摘要：編寫開發(fā)制作惡意代碼、秒殺搶購外掛程序軟件、瀏覽器劫持、廣告彈窗、外掛程序構成什么犯罪怎么判刑？

很多程序員法律意識淡薄，在自己技術變現(xiàn)時徘徊在灰色地帶或違法道路上渾然不知，不知道什么樣的數(shù)據(jù)不能抓取，什么樣的功能不能編寫，什么樣的需求應該直接拒絕。

隨著網(wǎng)絡黑產犯罪的多發(fā)，程序員和技術愛好者被指控涉嫌開發(fā)非法外掛軟件、惡意代碼、流氓程序構成犯罪的風險也越來越大，我們不要只埋頭寫代碼，還要經常審視自己所做的產品，考慮一下風險，雖然此類“技術鏈”犯罪存在法律漏洞，但作為技術人員，千萬不要高估自己的避險能力。

此類案件專業(yè)性極強，作為專業(yè)研究計算機類犯罪的律師，我也一直在思考，該如何才能化解程序員開發(fā)軟件程序的相關法律風險，該如何才能維護此類案件中技術人員的合法權益，為他們爭取到不立案、不批捕、不公訴、罪名不成立和最輕的處罰。

本文分兩部分：

一：制作外掛程序、惡意軟件的犯罪風險及定罪量刑標準。

二：如何爭取到無罪和最輕的處罰。

張洪強律師辦案經驗總結，禁止任何形式的轉載復制。

第一部分:制作外掛程序、惡意軟件的犯罪風險及定罪量刑標準

一、制作軟件程序的三大風險。

1、制作的程序被認定為病毒性程序。

2、制作的程序被認定為破壞性程序。

3、制作的程序被認定為專門侵入、控制計算機信息系統(tǒng)的程序和工具。

①具有“避開或者突破計算機信息系統(tǒng)安全保護措施”的功能。

②具有未經授權或者超越授權獲取計算機信息系統(tǒng)數(shù)據(jù)的功能。

③具有未經授權或超越授權對計算機信息系統(tǒng)實施控制的功能。

二、定罪量刑標準。

制作外掛程序、惡意軟件主要涉嫌以下四個罪名，具體量刑標準如下：

1、涉嫌破壞計算機信息系統(tǒng)罪。量刑標準：①后果嚴重的，處五年以下有期徒刑或者拘役；②后果特別嚴重的，處五年以上有期徒刑。

2、涉嫌非法控制計算機信息系統(tǒng)罪。量刑標準：判決三年以下有期徒刑或者拘役，情節(jié)特別嚴重的，判決三年以上七年以下有期徒刑。

3、涉嫌提供非法侵入控制計算機信息系統(tǒng)程序、工具罪。量刑標準：①銷售對象達20人次或者違法所得達到5000元，處三年以下有期徒刑或者拘役；②如果銷售人次達到100人，或者收入達到25000元，即屬情節(jié)特別嚴重，處三年以上七年以下有期徒刑。

4、涉嫌非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪。量刑標準：判決三年以下有期徒刑或者拘役，情節(jié)特別嚴重的，判決三年以上七年以下有期徒刑。

惡意軟件和外掛程序種類繁多，不同外掛的制作、運行原理不同，涉嫌的罪名也不同，隨著網(wǎng)絡計算機技術的發(fā)展，惡意代碼和外掛技術不斷的更新?lián)Q代，存在法律漏洞在所難免，只有詳細分析每一款惡意軟件、外掛程序的制作、運行原理，認清外掛的制作具體需要破解的內容，才能具體分析出某一種外掛行為涉嫌何種罪名。 我們律師在辦理案件時要充分發(fā)揮專業(yè)性，從外掛的制作運行原理的技術角度爭取最輕的罪名不成立以及最輕的認定。

第二部分：爭取無罪和最輕處罰的一些技巧

當前對于外掛程序、惡意軟件與計算機病毒、破壞性程序的界定缺乏規(guī)范性的指導文件，導致在一些案件中出現(xiàn)了盲目將惡意軟件、外掛程序認定為計算機病毒、破壞性程序，將不正當商業(yè)競爭行為認定為犯罪的錯誤傾向。

辦理外掛犯罪案件不僅面臨法律問題,也時刻面臨錯綜復雜的技術問題，當前公檢法機關對外掛的分類及運行原理不明確，定罪混亂，有些辦案人員在辦理外掛類案件時，對于外掛的具體內容、制作的方式、包括的程序內容、運行原理、實現(xiàn)的功能等不能熟練掌握，知識儲備不夠、辦案經驗不足，導致定性不準、甚至定性錯誤，有時出現(xiàn)輕罪重判的現(xiàn)象，這對外掛的從業(yè)者是不公平的。例如金某、李某外掛案件，二人銷售外掛卡密賺取差價，一審被判五年，二審改判緩刑，為什么刑期差距這么大，因為二審經過努力改變了罪名，由非法經營罪改判提供侵入、非法控制計算機信息系統(tǒng)程序、工具罪。周某龍外掛案，一審判決有期徒刑五年，二審改判為兩年9個月，罪名也由提供侵入、非法控制計算機信息系統(tǒng)的程序、工具罪改判為銷售侵權復制品罪。

這就需要我們律師在辦理此類案件時，必須足夠專業(yè)，才有可能爭取到不立案、不批捕、不公訴、最輕的定性和處罰。

一、從證據(jù)上辯護。是否有充分證據(jù)證明涉案的外掛程序、惡意軟件代碼是犯罪嫌疑人開發(fā)或銷售。

為了防止被溯源追蹤，目前部分惡意軟件作者和團隊已經具備溯源對抗意識并開始采用溯源對抗甚至偽造手段，在惡意代碼發(fā)布之前，對代碼文件進行痕跡(如生成時間、時區(qū)、特殊字符串、語言、C&C域名、團隊代碼特征、開發(fā)壞境等)消除、偽造或混淆處理，另外，大量使用加殼和代碼加固方案，也提升了代碼痕跡被提取分析的難度。在很多此類案件中經常是代理充當?shù)断轮恚嬲淖髡唠y以被定罪。

我們律師在辦理案件時主要從以下兩個方面努力爭取事實不清、證據(jù)不足。

1、從證據(jù)體系入手，審查證據(jù)是否充分：

①是否從被扣押、封存的涉案電腦、U盤等原始存儲介質中收集、提取相關的電子數(shù)據(jù)。面對各種各樣善于偽裝隱藏的木馬、病毒、惡意程序、外掛軟件該如何提取分析，并固定證據(jù)成為一項重要工作。

②是否對涉案程序、被侵入的計算機信息系統(tǒng)及電子數(shù)據(jù)進行勘驗、檢查后制作筆錄。

③是否能夠證實涉案程序的技術原理、制作目的、功能用途和運行效果的書證材料。

④是否有涉案程序的制作人、提供人、使用人對該程序的技術原理、制作目的、功能用途和運行效果進行闡述的言詞證據(jù)，是否有展示涉案程序功能的視聽資料。

⑤是否有能夠證實被侵入計算機信息系統(tǒng)安全保護措施的技術原理、功能以及被侵入后果的專業(yè)人員的證言等證據(jù)。

2、按照以下幾步來審查相關證據(jù)，看能否切斷證據(jù)鏈。

在外掛犯罪案件中，證據(jù)一般都是圍繞人員架構、資金流和網(wǎng)絡痕跡，我們律師要重點審查人員鏈、資金流和網(wǎng)絡痕跡的相關證據(jù)，看能否找到證據(jù)存在的問題，切斷證據(jù)鏈。

第一步: 審查涉案外掛程序中是否留有代表作者身份信息的字符串信息，該字符串信息能否指向犯罪嫌疑人。

第二步：審查被告人電腦、手機中是否檢測出惡意代碼、外掛程序的相關文件、程序，是否與公安機關提取的涉案外掛程序一致，主要包括文件名、目錄名、md5值、MAC等是否一致的質證。

第三步：是否存在ip地址吻合的情況，銷售平臺、下載網(wǎng)址等ip地址是否與被告人的電腦、qq、郵箱、微信、微博等個人賬戶的登錄ip地址一致，審查虛擬主機、域名、解析記錄、上網(wǎng)日志情況。

第四步：審查資金鏈的證據(jù)指向。資金鏈證據(jù)包括：銷售平臺的域名、ip地址、管理頁面截圖（證實充值金額）、銷售網(wǎng)站的會員消費記錄、銀行賬戶交易清單、支付寶交易流水、轉賬記錄等。 我們在辦案時要審查是否有充分證據(jù)證明涉案資金流向了被告人這里。

第五步：審查人員鏈證據(jù),即‘同案犯指認→被告人’的證據(jù)指向。

在很多案件中，公安機關只抓獲黑色產業(yè)鏈一個環(huán)節(jié)上的犯罪嫌疑人，從這些被抓獲的嫌疑人這里找證據(jù)指向其他環(huán)節(jié)的人，隨著網(wǎng)絡黑產從業(yè)者反偵察能力的提高，公安機關在取證時要找到“由人到人”的證據(jù)鏈越來越困難。

我們律師在處理案件時要審查證據(jù)中的聊天記錄、轉款記錄、通話記錄、聯(lián)機記錄等，看是否有充分證據(jù)證明他們之間有預謀、有聯(lián)系，爭取切斷“由人到人”的證據(jù)鏈。

①審查上下線之間的供述是否吻合。

②審查聊天記錄問題。此類案件，同伙之間多使用境外聊天軟件，我遇到的有whatsapp、蝙蝠、飛機等，這些聊天軟件不需要實名注冊，一般都支持看后即焚、雙向撤回等功能，警方在面對有反偵察能力的代理時有時候取證是非常困難的。我們在辦理案件時，可以從以下三個角度入手：

首先，能否證明聊天賬號是被告人在使用。

其次，聊天記錄的取證是否合法。有些辦案機關為了省事，可能僅僅對聊天記錄截圖打印或拍照，這是不符合電子證據(jù)取證規(guī)則的。

再次，審查聊天內容能否證明存在犯罪行為。

③審查同案犯之間的轉賬記錄，是否有證據(jù)證明該轉賬的性質。

二、從基本工作原理、功能上辯護。

（1）爭取認定為：不是病毒、破壞性程序。

我們律師在辦理案件時，要從涉案程序的特點、植入方式、運行狀態(tài)、危險函數(shù)、啟動方式、權限列表等方面進行分析，根據(jù)對計算機影響后果和方式來爭取認定為不是病毒、破壞性程序。

1、是否具有自我復制、自我傳播功能。

病毒等破壞程序應具有可自我復制、廣泛傳播的特性，或能夠自動爆發(fā)造成計算機系統(tǒng)被破壞。相比之下，外掛和流氓程序的使用可能造成垃圾數(shù)據(jù)堆積致使服務器負荷超載，但程序本身并不具有破壞性，也不具有廣泛的“傳染性”，因此流氓軟件和外掛程序并不能認定為破壞性程序的范圍之中。

2、是否具有增加、修改、刪除、干擾計算機信息系統(tǒng)的功能。

一些外掛程序、優(yōu)先搶單、秒殺軟件、自動點擊軟件、綁架、劫持等流氓軟件具有強制安裝、靜默安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意捆綁等特征，從表面上看觸犯了《刑法》第 286 條所規(guī)定的破壞計算機信息系統(tǒng)罪，但如果仔細分析辯護，其實很多流氓軟件不對計算機信息系統(tǒng)的功能進行刪除或增加、也不具有自我復制、自我傳播的功能。

①由于軟件編程技術低下，質量不高，兼容性差，意外的影響了計算機信息系統(tǒng)的運行，即使后果嚴重，也不能認為是犯罪。

②在很多外掛軟件、惡意程序案件中，涉案的程序只會造成系統(tǒng)的卡頓，不會對系統(tǒng)文件增加、刪除、修改。

例如，運行機理為修改被掛軟件代碼的外掛軟件、攔截被掛軟件封包的外掛軟件或獨立型外掛軟件均不具有同時對計算機信息系統(tǒng)的數(shù)據(jù)和應用程序進行刪除、修改、增加的功能，制作銷售該三類外掛軟件相關行為均不會觸犯到破壞計算機信息系統(tǒng)罪。

③直接模擬鼠標或鍵盤動作的外掛軟件，一般不能認定為犯罪。例如一些游戲外掛軟件以及一些搶購秒殺軟件。

此類外掛軟件這類外掛程序具體的開發(fā)技術是，使用腳本文件并制定一個操作序列，這個操作序列由鼠標或鍵盤的移動位置和點擊動作組成。只能模擬鼠標或鍵盤發(fā)出的信號，適用于所有響應鍵盤和鼠標信號并有圖像界面的程序，其典型代表軟件是按鍵精靈。

這類外掛軟件沒有修改、替換被掛軟件的代碼，也沒有攔截相應的數(shù)據(jù)包等，只是模擬鼠標或鍵盤，超出被掛軟件規(guī)則的操作是無法實施的，并沒有破壞被掛軟件設定的規(guī)則。

2、是否會對“計算機信息系統(tǒng)中存儲、處理或者傳播的數(shù)據(jù)、計算機應用程序”造成破壞。

我們要注意，很多外掛程序、流氓軟件程序僅為自身功能的實現(xiàn)，不與計算機本身的系統(tǒng)程序、應用程序、數(shù)據(jù)等刑法保護的對象發(fā)生關系。例如強制、修改計算機用戶IE 瀏覽器、增加開機啟動項和桌面圖標等。

（2）爭取認定為：不屬于侵入、控制計算機系統(tǒng)的程序工具。

1、是否具有避開或者突破計算機信息系統(tǒng)安全保護措施的功能。

結合被侵入的計算機信息系統(tǒng)的安全保護措施，分析涉案程序是否具有避開或者突破計算機信息系統(tǒng)安全保護措施的功能。

①有些外掛是利用開放接口的系統(tǒng)外掛，因其僅對計算機操作系統(tǒng)的應用程序進行修改，而操作系統(tǒng)和驅動程序本身會開放一些編程接口(API)讓用來開發(fā)程序，利用這種接口做外掛本身也是被允許的，因而并不需要“避開”或“突破”計算機信息系統(tǒng)安全保護措施，因此這種行為就不算“侵入”計算機信息系統(tǒng)。

②是否繞過或避開了目標網(wǎng)站的驗證機制，是否具有破解登錄接口、密碼加密算法等突破網(wǎng)站賬號登錄的風控、反爬安全措施的功能。

常見的驗證機制有驗證碼驗證、滑塊手動驗證等。如果某款搶購外掛軟件接入打碼平臺或通過其他方式突破某網(wǎng)站數(shù)字驗證、圖片驗證等措施，則有可能被認定為具有避開或者突破計算機信息系統(tǒng)安全保護措施的功能。

③是否通過自動撥號自動更換IP地址等技術手段突破目標網(wǎng)站安全防火墻對同一IP地址不能頻繁發(fā)送網(wǎng)絡需求的限制。

④是否會以非常規(guī)的方式構造虛假網(wǎng)絡需求發(fā)送給目標網(wǎng)站的服務器。

如果外掛程序針對的目標網(wǎng)站本身沒有驗證碼機制，或者外掛軟件僅僅是模擬手動操作，并沒有對計算機的安全以及計算機信息系統(tǒng)造成威脅，僅僅是一種輔助系統(tǒng)，不能夠將其認定為侵入或者控制計算機信息系統(tǒng)的程序或者工具。

例如針對12306的一些搶票軟件，因為12306 網(wǎng)站取消圖形驗證碼，搶票軟件購買火車票無需再獲取網(wǎng)站的驗證碼信息，這使得大部分的搶票軟件都不用做到“侵入、控制”計算機信息系統(tǒng)的地步就能夠實現(xiàn)“搶票”功能的正常運行。

從技術層面上看，目前流通的“搶票軟件”均是基于 12306 售票系統(tǒng)的規(guī)則所開發(fā)的，僅需要通過程序重復模擬用戶手動登錄，以多次刷新的形式時刻監(jiān)控相關車次的出票情況，以便在出票后第一時間將車票收入囊中。但是并不是所有的搶票軟件都未觸犯刑事法律，如果該搶票軟件運用了特殊的技術手段來達到搶票成功的目的，則仍然可能觸犯相關刑事法律。

2、是否具有“控制”計算機信息系統(tǒng)的功能。

“控制”行為，是指通過各種技術手段，使他人計算機信息系統(tǒng)處于其掌控之中，能夠接受其發(fā)出的指令，完成相應的操作活動。例如在其他程序下載包中安裝后門程序，控制他人電腦當肉雞、靜默卸載或下載等。

①外掛軟件并不是木馬程序，無論行為人使用何種外掛軟件，其本人的計算機信息系統(tǒng)是完全受自己控制的，不會使合法用戶不能按照其意愿來控制計算機信息系統(tǒng)。即外掛軟件使用者的計算機信息系統(tǒng)沒有被控制。無論針對何種外掛軟件實施何種外掛軟件相關行為，都不會觸犯非法控制計算機信息系統(tǒng)罪。

②有些外掛程序未經授權或超越授權給服務器發(fā)送數(shù)據(jù)，但是這些數(shù)據(jù)并不影響服務器端的計算機信息系統(tǒng)的合法用戶對其進行完全的控制，實現(xiàn)應有的功能。

例如有些搶購軟件通過構造虛假網(wǎng)絡需求發(fā)送數(shù)據(jù)包的行為以及批量下單的行為。在游戲外掛中，如果只是通過攔截游戲進程數(shù)據(jù)的方式對游戲服務器加以“欺騙”，游戲服務器的正常運行不受影響，只是由于各種破解了通訊協(xié)議，通過“自動”的設定，打破了游戲的平衡、進程，對游戲造成了干擾，這種干擾遠遠達不到控制計算機信息系統(tǒng)的效果，更不具備控制游戲服務器的能力，該類外掛軟件不構成提供侵入、非法控制計算機信息系統(tǒng)的程序、工具罪。

③預裝SDK工具包，推送廣告行為的定性問題。廣告SDK是一種運行程序，在運行過程中，并不影響手機用戶對手機的使用。從影響的程度上看，也是十分有限，達不到通過刑事評價的程度。

④外掛是否具有侵入目標網(wǎng)站客戶端、服務器的功能。我們要注意外掛程序攔截數(shù)據(jù)與超越授權獲取數(shù)據(jù)的區(qū)別。

破譯通信協(xié)議，進行數(shù)據(jù)包攔截、修改與操作的外掛，因為是在客戶端與服務器交換數(shù)據(jù)時實現(xiàn)作弊，該類外掛的實質是中途截獲修改數(shù)據(jù)，并未對游戲進程中的數(shù)據(jù)通過入侵服務器的方式實際獲取，并不具有實際侵入客戶端、服務器的功能。

在馮某外掛案件中，法院最終認定檢察院指控罪名不成立，馮某不構成提供侵入、非法控制計算機信息系統(tǒng)程序、工具罪，理由是：從該外掛的運行機理來看，其僅是通過截獲并修改游戲客戶端發(fā)送的數(shù)據(jù)欺騙服務器進而達到一定的游戲效果或體驗，該外掛并未實際侵入游戲的客戶端、服務器端，雖然干擾了網(wǎng)絡游戲系統(tǒng)的正常運行，但尚未達到控制計算機信息系統(tǒng)的程度，也并未破壞網(wǎng)絡游戲運行系統(tǒng)。

三、從后果上爭取。

某些外掛軟件、惡意程序在一定程度上會影響到計算機用戶的正常使用，然而不會造成整個計算機信息系統(tǒng)的不正常運行，若認定該行為構成破壞計算機信息系統(tǒng)罪，則罪責失衡。

在判斷某款外掛軟件、惡意程序的危害性時，可以從以下幾個方面考慮。

其一，在整體層面對于其主要功能進行刪除、修改、增加或者干擾等操作，致使計算機信息系統(tǒng)嚴重脫離正常運行的狀態(tài)甚至喪失基本功能。

其二，對于計算機信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)以及應用程序而言，主要表現(xiàn)為違反國家規(guī)定對上述對象進行刪除、修改或者增加的操作，進而使數(shù)據(jù)或者應用程序處于嚴重不正常運行狀態(tài)。

其三，對于涉及計算機病毒等破壞性程序的場合，主要表現(xiàn)為故意制作或者傳播所涉破壞性程序，致使計算機信息系統(tǒng)整體或者系統(tǒng)中的數(shù)據(jù)、應用程序等處于嚴重異常運行狀態(tài)。

時間原因，今天就簡單說這些。關于對詳細證據(jù)的質證技巧，有時間在分享，最后，我想說的是我們律師掌握專業(yè)知識的必要性。

惡意代碼、外掛程序犯罪案件屬于新型犯罪案件，如果我們沒有接觸過研究過，在和被告人交流的時候可能就很難，很難形成一種默契，犯罪嫌疑人往往需要向律師解釋他們是怎么做的，為什么這么做，結果說了半天，律師自己沒聽明白是怎么回事，也就沒法找到案件中的問題，導致辦案結果不是很理想。這類犯罪是新型犯罪，與傳統(tǒng)犯罪不同，需要律師對計算機、網(wǎng)絡技術案件有深入研究。

最后，還要說一下的是，隨著司法打擊力度的加大，技術愛好者、程序員千萬不要迷信自己的計算機技術高超，能不留下任何證據(jù)，一旦被發(fā)現(xiàn)，即使最后爭取到事實不清、證據(jù)不足，罪名不成立，這中間的過程也是極為煎熬和痛苦。

作者：張洪強律師，禁止轉載復制，張洪強律師專注于計算機網(wǎng)絡犯罪研究。