沒有書面授權不測別人的系統，「出於好意」和「事後上報」都不是出罪理由

成本

不花錢。參加廠商 SRC 或者眾測之前，先拿到寫明授權範圍、目標清單和可測時間段的檔案。SRC 是廠商自己辦的安全應急響應中心，專門接收外部報來的漏洞。驗證到漏洞確實存在就停手。難在放棄「順手試一下」這一下

收益

普通公司和個人的系統，屬於國家事務、國防建設、尖端科學技術領域以外的計算機資訊系統。侵入這類系統，或者採用其他技術手段，拿到裡面儲存、處理、傳輸的資料，情節嚴重的判 3 年以下有期徒刑或者拘役，並處或單處罰金。特別嚴重的判 3 到 7 年並處罰金。「情節嚴重」有幾條標準：拿到支付結算、證券交易、期貨交易等網路金融服務的身份認證資訊（帳號密碼這類）10 組以上；拿到其他身份認證資訊 500 組以上；非法控制計算機資訊系統 20 臺以上；違法所得 5000 元以上，或者造成經濟損失 1 萬元以上。上面這些數字的 5 倍以上，就是「情節特別嚴重」。官方案例：檢例第 36 號確立了一句話，「超出授權範圍使用帳號、密碼登入計算機資訊系統，屬於侵入計算機資訊系統的行為」。意思是手裡本來就有帳號密碼，但用在授權範圍以外，這個行為本身就算侵入。該案三人用工作中掌握的帳號、密碼和令牌，異地登入公司內部系統，下載了不屬於工作範圍的資料，拿到網上出售，違法所得 37000 元。三人分別判 4 年、3 年 9 個月、4 年，各罰 4 萬元（全國）

備註

檢例第 36 號那個指導性案例，本身是賣資料牟利的案子。引它只是為了「超出授權範圍登入也算侵入」這一句，不是說善意測試會判得一樣重。你本意想幹什麼、事後有沒有上報，都不能把罪名抵消掉，只可能影響判多重、起不起訴。廠商先道謝、回頭再報案，兩件事並不矛盾，道謝不等於授權。2016 年，一名白帽子把世紀佳緣網站的漏洞提交到第三方漏洞平臺，後來世紀佳緣報了警，他被抓。世紀佳緣對記者說，報警是因為有資料被人拿走，當時不知道拿資料的就是提交漏洞的人。此案只有媒體報道，沒有判決，也沒有官方通報，最後怎麼處理沒有官方說法。最高法、最高檢官網上也沒找到能逐字核對的善意測試類案例，所以本條只按法條和處罰標準定級。要做就走廠商公開的 SRC，或者有書面委託的測評，把範圍、目標和時間視窗都寫進檔案。證明漏洞存在用最少的證據，不批次取資料。夠不上犯罪的那一檔也要挨治安處罰，還有從業禁止，罰款數額和年限同第 11 節第 8 條（不在別人的機器上跑自己的程式）。發現漏洞之後怎麼處理，見第 11 節第 10 條（漏洞按規定報送）。

證據等級

A : 有具體數字，來自薈萃分析、大型佇列或隨機試驗；法律政策類指引到了法條或官方原文.

來源

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

原書第 11 節第 9 條. 這一節講法律規定，只作一般參考，不構成法律意見；自己的案子請諮詢律師或當地法律援助機構。 內容可能過時，不少政策各地執行不一樣，真去辦事、看病、打官司時以當地部門、醫生和律師的說法為準。 免責宣告