2023年夏天，触犯杭州一家初创公司的网络技术负责人老周，因为一条“内鬼”举报，安全案例被警方带走。触犯罪名是网络涉嫌破坏计算机信息系统罪。听起来挺唬人，安全案例其实事儿不大——他为了省服务器成本，触犯偷偷在客户部署的网络软件里留了个后门，定时把客户数据库的安全案例冗余数据“搬运”到自己租的廉价云盘上。他觉得自己聪明，触犯删了日志，网络换了IP，安全案例甚至用加密流量传输。触犯可那家客户的网络运维工程师某天半夜巡检，发现服务器CPU占用率莫名飙到90%，安全案例顺手抓了个包，一分析，全是对外发送的加密数据包。报警，溯源，三个月后，老周人在看守所里对着铁窗，才明白什么叫“技术上的漏洞，往往先开在人心上”。

这案子判下来，老周不光赔了客户三百多万的损失费，还蹲了八个月。他后来跟律师说，自己压根没想过“偷数据”这层罪，觉得只是“借用一点计算资源”。可法律不认“觉得”。《网络安全法》第二十七条写得清清楚楚，任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。老周那个后门，属于典型的“非法控制计算机信息系统”，哪怕他一根客户数据都没卖，光“控制”这个动作本身，就已经踩了红线。

比老周更冤的，是深圳一个做智能硬件的产品经理小陈。他负责的儿童手表需要远程升级固件，为了赶工期，他直接在网上找了个开源工具，没细看授权协议就打包进产品。结果那工具里嵌着一段收集用户位置信息的代码，专门在深夜偷偷回传。小陈压根不知情，可产品上市三个月，被某省网信办抽查发现，罚款八十万，产品全网下架。小陈在复盘会上摔了杯子：“代码又不是我写的！”可法律管你是写的还是抄的？《网络安全法》第二十二条要求，网络产品、服务应当符合相关国家标准的强制性要求，提供者发现安全缺陷、漏洞等风险时，应当立即采取补救措施。你没做安全审查，就是失职。

还有个更隐蔽的坑，踩进去的人往往还觉得自己在做好事。北京有个程序员老张，业余时间写了个小脚本，能自动帮小区老人抢三甲医院的专家号。他分文不取，纯公益。结果半年后，某三甲医院信息科报警，说挂号系统被恶意刷接口，导致正常患者排队时间暴增。警方一查，老张的脚本每秒请求频率是正常用户的二十倍，直接触发了系统防火墙的封禁机制。老张被传唤时一脸委屈：“我这是帮老人啊！”可《网络安全法》第二十六条明确禁止“从事非法侵入他人网络或者干扰他人网络正常功能的活动”，哪怕你的目的是善意的，手段非法就是非法。最后老张被处以行政警告，脚本销毁，还写了保证书。他后来在技术论坛里发帖说：“技术人最容易犯的错，就是以为只要出发点是好的，技术手段就可以不受约束。”

这三个案子摆在一起，能看出一个共性：出事的人，都不觉得自己在犯罪。有人图省钱，有人图省事，有人图好心，但法律的边界不看你心里怎么想，只看你手上怎么做。技术这玩意儿，能力越大，责任越大。你写一行代码，可能就牵动着几百万人手机里的通讯录、银行卡号、甚至孩子的定位。别等警察找上门，才去翻法条——那时候，你连后悔的资格都没了。