平台的活动规则里没写「禁止脚本」四个字，是不是就可以放心批量刷？利用系统漏洞薅羊毛构成什么罪，要先看手段。
利用系统漏洞薅羊毛不是「平台大意、怪不得我」——绕过风控批量抓取、调取系统内数据的，主流按非法获取计算机信息系统数据罪处理，违法所得五千元以上即入罪；冒用他人身份、编造虚假交易骗取补贴的，按诈骗罪处理。最容易做错的事：以为「规则没禁止就是可以」，其实「未经授权」四个字才是判断的关键。
三层判断先摆出来
三层判断：
① 绕过安全措施、未经授权获取平台数据的：定非法获取计算机信息系统数据罪（刑法第二百八十五条第二款）。库内追诉口径很具体：获取网络金融服务身份认证信息十组以上、其他身份认证信息五百组以上、非法控制计算机信息系统二十台以上，或违法所得五千元以上、造成经济损失一万元以上的，即属「情节严重」，处三年以下有期徒刑、拘役并处或单处罚金；达标准五倍以上为「情节特别严重」，三至七年。
② 冒用身份、编造交易骗领补贴、返款的：定诈骗罪（刑法第二百六十六条），以骗取的补贴数额计；「仅退款」型薅羊毛按诈骗处理的逻辑见本站专文。
③ 写明分歧：批量利用漏洞获利定非法获取数据还是诈骗，实务按行为方式分流，也有案件存在定性之争，个案以法院认定为准。
照着做的四步
| 序号 | 做什么 | 具体怎么办 | 依据 |
|---|---|---|---|
| 1 | 立即停止 | 停止脚本、多开账号、漏洞利用行为，不要删除账号和设备数据——毁灭证据可能构成新的犯罪 | 刑法相关条款 |
| 2 | 核算涉案数额 | 拉出提现、消费流水与账号数量清单，弄清补贴折现金额 | 数额认定依据 |
| 3 | 主动配合与退赔 | 被调查后如实供述，在律师指导下向平台退赔违法所得，争取从宽 | 量刑从宽情节 |
| 4 | 委托律师判断定性 | 请律师审查行为方式（有无获取数据、有无欺骗），争取较轻罪名或不起诉 | 辩护权 |
四类标准，一栏一栏对
| 情节要件 | 「情节严重」（三年以下） | 「情节特别严重」（三至七年） |
|---|---|---|
| 获取网络金融服务身份认证信息 | 十组以上 | 标准五倍以上 |
| 获取其他身份认证信息 | 五百组以上 | 标准五倍以上 |
| 非法控制计算机信息系统 | 二十台以上 | 标准五倍以上 |
| 违法所得 / 造成经济损失 | 五千元 / 一万元以上 | 标准五倍以上 |
两个入库案例怎么看
裁判要旨根据刑法第二百八十五条第二款的规定，非法侵入计算机信息系统罪在客观方面表现为侵入计算机信息系统或者采用其他技术手段，未经授权获取计算机信息系统中存储、处理或者传输的数据的行为。超出授权范围使用账号、密码登录计算机信息系统，属于侵入计算机信息系统的行为，故而，对使用上述方法侵入计算机信息系统后下载该系统存储、处理或者传输的数据，可以认定为非法获取计算机信息系统数据；情节严重的，以非法获取计算机信息系统数据罪论处。
裁判要旨行为人违法所得的虚拟货币客观上具有经济价值，在刑事诉讼中应当认定其违法所得虚拟货币的价值，从而确定违法所得数额。认定与某种外币稳定挂钩的虚拟货币价值时，可以先将该虚拟货币折算为和其挂钩的某种外币，再按照该外币与人民币兑换汇率进行计算。对于虚拟货币系在某一时间段内违法所得的，本着有利于被告人的原则，以该时间段内中国人民银行授权中国外汇交易中心每日公布的人民币对该外币汇率中间价的最低值进行计算。
「未经授权」这四个字，比想象中宽
很多人以为只有「黑进系统、破解密码」才算未经授权。这个理解太窄了。
依据入库案例的表述，超出授权范围使用账号、密码登录计算机信息系统，属于侵入计算机信息系统的行为。翻译成日常场景：
员工用公司给的账号批量导出客户数据。 账号是公司给的，但权限只到「日常查询」，导出全量客户名单就超出了授权范围。
用自己注册的一个账号，通过脚本批量登录、批量领券。 单个账号你有权用，但用脚本模拟大量请求、绕开频控，是超出正常使用方式。
买了会员，用爬虫抓取会员专区的内容。 内容你花钱买了，但「用爬虫批量抓取」通常被用户协议禁止，抓取行为可能被认定越权。
借用他人账号登录、或者买到一批「养号」登录。 账号不是你本人授权的，一开始就越权。
所以判断标准不是「有没有密码」，而是「有没有超出人家给你的那个范围」。
五千元这条线，怎么算出来的
违法所得五千元是「情节严重」的入罪门槛之一。这个数额在薅羊毛类案件里怎么落地？
补贴、返现、优惠券折现都算。不能用「券面价格」算，要按平台的实际支出计算。比如满 100 减 30 的券，平台实付 30 元，违法所得就按 30 元计，不是 100 元。
虚拟货币、积分、代币也算。按入库案例的思路，能折算的按其价值折算，折算方式要能说清。
多个账号要累加。这是绝大多数人低估的地方：单账号几百块，几十上百个账号一加，很容易过线。
造成经济损失一万元以上是另一条并行标准，不用证明「赚了多少」，只要平台因此损失超过一万，同样入罪。
五倍以上是「情节特别严重」：违法所得两万五千元以上、获取金融身份认证信息五十组以上，对应三至七年。
平台找上门，前 48 小时做什么
时间很关键，做对和做错差别很大。
第一，立刻停手。 停脚本、停多开、停领券。继续操作会被认定为「持续实施」，量刑上不吃亏。
第二，不要删数据。 删除账号、清空聊天记录、卸载软件，可能被认定为毁灭证据，甚至单独构成犯罪。原有的操作记录、流水、聊天记录，全部保留。
第三，整理自己的流水。 把提现记录、平台账户余额、领券清单拉出来。自己先算一遍数额，比让公安算出个大数目要主动。
第四，找律师，别自己去找平台「协商」。 平台的口头承诺没有豁免效力，追诉与否由司法机关决定。在律师指导下主动退赔，是争取从宽的正确路径。
第五，如实供述。 这类案件的技术痕迹在平台服务器上清清楚楚，抵赖没有意义，如实供述配合退赔，往往能争取不起诉或者缓刑。
平台的「风控」本身是不是陷阱
有人问：平台自己有漏洞，是不是也该担责？
法律上的回答是：平台的防范不足不构成行为人的免责理由。 民事上可以说平台有过错，可以减轻部分责任；刑事上，行为人的非法获取行为独立成立。
但有三种情况值得辩：
一是平台明知并放任。 个别营销活动本身就是为了吸引流量，对「多开领券」睁一只眼闭一只眼，事后又以受害方报案。这类情形可以作为情节辩护的素材。
二是规则本身模糊。 活动规则没有明确禁止多账号、没有明确禁止脚本，行为人按通常理解操作，主观恶性较低。
三是数额计算有问题。 平台报案的损失数额往往偏高（把「预期收益」也算进去），这部分要在辩护中逐项核对。
这三种都不足以出罪，但能实质影响量刑和是否起诉。
帮人写脚本、卖工具，也要担责吗
这是技术圈最容易忽略的一层。
刑法第二百八十五条第三款规定：提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照第二款的规定处罚。也就是说，写脚本的人可能和用脚本的人同罪，量刑档次一样。
判断要点在「专门」和「明知」两个词：
「专门用于」指这个工具除了侵入、控制之外没有其他正当用途。通用的自动化测试工具、正规的 RPA 软件不算；专门针对某平台的风控绕过、批量注册、验证码识别的定制脚本，容易被认定。
「明知」看的是有没有迹象表明对方要拿去干坏事。对方明确说「刷券用」，或者按次收费、按账号数量收费，就很难说自己不知道。反过来，开源通用工具被他人滥用，作者一般不担责。
实务中还有一类：接单代刷。帮商家刷单、刷评、刷券，按量收钱，这类服务提供者常被认定为共犯或者帮助信息网络犯罪活动罪。
量刑上，写脚本的人和用脚本的人通常分主从。一般认定使用者是主犯，工具提供者是从犯，但如果是定制开发、按单量分成，也可能认定为主犯。
民事上还要赔，别只盯刑事
很多人以为退赔就等于了结，其实民事这一头还在。
平台可以另行起诉。 依据民法典关于网络侵权、不当得利的规定，平台可以要求返还违法所得、赔偿损失（包括维权支出的律师费、公证费）。刑事退赔的范围通常是「违法所得」，民事索赔的范围可能更广，包括因风控升级、数据核查产生的成本。
用户协议里的违约金条款。 多数平台的用户协议约定了违规使用的违约责任，虽然实务中平台较少单独起诉，但在协商时会作为筹码。
征信与账户影响。 平台可能将账号列入黑名单、关联实名信息限制注册，个别涉及金融的场景会报送征信。
建议的处理顺序：先刑事退赔争取从宽，再在律师主持下与平台签一份一次性和解协议，写清「款项结清、互不追究」。这份协议不能免除刑事责任，但能终结民事纠纷。
这类案子最后都判成什么样
从公开判决看，薅羊毛类案件的处理有明显的分层规律。
数额刚过线、初犯、全额退赔、认罪认罚的，多数判缓刑或者单处罚金，也有相当比例作相对不起诉处理。
数额在五万到二十万区间、有组织多人操作的，多判一年到三年实刑，罚金按违法所得的一到两倍。
数额巨大、跨省操作、使用大量他人身份信息的，会触及「情节特别严重」，三到七年，并可能叠加侵犯公民个人信息罪。
有前科、拒不退赔、销毁证据的，从宽空间基本关闭。
规律很清楚：这个罪名的可辩空间主要在数额和定性，而最终落在哪个区间，很大程度上取决于退赔和态度。 这也解释了为什么前面反复强调「先停手、再退赔、别删数据」。
被问得最多的四个问题
问：活动规则没写「禁止脚本」，也犯罪吗？ 答：规则没禁止不等于授权。未经授权绕过安全保护措施获取数据本身就可能构成犯罪。
问：我领了几张优惠券自己用了，没卖钱，够吗？ 答：偶发、零星使用不构成犯罪，但可能被平台封号追回；批量、脚本化获利达到违法所得五千元等标准的即涉刑。
问：钱已经花掉了，还用退吗？ 答：用。违法所得一律依法追缴或责令退赔，退赔情况影响量刑与是否不起诉。
问：平台说「不报警让你还钱就行」，可信吗？ 答：平台无权对犯罪作「豁免」。退赔可争取从宽，但是否追诉由司法机关决定；不要因口头承诺停止配合调查。
条文这样写
违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。 违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。 提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。 单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条（节选）
第一条：非法获取计算机信息系统数据或者非法控制计算机信息系统，具有下列情形之一的，应当认定为刑法第二百八十五条第二款规定的“情节严重”： （一）获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息十组以上的； （二）获取第（一）项以外的身份认证信息五百组以上的； （三）非法控制计算机信息系统二十台以上的； （四）违法所得五千元以上或者造成经济损失一万元以上的； （五）其他情节严重的情形。
最后一句
薅羊毛的入罪线不在「薅」而在「绕」——绕过风控抓数据，违法所得五千元就够刑；已经下场的先停手、再找律师。
接着往下读
- 破坏计算机信息系统、非法获取计算机数据，会怎么判？
- 恶意退款399件被刑拘：「仅退款」薅羊毛为什么会构成诈骗罪
- 帮信罪立案标准：七种情形够追诉，卖卡跑分多少金额会立案
- 诈骗罪和民事欺诈怎么区分？借了钱还不上算诈骗吗？
本文不构成正式法律意见，具体请以律师出具的正式法律意见为准。本文法条核对日期：2026 年 10 月，条文取自本地法规库现行有效版本。