提供工具罪五千元、提供工具罪二十人次、提供工具罪立案金额、情节特别严重标准、卖外挂流水怎么计算
五千元是门槛之一，不能取代全部构成要件
提供侵入、非法控制计算机信息系统程序、工具罪中，五千元是最常被转述的数字。有人因此认为，只要卖软件收入超过五千元就构成犯罪。也有人认为收入不到五千元就一定安全。
两种理解都不完整。
两高司法解释规定，提供相关程序、工具，违法所得五千元以上或者造成经济损失一万元以上的，属于情节严重。条文还规定了五人次、二十人次等数量标准，并保留其他情节严重的情形。
这些标准解决的是行为达到何种严重程度。它们不会自动证明涉案软件属于侵入、非法控制工具，也不会自动证明提供者具有犯罪故意。
判断顺序应当保持稳定。先确定程序功能，再确定提供行为和主观故意，随后审查人次、违法所得、经济损失是否达到门槛。若工具性质无法证明，即使账户收入很多，也不能跳过前面的构成要件。
五人次为什么只适用于特定情形
司法解释把网络金融服务身份认证信息放在较低的人次门槛。
提供能够用于非法获取支付结算、证券交易、期货交易等网络金融服务身份认证信息的专门程序、工具，达到五人次以上，属于情节严重。
明知他人实施非法获取上述网络金融服务身份认证信息的违法犯罪行为，仍提供程序、工具，达到五人次以上，也属于情节严重。
身份认证信息包括确认用户操作权限的数据，如账号、口令、密码、数字证书。金融身份认证一旦泄露，可能直接威胁财产安全，司法解释因此设置五人次标准。
不能只因软件涉及支付平台就适用五人次。它必须能够用于非法获取支付结算等网络金融服务的身份认证信息，或者提供者明知下游实施此类行为。普通支付页面插件、账单管理工具与窃取支付密码的程序不是一回事。
“人次”也不等于信息“组数”。一个提供对象取得工具后获取多少组账号密码，涉及下游犯罪数量。提供工具罪的人次首先关注向多少人次提供。两个概念应当区分。
二十人次适用于哪些普通工具情形
提供其他专门用于侵入、非法控制计算机信息系统的程序、工具，达到二十人次以上，属于情节严重。
明知他人实施金融身份认证以外的侵入、非法控制系统违法犯罪，仍提供程序、工具，达到二十人次以上，也属于情节严重。
常见场景包括销售控制设备的程序、抓取非公开数据的侵入工具、绕过平台安全措施的外挂等。
人次如何认定是实务难点。一名客户连续续费十二个月，形成十二笔订单，能否计十二人次，要看每次续费是否构成新的提供以及案件证据。不能仅凭订单数量机械等同。
一名代理一次购买一百个未激活卡密，实际只卖出十个。上级向代理提供了多少人次，代理又向终端用户提供多少人次，需要根据层级关系分别分析。未使用卡密是否已经完成提供，也要看卡密是否具备实际使用条件。
一个用户拥有多个账号、多个设备，不当然等于多个人次。人、账号、设备、安装次数和激活次数是不同指标。
五倍标准怎样进入情节特别严重
司法解释规定，数量或者数额达到情节严重标准五倍以上的，应当认定为情节特别严重。
金融身份认证工具的五人次标准，五倍为二十五人次。其他工具的二十人次标准，五倍为一百人次。违法所得五千元标准，五倍为二万五千元。经济损失一万元标准，五倍为五万元。
情节严重对应三年以下有期徒刑或者拘役，并处或者单处罚金。情节特别严重对应三年以上七年以下有期徒刑，并处罚金。
二万五千元对于软件经营并非很高。一个按月收费、发展代理的工具很快可能跨过这一节点。金额核算是否准确，会直接影响法定刑档次和缓刑空间。
达到五倍标准后，还要确保作为基数的事实成立。被重复计算的团队转账、合法收入、无法对应的现金存入，都不应未经核实计入。人次统计也应去重并确定真实提供。
营业收入与违法所得有什么区别
账户进账通常是侦查初期最容易取得的数据，违法所得则需要与犯罪行为建立对应。
一家技术公司同时运营多个项目，账户里有正常网站建设费、工资往来、股东借款和涉案软件收入。把全部进账视作违法所得，会扩大金额。
同一笔销售款在客户、代理、总代理和开发者之间流转，可能出现在多个账户。团队总收入不能把每层进账相加。否则一百元销售会被统计成数百元。
退款也要核对。客户付款后未获得工具，款项已经原路退回，是否属于违法所得应结合交易是否完成。表面备注为退款，实际转给关联人规避追查，也不能只看备注。
正常功能和涉案功能混合收费时，需要确定产品核心用途和费用结构。用户购买整套软件主要为了侵入功能，附带普通功能不能简单按比例扣除。普通服务独立定价、独立使用，可能具备剥离基础。
违法所得通常不扣除犯罪成本。服务器费、代理佣金、广告费、码工费用属于实施行为支出。最高检指导案例在撞库打码案件中明确，出售验证码服务的收入用于支付码工等支出属于犯罪成本，不予扣除。
不过，团队内部上下级分成与个人违法所得仍需区分。某代理销售一万元，转给上级八千元，团队经营规模与代理本人实际所得并不完全相同。定罪情节和个人退赃数额要根据法律规则分别说明。
如何审查资金流水
第一步确认账户控制人。银行卡登记在家属名下，不代表每笔交易由家属操作。登录设备、验证码手机、转账指令和实际用途能够证明控制关系。
第二步筛选涉案期间。软件高风险功能上线前的收入、当事人加入前或退出后的流水，应单独处理。
第三步建立订单对应。付款人、时间、金额、商品、卡密和激活账号能够闭环，证明力较强。无法对应的零散转账要查明来源。
第四步识别内部流转。团队账户之间反复转账，应标记并去重。个人把销售款归集到另一个账户，不能算两次。
第五步核对退款、借款和合法收入。需要合同、发票、聊天和业务记录支持，不能只凭当事人口头说明。
第六步说明统计方法。汇总表由谁制作，使用什么筛选条件，原始数据是否随案移送。辩护人应能从每一项汇总回到原始流水。
经济损失一万元怎样认定
司法解释所称经济损失，包括危害计算机信息系统犯罪给用户直接造成的经济损失，以及用户为恢复数据、功能支出的必要费用。
直接损失要与涉案行为具有因果关系。账号被盗后产生财产损失，需要证明由涉案工具导致。平台声称用户流失或商誉下降，计算较为复杂，不能仅凭估算认定。
恢复费用应具有必要性和合理性。为清除恶意程序、恢复服务器、修补被利用漏洞支出的费用，可能计入。平台借机完成全面系统升级，超出修复需要的部分不宜全部由案件承担。
员工正常工资是否算损失，需要看是否为处理本案额外发生。企业安全团队日常值班成本，本就存在。为本案临时加班、聘请外部机构的合理费用，可以结合凭证审查。
损失报告最好说明计算基础、支出凭证和技术关联。被害单位单方出具一个总数，缺乏明细和原始材料，证明力需要谨慎评价。
其他情节严重不能无限扩大
司法解释设置“其他情节严重的情形”是为应对无法穷尽的新型危害，不能变成绕开明确门槛的口袋。
行为没有达到人次、违法所得或损失标准，办案机关主张其他情节严重，应说明与列举情形具有相当危害程度。目标系统的重要性、工具传播范围、潜在后果和实际影响，可能成为考虑因素。
只因为社会关注度高、平台规模大，不能当然认定情节严重。行为人使用热门平台，工具实际只提供少数人且未造成明显后果，仍需充分论证。
新型技术扩散速度快，潜在危险可以考虑，但刑事处罚需要可验证事实。工具是否已经具备大规模传播能力，是否造成系统安全风险，应有技术证据。
人次证据最常见的四个问题
第一是账号去重。一个客户用多个社交账号购买，身份信息和支付账户可能表明是同一人。账号数不能直接替代人次。
第二是测试账号。开发者和代理内部测试产生激活记录，不属于向外部客户提供，应与销售区分。
第三是无效卡密。已经生成但未交付，或者交付后无法使用，与完成提供不同。后台库存不能直接计为人次。
第四是数据来源。代理手工制作的销售表可能有夸大或遗漏。应与付款记录、激活日志、聊天和设备信息相互印证。
人次达到二十或一百的临界案件，去重结果会直接改变法定情节。统计过程必须允许复核。
金额争议怎样影响认罪认罚和退赃
认罪认罚建立在知悉指控事实和法律后果的基础上。金额尚有重大争议时，应先核对再作决定。
当事人为争取取保，可能在侦查早期表示愿意退还全部流水。积极态度有价值，但不应把无法确认的合法收入一并承认为违法所得。
退赃可以先针对能够确认的部分。对争议款项说明来源并提交证据。最终认定增加后，再依法处理。
签署具结书前，要看指控采用哪个标准进入情节特别严重，金额和人次是否同时计算，是否存在重复。量刑建议建立在错误基数上，后续调整会更困难。
辩护人应当制作怎样的计算底稿
一份有效底稿至少包含交易时间、付款人、收款账户、商品或服务、卡密、激活情况、退款情况、代理层级和证据出处。
对每笔交易标注是否涉案、是否重复、是否属于合法业务，并说明理由。团队内部转账要建立关联编号，避免再次统计。
人次表与金额表应能相互校验。声称向两百人提供，却只有十笔订单，需要解释免费发放证据。声称收入十万元，却只有少量激活，也应查明是否包含其他业务。
经济损失表要把直接损失、恢复费用和日常投入分开。凭证、合同和付款记录应当对应。
计算底稿的价值在于让争议从“大概很多”变成逐笔可审查。网络案件数据庞大，越接近量刑临界点，越需要细致。
不能只盯着一个五千元
提供工具罪的情节标准是一套体系。五人次、二十人次、违法所得五千元、经济损失一万元都可能独立达到情节严重，相应五倍可能进入情节特别严重。
辩护如果只证明违法所得不足五千元，却忽略提供人次已经达到二十，结论仍可能不变。办案机关只依赖大额流水，却无法证明真实提供对象和工具性质，也不应简单定罪。
最可靠的分析顺序仍然是功能、授权、明知、提供、数量、金额、损失。数字能够决定量刑档次，数字本身不能替代事实。
免费试用、赠送卡密和广告收入怎样处理
软件团队经常用免费试用吸引客户。没有收钱不影响提供行为的成立，人次仍可能通过实际交付认定。免费账号是否能够使用完整侵入功能，试用者是否真实存在，需要后台和日志证明。
买十送二的赠送卡密，销售金额可能只体现十份，人次统计却要结合十二份实际交付。尚未激活的赠送码能否计算，应看交付是否完成、是否具备使用条件。
开发者不向用户收费，通过软件广告获利，广告收入与提供行为之间的关联需要说明。用户数量增加直接带来广告分成，可能形成违法所得。企业还有大量合法产品共用同一广告账户时，应合理分配，不能把账户总收入全部计入。
工具免费，另收技术服务费、服务器费和会员费，也不能只因收费名目不同而排除。费用是否为了获得、运行和持续使用涉案工具，应结合交易实质判断。
虚拟币收入不能回避价值计算
部分工具以虚拟币结算。资金没有进入银行卡，并不意味着没有违法所得。需要确定收款地址归属、到账数量、交易时间和折算依据。
虚拟币价格波动较大，采用哪个时间点和平台价格会影响金额。司法认定应说明计算方法，并防止同一笔虚拟币在多次转账中重复累计。
钱包由多人控制时，要结合私钥、设备、交易指令和聊天确定个人责任。仅因某地址与当事人有一次联系，就把全部历史交易归给个人，证据并不充分。
兑换成人民币后的流水可以相互印证，场外交易记录也要核实对手身份和实际对价。技术上的匿名特征不会降低刑事证明标准。
平台损失与不正当竞争损失要分开
外挂可能让普通用户失去公平交易机会，平台也可能因此投入风控成本。这些危害具有现实性，是否属于司法解释中的经济损失仍要依法计算。
竞争机会损失、商誉损失和预期利润往往难以精确。提供工具罪中的经济损失应重视直接性和必要恢复费用。把所有商业影响打包成一个估值，容易突破刑事证明要求。
平台可以提交用户投诉、业务中断、修复工时和外部服务合同。辩护方则可审查费用是否专为本案发生，是否包含长期系统改造。双方把损失拆到具体项目，司法判断才有基础。
临界金额案件更需要坚持存疑有利于被告人
经核算后违法所得接近五千元或二万五千元，几百元差异就可能改变是否入罪或法定刑档次。此时每一笔款项的性质都应有证据。
无法确认付款人、没有订单对应、同时存在合法交易可能的款项，不能仅因发生在涉案期间就全部计入。统计方法存在多种合理结果时，应说明为何采用对被告人不利的一种。
网络交易记录可能丢失，不能因此降低证明标准。办案机关可以结合聊天、卡密和平台数据补强。补强后仍无法排除合理怀疑，临界金额应审慎认定。
金额门槛为司法统一提供尺度，也要求办案更加精确。越靠近门槛，越不能用估算代替证明。
资料来源