先说「撞库洗库会判几年」的结论，再说依据。
撞库、洗库拿到账号密码，会判几年？「试」出来的账号密码也是非法获取——按非法获取计算机信息系统数据罪（刑法第二百八十五条第二款）处理，情节严重处三年以下有期徒刑或者拘役，情节特别严重处三年以上七年以下有期徒刑。最容易做错的事：以为「我没黑进系统，只是拿现成密码试登录」就不算犯罪——技术的外衣在这里完全不构成辩解。
先把结论说清
三层判断：
① 先分清两个动作：撞库是拿已泄露的账号密码批量到各平台试登录；洗库是登录成功后把账户里的数据、积分、余额进一步变现。两个动作都落在刑法第二百八十五条第二款的评价范围内：非法获取计算机信息系统中存储、处理或者传输的数据。
② 再看量刑档：情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
③ 工具与下游同样有罪：提供专门用于撞库的程序、工具，或明知他人实施此类犯罪仍提供工具的，按同条第三款同一档处罚；转卖账号密码的，还可能另涉侵犯公民个人信息罪。
具体怎么办
| 序号 | 做什么 | 具体怎么办 | 依据 |
|---|---|---|---|
| 1 | 如实说明技术细节 | 向律师完整交代工具来源、数据去向、违法所得，供律师判断量刑档 | 刑法第二百八十五条第二款 |
| 2 | 主动退缴违法所得 | 通过办案机关指定的正规渠道退缴，保留凭证；退赃是重要从宽情节 | 量刑从宽情节 |
| 3 | 停止一切关联行为 | 立即停用、删除撞库工具与数据，防止罪名扩大或另生新罪 | 避免罪数升级 |
| 4 | 家属尽快委托律师 | 侦查阶段律师可会见、了解涉嫌罪名与证据，提出取保候审申请 | 刑事诉讼法第三十九条 |
例外与抗辩
| 行为 | 罪名 | 量刑 |
|---|---|---|
| 撞库试登录、批量获取账号密码数据 | 非法获取计算机信息系统数据罪（第二百八十五条第二款） | 情节严重：三年以下有期徒刑或者拘役；特别严重：三年以上七年以下有期徒刑，并处或者单处罚金 |
| 编写、出售撞库工具或出租「打码」服务 | 提供侵入、非法控制计算机信息系统的程序、工具罪（第二百八十五条第三款） | 依照第二款的规定处罚 |
| 转卖含自然人真实身份的账号、密码数据 | 可能另涉侵犯公民个人信息罪（第二百五十三条之一） | 按信息类型与数量分档 |
| 利用获取的账号转移资金 | 可能另涉盗窃、诈骗等罪 | 依照刑法有关规定定罪处罚 |
入库案例
裁判要旨对于计算机信息系统是否属于“国防建设”领域的认定，应当进行实质审查，结合系统核心功能是否专门服务于国防建设相关事务，系统存储、处理、传输的数据是否属于国防军事涉密信息或者专属保障数据等因素进行综合判断。行为人违反国家规定，侵入战区医院计算机信息系统获取药品数据并出售获利，但是该系统并非专门服务于国防建设相关事务，药品数据亦非国防军事涉密信息或者专属保障数据的，不构成非法侵入计算机信息系统罪；行为人实施上述行为达到情节严重标准的，依法以非法获取计算机信息系统数据罪论处。
裁判要旨行为人违法所得的虚拟货币客观上具有经济价值，在刑事诉讼中应当认定其违法所得虚拟货币的价值，从而确定违法所得数额。认定与某种外币稳定挂钩的虚拟货币价值时，可以先将该虚拟货币折算为和其挂钩的某种外币，再按照该外币与人民币兑换汇率进行计算。对于虚拟货币系在某一时间段内违法所得的，本着有利于被告人的原则，以该时间段内中国人民银行授权中国外汇交易中心每日公布的人民币对该外币汇率中间价的最低值进行计算。
具体到你的情形
问：密码是网上公开泄露的，我只是「捡来用」，也算非法获取吗？ 答：算。账号密码属于计算机信息系统中存储的数据，批量验证、登录并据为己有就是「采用其他技术手段获取数据」，与数据是否「公开泄露」无关。
问：只登进去看了看，没卖没花钱，还构罪吗？ 答：可能构成。本罪评价的是非法获取数据的行为本身，「情节严重」才追究；是否变现只影响量刑与衍生罪名，不改变定性。
问：帮朋友写了个批量登录脚本，我要担责吗？ 答：要。提供专门用于侵入、非法控制计算机信息系统的程序、工具，情节严重的，依照第二百八十五条第三款处罚，量刑与直接实施者同档。
问：涉案的账号密码算公民个人信息吗？ 答：账号密码结合绑定信息往往能识别到特定自然人，转卖、交换达到司法解释数量门槛的，可能同时构成侵犯公民个人信息罪，按处罚较重的规定处理。
问：买来别人撞库成果的「数据包」，只存不用有事吗？ 答：有。非法持有本身持续处于「非法获取」的评价范围内，存储数量即计入情节；正确做法是立即删除，并向律师完整说明来源与持有时间。
杨某案：系统的性质决定罪名的轻重
撞库类案件里有一个容易被忽略的罪名分界——同一套撞库手法，打在不同性质的系统上，罪名完全不同。杨某案把这条分界线画得非常清楚。
杨某侵入的是一家战区医院的计算机信息系统，获取药品数据并出售获利。听起来「战区」两个字沾着国防，按刑法第二百八十五条第一款，侵入国防建设领域的系统是不问情节、直接构罪的非法侵入计算机信息系统罪（三年以下），罪名成立门槛极低。但法院没有按字面走，要旨明确要求实质审查：这个系统是不是专门服务于国防建设相关事务？它存储、处理、传输的数据是不是国防军事涉密信息或者专属保障数据？两项都否定——战区医院的核心功能是医疗，药品数据也不是涉密军情——于是「非法侵入计算机信息系统罪」不成立。
那行为就白做了吗？没有。杨某的行为达到情节严重标准的，依法按非法获取计算机信息系统数据罪（第二百八十五条第二款）论处——这正是本篇主线罪名。
这个案子的实务价值有两层。对办案机关，是不许按系统名称套罪名的提醒：挂着「战区」「军队」字样的单位，内部系统未必都在国防领域射程内；反过来，名字不起眼的系统，核心功能真涉国防的照样按第一款处理。对当事人和辩护人，是一条真实的出罪与降罪通道：被按第一款（更重、无情节门槛）指控的，审查系统功能与数据性质的实质证据，降格到第二款就打开了「情节严重」数额门槛和量刑协商的空间；连第二款门槛都够不着的，还有不构罪的空间。系统性质认定依赖技术鉴定与功能分析，这部分证据的质证，是此类案件辩护的主战场之一。
周某刘某案：违法所得怎么折成「情节」
数据类犯罪「情节严重」的认定，靠两把尺子：获取数据的组数、条数，或者违法所得数额。前一把尺子好量，后一把尺子在被虚拟货币搅进来之后，算法有讲究——周某、刘某案给出了完整口径。
第一层，虚拟货币算违法所得、有价值。「赚的是币不是钱」的辩解不成立：虚拟货币客观上具有经济价值，刑事诉讼中应当认定其价值，用来确定违法所得数额。
第二层，怎么折算：与某种外币稳定挂钩的虚拟货币（比如锚定美元的稳定币），先把币折成挂钩的外币，再按该外币对人民币的汇率折成人民币，两步走，不允许跳过挂钩环节直接按交易所报价随意取数。
第三层，也是最能体现刑事政策温度的一层：违法所得发生在某个时间段内的，本着有利于被告人的原则，按该时间段内中国人民银行授权中国外汇交易中心每日公布的人民币对挂钩外币汇率中间价的最低值计算。同样是三千枚稳定币，取三个月内最低汇率折算和取最高汇率折算，数额可能差出百分之十几——够不够「情节严重」、落不落「特别严重」，往往就在这一进一出。
对当事人，这个口径的启示是：如实交代违法所得的币种、数量、取得时间段，不是只交代一个「大概卖了多少钱」。时间段的起讫、币种的挂钩属性，都是按最低值折算的前提，也直接影响量刑档的落点。逃避交代换不来从宽，精确交代反而把数额压到最实——数据类案件的账，是算出来的，不是喊出来的。
撞库链条上，每个位置的风险表
撞库很少是一个人的事，从上游到下游各环节，法律风险层层不同，对号入座才知深浅。
写工具、卖工具的：按第二百八十五条第三款处理，与直接实施者同档量刑；工具一旦被认定为「专门用于」撞库，卖一份和用一百份的评价没有本质差别。
撞库、洗库的：本篇主线的直接实施者，非法获取数据情节严重三年以下、特别严重三年以上七年以下；洗库变现环节若再利用账号转走资金，另涉盗窃、诈骗，数罪并罚。
买账号密码数据包的：买入即持有，持续处于非法获取的评价范围，存储数量计入情节；数据含真实身份信息的，叠加侵犯公民个人信息罪风险。
收「料」做电销、诈骗的：上游数据到了手里用于对特定人群实施诈骗、冒充客服，按所犯之罪处理，撞库环节的罪责另行评价。
帮朋友「批量登一下」的：别以为顺手帮忙不算数——以技术手段批量验证、登录他人账号，就是获取数据的行为本身；是否知情、是否有偿，只影响从宽，不影响行为定性。
每个位置共同的出口依然是那三步：停手删工具、按指定渠道退缴、委托律师把数额和情节逐项核——这条链条上，谁先止步，谁先拿到从宽。
法条与依据
- 《中华人民共和国刑法》第二百八十五条违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
- 《中华人民共和国刑法》第二百五十三条之一违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。
最后归结
撞库洗库没有「技术中立」可言：拿数据三年以下，情节特别严重三年以上七年以下，卖工具的同档处罚——收手、退赃、找律师，才是此刻唯一正确的三步。
延伸阅读
本文不构成正式法律意见，具体请以律师出具的正式法律意见为准。本文法条核对日期：2026 年 10 月，条文取自本地法规库现行有效版本。