摘要：非法入侵网站怎么判刑？黑客入侵网站修改删除信息、植入广告链接、木马病毒、后门程序非法侵入控制计算机的定罪量刑**。网络黑客**比特币泰达币等虚拟货币是构成非法获取计算机信息系统数据罪还是**罪？被抓怎么定罪?

非法网络入侵、网络**案件频发，一些人往往有恃无恐，自信技术高超，能把自己的入侵和操作痕迹完全消除，隐藏自己的真实IP、擦除入侵过程中所产生的痕迹等，殊不知，这不仅仅是一场网**与黑客之间的追踪与反追踪的游戏，而是稍有不慎就会有牢狱之灾。

作为专业研究计算机网络犯罪的律师，我也在一直思索，如何才能在这类犯罪中以最专业的知识维护好被告人的合法权益，为他们争取到无罪和最轻的处理结果。

如何防止触犯计算机类犯罪，是每一个技术爱好者必须要面对的问题。

本文分两部分：

一、非法网络入侵、网络**的定罪量刑**。

二、如何从证据上争取罪名不成立和最轻的处罚。

张洪强律师办案**总结，禁止任何形式的转载复制剽窃，

第一部分：网络入侵、网络**的定罪量刑**。

一、常见的侵入行为涉嫌的罪名。

1、入侵国家事务、国防建设、尖端科学技术领域的计算机信息系统的，只要有入侵行为，就涉嫌非法侵入计算机信息系统罪。

2、侵入网站后，窃取相关电子数据、程序源码、虚拟币财产等。涉嫌非法获取计算机信息系统数据罪和**罪。

3、侵入网站后，植入木马或恶意程序，涉嫌非法控制或**计算机信息系统罪。

4、侵入网站后，存在修改数据行为，例如篡改高考志愿、修改成绩、社保等信息，消除信息系统中违法违规信息，如删除违章信息、差评、案底等，涉嫌**计算机信息系统罪等。

5、侵入网站后，修改网页源代码，在网站源文件上植入“黑链代码”，对网站主页进行修改，涉嫌非法控制计算机信息系统罪、**计算机信息系统罪等。

二、非法网络侵入行为、黑客入侵网络**的具体定罪量刑**。

1、黑客入侵构成非法侵入计算机信息系统罪的：判决三年以下**或者拘役。

2、黑客入侵、**比特币等虚拟货币构成非法获取计算机信息系统数据罪的：判决三年以下**或者拘役，情节特别严重的，判决三年以上七年以下**。

3、非法入侵网站服务器、植入木马恶意程序，构成非法控制计算机信息系统罪的，判决三年以下**或者拘役，情节特别严重的，判决三年以上七年以下**。

4、非法入侵构成**计算机信息系统罪的，判决5年以下**或者拘役，后果特别严重的，判决5年以上**。

我们律师在办理案件时，要注意，在很多网络入侵案件中，犯罪嫌疑人留下的痕迹都是虚假的，要从虚假的痕迹中找到确凿的定罪的证据是很难的，因为网上证据与网下证据衔接难，很难形成完整的证据链，容易导致事实不清、证据不足，最后定不了罪。

第二部分：非法侵入、网络**行为如何争取无罪和最轻的处罚。

网络入侵、**案件之所以破案率低、定罪难，原因就在于电子证据勘察不充分、不全面，很难提取到足够电子证据，导致很多案件的犯罪嫌疑人（被告人）因证据不足被释放。例如在北京海淀区的某虚拟货币**案，海淀区**分局认定犯罪嫌疑人**编译一款恶意APP窃取某公司持有的**服务器的私钥，通过私钥盗取该公司存储的**，被盗**价值3000余万元，该犯罪嫌疑人于2020年12月16日被逮捕，最终**院以事实不清、证据不足将犯罪嫌疑人释放并不公诉。

网络入侵型案件的侦查与取证工作较为复杂，涉及网站架构、日志**、恶意代码**等多种知识，要想从专业角度争取到证据不足、罪名不成立，需要律师具备计算机网络犯罪方面的专业知识，**常见的一些追踪与溯源反制的思路、局限性以及技巧。对于律师的要求相比较**的犯罪更高。

如果我们律师不具备这方面的专业知识，在与犯罪嫌疑人（被告人）沟通时可能会出现**，王某网络**案，当庭拒绝律师辩护，法官问原因，被告人说律师不懂这方面的专业知识，存在沟通**，就是因为此。所以，我们律师必须**此类案件的专业知识和**技巧，才有可能争取到无罪和罪轻的结果。

今天，讲一下，如何通过对证据的审查争取到撤案、不批捕、不公诉、罪名不成立和最轻的处罚。如果认定为事实不清、证据不足，就不符合定罪条件。

一、争取直接证据不成立 。

直接证据指：IP地址、域名、用户名、计算机名称、虚拟身份、入侵工具、木马信息等与犯罪嫌疑人（被告人）产生一致性或关联性。

1、服务器日志、网站日志记录中提取到的相关痕迹与被告人之间不具有一致性或关联性。

（1）服务器日志中，非正常用户登录服务器的用户名、客户端名、客户端IP地址与被告人是否存在一致或相关联。例如某黑客入侵案，客户端名称为被告人的生日。

（2）安全日志、FTP日志和www日志等日志记录是否被清除，是否能提取到入侵者的IP地址、入侵时间、端口、http状态、浏览器等。

（3）律师要注意:证据链中断的情形。一旦证据链中断，就不会形成相关直接证据。

①稍微有些**的黑客入侵者会删除相关日志记录，很多案件不会从日志中提取到入侵者的ip等信息。一旦入侵者**了系统 root 权限, 就可以轻易地修改、删除操作系统所保存的日志记录, 甚至**现场, 从而掩盖入侵留下的痕迹。

②日志中发现的入侵IP，可能是跳板肉鸡，不一定是入侵者的真实IP。

2、工具软件中的信息与被告人是否一致或产生关联。

（1）**方是否提取到黑客使用过或留下的工具软件，如入侵、扫描、嗅探、攻击工具软件。

（2）这些工具软件中是否提取到入侵者的个人虚拟身份信息，如QQ号码、电子邮箱、木马收信地址等是否与被告人产生一致性或关联。

（3）要注意：

①有**的入侵者在入侵过程或成功后，会将相关工具软件删除。

②对于黑客删除的工具软件，要注意**方数据恢复的程序是否合法以及是否存在瑕疵的问题。

3、木马程序中提取的相关痕迹证据是否与被告人产生一致性或关联性。

网络入侵常常伴随着植入木马行为，木马制作者为了使木马通过杀毒软件的检测，**代码阅读难度，经常会对木马程序代码进行代码混淆、加密、压缩等处理，要想通过木马溯源找到入侵者，难度极大。

我们在办理案件时要注意：

（1）是否通过网站源文件与服务器日志找到可疑木马文件。

（2）使用木马的ip地址、虚拟身份等信息是否与被告人一致或产生关联性。有些木马文件在上传时会修改其日期属性，其日期属性可能是篡改后的，需考虑此情况。

（3）木马程序中的一些信息是否与被告人产生关联。

（4）根据使用木马的时间是否找到被创建的文件夹、被修改的网页文件等，从被创建的文件夹、被修改的网页文件中是否能发现线索，例如从被修改的网页文件中发现**入的外挂网站。

4、入侵者留下的其他痕迹与被告人产生一致性或关联性。例如网络通信数据、最近使用过的文件、预读文件、回收站中的痕迹。

二、切断三条证据链。

1、切断“端-端”的证据链。即“入侵端→被入侵端”的证据链。

**机关在侦查此类案件时，首先从报案人电脑、网站、服务器上提取相关电子证据，包括：服务器日志、网站日志、用户文件、最近访问记录、浏览器记录、删除数据恢复、可疑木马文件等，主要依据电子形成的痕迹、物证，采取各种计算机技术追溯到作案的计算机，这是破案的关键一步。

我们律师在办理案件时，从以下三个方面努力，争取切断由“入侵端→被入侵端”的证据链。

（1）律师在办理案件时，要注意电子证据的提取过程、程序是否合法，要**电子证据的收集、保存专业知识。

①取证主体是否合法。要注意是侦查机关取证还是一些网络科技公司取证，要注意电子证据的取证主体的合法性的问题。

②取证程序是否合法。制作、储存、传递、**、收集、出示等程序和环节是否合法，取证人、制作人、持有人、见证人等是否签名或者盖章。

③电子数据真实性的审查。是否载明该电子数据形成的时间、地点、对象、制作人、制作过程以及设备情况等，内容是否真实，有无裁剪、拼凑、篡改、添加等**、编造情形，对有疑问的电子数据， 应当对其真伪进行鉴定。

（2）律师在办理案件时要**常见的一些追踪与溯源反制的思路、局限性以及技巧。

入侵溯源强烈依赖人力和**，根据某一入侵痕迹往下找，一旦出现卡点和痕迹消失，则不能完整证明证据链逻辑。

我们律师在办理案件时，要从溯源中涉及的取证元素来审查溯源逻辑的完整性。通过对入侵行为时间线**、攻击行为**、用户权限**、攻击源**来审查溯源证据链逻辑的完整性。

（3）对作案机与被入侵机做关联性**。

办案机关扣押到犯罪嫌疑人的电脑手机等电子设备后，会对这些电子设备提取大量电子数据作为证据，我们律师在办理案件时，要注意对入侵机与被入侵服务器中的数据、可执行程序、webshell等做关联性**，是否提取攻击计算机与被攻击计算机之间相关联的部分。

①被扣押的犯罪嫌疑人的作案设备上是否有被入侵、被攻击网站的浏览访问记录，IP 地址、访问时间、访问行为是否与被害方提取的电子证据相互印证。

②审查被入侵系统与作案设备上各种日志记录在时间、日期、来源、目的甚至协议上是否存在一致性。

③对入侵机上的后门脚本、木马程序等与被入侵服务器上的后门脚本、木马程序的同一性进行**，MD5是否完全一致。 是否搭建该工具的网络**，通过运行该工具是否找到入侵日志，与被入侵网站被入侵留下的日志记录是否相同

2、切断由“人-人”证据链。

黑客入侵攻击活动已形成了由黑客教学、制作销售黑客工具、实施攻击、**倒卖用户信息及虚拟财产、提供交易平台销赃**等各个环节分工合作的多元化、产业化的黑色链条。

在黑色产业链中，存在犯罪主观证明较难，共犯联系松散难以认定的特点，这些人一般都互不认识，只是网友，互相之间连真实名字都不知道。网络犯罪中行为人之间意思联络形式多样化、联络主体虚拟化、共同行为模糊化，有时候要形成指向某一犯罪嫌疑人的证据链是有难度的，在很多案件中，**机关只抓获黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，这就是我所说的网络犯罪中“由人到人”证据指向。

我们律师在处理案件时要审查证据中的同案犯的供述、聊天记录、转款记录、通话记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

①审查同案犯之间的供述是否吻合。

②审查同案犯个人的电子设备中是否提取到一致或存在关联性的证据。

③审查聊天记录问题。此类案件，同伙之间多使用**聊天软件，我遇到的有whatsapp、蝙蝠、飞机等，这些聊天软件不需要实名注册，一般都支持看后即焚、双向撤回等功能，**方在面对有反侦察能力的代理时有时候取证是非常困难的。要注意是否有证据证明聊天账号是被告人在使用；聊天记录的取证是否合法，有些办案机关为了省事，可能仅仅对聊天记录截图打印或拍照，这是不符合电子证据取证规则的。

④审查同案犯之间的转账记录，是否有证据证明该转账的性质。例如在某起案件中，虽然存在同案犯之间的大量转账，但最终**院认定证据不足。

3、切断由“财-人”证据链，即资金流转的证据链。

网络入侵案件，行为人在计算机系统上留下的相关痕迹是最直接的证据，但是，由于黑客都知道销毁或隐藏入侵和嗅探的痕迹来掩盖自己，在很多案件中经常存在直接证据缺失的情况。

在直接证据缺失的情况下，**方会通过利益链条来追踪作案人，通过筛查资金去向，根据资金的转移路径、使用情况，对多次流转的涉案资金进行追踪，以及搜集相关证人证言等间接证据进行侦查取证，如果能形成完整的证据链，也能够达到指控行为人实施了相关网络犯罪的证明**。例如黄某利用木马程序网络**案，涉案虚拟财产价值2000多万元，由于黄某在完成犯罪行为后将其入侵的相关数据删除，被害公司为堵住系统漏洞而将服务器重做，没有保存系统日志，无法提供服务器被入侵记录，导致证实黄某侵入系统**财物的直接证据缺失。该案，**方通过资金链证据破案，最终黄某被认定为罪名成立。

我们律师要注意一些反侦查手段的实施，例如使用**、地下钱庄、跑分平台、虚拟货币OTC场**易、**、混币等手段，导致的证据链中断无法追溯的情况，随着反侦查能力的提高，查清资金流转路径、流转金额难度越来越大。

例如，我在2018年办理的李某网络案件，涉及到比特币的流转证据问题，**机关**意见书认定涉案赃款是2000多万，但我们根据资金流水的证据，最终让**院在**时，将金额**为700多万。

我们律师在办理网络犯罪案件时要重点审查：被指控的被盗资金流向能否形成完整的链条，是否均指向犯罪嫌疑人持有的银行卡或支付宝等账户，**时间、**金额与犯罪嫌疑人之间的口供，与银行卡、支付宝交易时间、金额以及做案时间是否吻合，要注意审查操作网络账户的ip地址、mac地址等。

涉及虚拟货币的案件，要审查虚拟货币账户、钱包地址、IP地址等网络痕迹与被告人的关联性证据。如果不能形成证据链，就有可能从证据上切断涉案资金、虚拟货币的交易网络、交易行为以及资金流向与被告人的对应或关联关系。例如在陕西毛某一案，第**收款账户的钱如何转出，以及尾号为TH5Y提币地址如何变现都未查清，**方在补充侦查报告中，称查清难度大，无法查清，便草草结案。

还有某起虚拟币网络**案，**方在被入侵服务器上提取到犯罪嫌疑人对该服务器有xss攻击记录，便将犯罪嫌疑人抓获，但因最终没有发现虚拟币的流转证据以及变现证据，将犯罪嫌疑人释放撤案。

三、从入侵时间、入侵方式、入侵路径的证据上找到他人作案的可能性，从而排除被告人的嫌疑。

有些网站因为存在漏洞，可能存在被多名黑客入侵的情况，我们在办理案件时要防止因为办案机关疏忽，将其他黑客的侵入行为算到我方身上的可能。如果在入侵时间、入侵方式、入侵路径上存在其他黑客入侵的可能性，则说明不能排除他人入侵可能性，在其他证据不足的情况下，不能简单的将被告人认定为入侵者。

例如苏州一起虚拟货币网络**案，**方**意见书认定实施**的时间是2019年10月22日，但是犯罪嫌疑人对该服务器进行入侵的时间是2019年9月25日，中间间隔了近一个月，并且被盗公司的服务器后台日志显示，在2019年10月16日，有一个美国的IP地址异常访问了该公司网站的最高权限，2019年10月23日，有一个香港的IP地址异常访问了该公司网站的最高权限。该案无法排除其他黑客入侵的可能性，最终**院认为事实不清、证据不足，对犯罪嫌疑人不**撤案。

我们律师在办理案件时，可以从以下几个方面来审查是否存在别人入侵的可能性。

①被害人陈述的入侵时间、入侵方式、入侵路径与犯罪嫌疑人供述的入侵攻击时间是否一致。

②审查被入侵系统与作案设备上各种日志记录在时间、日期上是否存在一致性。

③审查入侵时间与入侵后果产生之前是否存在他人侵入或攻击的行为。

④审查犯罪嫌疑人供述的入侵方式、入侵路径是否与侦查机关查明的一致。不同的黑客有不同的入侵思路，入侵路径也多不相同。在某起侵入大学教务系统案件中，**方查明的入侵方式是Mysql入侵，而犯罪嫌疑人供述，其利用sshd服务入侵，通过mysql日志**，并没有发现有写入webshell的操作，ssh日志被删除了，也无法完全认定是ssh入侵的，导致入侵方式、入侵路径无法吻合。

因时间原因，今天就简单说这些内容。关于此类案件的其他专业知识**，有时间时在介绍。

非法网络入侵案件法条规定非常简单，但是律师要想办理好此类犯罪，维护此类犯罪嫌疑人的合法权利，不只是了解法条这么简单。网络入侵、攻击、网络**案件涉及技术性问题较多，存在证据取证困难，犯罪定性争议差别大等新问题。这都亟需律师提高自身法律素养和技术素养，并加强研究。

作者张洪强律师，禁止任何形式的转载复制剽窃，张洪强律师专注于网络黑产犯罪辩护研究，办理了大量网络犯罪案件。