济南计算机犯罪专业律师张洪强办案经验总结《破坏计算机信息系统罪案件无罪攻略》

破坏计算机信息系统罪存在取证难，定性争议大的问题。

破坏计算机信息系统罪立法不足、司法解释相对滞后，现实中破坏计算机信息系统的犯罪行为层出不穷、花样繁多，在这类案件的办理过程中经常出现对于证据的标准和司法解释的理解适用把握宽严不一等问题，例如对“破坏”“干扰”计算机信息系统的认定标准不统一，对处于灰色地带的流氓软件、外挂软件、恶意程序能不能认定为破坏性程序的标准问题模糊，“后果严重”的认定标准模糊等，导致此类犯罪存在相同行为定性争议较大，罪数形态认定不一的问题。我们律师在办理此类案件时必须掌握这些争议的点以及争议的原因，才能从争议中去争取对被告人最有利的认定。

本文作者： 张洪强律师，北京市京师（济南）律师事务所高级合伙人律师，刑事辩护部主任，北京京师律所全国刑委会华东区副主任，专注于计算机犯罪研究，对破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪以及提供非法侵入控制计算机信息系统程序、工具罪具有深入研究和总结，著作《破坏计算机信息系统罪案件无罪攻略》《黑客入侵类计算机犯罪无罪攻略》、《网络攻击类计算机犯罪无罪攻略》《域名劫持流量劫持类计算机犯罪无罪攻略》《木马病毒类计算机犯罪无罪攻略》《流氓软件恶意程序类计算机犯罪无罪攻略》《爬虫类计算机犯罪无罪攻略》，为办理计算机犯罪案件提供有效的指导。

张洪强律师办理以及总结大量破坏计算机信息系统罪案件，归纳出办理破坏计算机信息系统罪的有效的办案思路和技巧，例如：

案例一：沈某案件不构成破坏计算机信息系统罪。

沈谋利用在某无线通信技术公司担任技术主管的便利，在公司的手机“销量管理系统”应用软件中植入自己书写的程序，通过该程序对用户手机进行静默卸载及下载安装的操作，恶意卸载了某浏览器等手机应用程序，并通过通知栏及对话框提醒等方式推广另一个浏览器、某某应用盒子等应用程序，收取推广费约人民币100余万元。检察院以破坏计算机信息系统罪对沈某提起公诉，但法院审理后认为事实不清、证据不足，作出了无罪判决，判决沈某无罪释放。

在该案中，没有充分证据证明沈某“静默安装”，即未经用户许可操控用户的手机下载应用程序及具体数量，鉴定结论不能证明被告人发出指令与涉案手机的某某浏览器被卸载之间存在因果关系，也不能证明沈某推广另一浏览器等应用程序所获取的100余万元万元是通过“静默安装”的方式获取的违法所得。

案例二：杨某不构成破坏计算机信息系统罪。

杨某利用网游充值系统的漏洞，对游戏帐号进行反复充值，并以此获利87万元，公安和检察院都认为，杨某对计算机信息系统中存储的数据进行增加，构成破坏计算机信息系统罪，但最终法院并没有认可检察院的意见，而是采纳了被告人和律师的意见，认为被告人作案手法只是在系统终端通过某种手段拦截了后台服务器发送的信息，而没有通过对被害单位计算机信息系统功能即后台服务器进行修改、删除或增加的手法，使系统被破坏，所以被告人杨某不构成破坏计算机信息系统罪。

张洪强律师总结的破坏计算机信息系统罪案件有效办案思路如下：

第一辩护思路：从证据链入手，审查是否形成完整证据链，争取使案件认定为事实不清、证据不足。

在处理网络犯罪案件时如果我们能从专业角度用专业的思维找到证据中存在的问题，就有可能切断证据链，有可能使案件事实不清，查不清事实就无法逮捕、无法公诉、无法定罪，张洪强律师处理的毕某、王某案都是因为切断了证据链而撤案检察院不公诉。

一、要争取使案件认定为事实不清，如果以下内容没有查清并有充分证据证明，就可以事实不清为由要求罪名不成立。

1、实施的破坏行为的时间是否查清。要注意审查电子证据如系统日志与言词证据口供之间关于时间的证据，看是否出现时间不吻合的情况。

2、实施破坏行为的方式是否查清。看是否出现破坏行为与被告人供述不一致或与其他证据不一致的情况。例如钟某案中，中国电信的分析报告证明被害网站遭受UDP反射型ddos攻击与CC型DDOS攻击，但钟某供述自己只是实施过CC型DDOS攻击。

3、实施破坏行为的工具软件、程序是否找到。在浩如烟海的数据中查找一个并不明确的软件难度很大，在很多此类犯罪案件中，实施破坏行为的工具软都没能找到，作为此类犯罪的直接证据，如果找不到工具软件程序，就没法证明该程序具有破坏计算机信息系统的功能，直接导致案件事实无法查清。

4、涉案的工具软件、程序的基本工作原理、功能是否查清。是否具有增加、干扰、删除计算机信息系统的功能，是否具有自我传播、自我复制的功能等。我们要注意，在一些外挂程序案件中，很多浏览器劫持软件、恶意广告软件 、共享软件、外挂程序 等虽然具有:强制安装、静默安装、篡改浏览器设置等恶意功能，但不应该被认定为病毒性程序。

5、造成的损失是否查清，包括破坏计算机的数量、网站瘫痪持续时间、购买防护的支出等，还有被攻击IP的运行记录、访问日志等。

6、违法所得数额是否查清。

二、要争取使案件认定为证据不足，切断证据链，我们在审查证据链时，可以考虑按照以下三步来走。

第一步：审查‘由案到机’的证据链。公安机关在侦查此类案件时，通过被侵害破坏的计算机信息系统进行分析取证，主要依据电子形成的痕迹、物证，采取各种计算机技术追溯到作案的计算机，明确作案主体使用计算机IP 地址。对于疑难复杂的DDOS案中，嫌疑人通过控制傀儡机发动攻击行为，其实施犯罪的IP很难通过被害机器发现，因为‘肉鸡’和VPN的使用，以及犯罪嫌疑人删除相关日志等行为，他们留在网络上的痕迹往往都是虚假的，要想形成完整证据链是有难度的。我们律师在处理这类案件时，第一步要做的，就是通过对服务器日志、网站日志、用户文件、最近访问记录、浏览器记录、删除数据恢复、U盘插拔记录等电子证据的质证，来切断‘由案到机’的证据链。如果我们律师在处理案件时,切断了由‘由案到机’的证据，就使案件确定不了作案的具体计算机的ip地址，就会使案件很难定罪。

第二步：审查‘由机到人’的证据链。IP地址只是证据链其中一部分，还需要证明是犯罪嫌疑人本人使用该IP地址做出了构成犯罪的行为，仅仅一个ip地址，只能作为线索，对相关嫌疑人进行“初查”。 仅有IP地址无法简单的认定犯罪，大部分被判刑的都是有其他证据印证，例如自己认罪、证人证明或者网络日志缓存日志等痕迹、Q+Q登录信息以及其他信息相印证。我们律师在办理案件时要将言词证据与其他证据进行综合分析，尤其是要注意与扣押的电脑、手机中的各种日志证据进行对比印证，要注意审查侦查人员是否对IP地址拥有者的电脑进行排查，确定电脑是否被病毒控制，或者其他人使用，要配合网络日志，以及一些q+q登录时间等其他证据。找到各个证据之间存在矛盾和不能印证的地方，如果能切断由“机器到人” 这一环，也就无法确定谁是作案者、无法定罪。

第三步：审查‘由人到人’的证据链，看能否切断。破坏计算机信息系统犯罪呈现出黑色产业链的特征，犯罪主观证明较难，共犯联系松散难以认定，这些人一般都互不认识，只是在微+信群、q+q群里的网友，互相之间连真实名字都不知道。例如肉鸡出租者、木马病毒开发者、销售者、挂马者、恶意程序开发者等，网络犯罪中行为人之间意思联络形式多样化、联络主体虚拟化、共同行为模糊化，有时候要形成指向某一犯罪嫌疑人的证据链是有难度的，在很多案件中，公安机关只抓获黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，这就是我所说的网络犯罪中“由人到人”证据指向。

我们律师在处理案件时要审查证据中的聊天记录、转款记录、通话记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

第二辩护思路：争取改变定性。破坏计算机信息系统罪在认定时经常存在争议，我们律师在办理此类案件时必须掌握这些争议的点以及争议的原因，才能从争议中去争取对被告人最有利的认定。

1.争取将破坏的对象认定为“非计算机信息系统”。此罪针对的行为是破坏计算机信息系统的行为，如果被破坏的对象不能认定为计算机信息系统，那就不能构成破坏计算机信息系统罪。例如一些公司的自动化控制设备、网络设备等，如果不具有自动处理数据的功能、不具有对信息进行采集、加工等处理功能，就不能认定为本罪名所指的“计算机信息系统”。我们要掌握本罪名所指的计算机信息系统的含义和本质，对于计算机信息系统、计算机系统，应当严格按照文义解释，限制扩大解释，不能将所有的和计算机有关的程序和系统都归纳进入，造成法律权利的滥用。

2.争取将涉案的程序认定为非病毒性、非破获性程序。当前对于流氓软件、恶意程序与计算机病毒的界定缺乏规范性的指导文件，导致在一些案件中出现了盲目将流氓软件认定为计算机病毒、破坏性程序的错误倾向，我们律师在办理案件时要根据对计算机影响后果和方式来证明他们不会对计算机信息系统造成本罪名所指的破坏，这些都需要我们用专业的知识和思维来辩护。

一些外挂程序、优先抢单、秒杀软件、自动点击软件、绑架、劫持等流氓软件具有强制安装、静默安装、难以卸载、浏览器劫持、广告弹出、恶意捆绑等特征，从表面上看触犯了《刑法》第 286 条所规定的破坏计算机信息系统罪，但如果仔细分析辩护，其实很多流氓软件不对计算机信息系统的功能进行删除或增加、也不具有自我复制、自我传播的功能。

例如，很多恶意劫持上网软件，仅仅是针对不特定终端系统，依靠软件下载包自动完成，并未对计算机信息系统内部对信息进行采集、加工、存储、传输、检索等主要功能进行实质性破坏，也并未造成计算机信息系统不能运行或不能按照设计要求运行。在恶意劫持软件下载包中包含的未授权安装软件、强制修改计算机用户 I+E 浏览器、增加开机启动项和桌面图标等程序数据，实质上是一种封闭式行为，仅为自身功能的实现，不与计算机本身的系统程序、应用程序、数据等刑法保护的对象发生关系，既不是刑法中所谓的“计算机信息系统中存储、处理或者传播的数据”，也不是“计算机的应用程序”。

3．是否对计算机信息系统造成干扰和破坏，被破坏的计算机信息系统能否认定为不能正常运行。实践中，对计算机信息系统造成破坏的认定标准并不统一。干扰的方式是多种多样的，包括如外挂程序、拦截信号、干扰传输等等。如果此类干扰行为没有导致计算机信息系统运行机理发生重大变化，功能仍正常发挥，就不能认为是刑法所规定的干扰。

我们律师需要掌握对“破坏”和“干扰”的认定标准，争取对犯罪嫌疑人被害人的有利认定。

某些软件中虽然含有恶意插件，在一定程度上会影响计算机用户的正常使用，但不会造成整个计算机信息系统不能正常运行，例如游戏外挂类型的案件，外挂软件的运行，只是改变了网络游戏软件设定的游戏规则，影响程序的正常运行，导致服务器的加重，但并没有破坏计算机系统本身运行的安全性，明显不构成破坏计算机信息系统罪。

我们在辩护时，在重点考虑从以下几个方面来证明没有对计算机信息系统造成破坏和干扰。

（1）、运行是否崩溃，如DDoS攻击导致运行崩溃。

（2）、运行是否中断，如修改系统文件导致网络中断。

（3）、运行是否迟缓，如恶意软件不断占用计算机资源。

（4）、运行强制情况，如恶意软件不断自动下载。

（5）、运行干扰情况，如流量攻击导致不断弹出非正常对话框。

（6）、其他运行不能，如使信息系统原有功能失效，对信息系统进行加密等。

我们要注意，破坏计算机信息系统罪着重考察行为对计算机信息系统功能、数据或者应用程序的破坏程度，应理解为实质性的或者不可逆、难以修复的损害，且这种损害与计算机信息系统安全具有关联性，破坏的是计算机的核心数据和核心应用程序。

4、争取认定没有造成“严重后果”。破坏计算机信息系统罪是结果犯，只有造成严重后果才构成犯罪，在司法实践中，对严重后果的认定存在模糊之处，我们律师在辩护时，主要从破坏计算机信息系统的台数、计算机信息系统使用的用户、提供服务的时间，以及违法所得和经济损失等要素进行辩护，争取认定为没有造成严重后果。

从违法所得数额上来讲，根据《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》中第四条第三项的规定：违法所得五千元以上或者造成经济损失一万元以上的为后果严重;违法所得二万五千元以上或者造成经济损失五万元以上为后果特别严重。

在此类案件中，基本上每个被害人都会提出自己所遭受的经济损失，以此来要求犯罪嫌疑人赔偿或者加重对犯罪嫌疑人的处罚。在很多案件中，被害人提出的自己的经济损失往往都是夸大的损失，并非是真实的损失数额，而且在经过夸大之后，损失数额很容易就达到五万元后果特别严重的标准，现实司法实践中，对于损失具体如何计算，计算的依据是什么，并没有明确的规定，各个法院对此采取的标准也不相同。这种施用的混乱其实也给辩护律师提供了辩护空间，这就要求我们辩护律师在面对此类问题时，要认真审查所谓的经济损失，以免加重对当事人的处罚。

第三辩护思路：争取改变罪名，给被告人争取最轻的罪名认定。

计算机类犯罪存在罪名定性争议大的特点，常见的争议罪名有：非法控制计算机信息系统罪、盗窃罪、非法经营罪、侵犯著作权罪、破坏生产经营罪、敲诈勒索罪等。

这就需要我们律师对此罪犯罪有深入的研究、深刻的认识，只有知道常见的争议点和争议的原因，才能在争议中争取最轻的认定,我们需要从主观动机、技术原理、危害后果等多度进行综合分析，为犯罪嫌疑人（被告人）选择适当的罪名辩护。

第四辩护思路：争取从犯认定。

此类犯罪呈现出产业链的趋势，由于事实难以查清，组织架构、运行体系难以查清，在逃人员难以全部抓获等原因，就存在主犯从犯认定困难的情况，有争取从犯的空间，一旦认定成从犯，就会大幅度降低刑期。

张洪强律师，北京京师（济南）律所高级合伙人，刑事辩护部主任，依托北京京师律所全国大平台刑辩资源，深耕计算机网络犯罪十多年，办理过众多计算机犯罪案件（破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪以及提供非法侵入控制计算机信息系统程序、工具罪）。

本文为张洪强律师办案经验总结，希望对法律同仁办理计算机犯罪案件提供帮助和指导。