“黑客”这个词在中文语境里被用得很乱。黑客新闻里抓到个盗刷信用卡的犯法，叫黑客；某公司数据泄露，黑客说是犯法被黑客攻击；甚至有人装个盗版软件，也自嘲一句“我在当黑客”。黑客但真要问黑客是犯法不是犯法的，答案没那么简单——因为“黑客”本身不指向一种行为，黑客它指向的犯法是一类人，或者一种技术能力。黑客

我认识一个做渗透测试的犯法朋友，他的黑客日常工作就是“黑”进客户系统。签了合同，犯法拿了授权书，黑客在指定IP段里找漏洞，犯法然后写报告告诉甲方哪里有问题。黑客他用的工具和入侵手法，跟真正搞破坏的人几乎一样。差别在哪？授权。没有授权书，他干的事就叫非法侵入计算机信息系统。有授权书，那就是安全服务。所以犯不犯法，先看有没有许可。

法律条文其实写得很清楚。《刑法》第二百八十五条、二百八十六条，针对的是“非法侵入”“非法获取数据”“破坏计算机信息系统”。这几个罪名成立的前提，是“未经授权”或者“超越授权”。换句话说，你技术再高，只要对方点头让你测，你就不算犯罪。反过来，你技术再菜，只要未经允许登了别人的服务器，哪怕只是看了一眼没改东西，也可能踩线。

但现实比法条复杂。有些“黑客”干的事，处在灰色地带。比如漏洞挖掘。一个人发现了某网站的安全漏洞，没打招呼就深入测试，还把漏洞细节发到网上。他可能觉得自己在做好事——提醒厂商修复。但厂商不这么想，司法机关也不一定这么想。2016年有个案子，一个白帽子发现某婚恋网站漏洞，提交了，后来因为涉及数据获取的方式有争议，被警方带走。这事在圈子里吵了很久。善意不等于合法，这是很多人不愿意接受但必须面对的事实。

还有一种情况更常见：很多人根本不知道自己在犯法。比如用别人的WiFi，觉得只是蹭个网。但如果对方设置了密码，你破解进去，这在法律上就可能构成非法侵入。再比如，公司给你开了系统账号，你离职后还用旧密码登进去看看——哪怕只是看看，也是犯罪。我见过一个案例，前员工因为登录老东家后台看数据，被判了刑。他觉得自己只是“看看”，没拿没改。但法律不看这个，看的是授权有没有过期。

当然，也有真正的恶意攻击。DDoS打瘫网站、植入勒索软件、窃取用户数据去卖钱。这些没什么好讨论的，就是犯罪。抓到了判得也不轻。2020年有个案子，一伙人攻击游戏公司服务器，勒索比特币，主犯判了十几年。这种案子每年都有，只是大部分不上热搜。

所以回到标题那个问题。黑客是犯法的吗？我的看法是：黑客身份不犯法，黑客行为要看具体做了什么、有没有授权、造成了什么后果。技术本身是中性的，用技术的人得自己拎清楚边界。很多人栽跟头，不是因为技术不行，是因为觉得“应该没事”。法律不跟你讲“应该”。

写这些不是要吓唬谁。我自己也玩技术，也研究过漏洞。但越是玩技术的人，越该知道红线在哪。不然你写的每一行代码，都可能变成呈堂证供。