计算机犯罪第一季 第9篇
情境说明 下文人物、公司、软件名称、金额和处理结果均为化名创作，案情依据计算机犯罪案件中的常见争点重构，不对应任何具体委托或裁判。
周一早上，林静带着一张拘留通知书来找我。通知书上的涉嫌罪名是提供侵入计算机信息系统程序罪，被拘留的人是她丈夫周远，一家小型软件公司的后端开发。她反复说，周远只写过接口，从不接客户，公司卖的是抢单辅助软件。
她的手机里还有三个群聊截屏。一张写提高成功率，一张写自动换地址，另一张是同事说新版本能过验证。三张图看起来很重，也可能属于不同时间、不同版本和不同说话人。此时把周远称作无辜程序员或者技术主犯，都太早。
我把这个项目暂时叫作速达插件。它接受商家账号，定时查询平台任务，在任务开放后自动提交。公司后台显示两千多个激活码，侦查机关初步统计流水一百二十余万元。周远固定领工资，能访问部分代码仓库，案发前三个月写过一段请求重试模块。
接案当天，真正能确认的材料并不多。拘留通知书能确定程序节点，劳动合同能说明入职时间，几张聊天截图只能提供调查方向。案件里的系统、版本、客户、权限和数字都还没有核准。接下来做的每一步，都是把这些模糊名词换成可以验证的事实。
先把程序坐标核准
接案时先看法律文书。采取强制措施的时间、承办机关、涉嫌罪名、羁押地点和通知日期逐项登记。家属口头说被抓三天，可能包括传唤和留置在办案场所的时间，法定期限要以措施和文书为准。
案件处在拘留后的报捕阶段，工作重点会放在会见、社会危险性和是否批准逮捕。案件已经移送审查起诉，律师可以阅卷，证据和定性审查会迅速展开。法院已经立案，庭前会议、鉴定人出庭和非法证据排除等程序需要及时提出。
管辖也要核对。网络犯罪可能由犯罪地、结果地和相关主体所在地机关办理，服务器、被害平台和人员分布在不同省市。案件从一地移送另一地，原有强制措施、扣押物品和电子数据怎样交接，都会影响后续审查。
程序坐标还包括同案人员状态。有的同案人已经取保，另一些仍在逃，另案处理的情况也可能存在。侦查机关对团队结构的判断会影响串供风险和羁押必要性，也会影响律师能否向相关人员调查。
第一次会见先听当事人怎样描述业务
计算机案件的当事人常用技术语言。他会说系统走接口、令牌自动刷新、程序只做并发、数据存在缓存里。律师如果急着把每句话翻译成有罪或无罪，会漏掉大量事实。
第一次会见可以先让当事人从项目开始讲。产品解决什么问题，最早是谁提出，正常用户怎样操作，涉案功能什么时候加入，谁写代码，谁测试，谁销售。讲到一个技术词，再问它在实际流程中做了什么。
当事人说没有破解，要继续问账号从哪里来，服务器为什么接受请求，程序有没有绕过验证码、签名和设备校验。当事人说没有获取数据，要问接口返回什么，是否写入文件，结果有没有上传后台。当事人说只负责开发，要问接触需求、售后和客户反馈的程度。
会见记录不应变成替当事人组织答案。前后不一致的地方先标出来，下一次结合材料再问。当事人的记忆可能受紧张和技术细节影响，律师不宜用一个法律术语把叙述提前封死。
人员表先写动作，不急着写主从犯
团队案件最容易由职位代替事实。老板被写成主犯，程序员被写成技术骨干，客服被写成帮助人员。职位提供调查方向，刑事责任还要落到具体动作。
人员表可以从加入时间、工作内容、权限、收入和离开时间写起。谁能访问代码仓库，谁保管服务器密码，谁决定版本发布，谁面对客户，谁控制收款账户。每个结论注明材料来源，来自当事人口述、家属提供的合同，还是公司公开信息。
技术人员的代码贡献要定位到模块。登录、请求、验证码、数据处理、界面和支付属于不同部分。某人提交过代码，不代表他了解整套产品。反过来，产品负责人不写代码，也可能通过需求和测试控制核心功能。
代理商和售后不能一概视为边缘人员。代理商知道软件用于什么，是否演示异常功能，有没有发展下级和分成。售后处理安装故障，还是指导客户导入账号、切换网络地址、避开平台限制。动作不同，明知和作用不同。
系统图帮助律师看见行为对象
家属常把平台、服务器、数据库和软件统称系统。刑法第二百八十五条和第二百八十六条分别保护计算机信息系统、数据、控制权和正常运行，行为对象需要画清。
系统图不必像技术架构文档那样复杂。先画用户手机或电脑，涉案程序，程序自己的服务器，目标平台接口和目标数据库。箭头标出请求和返回，注明账号、令牌、验证码在哪里出现。
这张图会暴露关键问题。程序直接访问目标平台，还是先把任务发给自己的服务器。数据返回给用户端，还是集中存入后台。客户能否修改目标和参数。开发者能不能看见用户取得的数据。
系统边界也影响数量。一百个账号登录同一平台，不能当然算控制一百套系统。一台服务器运行多个独立虚拟实例，也不能只按一台物理机处理。后台记录需要与实际架构对应。
速达插件的系统图画出来后，一个早期误解先被排除了。客户电脑没有直接连接目标平台，而是把任务发到公司服务器，由服务端统一查询公开任务列表。提交订单时，服务端使用客户自己登录后取得的令牌。这个结构不能直接证明程序合法，却把争点从控制客户两千多台电脑，收缩到服务端是否越权调用平台接口、有没有绕过认证和取得了什么数据。
版本表经常比功能争论更早决定方向
案件里最常见的一句话是软件有某个功能。律师下一句应当问哪一版、什么时候、谁拿到。
开发电脑里的最新源码可能包含案发后新增功能。客户手机里的安装包可能经过代理商二次修改。服务器已经覆盖旧文件，鉴定机构只能测试扣押时版本。版本错位会把真实存在的功能放到错误时间。
版本表可以列出发布时间、主要变化、编译文件哈希值、接收客户和证据出处。代码仓库提交记录、群公告、网盘上传时间、安装包签名和服务器备份能够相互核对。
没有版本号的软件，也能通过文件哈希、编译时间和功能差异区分。文件系统时间可能被复制操作改变，不能单独作为发布时间。多个证据一致，时间线才更稳。
律师需要争取保全旧版本。公司仍有备份电脑、网盘和构建服务器时，不要自行运行或修改，可以在专业人员协助下依法固定。直接双击安装包会生成新文件和日志，可能改变证据状态。
周远被指与过验证功能有关，起因是一条代码提交记录。核对时间后发现，该提交发生在他离职交接之后，提交账号仍沿用他的英文名，实际由接手人员使用。周远在职期间写的是失败请求重试，代码只在网络超时时再次发送，没有识别验证码的模块。账号名不能代替提交人，功能名称也不能代替代码内容，这两处差别后来成为法律意见里的重点。
权限表决定一次访问处在什么位置
计算机犯罪常围绕未经授权或超越授权。权限表要写账号归属、授权主体、允许范围、有效时间和实际操作。
员工账号由公司发放，只允许工作使用。他把令牌交给离职同事，后者下载内部数据，真实账号仍可能构成侵入。平台开放公开接口，程序按文档调用，权限基础又不同。
授权既有技术表达，也有管理表达。后台菜单看不见、接口返回拒绝、令牌没有相应权限，是技术限制。合同、用户协议、岗位制度和测试授权，是管理范围。两类材料发生冲突时，需要解释日常怎样执行。
客户授权安全测试，范围要具体到目标、时间和方法。公司员工口头同意使用一个账号，也要看他有没有权代表系统管理者授权外部人员。
权限表写完，非法侵入、非法获取和正常使用之间的争点会清楚很多。律师可以针对缺口申请调取后台权限配置和相关制度，不再泛泛主张没有破解。
电子数据先查来源和完整性
案卷中的截图很直观，证明力需要回到来源。截图来自哪台设备、哪个账号、怎样提取，前后内容有没有保留。聊天记录只剩几句关键词，语境可能完全不同。
电子数据规定要求能够扣押原始存储介质的，原则上扣押封存。无法扣押时，应说明原因、数据来源和存放地点，并计算完整性校验值。收集提取一般由两名以上侦查人员进行，附笔录和清单。
律师在侦查阶段看不到全卷，可以先问家属哪些设备被扣，扣押清单如何记载，封条是否完整。进入审查起诉后，再把设备编号、提取笔录、校验值和检验报告逐项比对。
云服务器数据无法直接扣押原始介质，在线提取和平台调取更加常见。报告应说明账户、网络地址、提取时间和操作过程。平台导出的表格要保留字段解释和原始数据，不能只有办案人员整理后的统计结果。
鉴定问题要从指控事实里长出来
律师看到鉴定意见，不应先找技术专家把整份报告重做一遍。先看起诉或侦查结论需要它证明什么。
指控程序属于专门工具，鉴定需要说明安全保护措施、绕过方式和未经授权取得的数据或控制。指控破坏系统，鉴定需要说明功能怎样受损、不能正常运行多久，以及涉案操作与故障的联系。
委托问题、检材和结论要对应。送检三点零版本，结论不能直接覆盖一年前的二点零版本。测试人员输入有效账号，结论不能写程序能破解账号。模拟服务器运行成功，报告应说明与真实平台的差异。
发现具体问题后，再决定申请补充说明、鉴定人出庭、重新鉴定或聘请有专门知识的人。技术异议越具体，程序申请越可能得到实质回应。
数量表要让每个数字能够回到人和设备
司法解释使用身份认证信息组数、计算机信息系统台数、提供人次、违法所得和经济损失。后台报表里的卡密、账号、订单和设备编号，不能直接替换。
提供二十人次要确认二十名实际接受者。一个客户购买多个卡密、重复续费和内部测试账号需要去重。非法控制二十台系统要核对设备独立性和重复上线。
违法所得表要把付款人、用途、聊天和交付对应。退款、正常业务收入和内部转账单独列。平台损失表要区分直接损失、恢复数据功能的必要费用和推测性业务损失。
统计量很大时可以抽样，抽样方法必须透明。总体从哪里来，样本怎样选，错误率如何处理。只交一个总数，控辩双方无法复核。
主观明知要沿时间变化
程序工具罪和共同犯罪都可能争论明知。认识很少在项目第一天固定下来，它会随着需求和反馈变化。
最初客户说做自动化测试，后来要求增加验证码识别、隐藏进程和数据上传。开发者在哪个节点接到信息，怎样回应，是否继续提供，构成明知时间线。
聊天关键词要看上下文。过风控在正常安全测试和犯罪项目里都可能出现。客户有没有授权文件，功能针对谁，程序运行结果是什么，决定词语的实际含义。
报酬异常、匿名收款和销毁记录可以作为间接证据，不能单独替代明知。固定工资、未参与分成也不当然排除认识。主观事实依靠多项客观行为综合判断。
第一份法律意见要解决当下程序问题
律师掌握的信息有限，法律意见不适合写成最终辩护词。报捕前可以聚焦个人作用、证据已固定程度、社会危险性和羁押必要性，提出不批准逮捕或变更强制措施的理由。
案件核心程序仍在运行，当事人已经失去账号权限，设备全部扣押，固定住址和工作明确，这些事实可能影响社会危险性判断。涉案行为和数量尚未查清，也可以指出证据缺口。
进入审查起诉后，法律意见再转向证据和定性。程序版本、系统权限、电子数据、鉴定方法、数量数额和个人责任逐项展开。可以提出补充调取无罪罪轻证据，也可以申请鉴定人出庭。
意见越贴近程序节点，越有实际作用。家属希望律师立刻证明无罪可以理解，刑事辩护仍要在有权处理问题的机关、能够处理的时间，提交有证据支持的内容。
这起重构案件最后怎样收束
阅卷后，后台两千多个激活码没有被直接认定为两千名接受者。重复续费、内部测试、未激活订单和退款记录被逐项区分。公司总流水里还有定制报表和正常运维收入，涉案工具收入另行核算。
检验材料确认，早期版本只有定时查询和请求重试，后期版本加入了代理切换与验证码识别。周远离开项目时，后两个模块尚未出现。聊天记录显示他知道客户希望提高抢单成功率，却没有证据证明他接触过客户提供的他人账号，也没有参与后续版本销售和分成。
这组事实没有让案件凭空消失。早期版本是否超越平台授权，周远编写的重试模块在整体程序中起什么作用，仍需接受法律评价。办案机关最终把他的参与期间和对应收入单独列出，不再用公司全部经营时间和全量流水评价个人责任。强制措施也在审查起诉前变更。
这个结果来自一串很慢的核对。先确认程序节点，再画系统图，接着做人员表、版本表、权限表和数量表。任何一张表单独拿出来都不精彩，放在一起却能阻止案件里的账号、版本和数字互相替代。
情境案例可以帮助读者看见工作方法，不能冒充真实业绩。真正办理案件时，结论要服从卷宗证据，任何对结果的承诺都不可靠。计算机案件的辩护价值，常藏在时间、权限、文件哈希和一段代码的真实作用里。
参考资料
阅读提示
本文为情境化创作，用于说明一般办案方法，不对应某一真实委托或裁判。真实案件的处理取决于案卷证据、程序阶段和具体法律适用。