2019年，利用漏洞深圳一个程序员发现某电商平台的获利优惠券系统有个漏洞——已过期的大额券在特定时间窗口内重新下单仍然有效。他没声张，多少自己刷了三百多单，犯法转卖商品净赚八万多。利用漏洞平台风控部门三个月后才发现异常，获利报警。多少法院最后判了他三年六个月，犯法罪名是利用漏洞诈骗罪，不是获利"利用系统漏洞"这种听起来像技术中立的说法。

所以先给一个直接答案：获利金额和手段性质共同决定后果，多少没有"漏洞"这个免罪金牌。犯法法律不看你是利用漏洞用技术还是用脚踹开了门，只看门是获利不是该由你进。

三千块和三十万，多少差别在哪

刑法里跟这事最相关的罪名有三个：诈骗罪、盗窃罪、非法获取计算机信息系统数据罪。选哪个，取决于你怎么"用"这个漏洞。

如果你利用漏洞让系统"自愿"把财物交给你——比如虚假退货、刷单套券、篡改价格后下单——这通常按诈骗走。诈骗罪的立案门槛是三千到一万（各地标准不同），三万以上算"数额巨大"，五十万以上"数额特别巨大"。三年以下、三到十年、十年以上，三个档位卡得很死。

如果你绕过系统直接拿走数据或虚拟财产，比如入侵后台改余额、窃取用户积分，那可能定盗窃罪或非法获取计算机信息系统数据罪。后者不看获利多少，只要情节严重就构罪——比如获取身份认证信息五百组以上，或者造成经济损失一万元以上。

我翻过十几个类似判例，发现一个规律：法院特别在意你有没有"主动对抗"系统的意思。同样是刷优惠券，发现漏洞后只下了一单自用，和写脚本批量刷几百单，量刑能差出好几年。前者可能不起诉，后者基本实刑。

那些"不算犯法"的灰色地带

有人会杠：那我发现漏洞后不获利，只是提交给厂商拿赏金，总没问题吧？

没问题。白帽黑客的漏洞赏金是合法收入。但边界很微妙——你测试的时候有没有超出授权范围？有没有下载用户数据？很多"漏洞猎人"栽跟头，不是因为提交漏洞，而是测试过程中顺手拖了库。

另一个灰色地带是"薅羊毛"。2018年有个案子，某平台新用户注册送二十元现金，有人用虚拟手机号批量注册了八千个账号，提现十六万。辩护律师说这是"平台规则允许的"，法院没采纳，定了诈骗。理由很简单：平台送钱的对象是"真实新用户"，你用虚假身份去领，就是虚构事实。

我个人的判断标准很土：如果这个漏洞是银行金库门没锁，你进去拿钱，算不算偷？算。系统漏洞不是邀请函。

金额之外，还有几个要命的变量

有没有前科、有没有退赃、有没有取得谅解，这些直接影响能不能缓刑。上面那个深圳程序员，八万多全退了，还是判了实刑，因为他是"利用技术优势系统性攻击"，法官在判决书里专门写了这句。

还有一类情况更麻烦：你利用漏洞获取了别人的数据。哪怕一分钱没赚，只要数据量够大，非法获取计算机信息系统数据罪照样成立。这个罪名的入罪门槛跟获利无关，跟"情节"有关。五百组身份信息、一百组行踪轨迹，就够了。

所以回到标题那个问题。获利多少犯法？三千块就可能立案。但真正决定你进去多久的，是你怎么拿的、拿了多少、拿完之后干了什么。漏洞本身不犯法，利用漏洞获利才犯法——这句话听着像废话，但很多人栽就栽在把"漏洞"当成了"许可"。