没有书面授权不测别人的系统，「出于好意」和「事后上报」在法条里都不是出罪理由

谁该做，谁先别做

做渗透测试、漏洞挖掘、SRC 众测的安全研究者，包括业余爱好和白帽子。手里有客户给的账号密码的人，更要先看清授权范围到哪。

花掉什么

换回什么

普通公司和个人的系统，属于国家事务、国防建设、尖端科学技术领域以外的计算机信息系统。侵入这类系统，或者采用其他技术手段，拿到里面存储、处理、传输的数据。这样做情节严重的，判 3 年以下有期徒刑或者拘役，并处或单处罚金。特别严重的判 3 到 7 年并处罚金。「情节严重」有几条标准：拿到支付结算、证券交易、期货交易等网络金融服务的身份认证信息（账号密码这类）10 组以上；拿到其他身份认证信息 500 组以上；非法控制计算机信息系统 20 台以上；违法所得 5000 元以上，或者造成经济损失 1 万元以上。上面这些数字的 5 倍以上，就是「情节特别严重」。官方案例：检例第 36 号确立了一句话，「超出授权范围使用账号、密码登录计算机信息系统，属于侵入计算机信息系统的行为」。意思是手里本来就有账号密码，但用在授权范围以外，这个行为本身就算侵入。该案三人用工作中掌握的账号、密码和令牌，异地登录公司内部系统。他们下载了不属于工作范围的数据，拿到网上出售，违法所得 37000 元。三人分别判 4 年、3 年 9 个月、4 年，各罚 4 万元（全国）

怎么做 · 三步

1. 动手前要一份写明授权范围、目标清单、可测时间段的书面文件
2. 验证到漏洞确实存在就停手，别再顺手往下导一张用户表
3. 别用工作里拿到的账号密码登授权范围以外的系统

关键数字

500 组

拿到其他身份认证信息多少组算情节严重

10 组

金融类身份认证信息的入罪组数

37000 元

检例第 36 号里三人卖数据的违法所得

常见坑

好意和事后上报在法条里都不是出罪理由：刑法和 2011 年的解释都没写这两条，只可能影响判多重；厂商道谢也不等于授权。

作者备注

检例第 36 号那个指导性案例，本身是卖数据牟利的案子。引它只是为了「超出授权范围登录也算侵入」这一句，不是说善意测试会判得一样重。刑法第二百八十五条和 2011 年那份解释，都没有把好意和事后上报写成不算犯罪的理由。作者据此推断：你本意想干什么、事后有没有上报，都不能把罪名抵消掉，只可能影响判多重、起不起诉。厂商先道谢、回头再报案，两件事并不矛盾，道谢不等于授权。2016 年，一名俗称「白帽子」的安全研究者，把世纪佳缘网站的漏洞提交到第三方漏洞平台。后来世纪佳缘报了警，他被抓。世纪佳缘对记者说，报警是因为有数据被人拿走，当时不知道拿数据的就是提交漏洞的人。此案只有媒体报道，没有判决，也没有官方通报，最后怎么处理没有官方说法。最高法、最高检官网上也没找到能逐字核对的善意测试类案例，所以本条只按法条和处罚标准定级。要做就走厂商公开的 SRC，或者有书面委托的测评，把范围、目标和时间窗口都写进文件。证明漏洞存在用最少的证据，不批量取数据。够不上犯罪的那一档也要挨治安处罚，还有从业禁止，罚款数额和年限同第 8 条（不在别人的机器上跑自己的程序）。发现漏洞之后怎么处理，见第 10 条（漏洞按规定报送）。

出处