No probar sistemas ajenos sin autorización por escrito: ni la «buena intención» ni informar después eximen de responsabilidad

Coste

No cuesta nada. Antes de participar en el SRC (安全应急响应中心, el centro de respuesta de seguridad que mantiene cada fabricante) o en pruebas colectivas, consigue un documento que indique el alcance de la autorización, la lista de objetivos y el periodo de prueba permitido. Cuando confirmes que la vulnerabilidad existe, para. Lo difícil es renunciar al «ya que estoy, lo pruebo».

Qué ganas

Los sistemas de empresas y particulares que no pertenecen a los ámbitos de asuntos de Estado, defensa nacional o ciencia y tecnología punta son sistemas informáticos ordinarios. Entrar en ellos, o usar otros medios técnicos para obtener los datos que almacenan, procesan o transmiten, en casos graves se castiga con hasta 3 años de prisión o arresto (拘役), con multa, o solo con multa. En casos especialmente graves, de 3 a 7 años de prisión con multa. «Caso grave» tiene varios criterios: obtener 10 o más pares de credenciales de servicios de red financieros (pagos, valores o futuros); obtener 500 o más pares de otras credenciales; controlar 20 o más equipos; tener ingresos ilícitos de 5000 yuanes o más, o causar pérdidas económicas de 10.000 yuanes (1 万) o más. 5 veces esas cifras o más es «caso especialmente grave». Caso orientativo n.º 36 (检例第 36 号): establece la frase «usar cuentas y contraseñas fuera del alcance autorizado para entrar en un sistema informático constituye intrusión en el sistema». Es decir, aunque ya tengas la cuenta y la contraseña, usarlas fuera del alcance autorizado es en sí intrusión. En ese caso, tres personas usaron cuentas, contraseñas y tokens de su trabajo para entrar desde fuera en el sistema interno de la empresa, descargaron datos que no eran de su trabajo y los vendieron en internet con 37.000 yuanes de ingresos ilícitos. Fueron condenados respectivamente a 4 años, a 3 años y 9 meses y a 4 años, con multas de 40.000 yuanes (4 万) cada uno.

Notas

El caso orientativo n.º 36 es un caso de venta de datos con ánimo de lucro. Lo cito solo por la frase «usar cuentas fuera del alcance autorizado también es intrusión»; no significa que las pruebas de buena fe se castiguen igual. Lo que quisieras hacer y si informaste después no eliminan el delito; solo pueden influir en cuánto se castiga y en si se acusa. Que el fabricante te dé las gracias y después denuncie no es contradictorio: agradecer no equivale a dar autorización. En 2016, un hacker ético (白帽子) envió una vulnerabilidad del sitio de citas Century Jiayuan (世纪佳缘) a una plataforma de terceros; después el sitio presentó denuncia y lo detuvieron. La empresa dijo a la prensa que denunció porque se habían sacado datos, y que no sabía que quien los sacó era quien había enviado la vulnerabilidad. Este caso solo tiene cobertura de medios, sin sentencia ni comunicado oficial, así que no hay versión oficial de cómo se resolvió. No he encontrado en las páginas oficiales de la Fiscalía Popular Suprema ni del Tribunal Popular Supremo casos de pruebas de buena fe que pueda comprobar palabra por palabra, así que esta entrada se clasifica solo según la ley y los criterios de sanción. Si vas a hacerlo, usa el SRC que publique el fabricante, o una evaluación con encargo escrito, y pon el alcance, los objetivos y el periodo en el documento. Para demostrar que la vulnerabilidad existe, usa la mínima evidencia y no extraigas datos en masa. Por debajo del umbral del delito también hay sanción administrativa y prohibición de ejercer, con las mismas multas y plazos que en §11.8 (ejecutar tu programa en máquinas ajenas). Qué hacer con la vulnerabilidad una vez encontrada, véase §11.10 (comunicar las vulnerabilidades según la norma).

Nivel de evidencia

A : Cifras concretas de metaanálisis, grandes cohortes o ensayos aleatorizados; en leyes y políticas, el texto legal u oficial.

Fuentes

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Traducido del original en chino. Libro original, sección 11, consejo 9. Esta sección describe normas legales, sobre todo de China continental. Es información general, no asesoramiento jurídico. El contenido puede estar desactualizado y las normas cambian según el lugar. Cuando hagas un trámite, vayas al médico o a juicio, sigue lo que te digan la administración, el médico o el abogado. Aviso legal