# 鉴定意见写着恶意程序就足够定罪吗 律所: 上海昌辰律师事务所 作者: 马原 专业定位: 刑事律师 · 专注计算机信息网络犯罪 栏目: 计算机犯罪实务 发布日期: 2026-11-04T08:08:33+08:00 更新时间: 2026-11-04T08:08:33+08:00 适用法域: 中国大陆 核对截止日: 2026-11-04 原始来源标题: 马原律师原创 法律依据: 与本文主题相关的现行法律法规及司法解释（以正文引用和核验记录为准） 事实与法律核验时间: 2026-11-04T00:00:00+08:00 核验人: 马原律师|专注计算机犯罪 ## 核心结论 推荐搜索词 ## 正文 恶意程序鉴定、提供工具罪鉴定意见、计算机犯罪电子数据、涉案软件怎么鉴定、检验报告质证、哈希值刑事证据 一份技术报告很重要，也没有权力替代法官定罪 提供侵入、非法控制计算机信息系统程序、工具罪高度依赖技术事实。程序有没有突破安全措施，取得什么数据，能否控制目标系统，普通人无法只靠肉眼判断。侦查机关通常会委托检验、鉴定，或者由有资质的机构出具报告。 报告结论常写着“具有侵入性”“属于恶意程序”“可以非法控制计算机信息系统”。当事人和家属看到这些词，会认为案件已经没有讨论余地。 司法解释的表述更为谨慎。对是否属于专门用于侵入、非法控制计算机信息系统的程序、工具难以确定的，应当委托相关部门检验，司法机关根据检验结论并结合案件具体情况认定。 “结合案件具体情况”意味着技术报告是重要证据，最终法律判断仍要由司法机关完成。鉴定人员能够说明程序调用了什么接口、修改了什么参数。是否未经授权，是否属于刑法意义上的控制，是否达到情节严重，还要结合法律和其他证据。 第一个问题是送检的软件从哪里来 技术报告再专业，也要建立在正确检材上。 涉案安装包可能从当事人电脑、手机、服务器、网盘或客户设备提取。提取时应记录设备信息、文件路径、文件名和完整性校验值。送检文件要与扣押、提取的原始文件保持同一。 如果检材来自互联网上另行下载的同名软件，风险很明显。同一名称可能存在多个版本，第三方可能二次修改，服务器还可能动态更新模块。网上版本的测试结果不能自动证明当事人实际提供的版本具有相同功能。 客户提交的安装包也要查明来源。客户何时取得，是否自行加入插件，文件是否经过修改。平台为了维权自行抓取的程序，可以成为线索和证据，仍应说明下载过程并校验完整性。 哈希值在这里发挥作用。对电子文件使用特定算法计算校验值，内容发生变化，校验值通常会改变。提取、送检、鉴定和庭审展示使用相同校验值，有助于证明文件没有被替换。 没有校验值不等于证据一定失效，但来源和同一性需要通过其他材料补强。检材来源说不清，后续结论就失去稳定基础。 第二个问题是测试了哪个版本 软件项目不断迭代。初版可能只有正常功能，后续版本加入侵入模块。某个版本只向少数定制客户提供，公开版没有相同功能。 鉴定报告应标明版本号、文件特征、编译时间和相关模块。案件中的销售时间、客户订单和版本发布记录要与之对应。 不能用最新版本的功能倒推早期全部销售。高风险模块在六月上线，三月至五月的收入是否属于涉案违法所得，应根据当时版本分析。 也不能因旧版本没有某项功能，就忽略开发者通过服务器远程开启。现代软件常采用客户端与服务端分离，客户端只负责界面和通信，核心逻辑由云端完成。鉴定只检查客户端，可能遗漏真实功能。只检查服务器脚本，又要证明具体客户的客户端调用了该脚本。 代码仓库记录、更新公告、卡密权限和服务器日志能够建立版本与用户之间的联系。技术鉴定需要进入这条时间链，才有助于确定责任范围。 第三个问题是测试环境是否真实 有些软件必须在越狱设备、管理员权限或特殊网络环境下才能运行。鉴定人员为了完成测试，可能预先设置这些条件。 关键在于，普通用户是否也按销售教程具备相同条件。如果鉴定机构额外安装了案件中不存在的破解模块，测试出的能力不能直接归给涉案软件。 测试账号也会影响结果。平台给测试机构开放高权限账号，软件读取到后台数据，不能证明普通客户也能未经授权获取。反过来，使用普通账号仍能绕过验证取得隐藏字段，更能说明功能。 网络环境、系统版本、目标应用版本也应记录。程序只对某一旧版本有效，鉴定使用哪个版本，关系危害范围。 可重复性是技术结论可信的重要条件。报告应写明操作步骤、输入、输出、抓包结果和关键截图，让其他专业人员能够复现。只有一句“经运行发现具有侵入功能”，难以审查过程。 第四个问题是突破了什么安全措施 司法解释强调避开或者突破计算机信息系统安全保护措施。报告需要指出具体措施。 是登录密码、验证码、接口签名、访问令牌、设备识别、进程保护，还是频率限制。措施怎样工作，保护的是哪一层系统。 程序采用什么方法绕过。伪造签名、注入进程、重放令牌、破解验证码、修改客户端逻辑，各有不同技术含义。 绕过后取得了什么能力。能看到公开网页，还是进入受限后台。能读取本机数据，还是取得远端服务器数据。能自动操作自己的账号，还是让他人系统执行未经授权指令。 平台用户协议可以说明权利人意愿，不能完全替代技术说明。报告如果只引用协议中的禁止条款，没有展示程序突破何种实际保护，论证仍不充分。 第五个问题是“侵入”“控制”和“破坏”有没有混用 技术语言和刑法概念并不总是一一对应。 网络安全人员习惯把未经许可的访问称为入侵，刑法评价还要结合违反国家规定、保护对象和情节。技术报告使用“攻击”一词，也不能自动确定具体罪名。 非法控制要求行为人取得对系统全部或部分控制能力，让系统执行其指令。程序改变本地显示，与控制远端服务器不同。干扰应用识别设备信息是否构成侵入或控制，需要结合具体行为分析。 破坏计算机信息系统罪关注删除、修改、增加数据或破坏功能造成的严重后果。最高人民法院指导案例明确，通过植入木马修改、增加数据实现非法控制，但未造成系统功能实质性破坏或不能正常运行的，不应认定为破坏计算机信息系统罪。 鉴定人员可以描述数据被修改、系统是否中断。最终属于非法控制还是破坏，应由法院按构成要件判断。报告直接写明“构成某罪”，超出了纯技术事实范围。 检验报告与鉴定意见有什么不同 网络犯罪案件中可能出现检验报告、鉴定意见、技术侦查报告、平台情况说明等多种材料。 名称不同，出具主体、程序和证明事项可能不同。辩护人需要确认机构依据什么规范开展工作，人员是否具备相应能力，委托事项是什么，采用何种方法。 鉴定意见属于法定证据种类，有较为完整的委托、受理、鉴定人签名等要求。对于专门性问题，相关规定也允许特定机构出具报告。不能只因材料名称叫报告就一概否定，也不能只因盖有机构公章就免于实质审查。 平台自己的安全团队可以解释系统架构和异常日志，具有信息优势，也与案件结果存在利害关系。平台说明应与服务器日志、接口文档和独立检验相互印证。 技术人员证言能够帮助理解程序，但证言来源和专业能力要清楚。把平台工程师意见直接当作中立鉴定，需要谨慎。 电子数据的取证程序怎样审查 电子数据规则要求收集提取遵守法定程序，围绕真实性、合法性和关联性审查。 能够扣押原始存储介质的，原则上应扣押封存。手机、硬盘、服务器镜像如何封存，是否记录唯一性信息，关系后续数据来源。 无法扣押原始介质而在线提取时，应说明原因、数据来源和存放地点，并计算完整性校验值。远程服务器位于境外或云端时，在线提取较常见，更要保留过程记录。 收集提取通常应由两名以上侦查人员进行，并根据规定安排见证或录像。检查存储介质时应尽量使用写保护设备，对拆封和检查制作笔录。 电子数据在侦查、检验、移送之间多次流转。设备序列号、封存状态、校验值可以证明同一性。某一环节无法对应，就需要补正或合理解释。 程序瑕疵并不一律排除。未封存移送、笔录签名不全等情形，有的可以补正。电子数据被篡改、伪造或无法确定真伪，影响真实性时，不得作为定案根据。 聊天截图和后台表格为何不能孤立使用 聊天截图容易取得，也容易丢失上下文。应核对原始账号、设备、完整对话、时间和文件附件。昵称可以更改，头像可以冒用，仅凭截图未必能确定发言人。 导出的聊天文本应说明导出方法。人工整理文档可能出现遗漏，数据库恢复记录需要与客户端展示相互校验。 销售后台汇总表也不是原始事实本身。表格由谁生成，字段含义是什么，是否包含测试账号、重复续费和无效卡密，需要说明。最好能够从汇总结果回溯到订单、支付和激活日志。 平台提供的用户数量、损失金额同样需要基础数据。统计脚本、筛选条件和去重规则应允许复核。 电子数据量大时，司法规则允许在一定条件下采用抽样、汇总等方法认定事实，但仍要保障来源可靠，并审查被告人和辩护人提出的异议。 怎样提出一份有内容的质证意见 第一步确定报告要证明什么。工具功能、数据数量、账号归属还是经济损失。不同证明事项需要不同方法。 第二步检查检材链。提取、封存、送检、拆封和鉴定能否一一对应，哈希值是否一致。 第三步检查方法。工具和版本是否公开可靠，测试参数是否完整，是否存在超出委托事项的判断。 第四步检查推理。观察到某个技术现象，怎样得出侵入或控制结论。中间是否省略安全措施和授权边界。 第五步检查与其他证据的关系。报告认定存在隐藏模块，代码提交记录能否证明由当事人开发。报告统计一百名用户，资金和激活记录是否支持。 第六步提出可操作的复核。申请鉴定人出庭说明，申请补充检验特定版本，或者提交专家辅助意见。单纯说“不认可鉴定”很难解决技术争议。 鉴定意见对辩护也可能有利 技术报告并不只服务于指控。 报告确认软件不具备获取非公开数据功能，可以排除部分指控。确认只有管理员手动开启某模块，能够缩小普通员工责任。确认涉案版本上线时间，可以剥离早期收入。 鉴定发现程序只是模拟人工操作，没有突破验证码和权限，可能支持对工具性质的不同评价。报告确认没有造成系统功能中断，也有助于区分非法控制与破坏计算机信息系统罪。 辩护的目标不是排斥一切技术证据，而是让技术事实准确、完整地进入法律判断。 技术型案件最需要共同语言 办案人员熟悉法律，程序员熟悉代码，平台熟悉系统。三方使用不同语言时，案件最容易被标签支配。 开发者说“只是调用接口”，要说明接口是否公开、令牌从哪里来。平台说“遭到攻击”，要说明具体请求和系统影响。鉴定机构说“非法控制”，要展示权限变化和指令执行。 一份高质量报告应当让不懂代码的人也能理解关键路径，让专业人员能够重复验证。司法裁判则应在技术事实之上完成授权、故意和情节的法律判断。 “恶意程序”四个字可以概括调查方向，不能包办定罪过程。检材真实、版本对应、环境可靠、方法可复现、概念准确，再与聊天、交易和使用结果相互印证，技术证据才形成完整证明力。 专家辅助人能够解决什么 技术争议复杂时，辩护方可以依法申请有专门知识的人协助理解鉴定意见。专家辅助人不替代法官，也不当然推翻原报告，其价值在于把技术问题转化为可质证的问题。 例如，报告称程序突破签名校验，专家可以追问签名算法从哪里取得，是否为公开接口，测试请求与普通客户端请求有何差别。报告称程序控制系统，可以追问目标系统实际执行了什么指令，权限变化如何记录。 专家意见需要建立在完整材料上。只听当事人描述，没有查看检材和报告，容易变成一般观点。较有价值的意见会复现实验、说明参数、指出报告中无法重复的环节。 法庭最终审查的仍是证据。技术专家帮助各方看清代码和系统，授权、故意、情节等法律问题还要由司法人员判断。 源代码缺失时也不能停止功能审查 有的案件只能取得编译后的安装包，源代码已经删除或存放境外。没有源代码会增加分析难度，并不意味着只能接受产品宣传或当事人口供。 可以通过动态运行、网络抓包、反编译、服务器日志和接口返回观察功能。每种方法都有边界，报告应说明工具、步骤和不确定性。 反编译结果与原始源代码并不完全相同，变量名称和结构可能变化。根据反编译推断开发者意图，需要与版本记录、聊天和文档结合。 同样，源代码中存在某段功能，不代表客户实际能够调用。编译配置、权限开关、服务器下发和卡密等级决定功能是否生效。技术审查应从“代码存在”继续走到“实际提供和使用”。 法庭展示技术证据也会影响质证质量 数百页十六进制数据或源代码打印件，很难让法庭理解程序功能。重要技术证据应通过运行录像、数据流图、权限变化表等方式清晰展示，同时保留与原始数据的对应关系。 可视化不能变成宣传片。演示使用什么账号、点击哪些步骤、后台发生什么变化，都要能够回到检材和日志。剪辑视频省略失败过程，可能放大程序能力。 辩护方提出替代演示时，也应使用相同版本和环境。双方测试条件不同，结果没有可比性。必要时由鉴定人员说明差异，或者开展补充实验。 技术证据展示得越直观，越要警惕视觉印象替代证明。画面上弹出“控制成功”，只是程序自己的提示。目标系统是否真的执行指令，还要由网络记录和系统日志确认。 资料来源 最高人民法院公报关于刑事案件电子数据的规定 最高人民法院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释 最高人民检察院关于刑事案件电子数据审查六大关键的文章 最高人民法院指导案例145号 原文: https://itcriminal.com/articles/article-c2248032910c-nr94xm 边界: 本文仅供一般信息参考，不构成针对任何人的正式法律意见。