全国首例撞库打码案的法律适用分析

● /文

基本案情：浙江省杭州市余杭区人民法院经审理后查明：2015年1月左右，被告人叶某编写了“小黄伞”软件供他人使用，并绑定其开发的验证码识别（俗称“打码”）平台，该“小黄伞”软件结合“打码”平台即可通过撞库方式实现淘宝账号、密码批量验证并登陆。被告人叶某通过让他人在其开设的“小诚商铺”淘宝店上购买验证码充值卡方可使用其“打码”平台对图片验证码进行识别而获利，并将“打码”业务交由被告人张某协助完成，被告人张某在明知被告人叶某的“打码”平台用于批量登陆某宝账号的情况下，组织多名码工帮助被告人叶某“打码”，并从被告人叶某处收取好处费。

2015年1月左右至9月期间，被告人谭某通过下载使用被告人叶某编写的“小黄伞”软件、购买验证码充值卡，在被告人张某帮助“打码”的情况下，成某获取淘宝账号、密码2万余组，并将非法获取的淘宝账号、密码出售给他人，获取违法所得人民币25万余元。被告人叶某、张某通过向被告人谭某出售验证码充值卡，获取违法所得人民币49050元。

2018年5月18日，浙江省杭州市余杭区人民法院作出判决，认定被告人谭某犯非法获取计算机信息系统数据罪，判处有期徒刑三年，缓刑四年；被告人叶某犯提供侵入计算机信息系统程序罪，判处有期徒刑三年，缓刑四年；被告人张某犯提供侵入计算机信息系统程序罪，判处有期徒刑三年，缓刑三年。

余杭区人民法院（2017）浙0110刑初664号判决书对谭某、叶某、张某行为的定罪量刑是适当的。

一、谭某利用“小黄伞”软件非法获取淘宝公司计算机信息系统中的客户数据构成非法获取计算机信息系统数据罪

谭某为了出售他人个人信息牟利，从互联网上下载或者购买他人淘宝账户密码数据，并使用“小黄伞”软件进行验证真实性并提取用户的个人信息（包括邮箱地址、账号、密码、星级、注册时间、认证情况），然后，通过互联网对外出售，违法所得25万元。以上行为构成侵犯公民个人信息罪和非法获取计算机信息系统数据罪的竞合，以非法获取计算机信息系统数据罪定罪处罚是妥当的。具体分析如下：

（一）谭某的行为符合侵犯公民个人信息罪的重罪类型

邮箱地址、账号、密码、星级、注册时间、认证情况等信息属于公民个人信息，可能影响淘宝用户的财产安全等合法权益，谭某通过互联网下载、购买以及通过“撞库”非法获取公民个人信息超过5万组，其中有2万余组是真实账户密码等个人信息，将以上个人信息出售非法所得达到25万元。根据“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第5条和第6条的规定，属于情节特别严重，可以按照侵犯公民个人信息罪定罪，在3年以上7年以下有期徒刑的重罪法定刑区间内处罚。

（二）谭某的行为符合非法获取计算机信息系统数据罪的重罪类型

谭某通过“撞库”的手段从淘宝公司的计算机信息系统中获取用户数据符合非法获取计算机信息系统数据罪的重罪类型。谭某获取了前述5万以上用户数据，出售后非法获得25万元，根据“两高”《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称《解释》）第1条的规定，属于情节特别严重，可以按照非法获取计算机信息系统数据罪定罪，在3年以上7年以下有期徒刑的重罪法定刑区间内处罚。

（三）谭某的行为按照侵犯公共法益的非法获取计算机信息系统数据罪定罪处罚是妥当的

谭某的行为构成侵犯公民个人信息罪和非法获取计算机信息系统数据罪的竞合，按照侵犯公共法益的非法获取计算机信息系统数据罪定罪处罚是妥当的。相比于侵犯公民个人信息罪，非法获取计算机信息系统数据罪属于“扰乱公共秩序罪”，是侵犯公共法益的犯罪，谭某的行为是通过侵犯向公众提供网络服务的淘宝网计算机信息系统来实施，按照非法获取计算机信息系统罪定性，能全面反映谭某行为的侵犯公共法益和公众个人信息法益的特点。而且，谭某的行为符合的两罪的法定刑相同，不存在选择重罪适用的问题，按照较重的犯罪性质定罪，即以非法获取计算机信息系统数据罪定罪是妥当的。谭某具有判决书所述的从宽情节，该判决书的量刑结论适当。

二、叶某构成提供侵入计算机信息系统程序罪

叶某意图通过提供网络打码服务牟利，制作了“小黄伞”程序并在网上供人下载，该程序能批量校验淘宝用户账号密码，系“采用其他技术手段”非法获取带有星级、注册时间和ID等信息的用户数据；为了突破淘宝网的验证码安全技术措施，该程序能自动抓取验证码并传输到打码平台，由后台“码工”人工识别并反馈给“小黄伞”程序完成校验，并非法获取用户数据。以上行为符合提供侵入计算机信息系统程序罪的构成要件，以该罪定罪处罚是适当的。具体分析如下：

（一）“小黄伞”程序是专门用于非法侵入计算机信息系统的程序

该程序的前述功能是专门为突破淘宝公司的计算机信息系统安全保护措施和获取用户数据而设计。叶某不仅有意设计了以上程序，还为了突破淘宝公司的验证码安全措施，在网上寻找人工“打码”者，作为该程序运行的支持，并向程序的使用者收取“打码服务”费非法牟利。前台的校验功能模块和后台的人工“打码”功能是整个“小黄伞”程序的组成部分，这种进行非法侵入计算机信息系统获取用户数据的程序没有合法的用途，符合《解释》第2条第1项规定的“具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的”特征，是专门用于非法侵入《刑法》第285条第2款规定的计算机信息系统的程序。

（二）叶某的行为应按提供侵入计算机信息系统的程序罪的重罪处罚

叶某为了非法牟利故意提供“小黄伞”程序，违法所得49050元，该程序还提供了非法获取用户数据的功能，情节特别严重，应按提供侵入计算机信息系统的程序罪的重罪处罚。根据《解释》第3条的规定，违法所得在5万元以上或者有其他特别严重情节的，属于“情节特别严重”。违法所得数额是评价“情节特别严重”的主要因素之一，同时，也要考虑其他因素。在该案中，叶某违法所得临近5万元，同时，其提供的“小黄伞”程序还有非法获取用户数据的功能，也正是该部分功能，使得谭某能非法获取用户的个人信息并出售，后者因素应当在评价“情节特别严重”中发挥重要作用。综合以上两方面的影响因素，应当认为，叶某的行为符合“情节特别严重”。需要注意的是，叶某支付给下游违法犯罪人的费用不应从其违法所得中扣除，这部分费用属于其犯罪活动的成本。

三、叶某与张某构成提供侵入计算机信息系统的程序罪的共同犯罪

叶某为了解决验证码识别问题，通过互联网找到张某提供“码工”，并使用叶某提供的打码程序提交识别结果。张某从叶某处得知他是做淘宝网扫号程序，明知叶某转过来的验证码图片数量巨大，属于严重违法活动，自己是在帮助叶某实现扫号程序的功能，仍然与叶某合作并申请成为后者的独家打码代理。虽然张某供述是在2014年12月和2015年2月知道叶某是做淘宝网扫号程序的，在这一时间段之前，张某已经认识到为叶某打码具有严重违法性，并在叶某告知其活动内容后继续为其打码，因此，应当认为张某对自己为叶某的扫号程序实现识别验证码功能具有事中故意。以上事实可以证明叶某与张某对提供“小黄伞”程序用于淘宝网扫号具有双向的意思联络，具有共同犯罪故意，同时，二者的行为共同为“小黄伞”程序的有效运行发挥了关键作用，符合典型的共同犯罪的构成特征，应当认定为提供侵入计算机信息系统的程序罪的共同犯罪。由于验证码安全措施对拦阻不法侵入具有关键作用，张某和叶某二人的行为对“小黄伞”程序的运行都起到关键作用，前述判决书将二者都认定为主犯，符合客观事实，对二人的定罪量刑适当。

我国《刑法》第287条之二规定了独立的帮助信息网络犯罪活动罪，对明知他人利用信息网络犯罪而提供技术支持或帮助的，可以构成该罪。叶张二人的行为符合典型的共同犯罪特征，对二人按照提供侵入计算机信息系统的程序罪的共同犯罪是适当的，同时，还可以对张某的行为进行独立评价。张某明知叶某批量识别验证码与非法侵入淘宝网计算机信息系统有直接联系，本人为其打码属于明知他人利用信息网络犯罪而为其提供技术支持，仍然与其合作并成为独家代理，组织实施了巨量的打码识别活动，构成情节严重，可以认定为帮助信息网络犯罪活动罪。张某的行为属于帮助信息网络犯罪活动罪与提供侵入计算机信息系统的程序罪重罪共犯的竞合，由于帮助信息网络犯罪活动罪相对于提供侵入计算机信息系统的程序罪的重罪类型的处罚较轻，应当按照后罪定罪处罚。

四、其他问题

在网络空间环境中，网络犯罪呈现家族化、社会化、产业化和交易链化发展趋势，应当适应网络犯罪的新发展采取合法、有效的刑法应对方法，对网络犯罪予以全过程的惩治。从本案看，谭某、叶某和张某三人相互不认识也无交往，是在非法利益链的运行中依靠网络服务平台发生联系，犯罪人之间往往难以满足共同犯罪的构成条件，因此，既要对犯罪活动进行整体评价，也需要根据实际情况对各犯罪活动进行独立评价。叶某对谭某等“小黄伞”程序的使用者的具体犯罪活动仅有概括的认识，难以认定为谭某所犯罪行的共同犯罪，只能对叶某的行为进行独立评价，将其认定为提供侵入计算机信息系统的程序罪。张某和叶某之间具有典型的共同犯罪意思联络，这是二者可以认定为共同犯罪的关键。如果二人没有具体的聊天，张某不知道叶某的具体犯罪活动，即提供淘宝网扫号程序，则无法认定张某有提供侵入计算机信息系统的程序罪的共同犯罪故意，只能对其行为进行独立评价，认定为帮助信息网络犯罪活动罪。因此，审判网络犯罪串案，不应固守传统犯罪网络化和共同犯罪的处罚思路，还应有效运用独立的新型网络犯罪立法，对网络犯罪产业链上的各个独立环节行为进行独立的刑法评价。

网络服务提供者在网络犯罪中发挥了关键作用。在本案中，他人搭建的网站对叶某和张某等犯罪人联络和分发打码任务起到了关键作用，按照本案查明的情节，其行为可以认定为非法利用信息网络罪的“设立用于违法犯罪活动的网站”行为，如果查明事实齐备该罪的构成要件且情节严重的，应当追究其刑事责任。