息系统案发生较早。行为人侵入网络主机，修改最高权限密码，使网管人员无法进入系统管理。法院结合删除修改操作和不能正常运行后果，认定破坏计算机信息系统罪。
密码只是一组数据，修改管理员密码会直接改变系统管理功能。判断重点不在文件大小，而在系统因此失去什么能力。行为人后来把密码告诉管理员，减轻了危害后果，没有抹去此前造成的运行影响。
早期案例的技术环境与今天不同，裁判对功能和后果关系的观察仍有参考价值。云平台和多因素认证下，改掉一个账号密码未必导致整个系统不能管理。具体效果需要以现有架构证明。
删除数据也可能作相对不起诉处理
山东检察机关公开过一宗案件。行为人通过端口扫描进入某药业公司财务系统服务器，删除大量数据。案件移送审查起诉后，检察机关考虑行为人系初犯偶犯、主观恶性、经济损失、自首、认罪认罚及赔偿谅解等因素，依法作出相对不起诉决定。
这类处理没有否认删除数据的性质。它说明构成判断与起诉必要性、刑事政策和个案情节属于不同层次。损害较轻、积极修复和赔偿，可以影响处理结果。
家属看到不起诉案例，不能只比较都删了数据。系统类型、损失、影响范围、行为目的、修复和个人情节都会变化。个案处理不能变成结果承诺。
内部员工删库仍可能构成本罪
员工本来有数据库权限，离职前删除业务数据，是实务中的常见场景。账号授权允许为工作操作，不包括故意破坏。合法进入不能覆盖超越职责的删除。
案件需要证明员工本人实施操作。共享管理员账号、远程办公和自动脚本会增加身份关联难度。操作日志、终端设备、网络地址、离职沟通和备份删除记录可以相互印证。
主观故意也要证明。误操作、错误脚本和故意删除在技术结果上可能相似。行为人是否反复确认，是否删除备份，是否留下勒索或报复言论，事后怎样处理，会影响判断。
企业权限管理松散不能使故意破坏合法化，也可能影响证据完整性和损失范围。管理员长期共用账号，日志只能指向账号，未必能锁定个人。
数据恢复不等于没有严重后果
系统最终恢复，不能直接排除犯罪。司法解释关注不能正常运行的范围、数据操作数量、经济损失和其他后果。恢复发生在损害之后。
恢复速度和成本会影响后果。完整备份让业务十分钟恢复，与停机数日、重建数据库差别很大。行为人主动提供密钥、协助修复，也可能成为量刑情节。
恢复报告应说明从哪个备份恢复，丢失了哪段数据，业务何时重新上线。只写已恢复，不能证明中断时间。只写数据永久丢失，也要排查其他备份和缓存。
修复过程中产生的新日志和文件要保留。企业急于恢复业务可以理解，取证人员应尽量先固定现场状态，记录每项操作，避免后来无法区分攻击改动和修复改动。
备份是否存在会改变后果证明
删除数据案件里，备份常被双方反复提起。被害单位说主库已经清空，行为人说每天都有自动备份。两句话都可能成立，仍要查备份能否使用、覆盖到哪个时间点、恢复需要多久。
有的备份与生产库放在同一台服务器，删除脚本会同时清掉。有的备份保存在异地，却因为权限失效、文件损坏或版本不兼容无法直接恢复。名义上存在备份，不等于业务可以立即恢复。相反，运维人员没有先查备份便宣布数据永久丢失，结论也显得仓促。
恢复点决定实际丢失范围。凌晨的完整备份可以恢复到零点，白天八小时新增的订单仍可能消失。法院需要知道缺失数据有哪些业务作用，能否从客户终端、缓存或第三方平台补回。恢复报告只写成功率百分之九十，仍要说明剩余部分是什么。
行为人是否专门删除备份，也能反映故意和危害。一次错误命令误删主库后立即停止，与先关闭备份任务、清理快照、再删除主库，技术轨迹明显不同。操作顺序、脚本内容和事后沟通可以帮助区分误操作与有计划的破坏。
备份制度有缺陷，不会让外部破坏者当然免责。它可能影响损失计算和因果关系。企业本来就无法恢复的历史数据，不能全部算到本次行为名下。取证时把主库、备份、恢复工具和运维记录一起固定，后果判断才不会只靠双方口头描述。
破坏性程序要证明传播和影响
查获病毒样本不等于完成犯罪。司法解释第六条对后果严重设置了具体标准。能够复制传播的破坏程序实际通过网络、存储介质或文件传播，可能达到标准。造成二十台以上系统被植入其他破坏性程序，提供破坏性程序十人次以上，违法所得五千元以上或经济损失一万元以上，也可能入罪。
传播链需要证据。样本从谁的设备发出，接收对象有哪些，是否成功植入，何时触发，系统受到什么影响。杀毒软件告警可以提供线索，误报和重复告警需要核减。
制作人与传播人的故意分别审查。研究人员在隔离环境分析恶意代码，和把可执行样本发给攻击者不同。公开仓库中的代码是否可直接运行，发布者有没有破坏目的，传播范围和说明内容都会影响评价。
破坏罪的审查要沿因果链走
完整的因果链从行为前系统状态开始。系统本来是否正常，是否已有故障和数据缺失。随后固定涉案操作的时间、账号、设备和命令。再记录功能中断、数据变化、用户影响和修复过程。
攻击日志与故障日志要能对应。多个事件同时发生时，区分哪项损害由谁造成。第三方服务中断、管理员误操作和硬件故障可能共同作用，不能把全部后果装进一名行为人的账里。
最后核对司法解释门槛。系统数量、用户规模、停机时间、违法所得和经济损失各有口径。任何一个标准过线，都要有可查看的明细。
破坏计算机信息系统罪的重心落在运行和后果。删除、修改、增加、干扰只是开端。系统究竟坏在何处，坏了多久，怎样恢复，谁为此付出必要成本，才是法庭需要听明白的部分。
参考资料
阅读提示
本文只作一般法律知识交流。破坏行为、系统运行状态、严重后果和因果关系需要结合技术证据与损失材料逐项判断。