漏洞盗窃罪

2023年，漏洞某安全公司的盗窃一名工程师在测试客户系统时，发现了一个支付接口的漏洞逻辑漏洞——只要把订单金额改成负数，账户余额反而会增加。盗窃他没有上报，漏洞而是盗窃分十七次转走了四万多元。法院最终以盗窃罪判处有期徒刑一年六个月，漏洞缓刑两年。盗窃这个案子在法律圈和技术圈都引起了讨论：用技术手段利用漏洞取财，漏洞到底算不算"偷"？盗窃

传统盗窃罪的核心是"秘密窃取"，要求行为人采取自认为不被财物占有人发觉的漏洞方法，违反占有人意志，盗窃将财物转移为自己或第三人占有。漏洞问题在于，盗窃漏洞利用行为往往发生在数字空间，漏洞没有物理入侵，没有撬锁翻窗，甚至系统"主动"配合完成了操作。这算"秘密"吗？

司法实践中，答案正在逐渐清晰。2021年《最高人民法院关于审理危害计算机信息系统安全刑事案件应用法律若干问题的解释》明确，非法获取计算机信息系统数据罪与盗窃罪存在竞合时，择一重罪处罚。换句话说，当利用漏洞取财的行为同时符合两个罪名，哪个判得重就按哪个来。盗窃罪最高可判无期徒刑，非法获取计算机信息系统数据罪最高七年，前者的威慑力显然更大。

但真正值得琢磨的是另一个问题：漏洞本身有没有"财产属性"？换句话说，发现漏洞但不利用，只是把漏洞信息卖给别人，算不算盗窃？

2022年，某漏洞平台的一名白帽黑客发现某电商平台存在越权访问漏洞，可以查看任意用户的订单信息。他没有上报，而是把漏洞细节卖给了三个买家，获利两万多元。检方最初以破坏计算机信息系统罪起诉，后来改成了侵犯公民个人信息罪。漏洞信息本身没有被认定为"财物"，但漏洞所指向的数据被认定为受法律保护的客体。

这里有个灰色地带：如果漏洞只能用来"解锁"某种功能，而不涉及具体数据或资金，比如绕过会员验证免费看视频，这算什么？实践中，这类案件通常按非法获取计算机信息系统数据罪处理，量刑较轻。但如果是绕过付费系统下载付费课程，课程本身有明确市场价，就可能被认定为盗窃。区别在于，被"偷"的东西有没有独立的经济价值。

我观察到一个趋势：法院越来越倾向于用盗窃罪来惩治漏洞利用行为，尤其是在涉及资金转移的场景。理由很直接——行为人主观上有非法占有目的，客观上造成了他人财产损失，至于手段是撬门还是改参数，不影响盗窃罪的成立。技术中性，但利用技术的方式不中性。

不过，这种扩张适用也有隐忧。盗窃罪的入罪门槛是1000到3000元，很多漏洞利用行为造成的损失难以精确计算。比如一个漏洞导致系统瘫痪三天，损失是按维修费算，还是按停机期间的营业额算？不同算法可能差出几十倍，直接影响量刑。有律师在庭上质疑：同样的行为，在A地判缓刑，在B地判实刑，标准不统一，技术人员的可预期性在哪里？

另一个细节是，很多漏洞利用者并非职业罪犯。他们往往是安全研究员、运维人员，甚至在校学生，发现漏洞后出于好奇或贪念顺手利用。这类人的主观恶性与职业盗窃团伙有明显区别。有法官在判决书中写道："被告人作为专业人员，本应恪守职业伦理，却利用技术优势实施犯罪，酌情从重处罚。"这句话反过来理解——专业身份既是加重情节，也可能成为争取从宽的筹码，前提是主动上报漏洞、赔偿损失、取得谅解。

漏洞不会消失，利用漏洞的冲动也不会消失。法律要做的，是在技术可能性和行为边界之间划一条线。这条线目前还在移动，但方向是明确的：技术不是挡箭牌，漏洞不是提款机。