利用平台漏洞获利量刑

2019年，利用漏洞量刑深圳龙岗区法院判了一个案子。平台被告是获利个90后程序员，他在某电商平台发现了一个漏洞：退货时系统只校验订单号，利用漏洞量刑不校验退货商品是平台否与原始订单一致。他花了两万块买真货，获利退回去一堆砖头。利用漏洞量刑前后操作十七次，平台平台损失近四十万。获利最后判了诈骗罪，利用漏洞量刑有期徒刑六年，平台罚金十万。获利这个量刑不轻，利用漏洞量刑但放在同类案件里看，平台六年其实算中等偏上——有的获利判三年缓刑，有的判十年实刑，差距大到让人摸不着头脑。

问题出在“利用平台漏洞获利”这个行为在刑法上的定性本身就有分歧。同样是用漏洞薅羊毛，有的法院定诈骗罪，有的定盗窃罪，还有的定破坏计算机信息系统罪。罪名不同，量刑起点就完全不同。诈骗罪五十万以上算“数额特别巨大”，十年起步；盗窃罪三十万以上就是“数额特别巨大”，也是十年往上；但破坏计算机信息系统罪，后果特别严重的才五年以上。选哪个罪名，往往取决于检察官和法官怎么理解“漏洞”的性质——是系统本身有逻辑缺陷被人钻了空子，还是行为人主动入侵了系统。

我翻过几十份这类判决书，发现一个很拧巴的现象：技术越好的被告，反而越容易重判。有个案例，某外卖平台新用户首单立减20元，有人写脚本批量注册虚假账号薅了八万块。法院认定他“利用技术手段虚构事实”，定诈骗罪，判了四年。另一个案子，某人发现某APP充值界面可以反复点击“支付”按钮但不实际扣款，手动操作了三百多次，获利六万，最后定的是盗窃罪，判了三年。写脚本的比手点的多薅了两万，多坐一年牢。技术含量在这里成了加重情节，而不是从轻理由。

退赔能减多少，也是笔糊涂账。上面那个深圳程序员，家属退赔了全部四十万，法院还是判了六年。法官在判决书里写了一句“虽退赔但不足以弥补平台风控体系遭受的破坏”。这话听着挺玄乎，平台风控体系值多少钱？没人说得清。对比另一个案子，被告利用某银行信用卡积分漏洞兑换了价值十五万的航空里程，退赔后判了缓刑。差别在哪？可能在于银行没出庭强调“风控体系被破坏”，而电商平台请了专业律师团队出具了损失评估报告。

平台自己的态度也很微妙。有些平台发现漏洞后不急着报警，先自己修，修完了再回头算账。这段时间里用户如果继续利用漏洞，平台照单全收，等养肥了再一锅端。有个案子，某视频平台会员充值漏洞持续了四个月，平台技术团队不可能没发现——后台数据异常那么明显。但直到漏洞被修复后，才集中报案，一次性送了十几个人进去。这种“钓鱼式维权”在法律上没什么问题，但道义上挺膈应人的。

量刑标准不统一，根子在于这类案件同时踩了财产犯罪和计算机犯罪两条线。法官自由裁量的空间太大，有的看损失金额，有的看技术手段，有的看认罪态度，有的看平台是不是“大厂”。我见过一个判决书，法官在说理部分花了三页纸论证“被告人的行为严重扰乱了互联网经济秩序”，这话放在任何一个利用漏洞的案子里都成立，但到底怎么影响量刑，没讲透。

说到底，法律条文没变，变的是平台经济的形态。一个漏洞可能几分钟就被修复，但利用它获利的人可能要花几年来消化后果。六年还是三年，四十万还是八万，这些数字背后是一个个具体的人。判轻了平台不干，判重了被告人上诉，中间那条线，至今没人画得清楚。