计算机犯罪第一季 第6篇
非法获取计算机信息系统数据罪和非法控制计算机信息系统罪写在刑法同一款里，办案文书也常把两个罪名并列。程序进入服务器，先读取配置，再创建账号，随后远程执行命令。一连串动作既碰到数据，也碰到控制，怎么区分很难靠字面完成。
我看公开案例时，比较有用的判断方式是追问行为人最后取得了什么。带走了一批系统中的数据，审查重心通常在非法获取。取得了持续支配系统功能的能力，审查重心会落到非法控制。两种结果可能同时存在，案卷仍要分别证明。
数据是系统中存储处理传输的内容
刑法第二百八十五条第二款所说的数据，范围不只包括文档和数据库表。账号信息、登录日志、订单记录、程序配置、接口返回内容，以及系统处理和传输中的数据，都可能成为对象。
司法解释对身份认证信息另有定义，包括用于确认用户操作权限的账号、口令、密码和数字证书。获取金融服务身份认证信息十组以上，或者其他身份认证信息五百组以上，可能达到情节严重。普通业务数据没有统一数量门槛，还可能通过违法所得、经济损失或其他严重情节入罪。
获取意味着行为人已经取得对数据的实际接触和利用可能。文件复制到本地当然属于常见方式。程序读取接口返回并写入内存，随后用于自动提交，也可能构成获取。是否长期保存只是证据和危害程度的一部分。
平台日志显示账号查询过数据，还要确认查询结果有没有到达行为人控制的终端。请求失败、权限拒绝和空白返回不能和成功获取混算。下载任务创建成功，也不必然等于文件完整传输。
控制表现为对系统功能的支配
非法控制关注行为人能否让系统按照自己的指令运行。取得后台管理权限、远程执行命令、控制终端通信、调用设备功能、修改权限和持续保留后门，都是常见表现。
控制不要求取得设备所有权，也不要求完全接管。恶意程序只能拦截短信、读取通知或者转发支付凭证，仍可能控制系统的局部功能。刑法评价要看这种能力是否来自未经授权的技术手段，实际控制多少系统，达到什么程度。
司法解释把非法控制二十台以上计算机信息系统列为情节严重，达到一百台以上可能构成情节特别严重。违法所得五千元或经济损失一万元，也可能独立达到严重标准。
台数统计首先要明确什么是一个计算机信息系统。手机具有独立操作系统、运行空间和网络接入能力，最高检指导案例已确认可以成为刑法上的计算机信息系统。云服务器、虚拟机和自动化控制设备是否分别计数，需要根据独立数据处理功能和案件证据说明。
检例第36号更接近数据获取
检例第36号中，行为人利用员工提供的真实账号、密码和令牌登录公司内部管理开发系统，查询并下载电子数据，再通过网络出售。行为的直接成果是一批可交易的数据。
行为人使用账号时当然能够向系统发出查询和下载指令，这种操作能力没有被评价为非法控制。正常登录权限本来就允许系统响应用户请求，案件的主要侵害落在超越授权取得非工作范围数据。
区分时不能把任何发出指令都称为控制。用户点击查询按钮，服务器按照既定程序返回数据，这与植入后门后任意执行系统命令不在同一层面。前者的核心争议是能不能看、能不能拿，后者的核心争议是谁在支配系统功能。
案卷中，下载文件、结果表、出售记录和违法所得能够证明数据取得及后续利用。账号权限、异地登录和公司制度则证明获取缺少授权。证据围绕数据对象和流转过程展开。
指导案例145号更接近系统控制
指导案例145号中，行为人检索存在漏洞的服务器，植入木马并通过工具连接，取得后台浏览、增加、删除和修改权限。他们在一百一十三台服务器上实施控制，上传带有赌博关键词和自动跳转功能的网页。
法院认定非法控制计算机信息系统罪。行为人的主要成果是一种持续操作能力。木马使他们能够再次进入服务器，决定写入什么文件，修改哪些页面。案件没有以取走服务器内原有数据为核心。
法院同时排除了破坏计算机信息系统罪。上传和修改没有造成系统功能实质损坏，也没有让系统不能正常运行。这个判断把控制和破坏分开。行为人能操作系统，系统仍可以继续向原用户提供服务，控制已经形成，破坏后果尚未达到。
案件里的控制台数通过木马植入和连接记录认定。每台服务器是否实际建立后门、能否成功连接，需要技术证据支持。扫描过的目标、尝试失败的地址和重复记录，不能直接算进控制数量。
手机恶意程序可能同时取得数据和控制权
移动端案件更容易出现两种行为重叠。一款恶意应用取得无障碍权限，可以读取短信和通知，也能自动点击页面、打开其他应用或拦截用户操作。它一边获取数据，一边控制设备功能。
办案机关需要把每项权限对应到实际功能。安装包声明了读取通讯录权限，不等于已经取得通讯录。服务器后台收到上传记录，才能进一步证明数据外传。程序具备远程指令通道，也要看通道是否启用、连接了哪些设备、可以执行什么命令。
如果同一行为同时符合非法获取和非法控制，实践中常以第二百八十五条第二款的相应罪名评价整体事实，量刑时考虑数据种类、控制数量和违法所得。起诉书应当写清两部分事实，不能用非法获取、控制系统一句话带过。
不同人员可能只参与其中一段。开发者写了通知读取模块，代理商负责销售，后台操作者远程下发控制指令。每个人的共同故意范围、接触功能和获利方式不同，责任需要分别认定。
自动化访问未必产生控制
爬虫、抢购、自动抢单和批量查询程序会高频向平台发送请求。服务器仍按照自己设定的业务逻辑处理请求，行为人只是提高调用速度，这种情形是否构成非法控制，需要格外谨慎。
程序能够自动提交订单，不等于控制了平台服务器。要看它有没有取得原本不开放的管理权限，能否改变服务器功能，是否通过恶意代码让系统执行额外指令。仅仅让公开接口反复响应，更多涉及访问授权、数据获取和平台秩序问题。
平台把异常流量称为控制攻击，可以表达安全立场，刑法结论仍要靠技术事实。请求频率、验证码绕过、令牌伪造、接口权限和返回数据，应当分别说明。
行为造成平台响应变慢或短时拥堵，又可能向破坏计算机信息系统方向发展。此时要证明干扰行为、不能正常运行和严重后果。正常促销期间本来就存在的负载峰值，不能全部归因于涉案程序。
账号控制权和系统控制权要区分
取得他人账号密码后登录，行为人可能控制一个网络账户。刑法所说非法控制计算机信息系统，控制对象是系统本身，不能把任何账号接管都直接按控制一台系统计算。
账号具有管理员权限，能够配置服务器、管理用户和执行命令，控制账号可能同时带来系统控制。普通消费者账号只能修改个人资料和提交订单，接管账号主要涉及身份认证信息和账户内数据，系统控制结论需要更多事实。
游戏账号、社交账号和店铺账号也有财产和经营价值。盗取、出售或利用这些账号，可能涉及侵犯公民个人信息、盗窃、诈骗、掩饰隐瞒犯罪所得等其他罪名。案卷不能只因账号运行在计算机系统上，就把所有风险收进第二百八十五条。
权限表、后台功能截图、接口文档和动态测试可以说明账号能做什么。司法人员需要把账户层权限和系统层控制分开表达，避免数量统计被账号总数带偏。
数据有没有合法来源是第一道审查
企业和个人会通过合同、公开接口、用户授权和内部岗位合法取得数据。数据后来被不当使用，可能构成违约、侵权或其他犯罪，不能自动倒推最初获取非法。
员工在工作范围内下载客户表，离职后带走并出售，非法获取计算机信息系统数据罪是否成立，需要查下载时是否已经超出授权。数据在其职务设备中合法形成，后续复制利用的评价可能转向商业秘密、公民个人信息或其他规范。
相反，员工借岗位账号查看自己无权接触的数据库，账号合法也不能覆盖本次获取。检例第36号正是从工作范围和系统管理者意愿确定越权。
授权最好落到具体数据和用途。用户同意应用读取位置用于导航，不等于同意后台长期保存并出售。平台向合作方开放订单接口，也不等于允许抓取全部用户资料。用户协议、接口权限和实际提示需要一起审查。
数量统计不能混用单位
非法获取案件可能统计数据条数、身份认证信息组数、文件数量和违法所得。非法控制案件主要统计系统台数，也可以按所得或损失入罪。两种事实写在一起时，统计表要分栏。
一台服务器保存十万组账号，数据数量很大，控制对象仍可能只有一套系统。控制二十部手机，每部只上传一条短信，系统台数达到标准，数据规模却很小。两组数字反映不同危害。
身份认证信息要形成可以使用的一组。只有账号没有密码，或者凭证已经失效，能否计入司法解释规定的组数，需要结合认证机制。重复账号、测试账号和用户自行公开的凭证也要核减。
系统台数要去掉重复上线和重装记录。同一手机恢复出厂后再次注册，后台可能生成两个设备编号。后台记录与扣押设备、用户清单和网络标识需要交叉比对。
控制和破坏之间还有一道结果线
行为人取得控制权后删除数据、停止服务，可能进一步构成破坏计算机信息系统罪。关键在于系统功能、数据或应用程序是否遭受刑法规定的破坏，并造成严重后果。
非法控制保护系统管理和使用秩序。破坏罪更强调正常运行和数据功能受到实质损害。指导案例145号用系统仍能正常运行排除了破坏。反过来，删除财务系统大量数据、导致业务停止和必要修复费用，可能越过结果线。
损失报告需要说明恢复措施和必要费用。企业借事故全面升级设备，把原本计划内投入全部算作损失，数额需要核减。业务损失依赖订单、停机时间和因果关系，不能只由被害单位概算。
同一行为既取得控制又造成严重破坏，罪名关系要结合行为阶段和目的处理。控制只是实施破坏的手段，通常会重点评价破坏结果。控制长期独立存在，后来另起故意实施破坏，可能出现更复杂的竞合和数罪问题。
鉴定意见应当把结论拆成可验证事实
鉴定报告写程序具有非法获取和控制功能，读起来很明确。辩护人还要看检材版本、鉴定方法、运行环境和操作过程。
程序是否自动上传数据，服务器地址写在哪里，远程指令怎样验证，测试中哪些步骤由鉴定人手动完成。报告把这些事实展示出来，控辩双方才能判断结论。
涉案系统的日志也要保留上下文。一条成功请求前面可能有正常授权，后面也可能马上返回错误。只截取关键词，容易改变技术含义。原始日志、提取过程和完整性校验值都应当进入审查。
对专门性问题难以确定，电子数据规定允许司法鉴定机构出具鉴定意见，也允许公安部指定机构出具报告。文件名称不同，审查不能停在盖章。机构资格、人员能力、检材真实性、方法科学性和与其他证据的印证关系，都要核对。
预留控制功能与实际控制要分层判断
有些程序在代码里写有远程指令模块，案发时却没有启用。也有程序已经连接后台，后台操作者始终没有发送指令。程序具备控制能力、行为人开始建立控制通道、具体设备已经接受指令，是三个不同层次。
代码中存在休眠模块，可以说明工具的设计方向，也可能印证开发者知道相关功能。认定已经非法控制多少系统，还要找到设备上线记录、会话标识、心跳包、指令下发和执行反馈。仅凭安装次数或下载次数计算控制台数，容易把没有安装、安装失败和从未联网的设备一并算入。
反过来，后台没有保存完整指令记录，也不能马上得出没有控制。服务端日志可能被定期覆盖，终端仍会留下权限变化、异常进程和网络连接。法院需要结合数据留存机制判断证据缺口，不能要求电子系统必须留下某一种固定格式的痕迹。
把能力、连接和执行分层，还有助于区分人员责任。开发者可能只写了通用通信模块，运营者决定下发什么命令，代理商只负责推广。各自知道多少、参与到哪一步，应由聊天、版本记录、后台权限和收益分配具体证明。
一张分流表能减少很多混乱
审查非法获取时，表里记录数据名称、来源系统、取得时间、权限依据、保存位置和后续用途。审查非法控制时，另记系统编号、设备归属、控制方式、可执行功能、上线时间和重复情况。
人员列也要分开。谁写读取模块，谁维护指令服务器，谁销售软件，谁操作后台，谁取得收益。程序具备两类功能，不能把所有参与者都同时评价为获取者和控制者。
最后把数量、数额和损失对应到具体证据。数据清单来自哪台设备，控制台数怎样去重，资金是否由涉案行为产生，平台修复费用有没有凭证。
区分两个罪名不需要寻找一个万能技术词。数据去了哪里，系统听了谁的指令，这两个问题已经提供了很好的起点。案卷把答案写清，法律评价才会稳下来。
参考资料
阅读提示
本文只作一般法律知识交流。非法获取与非法控制可能在同一案件中交叉出现，具体定性应结合权限、程序功能、数据去向、控制程度和法定情节判断。