編寫制作外掛程序、惡意腳本插件怎么定罪如何判刑判幾年？

摘要：編寫開發制作惡意代碼、秒殺搶購外掛程序軟件、瀏覽器劫持、廣告彈窗、外掛程序構成什么犯罪怎么判刑？

很多程序員法律意識淡薄，在自己技術變現時徘徊在灰色地帶或違法道路上渾然不知，不知道什么樣的數據不能抓取，什么樣的功能不能編寫，什么樣的需求應該直接拒絕。

隨著網絡黑產犯罪的多發，程序員和技術愛好者被指控涉嫌開發非法外掛軟件、惡意代碼、流氓程序構成犯罪的風險也越來越大，我們不要只埋頭寫代碼，還要經常審視自己所做的產品，考慮一下風險，雖然此類“技術鏈”犯罪存在法律漏洞，但作為技術人員，千萬不要高估自己的避險能力。

此類案件專業性極強，作為專業研究計算機類犯罪的律師，我也一直在思考，該如何才能化解程序員開發軟件程序的相關法律風險，該如何才能維護此類案件中技術人員的合法權益，為他們爭取到不立案、不批捕、不公訴、罪名不成立和最輕的處罰。

本文分兩部分：

一：制作外掛程序、惡意軟件的犯罪風險及定罪量刑標準。

二：如何爭取到無罪和最輕的處罰。

張洪強律師辦案經驗總結，禁止任何形式的轉載復制。

第一部分:制作外掛程序、惡意軟件的犯罪風險及定罪量刑標準

一、制作軟件程序的三大風險。

1、制作的程序被認定為病毒性程序。

2、制作的程序被認定為破壞性程序。

3、制作的程序被認定為專門侵入、控制計算機信息系統的程序和工具。

①具有“避開或者突破計算機信息系統安全保護措施”的功能。

②具有未經授權或者超越授權獲取計算機信息系統數據的功能。

③具有未經授權或超越授權對計算機信息系統實施控制的功能。

二、定罪量刑標準。

制作外掛程序、惡意軟件主要涉嫌以下四個罪名，具體量刑標準如下：

1、涉嫌破壞計算機信息系統罪。量刑標準：①后果嚴重的，處五年以下有期徒刑或者拘役；②后果特別嚴重的，處五年以上有期徒刑。

2、涉嫌非法控制計算機信息系統罪。量刑標準：判決三年以下有期徒刑或者拘役，情節特別嚴重的，判決三年以上七年以下有期徒刑。

3、涉嫌提供非法侵入控制計算機信息系統程序、工具罪。量刑標準：①銷售對象達20人次或者違法所得達到5000元，處三年以下有期徒刑或者拘役；②如果銷售人次達到100人，或者收入達到25000元，即屬情節特別嚴重，處三年以上七年以下有期徒刑。

4、涉嫌非法獲取計算機信息系統數據罪。量刑標準：判決三年以下有期徒刑或者拘役，情節特別嚴重的，判決三年以上七年以下有期徒刑。

惡意軟件和外掛程序種類繁多，不同外掛的制作、運行原理不同，涉嫌的罪名也不同，隨著網絡計算機技術的發展，惡意代碼和外掛技術不斷的更新換代，存在法律漏洞在所難免，只有詳細分析每一款惡意軟件、外掛程序的制作、運行原理，認清外掛的制作具體需要破解的內容，才能具體分析出某一種外掛行為涉嫌何種罪名。 我們律師在辦理案件時要充分發揮專業性，從外掛的制作運行原理的技術角度爭取最輕的罪名不成立以及最輕的認定。

第二部分：爭取無罪和最輕處罰的一些技巧

當前對于外掛程序、惡意軟件與計算機病毒、破壞性程序的界定缺乏規范性的指導文件，導致在一些案件中出現了盲目將惡意軟件、外掛程序認定為計算機病毒、破壞性程序，將不正當商業競爭行為認定為犯罪的錯誤傾向。

辦理外掛犯罪案件不僅面臨法律問題,也時刻面臨錯綜復雜的技術問題，當前公檢法機關對外掛的分類及運行原理不明確，定罪混亂，有些辦案人員在辦理外掛類案件時，對于外掛的具體內容、制作的方式、包括的程序內容、運行原理、實現的功能等不能熟練掌握，知識儲備不夠、辦案經驗不足，導致定性不準、甚至定性錯誤，有時出現輕罪重判的現象，這對外掛的從業者是不公平的。例如金某、李某外掛案件，二人銷售外掛卡密賺取差價，一審被判五年，二審改判緩刑，為什么刑期差距這么大，因為二審經過努力改變了罪名，由非法經營罪改判提供侵入、非法控制計算機信息系統程序、工具罪。周某龍外掛案，一審判決有期徒刑五年，二審改判為兩年9個月，罪名也由提供侵入、非法控制計算機信息系統的程序、工具罪改判為銷售侵權復制品罪。

這就需要我們律師在辦理此類案件時，必須足夠專業，才有可能爭取到不立案、不批捕、不公訴、最輕的定性和處罰。

一、從證據上辯護。是否有充分證據證明涉案的外掛程序、惡意軟件代碼是犯罪嫌疑人開發或銷售。

為了防止被溯源追蹤，目前部分惡意軟件作者和團隊已經具備溯源對抗意識并開始采用溯源對抗甚至偽造手段，在惡意代碼發布之前，對代碼文件進行痕跡(如生成時間、時區、特殊字符串、語言、C&C域名、團隊代碼特征、開發壞境等)消除、偽造或混淆處理，另外，大量使用加殼和代碼加固方案，也提升了代碼痕跡被提取分析的難度。在很多此類案件中經常是代理充當刀下之鬼，真正的作者難以被定罪。

我們律師在辦理案件時主要從以下兩個方面努力爭取事實不清、證據不足。

1、從證據體系入手，審查證據是否充分：

①是否從被扣押、封存的涉案電腦、U盤等原始存儲介質中收集、提取相關的電子數據。面對各種各樣善于偽裝隱藏的木馬、病毒、惡意程序、外掛軟件該如何提取分析，并固定證據成為一項重要工作。

②是否對涉案程序、被侵入的計算機信息系統及電子數據進行勘驗、檢查后制作筆錄。

③是否能夠證實涉案程序的技術原理、制作目的、功能用途和運行效果的書證材料。

④是否有涉案程序的制作人、提供人、使用人對該程序的技術原理、制作目的、功能用途和運行效果進行闡述的言詞證據，是否有展示涉案程序功能的視聽資料。

⑤是否有能夠證實被侵入計算機信息系統安全保護措施的技術原理、功能以及被侵入后果的專業人員的證言等證據。

2、按照以下幾步來審查相關證據，看能否切斷證據鏈。

在外掛犯罪案件中，證據一般都是圍繞人員架構、資金流和網絡痕跡，我們律師要重點審查人員鏈、資金流和網絡痕跡的相關證據，看能否找到證據存在的問題，切斷證據鏈。

第一步: 審查涉案外掛程序中是否留有代表作者身份信息的字符串信息，該字符串信息能否指向犯罪嫌疑人。

第二步：審查被告人電腦、手機中是否檢測出惡意代碼、外掛程序的相關文件、程序，是否與公安機關提取的涉案外掛程序一致，主要包括文件名、目錄名、md5值、MAC等是否一致的質證。

第三步：是否存在ip地址吻合的情況，銷售平臺、下載網址等ip地址是否與被告人的電腦、qq、郵箱、微信、微博等個人賬戶的登錄ip地址一致，審查虛擬主機、域名、解析記錄、上網日志情況。

第四步：審查資金鏈的證據指向。資金鏈證據包括：銷售平臺的域名、ip地址、管理頁面截圖（證實充值金額）、銷售網站的會員消費記錄、銀行賬戶交易清單、支付寶交易流水、轉賬記錄等。 我們在辦案時要審查是否有充分證據證明涉案資金流向了被告人這里。

第五步：審查人員鏈證據,即‘同案犯指認→被告人’的證據指向。

在很多案件中，公安機關只抓獲黑色產業鏈一個環節上的犯罪嫌疑人，從這些被抓獲的嫌疑人這里找證據指向其他環節的人，隨著網絡黑產從業者反偵察能力的提高，公安機關在取證時要找到“由人到人”的證據鏈越來越困難。

我們律師在處理案件時要審查證據中的聊天記錄、轉款記錄、通話記錄、聯機記錄等，看是否有充分證據證明他們之間有預謀、有聯系，爭取切斷“由人到人”的證據鏈。

①審查上下線之間的供述是否吻合。

②審查聊天記錄問題。此類案件，同伙之間多使用境外聊天軟件，我遇到的有whatsapp、蝙蝠、飛機等，這些聊天軟件不需要實名注冊，一般都支持看后即焚、雙向撤回等功能，警方在面對有反偵察能力的代理時有時候取證是非常困難的。我們在辦理案件時，可以從以下三個角度入手：

首先，能否證明聊天賬號是被告人在使用。

其次，聊天記錄的取證是否合法。有些辦案機關為了省事，可能僅僅對聊天記錄截圖打印或拍照，這是不符合電子證據取證規則的。

再次，審查聊天內容能否證明存在犯罪行為。

③審查同案犯之間的轉賬記錄，是否有證據證明該轉賬的性質。

二、從基本工作原理、功能上辯護。

（1）爭取認定為：不是病毒、破壞性程序。

我們律師在辦理案件時，要從涉案程序的特點、植入方式、運行狀態、危險函數、啟動方式、權限列表等方面進行分析，根據對計算機影響后果和方式來爭取認定為不是病毒、破壞性程序。

1、是否具有自我復制、自我傳播功能。

病毒等破壞程序應具有可自我復制、廣泛傳播的特性，或能夠自動爆發造成計算機系統被破壞。相比之下，外掛和流氓程序的使用可能造成垃圾數據堆積致使服務器負荷超載，但程序本身并不具有破壞性，也不具有廣泛的“傳染性”，因此流氓軟件和外掛程序并不能認定為破壞性程序的范圍之中。

2、是否具有增加、修改、刪除、干擾計算機信息系統的功能。

一些外掛程序、優先搶單、秒殺軟件、自動點擊軟件、綁架、劫持等流氓軟件具有強制安裝、靜默安裝、難以卸載、瀏覽器劫持、廣告彈出、惡意捆綁等特征，從表面上看觸犯了《刑法》第 286 條所規定的破壞計算機信息系統罪，但如果仔細分析辯護，其實很多流氓軟件不對計算機信息系統的功能進行刪除或增加、也不具有自我復制、自我傳播的功能。

①由于軟件編程技術低下，質量不高，兼容性差，意外的影響了計算機信息系統的運行，即使后果嚴重，也不能認為是犯罪。

②在很多外掛軟件、惡意程序案件中，涉案的程序只會造成系統的卡頓，不會對系統文件增加、刪除、修改。

例如，運行機理為修改被掛軟件代碼的外掛軟件、攔截被掛軟件封包的外掛軟件或獨立型外掛軟件均不具有同時對計算機信息系統的數據和應用程序進行刪除、修改、增加的功能，制作銷售該三類外掛軟件相關行為均不會觸犯到破壞計算機信息系統罪。

③直接模擬鼠標或鍵盤動作的外掛軟件，一般不能認定為犯罪。例如一些游戲外掛軟件以及一些搶購秒殺軟件。

此類外掛軟件這類外掛程序具體的開發技術是，使用腳本文件并制定一個操作序列，這個操作序列由鼠標或鍵盤的移動位置和點擊動作組成。只能模擬鼠標或鍵盤發出的信號，適用于所有響應鍵盤和鼠標信號并有圖像界面的程序，其典型代表軟件是按鍵精靈。

這類外掛軟件沒有修改、替換被掛軟件的代碼，也沒有攔截相應的數據包等，只是模擬鼠標或鍵盤，超出被掛軟件規則的操作是無法實施的，并沒有破壞被掛軟件設定的規則。

2、是否會對“計算機信息系統中存儲、處理或者傳播的數據、計算機應用程序”造成破壞。

我們要注意，很多外掛程序、流氓軟件程序僅為自身功能的實現，不與計算機本身的系統程序、應用程序、數據等刑法保護的對象發生關系。例如強制、修改計算機用戶IE 瀏覽器、增加開機啟動項和桌面圖標等。

（2）爭取認定為：不屬于侵入、控制計算機系統的程序工具。

1、是否具有避開或者突破計算機信息系統安全保護措施的功能。

結合被侵入的計算機信息系統的安全保護措施，分析涉案程序是否具有避開或者突破計算機信息系統安全保護措施的功能。

①有些外掛是利用開放接口的系統外掛，因其僅對計算機操作系統的應用程序進行修改，而操作系統和驅動程序本身會開放一些編程接口(API)讓用來開發程序，利用這種接口做外掛本身也是被允許的，因而并不需要“避開”或“突破”計算機信息系統安全保護措施，因此這種行為就不算“侵入”計算機信息系統。

②是否繞過或避開了目標網站的驗證機制，是否具有破解登錄接口、密碼加密算法等突破網站賬號登錄的風控、反爬安全措施的功能。

常見的驗證機制有驗證碼驗證、滑塊手動驗證等。如果某款搶購外掛軟件接入打碼平臺或通過其他方式突破某網站數字驗證、圖片驗證等措施，則有可能被認定為具有避開或者突破計算機信息系統安全保護措施的功能。

③是否通過自動撥號自動更換IP地址等技術手段突破目標網站安全防火墻對同一IP地址不能頻繁發送網絡需求的限制。

④是否會以非常規的方式構造虛假網絡需求發送給目標網站的服務器。

如果外掛程序針對的目標網站本身沒有驗證碼機制，或者外掛軟件僅僅是模擬手動操作，并沒有對計算機的安全以及計算機信息系統造成威脅，僅僅是一種輔助系統，不能夠將其認定為侵入或者控制計算機信息系統的程序或者工具。

例如針對12306的一些搶票軟件，因為12306 網站取消圖形驗證碼，搶票軟件購買火車票無需再獲取網站的驗證碼信息，這使得大部分的搶票軟件都不用做到“侵入、控制”計算機信息系統的地步就能夠實現“搶票”功能的正常運行。

從技術層面上看，目前流通的“搶票軟件”均是基于 12306 售票系統的規則所開發的，僅需要通過程序重復模擬用戶手動登錄，以多次刷新的形式時刻監控相關車次的出票情況，以便在出票后第一時間將車票收入囊中。但是并不是所有的搶票軟件都未觸犯刑事法律，如果該搶票軟件運用了特殊的技術手段來達到搶票成功的目的，則仍然可能觸犯相關刑事法律。

2、是否具有“控制”計算機信息系統的功能。

“控制”行為，是指通過各種技術手段，使他人計算機信息系統處于其掌控之中，能夠接受其發出的指令，完成相應的操作活動。例如在其他程序下載包中安裝后門程序，控制他人電腦當肉雞、靜默卸載或下載等。

①外掛軟件并不是木馬程序，無論行為人使用何種外掛軟件，其本人的計算機信息系統是完全受自己控制的，不會使合法用戶不能按照其意愿來控制計算機信息系統。即外掛軟件使用者的計算機信息系統沒有被控制。無論針對何種外掛軟件實施何種外掛軟件相關行為，都不會觸犯非法控制計算機信息系統罪。

②有些外掛程序未經授權或超越授權給服務器發送數據，但是這些數據并不影響服務器端的計算機信息系統的合法用戶對其進行完全的控制，實現應有的功能。

例如有些搶購軟件通過構造虛假網絡需求發送數據包的行為以及批量下單的行為。在游戲外掛中，如果只是通過攔截游戲進程數據的方式對游戲服務器加以“欺騙”，游戲服務器的正常運行不受影響，只是由于各種破解了通訊協議，通過“自動”的設定，打破了游戲的平衡、進程，對游戲造成了干擾，這種干擾遠遠達不到控制計算機信息系統的效果，更不具備控制游戲服務器的能力，該類外掛軟件不構成提供侵入、非法控制計算機信息系統的程序、工具罪。

③預裝SDK工具包，推送廣告行為的定性問題。廣告SDK是一種運行程序，在運行過程中，并不影響手機用戶對手機的使用。從影響的程度上看，也是十分有限，達不到通過刑事評價的程度。

④外掛是否具有侵入目標網站客戶端、服務器的功能。我們要注意外掛程序攔截數據與超越授權獲取數據的區別。

破譯通信協議，進行數據包攔截、修改與操作的外掛，因為是在客戶端與服務器交換數據時實現作弊，該類外掛的實質是中途截獲修改數據，并未對游戲進程中的數據通過入侵服務器的方式實際獲取，并不具有實際侵入客戶端、服務器的功能。

在馮某外掛案件中，法院最終認定檢察院指控罪名不成立，馮某不構成提供侵入、非法控制計算機信息系統程序、工具罪，理由是：從該外掛的運行機理來看，其僅是通過截獲并修改游戲客戶端發送的數據欺騙服務器進而達到一定的游戲效果或體驗，該外掛并未實際侵入游戲的客戶端、服務器端，雖然干擾了網絡游戲系統的正常運行，但尚未達到控制計算機信息系統的程度，也并未破壞網絡游戲運行系統。

三、從后果上爭取。

某些外掛軟件、惡意程序在一定程度上會影響到計算機用戶的正常使用，然而不會造成整個計算機信息系統的不正常運行，若認定該行為構成破壞計算機信息系統罪，則罪責失衡。

在判斷某款外掛軟件、惡意程序的危害性時，可以從以下幾個方面考慮。

其一，在整體層面對于其主要功能進行刪除、修改、增加或者干擾等操作，致使計算機信息系統嚴重脫離正常運行的狀態甚至喪失基本功能。

其二，對于計算機信息系統中存儲、處理或者傳輸的數據以及應用程序而言，主要表現為違反國家規定對上述對象進行刪除、修改或者增加的操作，進而使數據或者應用程序處于嚴重不正常運行狀態。

其三，對于涉及計算機病毒等破壞性程序的場合，主要表現為故意制作或者傳播所涉破壞性程序，致使計算機信息系統整體或者系統中的數據、應用程序等處于嚴重異常運行狀態。

時間原因，今天就簡單說這些。關于對詳細證據的質證技巧，有時間在分享，最后，我想說的是我們律師掌握專業知識的必要性。

惡意代碼、外掛程序犯罪案件屬于新型犯罪案件，如果我們沒有接觸過研究過，在和被告人交流的時候可能就很難，很難形成一種默契，犯罪嫌疑人往往需要向律師解釋他們是怎么做的，為什么這么做，結果說了半天，律師自己沒聽明白是怎么回事，也就沒法找到案件中的問題，導致辦案結果不是很理想。這類犯罪是新型犯罪，與傳統犯罪不同，需要律師對計算機、網絡技術案件有深入研究。

最后，還要說一下的是，隨著司法打擊力度的加大，技術愛好者、程序員千萬不要迷信自己的計算機技術高超，能不留下任何證據，一旦被發現，即使最后爭取到事實不清、證據不足，罪名不成立，這中間的過程也是極為煎熬和痛苦。

作者：張洪強律師，禁止轉載復制，張洪強律師專注于計算機網絡犯罪研究。