围绕「攻击网站索要赎金判几年」，实务中最容易出错的是这几处：
攻击别人网站索要赎金，判几年？这不是一个罪的问题，而是两个罪：把网站打瘫涉破坏计算机信息系统罪（刑法第二百八十六条），开口要钱涉敲诈勒索罪（刑法第二百七十四条）；实务对两罪是按牵连犯从一重处还是数罪并罚，存在两种处理观点。最容易做错的事：以为「只要没真删数据、没勒索到手」就没事——攻击行为一旦造成后果严重，五年以下的法定刑就等着了。
先把结论说清
三层判断：
① 先看攻击行为：对计算机信息系统功能进行删除、修改、增加、干扰，造成系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。
② 再看索财行为：以恢复访问、不泄露数据相要挟索取「赎金」，数额较大或多次实施的，构成敲诈勒索罪。
③ 两罪怎么并：一种观点认为攻击与索财是手段与目的的牵连关系，从一重罪处罚；另一种观点认为两行为各自独立成罪，数罪并罚。两种观点下结果都可能很重，具体由办案机关与法院个案认定。
操作路径
| 序号 | 做什么 | 具体怎么办 | 依据 |
|---|---|---|---|
| 1 | 委托律师并如实陈述 | 尽快让律师会见，交代攻击工具、赎金金额、是否收到款项、网站恢复情况 | 刑事诉讼法第三十九条 |
| 2 | 主动止损与退赔 | 停止攻击、配合恢复系统、退还已收「赎金」，争取被害人谅解 | 从宽情节 |
| 3 | 核清涉案数额 | 与律师核对攻击造成损失、索要金额、实际到手金额，两套数额分别对应两罪 | 两罪各自的数额标准 |
| 4 | 评估罪数辩护空间 | 请律师就「牵连犯从一重」与「数罪并罚」两种观点准备辩护意见 | 罪数理论与实务惯例 |
打不赢的那一半
| 罪名 | 入罪门槛 | 量刑档 |
|---|---|---|
| 破坏计算机信息系统罪（第二百八十六条） | 后果严重 | 五年以下有期徒刑或者拘役 |
| 同上 | 后果特别严重 | 五年以上有期徒刑 |
| 敲诈勒索罪（第二百七十四条） | 数额较大（2 千元—5 千元以上，以当地标准为准）或多次敲诈 | 三年以下有期徒刑、拘役或者管制，并处或者单处罚金 |
| 同上 | 数额巨大（3 万元—10 万元以上） | 三年以上十年以下有期徒刑，并处罚金 |
| 同上 | 数额特别巨大（30 万元—50 万元以上） | 十年以上有期徒刑，并处罚金 |
入库案例
裁判要旨非法获取政府公共服务管理平台账号、密码，非法录入、审批虚假信息，造成该计算机信息系统中存储的数据失真，属于刑法第二百八十六条第二款规定的“对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作”。
裁判要旨行为人通过信息网络制造、散布诋毁被害人的谣言，在被害人要求停止人身攻击时提出索要财物的要求，并以继续散布谣言相威胁索取财物，同时符合敲诈勒索罪、诽谤罪构成的，应当依照处罚较重的罪名定罪处罚。
「数据失真」也算破坏：钱某案说了什么
很多人理解的「破坏计算机信息系统」是把系统砸瘫、把文件删光，钱某案把这个范围讲得更宽。那个案子里，行为人非法获取政府公共服务管理平台的账号、密码，往平台里非法录入、审批虚假信息——系统照常运转、没有瘫痪，但里面存的数据被搞得真假掺半。法院认定：造成计算机信息系统中存储的数据失真，就属于刑法第二百八十六条第二款规定的「对数据和应用程序进行删除、修改、增加的操作」。
这条裁判尺度对攻击网站类案件的影响很直接：攻击者未必非要打到网站宕机才踩到这个罪。往系统里塞假数据、篡改订单或会员信息、乱发审批，都会落在第二款的射程里；第二款造成后果严重的，依照第一款的规定处罚，同样是五年以下起步、特别严重五年以上。所以被指控后要弄清办案机关按第一款（系统功能被干扰、不能正常运行）还是第二款（数据被删改增）来指控，两者的「后果」认定材料完全不同——第一款看系统停摆时间、影响用户数，第二款看数据失真的范围与造成的损失。辩点也各有侧重：前者盯鉴定意见里系统是否真的「不能正常运行」，后者盯失真数据有多少、可否恢复、实际危害多大。
网络索财的择一重：孙某媛案的启示
孙某媛案处理的是另一种常见的网络索财形态：行为人在网上造谣、散布诋毁被害人的内容，等被害人受不了要求停止攻击时，再提出给钱、并以继续散布谣言相威胁。法院认定这种做法同时符合敲诈勒索罪和诽谤罪的构成，应当依照处罚较重的罪名定罪处罚。
这对攻击网站索要赎金的案件是很好的参照：两个行为、两个罪名并存时，实务并非一律数罪并罚，「同时构成时择一重」是明确存在的裁判路径。把这条思路用到本案里：攻击网站是手段行为，索要赎金是目的行为，两者之间有手段与目的的牵连关系，辩护上就有空间主张按牵连犯从一重处断，选两罪中处罚较重的一个来定罪量刑，而不是把破坏计算机信息系统罪与敲诈勒索罪的刑期简单相加。当然，择一重与并罚在实务中并存，最终怎么处理取决于行为的具体形态——攻击与索财是否针对同一对象、是否围绕同一笔财物、有没有互相独立的两份危害。这些都要靠律师把时间线梳理清楚后向办案机关系统提出。
工具从哪来，责任往哪去
网络攻击极少是一个人从零写代码干出来的，工具链上的每个人都要掂量自己的位置。明知他人要攻击网站而编写、出售攻击程序、肉鸡资源、DDoS 套件的，按共同犯罪或者帮助信息网络犯罪活动罪评价，「只是卖工具不管用途」不是挡箭牌；提供服务器、带宽、跳板代理的，同样可能落入帮助范围；从网上随手下载工具自己动手的，工具来源不影响定罪，但攻击方式与后果认定会受工具能力的影响。另一个方向是被牵连的旁观者：收购赃款、帮忙取现「赎金」的人，可能另触掩饰、隐瞒犯罪所得罪。所以案发后第一件事是把自己在整个链条里的位置写清楚——做了什么、什么时候做的、知不知道别人的目的——交给律师按共同犯罪的证据标准去审查，避免被笼统地按「主犯」或「全链条」指控。
常见疑问
问：攻击没把网站打瘫，只是「吓唬」，也构成犯罪吗？ 答：可能构成敲诈勒索（未遂也可追究）；破坏计算机信息系统罪则要求造成系统不能正常运行且后果严重。是否两罪并罚，取决于行为与后果的具体形态。
问：「赎金」只要了几百块，会被重判吗？ 答：敲诈勒索未达数额较大标准的，若属「多次敲诈勒索」仍可追究；但破坏计算机信息系统罪与敲诈勒索的数额门槛是分开算的，系统损失大才是重判的主因。
问：只是在网上下载了别人给的攻击工具，自己没动手呢？ 答：明知他人实施攻击犯罪而提供工具、技术帮助的，可能构成共同犯罪或帮助信息网络犯罪活动罪；「只提供工具」不是安全港。
问：往对方网站后台改了几条数据，没影响访问呢？ 答：按钱某案的裁判尺度，造成系统中存储的数据失真，就属于第二百八十六条第二款的「删除、修改、增加的操作」，系统是否照常访问不是唯一标准；后果是否严重要看失真数据的范围、可恢复性与实际损失。
问：网站方狮子大开口索要高额「赔偿」才肯出具谅解，怎么办？ 答：赔偿谅解是酌定从宽情节而非法定交易，数额由双方协商；谈不成的，如实退赔已收款项、配合恢复系统仍是重要从宽基础，由律师居中沟通。
问：被攻击的公司自己「交了赎金」，交钱方有责任吗？ 答：被勒索一方支付赎金不构成犯罪，但可能助长后续攻击；正确路径是立即报案、申请止付，配合警方通过支付渠道冻结资金、追缴赃款。
问：网站「瘫痪」和损失大小，由谁认定？ 答：由办案机关依法定程序认定，通常结合电子数据鉴定、影响用户数量、经济损失等综合判断；当事人对鉴定意见有异议的，可以申请补充鉴定或者重新鉴定。
条文这样写
《最高人民法院、最高人民检察院关于办理敲诈勒索刑事案件适用法律若干问题的解释》第一条（第一款）
敲诈勒索公私财物价值二千元至五千元以上、三万元至十万元以上、三十万元至五十万元以上的，应当分别认定为刑法第二百七十四条规定的“数额较大”、“数额巨大”、“数额特别巨大”。
- 《中华人民共和国刑法》第二百八十六条违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。
- 《中华人民共和国刑法》第二百七十四条敲诈勒索公私财物，数额较大或者多次敲诈勒索的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金；数额巨大或者有其他严重情节的，处三年以上十年以下有期徒刑，并处罚金；数额特别巨大或者有其他特别严重情节的，处十年以上有期徒刑，并处罚金。
最后归结
打瘫网站是破坏计算机信息系统罪，开口要赎金是敲诈勒索罪，两罪并算还是从一重，都不是「退钱就没事」——越早止损退赔，越早把量刑档压下来。
顺着这条线
本文不构成正式法律意见，具体请以律师出具的正式法律意见为准。本文法条核对日期：2026 年 10 月，条文取自本地法规库现行有效版本。