网络安全违法行为

去年冬天，江苏南通一家小公司的安全财务人员收到一封“老板”发来的邮件，要求紧急转账98万元到一个供应商账户。网络违法邮件语气、安全签名、网络违法甚至标点习惯都跟老板平时一模一样。安全财务没多想就转了。网络违法事后发现，安全老板的网络违法邮箱被撞库攻击——攻击者用从某论坛泄露的旧密码组合，试出了邮箱密码。安全钱在半小时内被分散到十几个二级账户，网络违法最终流向境外。安全这不是网络违法电影情节，是安全我在裁判文书网上翻到的真实案例。类似的网络违法事情每天都在发生，而大多数人直到警察上门，才意识到自己已经踩了红线。

网络安全违法行为这个词听起来挺技术，拆开看其实很直接：一切利用网络技术或者网络空间实施的、违反现行法律的行为。注意，它不要求你一定是黑客。普通上班族、大学生、甚至退休老人，都可能在不经意间违法。比如，你帮朋友在微信群转发了一条“兼职刷单”的广告，如果那条广告背后是诈骗团伙，你就可能构成帮助信息网络犯罪活动罪。这个罪名近几年起诉人数暴涨，2023年全国检察机关起诉帮信罪超过14万人，很多人直到被传唤才喊冤：“我只是转了个链接啊。”

法律不看你的动机多单纯，看的是行为和后果。爬虫本身不违法，但绕过网站反爬措施、抓取非公开数据、尤其是包含姓名电话住址的简历，那就触犯了《刑法》第二百五十三条之一。这个界限很多人分不清。我见过不少技术论坛里有人问“爬某网站会不会进去”，底下回复经常是“别爬带登录的”“别碰个人数据”——这些经验之谈其实挺准，但不够系统。

再说一类更常见的：提供翻墙工具。很多人觉得“我就自己用，又不卖”。但如果你搭建了VPN分享给朋友，或者写了教程发到网上，哪怕没收钱，也可能构成提供侵入、非法控制计算机信息系统程序、工具罪。2021年有个案例，一个程序员在GitHub上开源了一个科学上网工具，star数挺高，后来被警方跨省带走。他的辩护律师说“技术无罪”，但法院认为他明知工具会被用于绕过监管，仍然公开传播，具有主观故意。判了两年。

企业层面的违法更隐蔽。有些公司为了“测试”竞争对手的系统安全性，未经授权扫描对方服务器端口，或者尝试弱口令登录。哪怕没造成数据泄露，只要对方报案，就可能被认定为非法获取计算机信息系统数据罪。我认识一个安全工程师，他所在的公司接了个渗透测试项目，但客户口头说“随便测”，没签授权书。结果他测的时候触发了对方的入侵检测系统，对方直接报警。虽然最后检察院不起诉，但他在看守所待了37天。那个客户后来不认账，说“我只是让他看看网站有没有漏洞，没让他攻击”。

法律条文其实写得挺清楚。《网络安全法》第二十七条：任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。《刑法》里相关罪名至少有十几个：非法侵入计算机信息系统罪、破坏计算机信息系统罪、非法获取计算机信息系统数据罪、拒不履行信息网络安全管理义务罪……但普通人不会天天翻法条。问题在于，很多违法行为的技术门槛在降低。网上随便一搜就有“傻瓜式”攻击工具，点几下鼠标就能发起DDoS。一个初中生就能让一家小企业的网站瘫痪三天。他可能觉得“好玩”，但企业损失几十万，这账最后算在谁头上？

我观察到一个矛盾：技术圈里很多人对“白帽子”和“黑帽子”的界限津津乐道，但圈外的人根本不知道有这条线。学校教编程，教算法，很少教法律边界。公司招安全工程师，面试问漏洞原理，不问授权流程。等出了事，才补课。这不对。网络安全违法不是离你很远的东西，它可能就藏在你随手写的那行requests.get()里，藏在你转发的那条“兼职”广告里，藏在你帮朋友“看看这个网站安不安全”的请求里。

最后说个细节。我翻过几十份相关判决书，发现一个共性：几乎所有被告人都说过同一句话——“我不知道这是违法的。”法官通常不采纳这个理由。因为法律一旦公布，就推定你应当知道。但反过来想，如果普法和安全教育能像教“不要闯红灯”那样，从中学甚至小学就开始讲，很多人可能就不会走到那一步。技术跑得太快，法律追得吃力，普通人夹在中间，最稳妥的办法就是：不确定能不能做的事，先问一句“我有没有得到明确授权？”没有授权，就别碰。