Não testar sistemas de terceiros sem autorização escrita; «boa intenção» e «relatar depois» não são motivo para isentar

Custo

Não custa nada. Antes de participar de um programa de vulnerabilidades (SRC) de fornecedor, ou de um teste colaborativo, obtenha um documento que indique o escopo da autorização, a lista de alvos e o período de testes permitido. O SRC é o centro de resposta a emergências de segurança criado pelo próprio fornecedor para receber vulnerabilidades reportadas de fora. Confirmada a existência da falha, pare. O difícil é abrir mão do «só testar mais um pouco».

O que você ganha

Sistemas de informação de computadores de empresas e pessoas comuns, que não pertencem às áreas de assuntos do Estado, defesa nacional ou ciência e tecnologia de ponta. Invadir esses sistemas, ou usar outros meios técnicos para obter dados armazenados, processados ou transmitidos neles, em casos graves, pode levar a pena de até 3 anos ou detenção, com multa cumulativa ou isolada. Em casos especialmente graves, de 3 a 7 anos com multa. «Gravidade» tem vários critérios: obter 10 pares ou mais de informações de autenticação de serviços financeiros online, como pagamentos, liquidação de valores mobiliários e operações de futuros; obter 500 pares ou mais de outras informações de autenticação; controlar 20 aparelhos ou mais; lucro ilícito de 5.000 yuans ou mais, ou prejuízo econômico de 10.000 yuans ou mais. Cinco vezes ou mais esses valores configuram «gravidade especial». Caso orientador 36 estabeleceu: «usar contas e senhas além do escopo autorizado para entrar em sistema de informação de computador configura invasão». Ou seja, mesmo quando se tem a senha, usá-la fora do escopo autorizado é invasão. Nesse caso, três pessoas usaram contas, senhas e tokens obtidos no trabalho para entrar remotamente no sistema interno da empresa, baixaram dados fora do escopo de trabalho e venderam na internet, com lucro ilícito de 37.000 yuans. Foram condenadas a 4 anos, 3 anos e 9 meses e 4 anos, com multa de 40.000 yuans cada (nacional).

Observações

O caso orientador 36 tem como essência a venda de dados para lucro. Ele é citado apenas pela frase «entrar com conta e senha fora do escopo autorizado é invasão»; não quer dizer que um teste de boa-fé seria punido com a mesma pena. Sua intenção e o fato de ter relatado depois não anulam o crime; eles só podem influenciar a dosagem da pena ou a decisão de não processar. Um fornecedor agradecer e depois registrar queixa não é contraditório; agradecer não equivale a autorização. Em 2016, um hacker ético reportou uma falha do site Shijijiayuan a uma plataforma terceira de vulnerabilidades; depois, o site registrou queixa, e ele foi preso. O site disse à imprensa que a queixa foi feita porque dados tinham sido levados, sem saber que quem os levou era quem reportou a falha. O caso só tem reportagens na mídia, sem sentença nem comunicado oficial. Por isso, este item se baseia apenas na lei e nos critérios de punição. Para testar, use o SRC público do fornecedor, ou um teste com autorização escrita, com escopo, alvos e janela de tempo definidos no documento. Para provar a falha, use o mínimo de evidência e não colete dados em massa. Quem não chega ao crime ainda pode receber punição administrativa e proibição de atuar; os valores de multa e os anos seguem §11.8 (não rodar programas em computadores de outras pessoas). O que fazer depois de encontrar uma falha, veja §11.10 (relatar vulnerabilidades conforme a regra).

Nível de evidência

A : Números concretos de metanálises, grandes coortes ou ensaios randomizados; em leis e políticas, o texto legal ou oficial.

Fontes

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Traduzido do original em chinês. Livro original, seção 11, dica 9. Esta seção descreve regras jurídicas, sobretudo da China continental. São informações gerais, não orientação jurídica. O conteúdo pode estar desatualizado e as regras mudam de lugar para lugar. Ao resolver um trâmite, ir ao médico ou entrar na Justiça, siga o que disserem o órgão público, o médico ou o advogado. Aviso legal