指导性案例张竣杰等非法控制计算机信息系统案

一、案情速览

四个人在境外租了间公寓，扫描有漏洞的服务器，植入木马拿到后台权限。

再往别人的网站上传带赌博关键词、能自动跳转的网页，提高赌博广告被搜到的概率。

一共控制一百一十三台服务器。检察院按破坏计算机信息系统罪起诉，法院改成非法控制计算机信息系统罪。指导案例145号。

二、裁判要点提炼

二〇一七年七月起，被告人张竣杰、彭玲珑、祝东、姜宇豪经事先共谋，为赚取赌博网站广告费用，在马来西亚吉隆坡市租住的公寓内相互配合，对存在防护漏洞的目标服务器进行检索、筛查后，向目标服务器植入木马程序进行控制，再使用专门软件链接该木马程序，获取目标服务器后台的浏览、增加、删除、修改等操作权限，将添加了赌博关键字并设置自动跳转功能的静态网页上传至目标服务器，提高赌博网站广告被搜索引擎命中的几率。截至同年九月底，四名被告人链接被植入木马程序的目标服务器共计一百一十三台，其中部分网站服务器还被植入了含有赌博关键词的广告网页。后公安机关将四人抓获到案。公诉机关以破坏计算机信息系统罪提起公诉。四名被告人及其辩护人在庭审中均对指控的主要事实予以承认，但其中三人及辩护人提出，各被告人的行为仅是对目标服务器的侵入或非法控制，并非破坏，应定性为非法侵入计算机信息系统罪或非法控制计算机信息系统罪，不构成破坏计算机信息系统罪。南京市鼓楼区人民法院于二〇一九年七月二十九日判决：张竣杰犯非法控制计算机信息系统罪，判处有期徒刑四年，并处罚金五万元；彭玲珑同罪，三年九个月，罚金五万元；祝东同罪，三年六个月，罚金四万元；姜宇豪同罪，二年三个月，罚金二万元。姜宇豪以量刑过重为由上诉，辩护人请求宣告缓刑；南京市中级人民法院于二〇一九年九月十六日裁定驳回上诉、维持原判。

法院生效裁判认为：四名被告人共同违反国家规定，对我国境内计算机信息系统实施非法控制，情节特别严重，其行为均已构成非法控制计算机信息系统罪，且系共同犯罪。公诉机关指控的犯罪事实清楚、证据确实充分，但以破坏计算机信息系统罪予以指控不当。经查，四名被告人虽对目标服务器的数据实施了修改、增加的侵犯行为，但未造成该信息系统功能实质性的破坏或者不能正常运行，也未对该信息系统内有价值的数据进行增加、删改，其行为不属于破坏计算机信息系统犯罪中的对计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加的行为，应认定为非法控制计算机信息系统罪；部分被告人及辩护人提出的相同定性意见予以采纳。关于上诉人提出的量刑过重、请求宣告缓刑的意见，经查，该上诉人及其他被告人链接被植入木马程序的目标服务器共计一百一十三台，属于情节特别严重；一审法院依据犯罪事实和犯罪情节对其减轻处罚，量刑适当且与其他被告人刑期均衡；综合犯罪行为的性质、所造成的后果及其社会危害性，不宜适用缓刑。此外，通过植入木马程序的方式非法获取网站服务器的控制权限，进而通过修改、增加计算机信息系统数据、向相关计算机信息系统上传网页链接代码的，应当认定为《刑法》第二百八十五条第二款规定的「采用其他技术手段」非法控制计算机信息系统的行为；通过修改、增加数据实施非法控制，但未造成系统功能实质性破坏或者不能正常运行的，不应当认定为破坏计算机信息系统罪，符合该款规定的，应认定为非法控制计算机信息系统罪。

三、赵律师点评

破坏与控制，一字之差差在哪

两罪的关键区别在后果：破坏计算机信息系统罪要求「造成计算机信息系统功能不能正常运行」或者「对系统中存储、处理、传输的数据和应用程序进行删除、修改、增加，后果严重」；非法控制计算机信息系统罪要求的是「侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统，或者采用其他技术手段获取该计算机信息系统中存储、处理、传输的数据，或者对该计算机信息系统实施非法控制，情节严重」。本案被告确实改了数据，但改的是「加了一个跳转网页」，没动系统功能，也没删改有价值的数据，所以落在「控制」而不是「破坏」上。

为什么不是「非法侵入」

非法侵入计算机信息系统罪的保护对象是特定领域的系统（国家事务、国防建设、尖端科学技术领域），而且只要求「侵入」；本案的目标是普通商业网站服务器，不属特定领域，所以不能定侵入罪。这个区分在实务中经常被搞混——不是所有「黑进别人网站」都叫非法侵入计算机信息系统罪。

一百一十三台，为什么算情节特别严重

司法解释对非法控制计算机信息系统的「情节严重」「情节特别严重」有数量标准，本案链接的被控服务器一百一十三台，远超入罪和加重的门槛，故认定情节特别严重，法定刑升到三年以上七年以下。第四被告最终判二年三个月，是因为法院认定其在共同犯罪中作用较小、予以减轻处罚——但缓刑没有给，理由是行为性质、后果和社会危害性。

给技术人员的红线

第一，不碰任何未经授权的服务器，哪怕只是「扫一下漏洞」；第二，不写、不传、不用木马和后门程序，包括所谓「渗透测试工具」在未授权目标上的使用；第三，不为赌博、色情、诈骗类网站做「优化」「引流」「提权」，这类需求本身就是犯罪链条的一环；第四，境外实施、境内被害，同样受我国刑法管辖——本案作案地在境外，被害服务器在境内，照样定罪。

他们没砸坏任何一台服务器，却把一百一十三台变成了别人的后院。