朱洋非法获取计算机信息系统数据案

    关键词：非法获取计算机信息系统数据罪  定性  情节

   【裁判要点】

    行为人使用从网络下载的账号和密码数据包，利用扫描软件，对计算机系统进行登录尝试，从而获取正确账号和密码的行为，情节严重的，构成刑法规定的非法获取计算机信息系统数据罪，根据所获取的账户和密码数量，确定犯罪情节和量刑幅度。

   【案件索引】

    一审：广东省广州市天河区人民法院( 2014)穗天法刑初字第198号（2014年6月10日，无上诉、抗诉）

   【基本案情】

    2013年10月初，被告人朱洋从网上下载针对广州市动景计算机科技有限公司（以下简称动景公司）UC系统的扫描程序，并于同年10月8日至18日期间，将其于2012年年底事先从网上下载的含有大量UC系统账户密码的数据包中的数据导入该程序进行扫描，对动景公司UC系统进行了1800万余次用户登录尝试攻击，非法获取动景公司UC系统用户账号及密码30万余组，非法登录部分账户后获取动景公司UC系统账户内U点。2013年10月18日，公安机关将被告人朱洋抓获归案，并从其住处缴获作案工具笔记本电脑两台、硬盘两个。

    另查明：在本案审理过程中，被告人朱洋的家属代其自愿退赔被害单位动景公司人民币6000元。

   【裁判结果】

    广东省广州市天河区人民法院一审判决如下：一、被告人朱洋犯非法获取计算机信息系统数据罪，判处有期徒刑三年三个月，并处罚金人民币4000元。二、被告人朱洋家属代为退赔的人民币6000元，发还被害单位广州市动景计算机科技有限公司。三、缴获的作案工具笔记本电脑两台、硬盘两个予以没收。

   【裁判理由】

    广东省广州市天河区人民法院经审理认为：被告人朱洋违反国家规定，非法侵入计算机信息系统获取计算机信息系统中存储、处理或者传输的数据，情节特别严重，其行为已经构成非法获取计算机信息系统数据罪，依法应当适用“处三年以上七年以下有期徒刑，并处罚金”的量刑幅度予以处罚。被告人朱洋归案后如实供述犯罪事实，自愿认罪，可以从轻处罚。被告人朱洋有悔罪表现，且其家属已代为退赔被害单位款项，酌情从轻处罚。

   【案例注解】

    一、非法获取计算机信息系统数据罪的犯罪构成

    在2009年《刑法修正案（七）》出台前，刑法打击计算机犯罪只有第二百八十五条、第二百八十六条和第二百八十七条。第二百八十五条只打击非法侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的行为，而对绝大多数非法侵入普通计算机系统和网站的行为无法适用该条。这对愈演愈烈的网络犯罪来说，有点捉襟见肘。《刑法修正案（七）》出台后，对于非法侵入普通计算机信息系统犯罪就有法可依了。所谓非法获取计算机信息系统数据罪，是指违反国家规定，侵入国家事务、国防建设、尖端科学技术领域以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，情节严重的行为。

    本罪侵犯的客体是国家事务、国防建设、尖端科学技术领域以外的普通计算机信息系统的安全。客观方面表现为违反国家规定侵入普通计算机信息系统或者采用其他技术手段，获取计算机信息系统数据，情节严重的行为。犯罪主体为一般主体。主观方面是故意，以非法获取计算机信息系统数据为目的。

    二、本罪的认定

    关于本罪的认定，有以下几个关键问题：

   （一）违反国家规定

    “违反国家规定”在这里不是一个抽象的法益概念，有其特定的内涵，其范围有二：第一，行为人违反《全国人民代表大会常务委员会关于维护互联网安全的决定》第三条第（三）项“利用互联网侵犯他人知识产权”和第四条第（二）项“非法截获、篡改、删除他人电子邮件或者其他数据资料”的规定（有的犯罪行为可能与侵犯著作权罪或侵犯商业秘密罪形成竞合犯的关系）。第二，行为人违反了《中华人民共和国计算机信息系统安全保护条例》第七条“任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全”的规定。①

   （二）非法侵入计算机信息系统获取数据

    常见的方式是利用他人网上认证信息进入计算机信息系统，或者在计算机系统中植入木马、后门程序，获取该计算机信息系统中存储、处理或者传输的信息数据。

    本案中，被告人通过针对动景公司UC系统的扫描程序对事先从网上下载的数据包进行关联并自动扫描，并对该公司UC系统自动进行1800万余次用户登录尝试攻击，将其中正确的账号及密码识别验证出来，最终获取30万余组正确的UC系统用户账号及密码。如此大量的账号和密码，个人用户是无法通过正常的注册登记程序取得的，现有证据不能证实上述被告人获得的30万余组账号及密码事先已经泄漏；即使存在事先泄漏的情形，被告人通过扫描系统自动进行大批量自动登录尝试并成功筛选出正确的账号及密码，其行为已经造成了UC系统的登录异常和账户交易异常，也就是说，被告人是通过非正常的技术手段取得这些账号和密码的，其行为仍应属于通过侵入UC系统进而非法获取该系统存储、处理或传输数据。

   （三）情节严重

    本罪是情节犯，只有达到“情节严重”的程度才构成犯罪。根据最高人民法院、最高人民检察院于2011年9月1日起施行的《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称《解释》）第一条的规定，具有下列情形之一的，应当认定为“情节严重”：……。(2)获取第(1)项以外的身份认证信息500组以上的；……同时，根据《解释》第十一条的规定，“身份认证信息”是指用于确认用户在计算机系统上操作权限的数据，包括账号、口令、密码、数字证书等。

    本案被害单位报案陈述，发现系统200多组账户发生异常交易，被告人亦供述其曾经手动输入了几百组账户，有U点的账户其就将U点转走，承认该200多组账户异常交易为其所为，因此，本案被告人朱洋获取的UC账号和密码，是用于确认UC账号用户在该系统中的操作权限的数据，应属于“身份认证信息”；同时，其获取的UC账号和密码多达30余万组，符合《解释》规定的“情节严重”，构成本罪。

    三、本案的量刑幅度

    根据《解释》第一条的规定，获取网络金融服务以外的身份认证信息500组以上的，为“情节严重”，获取该数量5倍以上的，为“情节特别严重”。本案中，被告人朱洋非法获取计算机信息系统数据多达30万余组，其犯罪情节应该认定为虬隋节特别严重”。依据《刑法》第二百八十五条第二款规定，应当适用“处三年以上七年以下有期徒刑，并处罚金”的量刑幅度予以处罚。