裁判要旨

被告人利用互联网实施盗窃犯罪，涉及侵入计算机网络服务器的窃取数据行为，破译MD5值的破解密码行为和使用已破解的密码和相对应的卡号在网上商城购买实体卡、电子卡券的消费行为。消费行为是本案盗窃犯罪的核心行为，被告人是否窃取卡号和MD5值，是否对MD5值进行破解，均不影响对其盗窃行为的认定。本案网络盗窃犯罪侵犯的对象具有刑法保护的财产属性。

一、据以研究的案例

公诉机关指控:2014年10月至11月，被告人马某非法获取大量北京某商业服务公司发行的某购物卡卡号和MD5值，利用互联网对MD5值破解后获得对应的密码，后使用以上卡的卡号和密码在该公司的网上商城为手机充值话费，购买中石化充值卡等实体卡和京东卡等电子卡（券），消费金额共计135878.5元。

被告人马某辩称:该公司某购物卡的卡号和密码是其从他人处购得，其不构成盗窃罪。

辩护人认为，马某不构成盗窃罪，起诉书指控的犯罪数额证据不足，涉案金额应为21800元。

一审法院经审理认为:被告人马某以非法占有为目的，秘密窃取他人钱财，数额巨大，其行为侵犯了他人的财产权利，已构成盗窃罪，依法应予刑罚处罚。公诉机关对被告人马某犯盗窃罪的指控成立。在案的证人证言、书证、勘验笔录、鉴定意见及电子数据等证据能够形成完整的证据链，证实被告人马某实施了利用互联网破解某购物卡密码，并在该公司商城网上消费，导致他人财产遭受损失的行为。被告人马某的辩解及其辩护人的辩护意见无事实依据，不予采纳鉴于被告人马某的家属退赔了部分犯罪所得，对其酌予从轻处罚。据此判决:被告人马某犯盗窃罪，判处有期徒刑4年6个月，并处罚金人民币5000元，并责令马某退赔北京某商业服务公司经济损失。宣判后，被告人马某提起上诉。二审法院经审理认为，马某以非法占有为目的，秘密窃取他人钱财，数额巨大，其行为侵犯了他人的财产权利，已构成盗窃罪依法应予惩处。对于马某所提北京某商业服务公司发行某购物卡的卡号和密码是其从他人处购得，其不构成盗窃罪，原判认定犯罪数额有误，量刑过重的上诉理由，及其辩护人所提马某的行为不构成盗窃罪，原判认定犯罪数额有误的辩护意见，经查，在案证据能够证明马某利用其掌握的某购物卡卡号及M5值，通过互联网进行破解，获取对应密码，在该公司网上商城非法消费，导致他人财产遭受损失，马某的犯罪行为符合盗窃罪的构成要件，原判认定马某盗窃的数额均有证据证实，故马某的上诉理由及其辩护人的此节辩护意见不能成立。对于马某的辩护人所提马某家属已代为退赔全部犯罪所得，建议对马某从轻处罚的辩护意见酌予采纳。原审法院根据马某犯罪的事实、性质、情节所作出的判决，定罪及适用法律正确，量刑适当，审判程序合法，扣押物品处理正确。鉴于马某能够当庭认罪，二审期间其家属代为退赔全部赃款，对其酌予从轻处罚，并予以改判:马某犯盗窃罪，判处有期徒刑3年6个月；扣押在案款物退赔北京某商业服务公司。

二、相关法律问题探讨

根据已查明的案件事实，该公司商城计算机网上数据库服务器内大量某购物卡卡号和MD5值数据被窃取。被告人利用其掌握的某购物卡卡号及MD5值，通过互联网进行破解，获得对应的密码，在北京某商业服务公司网上商城非法消费，金额共计人民币13万余元。本案犯罪由系列行为组成，一是侵入该公司计算机网络服务器获取某购物卡卡号和MD5值的窃取数据行为；二是将利用互联网破译MD5值的破解密码行为；三是使用已破解的密码和相对应的卡号在网上商城购买实体卡或电子卡券的消费行为。在案缺少被告人实施窃取计算机服务器内某购物卡卡号和MD5值行为的证据，不能排除被告人辩解其支付相应对价从“上家”购得某购物卡卡号和MD5值的可能案件争议的焦点在于，在不能证明被告人有窃取数据行为的情况下，应如何认定被告人破解密码行为和网上消费行为的性质。

第一种意见认为，由于在案缺少被告人直接从北京某商业服务公司计算机网络服务器窃取卡号和MD5值的证据。据此，“上家”窃取卡号和MD5值后卖给被告人的行为应构成盗窃罪，而被告人将收购的卡号和MD5值通过互联网进行破解得到对应密码后，在网上商城消费兑换成实体购物卡或电子券并高价出售，属于收购或代为销售赃物的行为，仅构成掩饰、隐瞒犯罪所得罪；如果在案证据不能证明“上家”构成犯罪，则被告人亦不构成犯罪。

第二种意见认为，被告人明知从他人处购买的网上商城的卡号和MD5值可能是犯罪所得，通过互联网进行破解后，兑换成手机充值卡、实体购物卡或电子券并高价出售，已侵犯了他人对财物的占有构成盗窃罪。如果有证据能够证明其“上家”侵入网上商城的数据库窃取相应的卡号和MD5值并卖给被告人，则“上家”与被告人应构成盗窃罪的共同犯罪。

本文同意第二种意见。同时，本案涉及盗窃犯罪既遂的认定和犯罪对象是否具有刑法保护的财产属性问题，具体分析如下:

（一）网络盗窃犯罪与非法获取计算机系统数据罪存在法条竞合关系

网络盗窃犯罪，顾名思义，是指利用计算机网络实施盗窃犯罪的行为。根据我国《刑法》第287条规定，利用计算机实施盗窃，以盗窃罪定罪处罚。网络盗窃犯罪行为人利用编程、加密、解码或其他计算机网络技术，通过计算机网络实施网络盗窃犯罪，可能同时触犯非法侵入计算机信息系统罪、非法获取计算机信息系统数据罪等。由此可见，网络盗窃犯罪中存在盗窃罪与非法侵入计算机系统类犯罪的法条竞合关系。

我国《刑法》第285条第2款规定，违反国家规定，侵入前款规定以外的计算机信息系统或者采取其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，分别构成非法获取计算机信息系统数据罪、非法控制计算机信息系统罪。行为人如果仅侵入计算机信息系统，获取该计算机系统中存储、处理或者传输的数据或对该计算机系统实施非法控制，而没有非法占有他人在计算机网络上的财物，则不属于网络盗窃犯罪，应当以非法获取计算机信息系统数据罪、非法控制计算机信息系统罪等定罪处罚。

本案中，如果能够认定行为人实施了窃取数据行为，即侵入北京某商业服务公司计算机网络服务器窃取某购物卡卡号和MD5值，那么要对行为人实施侵入行为是否具有非法占有目的进行区分。行为人如果没有非法占有目的，只是非法侵入网上商城的计算机信息系统，获取该系统中存储的卡号和密码，此行为则符合非法获取计算机信息系统数据罪的构成要件。行为人如果以非法占有目的，意图将所窃取卡中的财产占为已有，而采用以非法侵入网上商城的计算机信息系统的方式，获取该系统中存储的卡号和密码，并将卡号或密码贩卖给他人或自己消费使用，构成盗窃罪和非法获取计算机信息系统数据罪的牵连犯。即非法侵入网上商城数据库获取卡号和MD5值并对MD5值进行破解是手段行为，行为人为占有卡中的财物，将卡号和MD5值出售或将卡中的财产消费是目的行为。同时，根据刑法规定，符合盗窃罪与非法侵入计算机系统类犯罪的法条竞合关系，应以盗窃罪定罪处罚。

（二）“消费”行为是本案中盗窃犯罪的核心行为

1.被告人是否窃取卡号和MD5值不影响对其盗窃行为的认定

本案中有意见认为，由于在案缺少被告人直接从网上商城数据库窃取卡号和MD5值的证据，存在被告人支付相应对价从“上家”购得网上商城卡号和MD5值的可能。据此，“上家”应构成盗窃罪而被告人因收购赃物仅构成掩饰、隐瞒犯罪所得罪；如果在案证据不能证明“上家构成犯罪，则被告人亦不构成犯罪。此意见在假设“上家”可能存在的前提下，将窃取卡号和MD5值的行为认定为本案中盗窃的核心行为，没有充分考虑到上家”与被告人在犯罪中各自的作用，显然不合理。如前文所述，如果“上家”只实施了窃取数据行为，则构成非法获取计算机信息系统数据罪；如果“上家”明知被告人以消费卡中财产等方式窃取卡内财物，而将窃取的系统数据出售给被告人，则与被告人共同构成盗窃罪，双方只是在共同盗窃犯罪的不同阶段所起作用不同。“上家”窃取网上商城卡号和MD5值既是非法获取计算机信息系统数据行为，也是盗窃预备行为；被告人利用其得到的卡号和MD5值在网上商城消费是着手实施盗窃的行为。举个类似的例子，甲乙二人共同合意盗窃机动车，甲去被害人家中将机动车钥匙偷出后卖给乙，乙使用买来的机动车钥匙将车开走。甲与乙构成盗窃罪的共犯。甲去被害人家中窃取机动车钥匙是盗窃的预备行为，不能认为是着手实施盗窃犯罪。因为被害人虽然丢失车钥匙，但未丧失对机动车的控制，机动车也没有在事实上被甲实际占有（如被害人可能将车停放在自家封闭的车库中）乙用钥匙将机动车开走，实际占有了车辆并使被害人丧失对机动车的控制。故应认为是乙着手实施的盗窃行为。不论共同评价甲和乙的行为，还是单独评价乙的行为，乙均应构成盗窃罪。

被告人使用他人的卡号和密码在网上商城兑换实体卡或电子券后出售的行为属于在实现非法占有之后对赃款赃物的处置，不可罚的事后行为，仍以盗窃罪论处。

2.被告人是否破解MD5值不影响对其盗窃行为的认定

MD5值是一种密码表达方式，是将一串字节通过加密算法计算而成的十六进制字符串。MD5值和普通密码之间可以通过技术手段相互转换。被告人将MD5值破解成普通密码的过程并不能实现对卡内财产的占有。其着手实施盗窃犯罪的核心行为是消费行为，也是消费行为使持卡人丧失对卡内财产的占有和控制。因此，本案中被告人以兑换实体购物卡或电子券在网上商城进行消费的方式实施盗窃行为，无论其是否对MD5值进行破解，均不影响对其盗窃罪的认定。

综上，本案中网络盗窃犯罪的核心行为，既不是上家”从网上商城服务器中窃取数据的行为，也不是破解MD5值的行为，而是被告人将破解的卡号和密码在网上商城兑换成实体购物卡或电子购物券的消费行为。

（三）网络盗窃犯罪既遂的认定

故意犯罪形态可以分为完成形态与未完成形态，犯罪既遂是完成形态，犯罪预备、未遂与中止是未完成形态。一般认为，为人着手实行了犯罪行为，并发生了刑法规定的危害结果，是犯罪既遂。关于盗窃罪既遂与未遂的问题，中外刑法理论众说纷纭。概括起来，主要观点包括:第一接触说。认为应以行为人是否接触到被盗财物为标准，凡实际接触到财物的为盗窃既遂，未实际接触财物的才是盗窃未遂。第二，转移说。主张应以行为人是否已将被盗财物移离原在场所为标准，凡移离原在场所位置的为盗窃既遂，未移离原在场所位置的为盗窃未遂。第三，藏匿说。认为应以行为人是否已把被盗财物藏匿起来为标准，凡已将财物藏匿起来的是盗窃既遂，未藏起来的是盗窃未遂。第四，失控说。认为应以财物的所有人或保管人是否丧失对财物的占有权即控制为标准，凡盗窃行为已使财物所有人或保管人实际丧失了对财物的控制的，为盗窃既遂；而财物尚未脱离所有人或保管人的控制的，为盗窃未遂。第五，控制说。主张应以盗窃犯是否已获得对被盗财物的实际控制为标准，盗窃犯已实际控制财物的为既遂，盗窃犯未实际控制财物的为未遂。第六，“失控+控制”说。认为应以被盗财物是否脱离所有人或保管人的控制并且实际置于行为人控制之下为标准，被盗财物已脱离所有人或保管人控制并且已实际置于行为人控制之下的为盗窃既遂，反之就是盗窃未遂。应当认为，当盗窃行为具有使他人丧失财产的紧急危险时，是盗窃罪的着手。只要行为人取得（控制）了财物，就是盗窃既遂。不应将盗窃的既遂简单理解为行为人转移了财物的场所，更不能将取得理解为行为人藏匿了财物，而应理解为行为人事实上占有了财物。接触说、转移说和藏匿说的缺陷在于缺乏对盗窃犯罪危害结果本质的认识，即行为人是否已经侵害了被害人对财物的占有。而控制说和失控说分别从行为人取得财物的占有和被害人失去对财物的占有两个角度诠释盗窃犯罪既遂，具有一定的合理性。一般来说，只要被害人丧失了对财物的控制，就应认定为行为人取得了财物。也就是说，控制说与失控说在大多数情况下得到的结论是一致的。例如，住在雇主家的雇员，将窃取的财物藏在雇主家隐蔽的场所，依照控制说和失控说均成立盗窃既遂。只有当被害人已失去对财物的控制，但行为人并未实际取得对财物的占有时，控制说与失控说将得到不同的结论。例如，行为人在盗窃机动车行驶一段距离后，因出现故障无法启动而将车辆遗弃。此时被害人已失去对机动车的实际控制，但是行为人因意志以外因素未能实现对机动车的持续占有，根据“失控+控制”说，行为人构成盗窃罪未遂。然而从是否已经发生危害结果角度来看，虽然行为人并未最终取得财物的持续占有或转化为其他财产性收益，但盗窃行为使机动车完全脱离了被害人的实际控制，造成了法益损害的结果，根据失控说，行为人构成盗窃罪既遂。综上，本文同意以财物的所有人或保管人是否丧失对财物的占有权即控制，即失控说作为盗窃罪既遂的标准。

具体到本案中，窃取网络服务器数据行为和破解密码行为使行为人取得对某购物卡内财物的实际控制，可以随时对卡内财物作出实体处分，使持卡人面临丧失卡内财物的紧迫危险。但由于此时卡内金额并没有减损，且卡密码未被更改，持卡人仍可以正常消费使用自己某购物卡内金额，持卡人并未失去对卡内财物的控制，根据失控说理论，行为人不构成盗窃罪既遂。当被告人利用持卡人的卡号和密码在北京某商业服务公司的网上商城购买家乐福购物卡京东卡等实体卡或京东商城电子码或苏宁易购电子码后持卡人不再能够支配处分卡内相应财物，从而丧失对卡内被盗用金额的实际占有。被告人通过消费行为，控制并占有了持卡人卡内的财物，并取得财产性利益，构成盗窃罪既遂。

（四）本案网络犯罪侵犯的对象具有刑法保护的财产属性

1.涉案财物属于有价支付凭证

网络盗窃犯罪侵犯的对象是否属于刑法保护的财产，是值得研究的问题。一般认为，盗窃罪的犯罪对象只限于动产，而且一般是有体物。有体性说认为，财物只限于有体物，包括固体物、液体物和气体物，但光、电、热等无体物不是财物。随着社会的发展，许多无体物的经济价值越来越明显，电力、无线电讯号以及代表一定经济价值的货币、有价证券或有价票证等虽然无体，它们或者可以兑换现金，或者可以提取财物，对其侵犯同样会影响财产所有权的行使。我国刑法及司法解释已将部分无体物明确列为侵犯财产罪的对象。《刑法》第265条规定，以牟利为目的，盗接他人通信线路复制他人电信码号或者明知是盗接、复制的电信设备、设施而使用的，以盗窃罪定罪处罚。《最高人民法院关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》第8条规定，盗用他人公共信息网络上网账号、密码上网，造成他人电信资费损失数额较大的，以盗窃罪定罪处罚。他人的电信码号、通信线路、上网账号密码等无体物与使用人的电信或网络资费相关联，系具有物理管理可能性的财物，具有财产性，故将之纳入侵犯财产罪的对象。《刑法》第196条规定盗窃信用卡并使用的，依照盗窃罪定罪处罚。他人支付宝等网络支付平台内的财物与信用卡内财物性质相类似，在现实生活中大量以无体物形式出现，应当作为侵犯财产罪的对象。涉案某购物卡卡号与MD5值与北京某商业服务公司发行实体卡上的卡号和密码具有对应关系，属于以无体物形式出现的有价支付凭证，因此是刑法所保护的财产。关于盗窃有价支付凭证的犯罪数额。根据《最高人民法院、最高人民检察院关于办理盗窃刑事案件适用法律若干问题的解释》第5条的规定，盗窃不记名有价支付凭证的，应当按照票面数额和盗窃时应得的孳息等可得收益一并计算犯罪数额；盗窃记名的有价支付凭证，已经兑现的，按照兑现部分的财物价值计算盗窃数额。由于涉案某购物卡已被持卡人在北京某商业服务公司网上商城输入卡号和密码后激活，多名持卡人发现卡内金额无故减少后向北京某商业服务公司投诉，该公司发现被投诉订单被大量可疑操作，并通过投诉涉及卡号和IP地址的记录进行反查，发现更多订单疑似被非法操作，涉及的卡内金额有相应减少。因此，被告人所操作订单的数额即已兑现的有价支付凭证，应认定为盗窃罪的数额。

2.涉案财物不属于“虚拟财产”范畴

以无体物形式存在的“虚拟财产”是现实世界与虚拟世界交叉互动的产物，经常被认为是计算机网络犯罪常见的侵害对象其是否属于刑法意义上的财产，能否成为盗窃罪等侵犯财产类犯罪的对象，在理论界与实务界均未达成普遍共识。有观点认为，对于盗窃虚拟财产的行为，确需刑法规制，可以按照非法获取计算机信息系统数据等计算机犯罪定罪处罚不应按盗窃罪处理，对于将虚拟财产纳入侵犯财产类犯罪的对象持否定观点。然而，2016年6月全国人大常委会审议的《民法总则（草案）》中提出拟将网络虚拟财产作为物权客体，试图确立虚拟财产在民事法律关系中的地位。本案中网络盗窃犯罪侵犯的对象是否属于虚拟财产，可能影响对被告人行为性质的认定。

虚拟财产是指网民、游戏玩家在网络空间中所拥有、支配的必须利用网络服务器的虚拟存储空间才能存在的财物。虚拟财产一般可分为三类:一是网络游戏账号；二是网络游戏中的虚拟货币；三是游戏中的虚拟人物所使用或拥有的道具、装备、宠物等具有虚拟的财产属性的虚拟物。虚拟财产具有如下几个特征:一是影像性。网络游戏中的道具、装备、宠物等，但它们并不是实物，而只是一种显现在电脑屏幕上的影像。二是局限性。作为游戏软件的一种影像，虚拟财产只能通过网络这种电子媒介才能显现，不能脱离计算机网络而独立存在。三是期限性。虚拟财产是依附于网络游戏而存在，虚拟财产会随着新游戏的推出和旧游戏的注销而不断地产生与消失。本案中，从北京某商业服务公司计算机网络服务器中被窃取的某购物卡卡号和MD5值不具有上述虚拟财产的典型特征，不属于虚拟财产范畴，涉案财物的属性并不影响被告人行为性质的认定。

3.被告人的行为侵犯了他人对财物的占有

侵犯财产罪的法益，直接影响各种行为的性质与认定。关于盗窃罪侵犯的法益的具体内涵，刑法理论上有本权说、占有说和中间说。本权说认为，盗窃罪侵犯的法益是他人财物的所有权以及其他本权。按照本权说，只要不存在对所有权或者其他本权的侵犯，就不能构成盗窃罪，即使行为人以不法手段秘密取回自己所有而被他人不法占有的财物的，也不构成盗窃罪。占有说则认为，盗窃罪侵犯的法益是他人对财物的事实上占有或者持有。根据占有说，行为人用不法手段秘密取回自己所有而被他人不法占有的财物的，亦构成盗窃罪。一般认为，本权说明显不当地缩小了盗窃罪的处罚范围，而占有说则过于扩大了盗窃罪的处罚范围。因此，出现了调和本权说与占有说的各种中间说，本文比较认同基于占有说的中间说，即保护所有权及其他本权的前提，是保护对财物的占有本身，所以占有本身是法益。但在事实上的占有与本权相对立的场合，如果事实上的占有者没有可以与本权对抗的合理理由，其占有不受保护。刑法上盗窃罪的对象必须是他人占有的财物，对于自己占有的他人财物不能成立盗窃罪占有是指事实上的支配，不仅包括物理支配范围内的支配，而且包括社会观念上可以推知财物的支配人的状态，占有意思对认定是否占有往往只起到补充作用。一方面，刑法上的占有只要求他人对其事实上支配的财物具有概况的、抽象的支配意识，既包括明确的支配意识，也包括潜在的支配意识。另一方面，当事实上的占有虽然明显松弛甚至短暂脱离了占有，但他人所具有的明显、强烈的占有意思，对事实上支配的认定起补充作用。刑法理论认为，只要是他人的事实支配领域内的财物，即使他人没有现实地握有或监视，也属于他人占有。例如，他人住宅内、车内的财物，即使他人不在，也对财物有事实上的支配状态。另一种情况，虽然表面上处于他人支配领域之外，但存在可以推知他人事实支配的状态时，也属于他人占有的财物。例如，他人停放在路边的机动车，不管是否上锁，均由他人占有。本案中，在网上商城的卡号和MD5值被消费前，卡内的财产仍在持卡人事实支配之下。持卡人的卡号和密码虽然被盗，但密码尚未被他人修改，卡内的财物仍在持卡人的事实支配之下，持卡人仍能使用并消费自己卡内的财产。被告人以消费的方式对他人卡内的财物进行处置，是侵犯他人对财物的占有。综上所述，网络盗窃犯罪与非法获取计算机系统数据罪存在法条竞合关系。行为人以非法占有目的，采用非法侵入计算机信息系统的方式，获取该系统中存储的卡号和密码，并将卡号或密码贩卖给他人或自己消费使用，构成盗窃罪。消费”行为是本案盗窃犯罪的核心行为，被告人是否窃取卡号和MD5值，是否对MD5值进行破解，均不影响对其盗窃行为的认定。被告人通过消费行为，控制并占有了持卡人卡内的财物，并取得财产性利益，应认定为盗窃罪既遂。本案网络盗窃犯罪侵犯的对象属于以无体物形式出现的有价支付凭证，不属于虚拟财产的范畴，具有刑法保护的财产属性。

原文载《审判前沿――新类型案件审判实务.总第56集》，法律出版社，北京市高级人民法院研究室编，2018年1月第二次印刷，本文作者：丛卓义，单位：北京市第二中级人民法院刑二庭法官，P107-115。

整理：江苏省苏州市公安局信访处（民意监测中心）