计算机犯罪第一季 第5篇
侵入计算机信息系统听起来像一个很有画面的词。陌生人躲过防火墙，破解密码，进入原本关着的后台。公开案例里的侵入远比这幅画复杂。有的人没有破解密码，用的账号和令牌都是真的。有的人批量尝试从别处泄露的账号，有的人先寻找漏洞，再植入木马取得服务器权限。
法院认定侵入时，通常不会停在技术手段的名称上。它要回答系统管理者允许谁进入，允许进入到哪里，行为人用了什么身份，实际访问了哪些功能和数据。把这条权限线画清楚，侵入才有可判断的内容。
检例第36号从一组真实账号讲起
最高人民检察院第九批指导性案例中，龚某是某大型网络公司的员工。因工作需要，她拥有内部管理开发系统的账号、密码和令牌，可以查看工作范围内的数据信息。公司禁止员工私自查看、下载非工作范围内的数据。
龚某把账号、密码和令牌提供给已经离职的卫某。卫某多次异地登录内部系统，查询、下载电子数据，再交给他人出售。三人的违法所得达到三万七千元。法院认定三人构成非法获取计算机信息系统数据罪，属于情节特别严重。
这个案件的重要之处，在于进入系统所用凭证并非伪造。账号由公司正常创建，令牌也是真的。权限属于龚某个人，并受到岗位和工作范围限制。她无权把凭证交给外部人员，更无权授权外部人员下载非工作范围内的数据。
最高检在指导意义中把侵入概括为违背被害人意愿、非法进入计算机信息系统的行为。系统管理者通过账号分配、岗位权限和内部制度表达了意愿。卫某取得员工凭证后从异地登录，越过了管理者设定的人员和用途边界。
这说明真实账号不能自动排除侵入。法院会看账号属于谁，授权能不能转让，允许做什么，行为人知不知道限制。用自己的账号做超范围操作，也可能形成超越授权。只有把授权内容说清，登录动作才有法律意义。
公司制度不能只在案发后出现
权限边界经常依靠公司制度证明。制度的真实性和实际执行情况需要审查。有的公司在案发后补了一份数据管理办法，员工此前从未签收。有的系统后台没有技术隔离，所有员工都能查看全部数据，公司却声称任何跨部门访问都严格禁止。
技术上能够访问，不代表法律上获得授权。制度长期不执行，也会影响行为人对权限边界的认识。法院需要把书面规则、账号配置、日常管理和行为人认知放在一起。
在检例第36号中，员工的工作范围、系统使用规则、异地登录记录、查询下载内容和出售获利相互印证。侵入结论不依赖一张制度截图。行为人主动把令牌交给离职人员，又多次取出非工作数据出售，这些事实强化了越权进入的故意。
辩护审查可以追问制度何时生效，谁组织培训，涉案人员是否签收，类似账号能否共享，管理员是否长期默许远程协作。问这些不等于主张公司管理松散就可以随意拿数据。它们用于判断权限边界是否明确，以及行为人主观上怎样理解。
检例第68号展示了撞库怎样被证明
检例第68号涉及一款被称为小黄伞的软件。程序针对某电商平台账号进行撞库，把从其他来源取得的账号密码批量尝试登录。平台发现同一网络地址反复登录，会采取限制措施。软件加入自动拨号功能，尝试几组账号后切换新的网络地址。
登录还会遇到验证码。软件把验证码图片发送到打码平台，由他人识别后返回结果。账号登录成功，程序自动抓取昵称、注册时间和账号等级等信息。办案机关最终确认，使用者通过软件取得两万二千余组网络用户信息。
法院认定程序提供者构成提供侵入计算机信息系统程序罪，使用者构成非法获取计算机信息系统数据罪。这里的侵入表现为使用未经账号本人和平台授权的身份认证信息进入系统。自动切换网络地址、接入打码平台，进一步说明程序在对抗安全防护。
撞库案件的证明不能只靠查获一个账号密码文件。账号密码可能来自公开测试数据、历史备份或其他渠道。办案机关需要把程序运行、登录日志、文件生成时间和查获设备接起来。检例第68号中，补充勘验核对了电脑和U盘里的文件，登录时间与部分账号信息文件的生成时间能够对应。
程序的自动拨号和验证码处理也经过技术审查。它们说明软件如何持续登录，不直接证明每一组数据都成功获取。最终数量仍要根据成功登录记录、抓取文件和用户信息去重核实。
漏洞扫描和木马植入是另一条路径
最高人民法院指导案例145号中，行为人先检索、筛查存在防护漏洞的目标服务器，再向服务器植入木马程序，使用相关软件连接木马，取得后台浏览、增加、删除和修改等操作权限。
这类侵入没有合法账号争议。行为人利用漏洞进入，在服务器里留下后门，再通过后门持续操作。服务器的访问日志、木马文件、上传网页、控制工具和行为人设备能够共同还原路径。
案件最后定性为非法控制计算机信息系统罪，侵入仍是取得控制的前段行为。法院关注控制对象达到一百一十三台，行为人能够对后台实施多项操作。系统没有受到实质性功能破坏，成为排除破坏计算机信息系统罪的重要理由。
同一条技术路径可以包含多个法律动作。寻找漏洞本身可能还处在准备阶段，利用漏洞取得访问权限形成侵入，植入后门并持续操作可能达到非法控制，删除核心数据导致停机又可能触及破坏。法庭需要按时间还原，不能把黑客攻击四个字当成全部事实。
点击公开链接不一定是侵入
网络系统会把一部分内容向公众开放。任何人打开网页、调用公开查询功能，通常没有进入受限空间。争议常出现在接口没有登录限制、参数可以修改、页面没有明显提示的情形。
技术缺陷不等于授权。一个接口忘记校验身份，外部人员批量遍历编号取得内部数据，系统管理者显然没有同意。判断时要看公开页面怎样设计，接口原本服务什么功能，正常用户能看到多少，行为人是否绕开前端限制，访问频率和数据规模怎样。
仅凭接口可以在浏览器打开，就认定数据公开，证据不够。仅凭平台事后声明接口内部使用，就认定任何调用属于侵入，也不够。接口文档、前端代码、身份验证、访问控制、用户协议和实际业务流程，都能说明授权范围。
爬虫案件尤其容易混淆。正常搜索引擎抓取公开页面，与伪造令牌访问未公开接口差异很大。请求速度很快可能违反平台规则，刑事责任仍要证明违反国家规定、侵入或采用其他技术手段非法获取数据，并达到法定情节。
授权测试要把范围写在纸上
安全测试人员可能获得企业授权扫描漏洞。授权说得不清，测试结束后双方容易对访问范围产生争议。
一份实用的授权文件至少应写清目标系统、网络地址、测试时间、允许使用的方法、禁止触碰的数据、发现高危漏洞后的处理方式和报告对象。是否允许创建账号、上传文件、导出数据，也要说明。
只有一句帮我看看网站安不安全，不能覆盖无限范围的攻击测试。测试人员发现旁站或关联域名漏洞后，继续深入前应重新确认。客户负责人个人口头同意，也要核对他是否有权代表系统管理者授权。
行为人主张受托测试时，法院会寻找项目合同、聊天、报价、报告和付款。真正的安全测试通常有明确对象和成果交付。没有报告、没有委托、持续利用漏洞获利，这种解释很难仅凭口供成立。
侵入国家事务系统还要证明对象
刑法第二百八十五条第一款的侵入对象限于国家事务、国防建设、尖端科学技术领域系统。进入普通商业系统后获取数据，通常沿第二款审查。两者都使用侵入概念，对象和构成条件不同。
法院认定第一款时，需要先确定系统性质。系统由哪个单位管理，承担什么业务，涉案服务器是不是核心业务节点，行为人进入的是生产环境还是测试环境。难以确定时，司法解释要求委托省级以上负责计算机信息系统安全保护管理工作的部门检验。
2024年江西一宗公开裁判中，被告人侵入被认定属于国家事务范畴的系统并取得相关数据，法院以非法侵入计算机信息系统罪处理。现有公开材料没有完整披露系统功能和侵入过程，引用它时应当保留信息边界。个案判决可以说明司法实践存在这种路径，不能替代对下一宗案件系统性质的证明。
日志先证明设备，随后才可能指向人
访问日志会记录网络地址、时间、接口、账号和设备特征。它能说明某个终端做过什么，还不能自动说明坐在终端前的人是谁。
办案机关通常会结合网络账户实名信息、上网终端归属、办公位置、设备扣押情况、聊天记录和行为人供述判断身份。多人共用电脑、远程桌面、代理服务器和云主机会增加关联难度。
电子数据规定允许通过网络活动记录、上网终端归属、证人证言和供述等综合认定网络身份与现实身份同一性。综合判断不等于降低证明标准。每一项材料的来源和时间仍要核对。
网络地址会变化，企业出口可能由多人共用。账号也可能泄露。只有一条登录记录，没有设备取证和其他印证时，身份结论应当谨慎。设备里发现对应工具、目标清单和同一时间生成的结果文件，证明力才会增加。
动态测试要复现当时的进入方式
计算机案件常通过侦查实验、检验报告或鉴定意见展示程序功能。测试人员运行查获软件，看它能否登录系统、绕过验证和获取数据。
测试最容易出问题的是环境变化。平台已经升级验证方式，涉案服务器关闭，测试人员改用模拟接口，或者运行的安装包与案发版本不同。报告仍然可以提供技术意见，结论需要说明限制。
测试使用办案人员事先准备的有效账号，也不能证明程序有破解账号能力。测试人员手动关闭安全软件，不能把运行结果归因于程序自行绕过防护。每一步由谁完成，应当在笔录和录像里清楚呈现。
有运行条件的程序，检例第68号的指导意义要求进行侦查实验。对无法运行的旧版本，可以结合源代码、配置、日志和证人说明。任何一种方法都要让控辩双方看见结论怎样得来。
失败的登录尝试也要放回行为过程
许多案件会查获成千上万条请求记录，真正登录成功的只有一部分。失败请求能说明行为人在持续尝试，也可能说明程序具备批量验证功能，却不能直接折算成成功侵入的系统数量。数量关系到事实评价和量刑，统计口径必须说清。
先要分辨一次请求代表什么。验证码错误、账号不存在、密码失效、网络超时和平台主动拦截，都会留下失败记录。有人把每一次接口调用都算作一个被侵入账户，结果同一账号重试几十次便被重复累计。比较稳妥的做法，是按照账号、系统、成功状态和时间窗口去重，并把原始数据与统计表一同审查。
其次要看程序停在了哪一步。输入账号密码后收到拒绝响应，通常只能证明尝试登录。服务器已经返回用户专属页面，程序取得会话凭证，又继续调用受限接口，进入行为就有了更具体的证明。若行为人已经取得有效凭证，却因目标系统临时关闭而没有完成访问，还要结合犯罪形态和主观目的分别讨论，不能用一条失败日志包办结论。
次数与系统数量也不是同一个概念。对同一平台的一万个账号进行验证，可能涉及大量个人账户，却仍运行在一个或一组关联的计算机信息系统中。司法解释有的条款以身份认证信息组数为标准，有的条款以系统台数为标准。起诉书、鉴定意见和统计说明应当对应具体条文，避免在不同计量单位之间直接换算。
辩护审查时，可以要求提供去重规则、成功标记的技术含义、异常状态码说明和抽样复核过程。若办案人员使用脚本生成汇总表，脚本版本、输入文件和输出结果也应保留。这样做并非把案件变成程序员之间的争论。它只是确保法庭看到的数字，能够从原始记录一步步算出来。
法院最后看的仍是一条完整过程
侵入行为的认定可以从系统管理者的意愿开始。谁被允许进入，账号能做什么，技术保护表达了哪些限制。随后看行为人怎样取得凭证或利用漏洞，访问了哪里，是否超出范围。
再往后，日志、设备和文件把网络动作与具体人连接。下载的数据、控制权限和系统后果决定案件进入第二百八十五条哪一款，或者转向第二百八十六条。
这条过程缺一段，结论就可能只剩标签。真实账号、公开接口、没有破坏结果，都不能单独决定有罪无罪。法院需要知道它们放在完整权限关系中是什么意思。
辩护意见也应具体。主张有授权，就拿出授权主体、范围和时间。主张没有进入，就解释请求停在哪里。主张日志无法关联本人，就检查设备、网络和同住同事。技术案件很少被一句专业术语解决，最有力的工作经常是把一次登录从头到尾讲明白。
参考资料
阅读提示
本文依据公开案例讨论侵入行为的一般审查方法，不对任何未公开案件作事实判断。个案应结合授权关系、系统日志、涉案设备和技术检验材料处理。