入侵公司系统改了数据，会判几年？

入侵公司系统改了数据会判几年？答案取决于两件事：改的是什么、后果有多重。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌​​‌‌‌‌‌‌‌​‌​​‌​‌‌​‌​‌​‌​‌​‌‌​​⁠

看数据、拷数据，没有改，落在非法获取计算机信息系统数据罪，三年以下；情节特别严重三年以上七年以下。 改了数据、删了数据、加了数据，落在破坏计算机信息系统罪第二款，后果严重五年以下；后果特别严重五年以上。

看起来「改」比「看」重，实际量刑也确实更重。但真正决定刑期的，是那个「后果」怎么算——司法解释给的是可量化的标准，不是模糊的「严重不严重」。

最容易做错的事，是被公司发现了以后，赶紧去「恢复原状」，把数据改回去、把日志删掉。在司法认定里，这既不影响「已经修改过」的事实，又可能被认定为毁灭证据，是双输。

四个罪名，一张表分清

计算机类犯罪在刑法里是一组，条文挨着，但门槛和量刑差得远。先把表列出来，后面逐条解释。

对「入侵公司系统改数据」这个具体场景，落点通常是第二百八十六条第二款：违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。

注意这一条的结构：第一款管的是「功能」，第二款管的是「数据」。改数据不看系统有没有瘫，只看数据被改了、后果严重。

「后果严重」有明确数字

很多人的直觉是「我又没让系统瘫痪，能有多严重」。司法解释把「后果严重」量化了。

两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条：破坏计算机信息系统功能、数据或者应用程序，具有下列情形之一的，应当认定为「后果严重」——造成十台以上计算机信息系统的主要软件或者硬件不能正常运行的；对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的；违法所得五千元以上或者造成经济损失一万元以上的。

数字细看有三个要点。

第一，「二十台」这个门槛很容易被跨过。 公司的一套业务系统往往部署在多台服务器上，一次批量更新影响几十台机器，就过线了。有数据库集群、多节点部署的，一次操作影响的「系统」数量远超直觉。

第二，「经济损失一万元」低得出乎意料。 系统修复的人工费、停机的营业损失、数据恢复的第三方服务费、给客户的赔偿，加起来很容易超过一万。这意味着「后果严重」的门槛在实务中很容易达到，真正的辩护空间在「损失数额怎么算」。

第三，经济损失的计算有讲究。 通常包括：直接经济损失（恢复数据、修复系统、应急响应的费用）、因犯罪造成的用户损失、为恢复系统而支出的合理费用。已经在正常业务支出中列支的部分、可预期的利润损失，往往存在争议。 这一块是辩护的主战场。

案例：改数据不一定要让系统瘫痪

有一个常见的误解：破坏计算机信息系统罪必须「系统坏掉」。下面两则入库案例说明，不用瘫痪，只要数据被改了、或者系统不能正常运行，就能入这条。

这则要旨的落点非常具体：非法录入、审批虚假信息，造成数据失真，就是「修改、增加」操作。

要旨里的行为模式值得对照：行为人拿到的是合法账号和密码（非法获取的），进入的是自己有部分权限的系统，做的动作是录入和审批——系统从头到尾都运行正常，一行代码没改，一个服务没停。但录入的虚假信息让数据库里的数据失真，这已经落入第二款。

对「改公司系统数据」的实务含义：

第一，「我有账号」不是抗辩。 账号是公司的，权限是职务给的，用合法权限做非法操作，一样构成本罪。很多人以为「我是员工，我能登录」，就以为没有「侵入」，但第二百八十六条根本不要求「侵入」这个前提——它管的是破坏行为，不是进入行为。

第二，「系统正常运行」不是抗辩。 系统没瘫、服务没停、用户没感知，都不影响定罪。被改的数据本身就是法益。

第三，「录入」「审批」这类业务操作也可能被认定为「修改、增加」。 这一条对内部人员风险极大：财务改了凭证、销售改了订单、仓管改了库存，如果目的是损害公司或者谋取私利，且后果严重，就可能被评价为本罪。

这一则讲的是另一种形态：改的是「解析指向」，不是数据本身。 域名解析服务器决定了一个域名指向哪台服务器，改了指向，用户访问到的就不是原来的服务。要旨认定这属于破坏计算机信息系统的行为。

这则要旨的实务价值在于它划定了「破坏」的边界：不限于删改数据库里的记录，还包括改变系统的运行指向、配置、路由。 改 DNS、改 hosts、改负载均衡配置、改 CDN 回源——这些操作都可能落进本条。

对内部人员的提示：运维权限、配置权限、域名管理权限，都是高风险权限。 拿这类权限做任何未经授权的修改，一旦造成后果，很难辩解「只是调个配置」。

内部人员和外部人员，路径不一样

同样一件事，公司员工做的和外面黑客做的，法律路径有实质差别。

外部人员典型路径：破解、撞库、钓鱼、利用漏洞进入系统，然后改数据。这条路径同时可能触犯第二百八十五条第二款（非法获取数据、非法控制）和第二百八十六条（破坏），按行为择一重或者数罪并罚。

内部人员典型路径：用职务给的账号登录，改自己不该改的数据。这条路径不涉及「侵入」，直接落在第二百八十六条第二款。但还有一个更常见的定性：如果目的是把公司的钱或物占为己有，可能同时构成职务侵占罪或者盗窃罪。

这一点必须讲清。举个例子：财务人员登录系统，把应付给供应商的账户改成自己的账户，然后走付款流程。这个行为同时符合：破坏计算机信息系统（改数据）、职务侵占（利用职务便利占有单位财物）。实务中通常按职务侵占处理（因为量刑更重、也更符合行为本质），改数据只是手段。

所以内部人员被查时，第一个要问清的问题是：你到底是为了泄愤、为了破坏，还是为了拿钱？ 目的不同，罪名可能完全不同，量刑也差很远。

立案之后，这几件事影响走向

第一，谁报的案、什么时候报的。 公司内部发现异常到报案之间的时间差，往往对应着「有没有给你机会补救」。这段时间里的行为会被重点审查：你是主动上报，还是掩盖痕迹。

第二，数据能不能恢复、恢复了多少。 直接影响「经济损失」的认定。第三方数据恢复服务的费用是可以计入损失的，但要有合同和发票，不能凭空报价。

第三，有没有对外扩散。 如果改数据的同时把客户信息拷走了，可能另涉侵犯公民个人信息罪；如果改了数据导致对外服务中断、客户受损，损失认定会大幅上升。

第四，有没有「违法所得」。 司法解释把「违法所得五千元以上」单列为后果严重的情形之一。收了钱帮别人改数据，即便没造成什么实际损失，五千元就到线。

第五，是不是「第一案」。 很多这类案件的起因是劳动纠纷、离职报复。如果存在公司拖欠工资、违法解除等背景，虽然不构成无罪理由，但对量刑有实际影响，应当作为情节提交。

量刑能争到什么程度

分三档说清现实预期。

后果严重（五年以下）——这是绝大多数案件的落点。常见结果：一年到三年有期徒刑，退赔到位、认罪认罚、公司谅解的，可能判缓刑。数额刚过线、初犯、内部纠纷引发的，缓刑空间更大。

后果特别严重（五年以上）——司法解释对「特别严重」的标准通常是「后果严重」标准的五倍（比如一百台以上系统数据被改、违法所得两万五千元以上、损失五万元以上）。落到这一档，实刑基本跑不掉。

数罪并罚——如果同时实施了非法获取数据、侵犯公民个人信息、诈骗等行为，会数罪并罚，总刑期可能远超单一罪名。

辩护的实际抓手，按有效性排序：

第一，损失数额核减。 把不属于「直接经济损失」的项目剔出去：预期利润、商誉损失、内部人工成本、本来就该做的系统升级费用。这一项往往能核减掉相当比例。

第二，影响系统数量核减。 「二十台以上」是硬指标，但「台」怎么数有讲究：虚拟机算不算一台、容器算不算、同一台物理机上的多个实例算几个。这一点在不同地区的认定标准不完全一致，值得争。

第三，行为与后果的因果关系。 数据异常是不是你造成的、中断是不是你的操作导致的、损失是不是在你的行为之后独立发生的其他原因造成的。这条线经常被忽略，但确实是有效的抗辩方向。

第四，退赔与谅解。 这类案件的公司方往往更在意「别再发生」而不是「重判」，退赔到位、出具谅解、承诺不再接触系统，是从宽的现实路径。

常见疑问

问：只是登录了别人的账号看了看，没改，算犯罪吗？

答：看有没有「获取数据」。单纯登录不构成破坏计算机信息系统罪；如果查看了不属于自己权限的数据，可能落在非法获取计算机信息系统数据罪，但要达到「情节严重」（比如获取身份认证信息五百组以上、违法所得五千元以上）。

问：公司系统有漏洞，我发现了并利用，能不能算「公司有过错」？

答：不能作为无罪理由，但可以作为量刑情节。系统有漏洞是客观事实，利用漏洞实施犯罪是主观选择，两者不能相互抵消。

问：我在公司上班，用我的账号改了自己负责的数据，也算犯罪？

答：可能算。关键看三点：改的数据是否超出你的职权范围、目的是否正当、有没有造成后果。正常业务范围内的修改不构罪；越权修改、且后果严重的，就可能被评价为破坏计算机信息系统。

问：判决前把数据恢复了，能减轻多少？

答：恢复数据属于挽回损失，是量刑从宽情节，但不能免除责任。本罪是行为犯加结果犯的结合，修改行为一旦完成、后果已经发生，恢复只是事后补救。

问：未成年人做这种事怎么处理？

答：已满十六周岁负刑事责任，但应当从轻或者减轻处罚。这类案件中的未成年人多为「技术好奇」而非图利，实务中争取不起诉、附条件不起诉、缓刑的空间较大，同时要做好家庭教育指导。

问：帮朋友「测试」一下系统，结果出了事，我要担责吗？

答：看是否明知。如果明知对方要用于非法目的仍提供技术帮助，可能构成共犯或者帮助信息网络犯罪活动罪。「我只是帮忙测试」这句话，在有聊天记录、转账记录的情况下很难成立。

条文与依据

站内延伸

站内破坏计算机信息系统、非法获取计算机数据，会怎么判？讲了本组罪名的基本构成，用电脑犯罪定什么罪：一条“指引性条款”怎么用讲了第二百八十七条的兜底适用，职务侵占和盗窃、诈骗怎么区分？员工拿公司钱怎么定性讲了内部人员「动公司东西」的另一条路径，帮信罪立案标准：七种情形够追诉，卖卡跑分多少金额会立案讲了提供技术帮助的风险边界。

改数据看后果，看数据看情节——先搞清楚你做的是「看」还是「改」，再谈几年。

本文不构成正式法律意见，具体请以律师出具的正式法律意见为准。