9 Không có ủy quyền bằng văn bản thì không test hệ thống của người khác; "xuất phát từ thiện ý" và "báo cáo sau khi làm" đều không phải lý do thoát tội trong điều luật
Định tội theo điều luật xem có ủy quyền không và bạn lấy được bao nhiêu, điều luật không nói đến ý đồ của bạn. Lấy đủ 500 bộ tài khoản mật khẩu, hoặc kiếm 5.000 nhân dân tệ, hay gây lỗ 1 vạn, là đủ phán dưới 3 năm. Có sẵn tài khoản mà dùng ngoài phạm vi ủy quyền cũng tính là xâm nhập.
Xem chi tiết
- Chi phí
Không tốn tiền. Trước khi tham gia SRC của hãng hay chương trình thử nghiệm cộng đồng, bạn lấy trước văn kiện ghi rõ phạm vi ủy quyền, danh sách mục tiêu và khoảng thời gian được test. SRC là trung tâm ứng phó sự cố an ninh do chính hãng vận hành, chuyên nhận lỗ hổng từ bên ngoài báo về. Khi đã xác minh được lỗ hổng thật sự tồn tại, bạn dừng tay. Phần khó là bỏ được khoảnh khắc "tiện tay thử một cái"
- Lợi ích
Hệ thống của công ty và cá nhân thông thường là hệ thống thông tin máy tính nằm ngoài lĩnh vực sự vụ nhà nước, quốc phòng và khoa học kỹ thuật tiên tiến. Bạn xâm nhập loại hệ thống này, hoặc dùng thủ đoạn kỹ thuật khác lấy dữ liệu lưu trữ, xử lý, truyền tải trong đó. Nếu tình tiết nặng thì bị phán tù dưới 3 năm hoặc tù giam ngắn hạn, kèm phạt tiền hoặc chỉ phạt tiền. Đặc biệt nặng phán 3 đến 7 năm kèm phạt tiền. "Tình tiết nặng" có bốn nhóm chuẩn. Một là lấy thông tin xác thực danh tính (loại tài khoản mật khẩu) của dịch vụ tài chính mạng như thanh toán chi trả, giao dịch chứng khoán, giao dịch hàng hóa kỳ hạn, từ 10 bộ trở lên. Hai là lấy thông tin xác thực danh tính khác từ 500 bộ trở lên. Ba là điều khiển trái phép hệ thống thông tin máy tính từ 20 cái trở lên. Bốn là tiền lời bất hợp pháp từ 5.000 nhân dân tệ trở lên, hoặc gây tổn thất kinh tế từ 1 vạn nhân dân tệ trở lên. Gấp 5 lần các con số trên trở lên là "tình tiết đặc biệt nặng". Vụ án chính thức: vụ án chỉ đạo Kiểm lệ số 36 đặt ra một chuẩn, "dùng tài khoản, mật khẩu đăng nhập hệ thống thông tin máy tính ngoài phạm vi ủy quyền thuộc hành vi xâm nhập hệ thống thông tin máy tính". Nghĩa là bạn vốn có sẵn tài khoản mật khẩu trong tay, nhưng dùng ngoài phạm vi ủy quyền thì chính hành vi đó đã tính là xâm nhập. Ba người trong vụ đó dùng tài khoản, mật khẩu và token nắm được trong công việc, đăng nhập hệ thống nội bộ của công ty từ nơi khác. Họ tải dữ liệu ngoài phạm vi công việc rồi đem ra mạng bán, tiền lời bất hợp pháp 37.000 nhân dân tệ. Ba người lần lượt bị phán 4 năm, 3 năm 9 tháng, 4 năm, mỗi người phạt 4 vạn nhân dân tệ (cả nước TQ)
- Mức chứng cứ
A
- Nguồn
全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml；央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）
- Ghi chú
Chỉ tham khảo TQ: Vụ án chỉ đạo Kiểm lệ số 36 vốn là vụ bán dữ liệu kiếm lời. Sách trích nó chỉ vì câu "đăng nhập ngoài phạm vi ủy quyền cũng tính là xâm nhập". Sách không nói test thiện ý sẽ bị phán nặng như vậy. Điều 285 Luật Hình sự (刑法第二百八十五条) và văn bản giải thích năm 2011 đều không coi thiện ý hay báo cáo sau đó là lý do không phạm tội. Tác giả suy ra từ đó: bạn định làm gì, sau đó có báo cáo hay không, đều không xóa được tội danh. Hai thứ đó chỉ có thể ảnh hưởng mức phán nặng hay nhẹ, và có truy tố hay không. Hãng cảm ơn trước rồi quay lại báo án: hai việc đó không mâu thuẫn nhau, vì lời cảm ơn không phải ủy quyền. Năm 2016, một người "mũ trắng" (nhà nghiên cứu bảo mật, còn gọi là "white hat") nộp lỗ hổng của website Thế Kỷ Giai Duyên lên một nền tảng lỗ hổng của bên thứ ba. Sau đó Thế Kỷ Giai Duyên báo công an, và người này bị bắt. Thế Kỷ Giai Duyên nói với phóng viên rằng họ báo công an vì có dữ liệu bị người ta lấy đi, lúc đó họ không biết người lấy dữ liệu chính là người nộp lỗ hổng. Vụ này chỉ có báo chí đưa tin, không có bản án và không có thông báo chính thức. Cuối cùng vụ việc được xử lý thế nào, cũng không có tuyên bố chính thức. Trên site Tòa án Nhân dân Tối cao và Viện Kiểm sát Nhân dân Tối cao, sách cũng không tìm được vụ án loại test thiện ý nào có thể đối chiếu từng chữ. Vì vậy mục này chỉ xếp mức chứng cứ theo điều luật và chuẩn phạt. Nếu muốn làm, bạn đi qua SRC công khai của hãng, hoặc đánh giá có ủy thác bằng văn bản, ghi phạm vi, mục tiêu và cửa sổ thời gian vào văn kiện. Để chứng minh lỗ hổng tồn tại, bạn dùng ít chứng cứ nhất, không lấy dữ liệu hàng loạt. Nếu chưa đủ thành tội ở khung đó, bạn vẫn bị xử phạt trị an, còn kèm cấm hành nghề. Số tiền phạt và số năm giống mục 8 (không chạy chương trình của mình trên máy người khác). Phát hiện lỗ hổng xong xử lý thế nào, xem mục 10 (lỗ hổng báo theo đúng quy định).