去年冬天，利用漏洞江苏南通警方破获了一起案子。网络一个叫陈某某的非法年轻人，用爬虫脚本扫了某电商平台的获利后台接口，发现了一个没做权限校验的利用漏洞订单查询功能。他没偷用户数据，网络也没改价，非法只是获利把订单里的手机号批量导出来，转手卖给做电话营销的利用漏洞公司。三个月，网络赚了八万六。非法判了三年，获利罚了十万。利用漏洞这个判决书我翻了两遍，网络罪名写的非法是"非法获取计算机信息系统数据罪"，但圈子里聊起来，大家习惯叫它"利用网络漏洞非法获利"。

这个叫法其实不准确。刑法里没有这个独立罪名，它是一类行为的统称。真正落到判决上，往往拆成好几个罪名：非法获取计算机信息系统数据、非法控制计算机信息系统、破坏计算机信息系统，甚至盗窃。区别在于你动了什么、动了多少、怎么动的。陈某某那种只读不写的，算"获取"；要是把接口改成自己的收款码，那就是"控制"；把数据库删了，那就是"破坏"。量刑差得很远。

我接触过几个做安全测试的人，他们有个共识：国内大部分中小型互联网公司的接口，经不起看。不是技术多高明，是开发流程里压根没把安全当回事。一个做渗透测试的朋友跟我说，他给某家月活千万的App做评估，发现一个越权漏洞——把用户ID改成别人的，就能看到对方的收货地址和订单记录。他提交报告后，对方修了。但三个月后再测，同一个接口，换了个参数名，漏洞又回来了。开发人员只改了表面，没动底层逻辑。

这种漏洞被利用，往往不是电影里那种黑帽黑客敲键盘的画面。更多时候，是某个懂点技术的普通人，偶然发现了"门没锁"。有人刷优惠券，有人改积分，有人薅平台补贴。单个金额不大，但架不住批量。我见过一个案例，某生鲜平台的新用户首单立减，有人写了个脚本，用虚拟号批量注册，一晚上刷了四千多单，平台损失十几万。这人后来被抓了，他说自己一开始只是觉得"好玩"，没想到会这么严重。

法律上有个关键点：你有没有"非法"的主观故意。很多人辩解说，我只是发现了漏洞，没主动攻击。但司法实践里，你只要利用了漏洞去获取利益，哪怕漏洞是对方自己留的，也构成违法。这跟"门没锁就能进去拿东西"是一个道理。门没锁不是你的错，但进去拿东西就是你的问题了。

平台这边也不是完全无辜。有些公司发现漏洞后，第一反应不是报警，是赶紧修补，怕影响股价或者用户信任。等修完了，证据也灭失了。还有的公司，明明知道有人在薅羊毛，但算了一笔账：追查成本比损失还高，干脆认了。这种沉默，某种程度上纵容了下一批人。

我自己的判断是，这类案子会越来越多。原因很简单：数据值钱了，接口暴露面大了，懂技术的人多了。以前要会写汇编才能搞的事，现在一个刚毕业的计算机学生，用现成的工具包就能干。门槛低了，诱惑大了，法律意识却没跟上。很多人直到戴上手铐，才第一次听说"非法获取计算机信息系统数据罪"这个罪名。

陈某某那个案子，判决书里有一句话我印象很深。他说："我以为只是卖点数据，不算偷。"这句话暴露了一个认知偏差：在数字世界里，拿走别人的数据，和拿走别人的钱包，在法律上越来越接近。只是很多人还没意识到。