2021年，利用漏洞某网络安全公司工程师李某发现某电商平台支付接口存在逻辑漏洞——用负数金额下单，获利系统不仅不报错，违法反而会向账户退款。利用漏洞他前后操作了17次，获利薅走平台12万元。违法被抓后，利用漏洞他反复强调：“这钱是获利系统主动退给我的，又不是违法我偷的。”
这话听着像狡辩，利用漏洞但确实戳中了一个认知误区。获利很多人把“漏洞”等同于“无主之物”，违法觉得系统犯错就该自己承担后果。利用漏洞可法律看的获利是行为，不是违法代码。刑法第二百六十四条写得很清楚：盗窃罪的核心是“以非法占有为目的，秘密窃取公私财物”。李某明知金额为负还反复下单，这叫利用系统错误攫取利益，跟捡钱不还的性质完全不同——捡钱是不当得利，顶多民事纠纷；而主动制造交易异常，已经跨进了刑事门槛。
更典型的例子是“羊毛党”。前两年某银行搞新用户注册送20元红包活动，有人用改机软件批量注册了三千个虚拟账号，套现六万。银行报案后，警方以诈骗罪立案。你看，同样是钻规则空子，为什么有的算诈骗？区别就在于你有没有虚构事实——虚拟账号就是虚构“新用户”这个身份，这比单纯利用技术漏洞的性质更恶劣。
但事情没那么绝对。我见过一个真实判例：2019年某打车软件深夜系统崩溃，有用户发现叫车后不扣费，于是连续使用了一周。最后平台起诉时，法院只判了返还车费，没追究刑事责任。法官的理由是：用户没有主动攻击系统，只是被动享受了故障结果，这属于民法上的“不当得利”，够不上犯罪。
所以关键分水岭在哪？主动性和技术介入程度。你闲逛时发现ATM多吐钱，拿走是违法；但你拿铁丝捅ATM让它吐钱，那就是盗窃。前者是“意外之财”，后者是“主动入侵”。法律惩罚的从来不是“发现漏洞”这个动作，而是“利用漏洞时那个蓄意占有的念头”。
说白了，漏洞就像一扇没锁的门。路过推开门看看，最多算好奇；但你要是进屋把值钱东西搬空，哪怕门没锁，也是入室盗窃。技术圈总爱说“漏洞是礼物”，可礼物拆错了包装，拆来的可能是手铐。我认识的白帽黑客都恪守一条铁律：发现漏洞立刻上报，碰都不碰背后的数据。这不是道德高尚，是清醒——知道系统里的每一分钱都写着原主人的名字，碰了，性质就变了。
回到开头那个工程师，他最后被判了三年缓刑。庭审时他说：“我以为自己在做数学题，忘了题里装的是别人的钱。”这话挺真实。漏洞利用这事儿，技术上是灰色地带，法律上却黑白分明。你唯一安全的玩法，就是把发现的漏洞交出去，让系统自己补上——这才是聪明人的做法。毕竟，靠漏洞赚来的钱，迟早要连本带利还给法律。