Không kiểm thử hệ thống của người khác khi chưa có văn bản ủy quyền; «làm với thiện ý» và «báo cáo sau khi làm» đều không phải lý do để thoát tội

Chi phí

Không tốn tiền. Trước khi tham gia SRC hay thử nghiệm cộng đồng (众测), hãy lấy được văn bản ghi rõ phạm vi ủy quyền, danh sách mục tiêu và khung thời gian được thử. SRC là trung tâm ứng cứu an ninh do chính nhà cung cấp lập ra, chuyên tiếp nhận lỗ hổng do bên ngoài báo về. Xác nhận lỗ hổng có thật thì dừng lại. Khó ở chỗ phải bỏ cái việc «tiện thể thử một chút».

Bạn được gì

Hệ thống thông tin máy tính của doanh nghiệp và cá nhân thông thường, không thuộc lĩnh vực quốc gia, quốc phòng, khoa học công nghệ tiên tiến. Xâm nhập loại hệ thống này, hoặc dùng biện pháp kỹ thuật khác để lấy dữ liệu được lưu trữ, xử lý, truyền trong đó: nếu tình tiết nghiêm trọng thì tù có thời hạn dưới 3 năm hoặc giam ngắn hạn (拘役), có thể kèm hoặc chỉ phạt tiền; đặc biệt nghiêm trọng thì tù 3 đến 7 năm và kèm phạt tiền. «Tình tiết nghiêm trọng» có mấy tiêu chí: lấy được thông tin xác thực danh tính của dịch vụ tài chính trực tuyến như thanh toán, chứng khoán, kỳ hạn (ví dụ tài khoản mật khẩu) từ 10 cặp trở lên; thông tin xác thực danh tính khác từ 500 cặp trở lên; kiểm soát trái phép hệ thống thông tin máy tính từ 20 máy trở lên; thu lợi bất chính từ 5.000 nhân dân tệ trở lên, hoặc gây thiệt hại kinh tế từ 10.000 nhân dân tệ trở lên. Gấp 5 lần các con số trên trở lên là «tình tiết đặc biệt nghiêm trọng». Ví dụ chính thức: án lệ kiểm sát số 36 (检例第 36 号) xác lập một câu: «sử dụng tài khoản, mật khẩu để đăng nhập hệ thống thông tin máy tính vượt quá phạm vi được ủy quyền là hành vi xâm nhập hệ thống thông tin máy tính». Nghĩa là tài khoản, mật khẩu đã có trong tay, nhưng dùng ngoài phạm vi được phép thì chính hành vi đó đã là xâm nhập. Trong vụ này, 3 người dùng tài khoản, mật khẩu và mã thông báo có được trong công việc để đăng nhập từ xa vào hệ thống nội bộ công ty, tải dữ liệu không thuộc phạm vi công việc rồi rao bán trên mạng, thu lợi bất chính 37.000 nhân dân tệ. 3 người bị xử 4 năm, 3 năm 9 tháng và 4 năm tù, mỗi người phạt 40.000 nhân dân tệ (4 万元) (toàn Trung Quốc)

Ghi chú

Án lệ kiểm sát số 36 tự nó là vụ bán dữ liệu kiếm lời. Dẫn ra chỉ để lấy câu «đăng nhập vượt phạm vi ủy quyền cũng là xâm nhập», không có nghĩa là thử nghiệm với thiện ý cũng sẽ bị phạt nặng như vậy. Bạn định làm gì và có báo cáo sau hay không đều không xóa được tội danh, chỉ có thể ảnh hưởng đến mức án nặng hay nhẹ và có truy tố hay không. Nhà cung cấp cảm ơn trước, báo án sau, 2 việc không mâu thuẫn; cảm ơn không có nghĩa là đã ủy quyền. Năm 2016, một hacker mũ trắng (白帽子) gửi lỗ hổng của trang Thế Kỷ Giai Duyên (世纪佳缘) lên một nền tảng lỗ hổng bên thứ ba, sau đó trang này báo công an và anh ta bị bắt. Phía Thế Kỷ Giai Duyên nói với báo chí rằng họ báo công an vì có dữ liệu bị lấy đi, lúc đó không biết người lấy dữ liệu chính là người đã báo lỗ hổng. Vụ này chỉ có báo chí đưa tin, không có bản án hay thông báo chính thức nào, nên kết cục không có lời giải thích chính thức. Trên trang chính thức của Tòa án Nhân dân tối cao và Viện Kiểm sát Nhân dân tối cao chưa tìm được vụ thiện ý nào để đối chiếu từng chữ, nên mục này chỉ xếp hạng theo điều luật và mức xử phạt. Muốn làm thì đi qua SRC công khai của nhà cung cấp, hoặc đánh giá có ủy quyền bằng văn bản, ghi phạm vi, mục tiêu và khung thời gian vào hồ sơ. Chứng minh lỗ hổng tồn tại chỉ dùng bằng chứng tối thiểu, không lấy dữ liệu hàng loạt. Trường hợp chưa đến mức phạm tội vẫn bị xử phạt hành chính, còn có thể bị cấm hành nghề; mức phạt và thời hạn tương tự §11.8 (không chạy chương trình trên máy người khác). Sau khi phát hiện lỗ hổng xử lý thế nào, xem §11.10 (báo lỗ hổng đúng quy định).

Mức bằng chứng

A : Số liệu cụ thể từ phân tích gộp, nghiên cứu đoàn hệ lớn hoặc thử nghiệm ngẫu nhiên; với luật và chính sách, là văn bản chính thức.

Nguồn

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Dịch từ bản gốc tiếng Trung. Sách gốc, phần 11, mục 9. Phần này mô tả các quy định pháp luật, chủ yếu của Trung Quốc đại lục. Đây là thông tin chung, không phải tư vấn pháp lý. Nội dung có thể đã cũ và quy định mỗi nơi một khác. Khi làm thủ tục, khám bệnh hay kiện tụng, hãy theo hướng dẫn của cơ quan nhà nước, bác sĩ hoặc luật sư. Miễn trừ trách nhiệm