北京市海淀区人民法院刑 事 判 决 书（2018）京0108刑初1271号公诉机关北京市海淀区人民检察院。被告人蔡洪强，男，1997年5月7日出生于江西省新建县，公民身份号码为×××，汉族，中专文化程度，无业，户籍所在地为江西省新建县。因涉嫌犯非法获取计算机信息系统数据罪，于2017年8月30日被羁押，同年10月1日被逮捕。现羁押在北京市海淀区看守所。辩护人张效辉，北京市京大律师事务所律师。被告人于贵成，男，1991年12月27日出生于内蒙古自治区，公民身份号码为×××5，汉族，初中肄业，无业，户籍所在地为内蒙古自治区。因涉嫌犯破坏计算机信息系统罪，于2017年9月27日被羁押，同年11月1日被逮捕。现羁押在北京市海淀区看守所。辩护人胡娟，北京市国韬律师事务所律师。北京市海淀区人民检察院以京海检科技刑诉〔2018〕57号起诉书指控被告人蔡洪强犯非法控制计算机信息系统罪、被告人于贵成犯破坏计算机信息系统罪，于2018年6月15日向本院提起公诉。本院依法组成合议庭，公开开庭审理了本案。北京市海淀区人民检察院指派检察员许丹、代理检察员李博克出庭支持公诉，被告人蔡洪强及其辩护人张效辉、被告人于贵成及其辩护人胡娟，北京善豹科技有限公司诉讼代理人董艳国均到庭参加诉讼。现已审理终结。北京市海淀区人民检察院指控：一、2017年6月至8月间，被告人蔡洪强利用互联网，通过植入木马病毒等方法非法控制1100余台计算机信息系统，即“肉鸡”，并通过将“肉鸡”的控制权租赁给他人的方式进行牟利。同年7月至8月间，被告人蔡洪强将所抓取的“肉鸡”，租赁给被告人于贵成使用，共获利人民币18800元。二、2017年7月23日，被告人于贵成使用从被告人蔡洪强处租赁的“肉鸡”，攻击北京善豹科技有限公司（以下简称善豹公司）游戏服务器，致使受攻击的服务器（IP：116.211.169.237）无法正常运营，造成受害公司经济损失为人民币4万元。被告人蔡洪强于同年8月30日被公安机关抓获，被告人于贵成于同年9月27日被公安机关抓获，后该二人均如实供述了上述犯罪事实。针对上述指控，公诉机关向本院提供了相应的证据材料，认为被告人蔡洪强对计算机信息系统实施非法控制，情节特别严重，其行为构成非法控制计算机信息系统罪；被告人于贵成对计算机信息系统功能进行干扰，造成计算机信息系统不能正常运行，后果严重，其行为构成破坏计算机信息系统罪。公诉机关提请本院依照《中华人民共和国刑法》第二百八十五条第二款、第六十七条第三款之规定对被告人蔡洪强定罪处罚；依照《中华人民共和国刑法》第二百八十六条第一款、第六十七条第三款之规定对被告人于贵成定罪处罚。被告人蔡洪强对公诉机关指控其犯非法控制计算机信息系统罪的罪名无异议。针对指控的事实，辩解自己控制计算机信息系统的数量仅有五六十台；其租给于贵成服务器时不知对方是用来攻击别人使用的，且CC攻击不会产生流量。其辩护人发表的辩护意见为：对公诉机关指控被告人蔡洪强非法控制计算机信息系统的数量提出异议；被害单位的经济损失与其无关；被告人蔡洪强系初犯、偶犯，到案后如实供述全部犯罪事实，建议法庭对其减轻处罚。被告人于贵成对公诉机关指控其犯破坏计算机信息系统罪的事实及罪名无异议，但辩解自己租赁的服务器不具备攻击流量的功能，2017年7月23日其对善豹公司的攻击不会产生流量，善豹公司的流量损失与其无关。其辩护人发表的辩护意见为：被告人于贵成系初犯、偶犯，此次犯罪其主观恶性小，其行为情节轻微，未给被害单位造成严重后果，社会危害性小；其攻击被害单位的时间是2017年7月23日19时46分，此时间段外不是由其攻击产生的损失不应由其承担，建议法庭对其从轻处罚。善豹公司诉讼代理人的意见为：被告人蔡洪强、于贵成的犯罪情节属于特别严重。经审理查明：2017年6月至8月间，被告人蔡洪强利用互联网络，通过植入木马病毒等方法非法控制计算机信息系统1100余台，并采用将上述计算机信息系统“控制权”租赁给他人的方式牟利。同年7月至8月间，被告人蔡洪强将“控制权”租赁给被告人于贵成使用，共获利人民币18800元。同年7月23日，被告人于贵成使用从被告人蔡洪强处租赁的“控制权”，攻击善豹公司的游戏服务器，致使受攻击的服务器（IP：116.211.169.237）无法正常运营，造成善豹公司经济损失人民币4万元。同年8月30日，被告人蔡洪强被公安机关抓获。同年9月27日，被告人于贵成被公安机关抓获。公诉机关当庭宣读并出示了侦查机关依法收集和调取的如下证据材料：1.被告人蔡洪强的供述。供称2017年6月15日其辞职后无业，以为别的黑客提供“肉鸡”（即被控制的电脑）牟利。其通过购买VPS服务器，植入木马病毒，控制大量的云服务器，然后租给别人进行CC攻击(向被攻击目标发送链接请求，直至目标服务器瘫痪，无法登陆)。其平时一般控制的电脑是2000多台，最高时3000台左右。其将“肉鸡”租给过很多人，大多时候长租给与其QQ联系的两个人，其中一人昵称“mylove”，其曾租给他1000台“肉鸡”，日租金200元。他们租赁后具体对谁进行CC攻击其不清楚，但“mylove”曾跟其说过，他们都是被人雇佣的，（人家）雇他们打谁他们就打谁，多数是打一些赌博性质的网站和棋牌手游。这种攻击行为是违法的，可其租给他们来钱快，其总共赚了大约4万余元。后来其认识了“黑猫网络安全”，其觉得他比较稳定，从2017年7月开始至案发，其所有的肉鸡就只租给了他。其租给他2000台肉鸡，日租金400元。对方给其一二万租金，都是打到其支付宝账户，其用“执笔写沧桑”的微信账号通过二维码收过“黑猫网络安全”的转账。“黑猫网络安全”说他自己经营了一个棋牌类手游，租其肉鸡是去打竞争对手，即攻击竞争对手游戏服务器的端口，造成对方服务器无法登陆，从而攻击其他做棋牌类手游的同行业竞争者。2.被告人于贵成于2017年9月27日、9月30日、11月1日所作的供述。供称其开发了棋牌类的手游，2017年7月开始，其从被告人蔡洪强处租用服务器（开始日租金400元，后涨到600元），攻击其他同类型手游的服务器，造成对方无法登陆，从而让其手游获得竞争优势。3.证人邓某（善豹公司运维经理）的证言。证实2017年7月4日22时40分，善豹公司的一组服务器（IP：101.201.118.42）遭到了DDOS攻击，流量在几秒之内达到了60G，服务器瞬间进入了黑洞状态，访问上述IP的用户自动访问到阿里云公司的高防IP(116.211.169.237），同时黑客继续对善豹公司的服务器进行攻击，峰值达到413.50G，超出高防IP的防御峰值300G，高防IP也进入了黑洞状态，直到当日23时32分才恢复正常。公司业务因此中断近1小时，产生流量费用是24453元。同年7月22日18时40分，公司的9组服务器又陆续遭到了DDOS攻击，先后进入黑洞状态，启动高防IP。黑客的持续攻击直到同年8月1日，造成善豹公司正常业务中断长达10天，产生流量费用近21万元。黑洞状态即服务器的流量超过高防IP的限制，明显产生异常，造成服务器状态不可用。高防IP即具有较高的防御DDOS攻击性能的IP地址，在公司的服务器遭受攻击进入黑洞状态时，会自动将访问的用户转到高防IP地址。高防IP可以承受300G以下的DDOS攻击。公司购买高防IP的费用是25974元，DDOS的流量费用183152.82元（共计209126.82元）。另有公司的正常业务费34414元，都一起开在了这张发票里，故发票金额243538.82元。善豹公司的游戏日均活跃用户在7000人左右。被攻击期间，公司所有用户都无法登录游戏，善豹公司的业务受到损失。4.善豹公司服务器确曾遭受攻击的截图9张。其中8张截图证实，善豹公司服务器在2017年7月4日至5日遭受攻击1次、7月22日至8月2日遭受攻击226次，且在2017年7月23日到24日之间，其公司的高防IP-116.211.169.237在IP-120.26.50.42的“肉鸡”参与攻击的时间段内，所遭受攻击的峰值已超过400G。另1张截图证实，善豹公司的9台云主机的高防服务器在7月22日至8月2日间陆续遭受攻击后被打入黑洞状态的情况。5.关于善豹公司经济损失的第一组证据材料：善豹公司提供的增值税发票1张、对该发票的详细说明及做出上述说明依据的账单截图5张等材料。增值税发票开票日期为2017年8月2日，销售方为阿里云计算有限公司（以下简称阿里云公司），发票内容为“软件服务费”用，价税合计243538.82元。善豹公司高防IP地址（116.211.169.237）在2017年7月23日遭受到DDOS攻击及流量峰值为385G，根据阿里云公司收费标准，费用为人民币4万元。因发票系按月开出，此部分费用包含在2017年8月的发票中，有部分费用是阿里云公司的代金券里边扣除的，公司2017年7月23日遭受攻击后，实际向阿里云公司支付人民币4万元。另有善豹公司提供的与本案有关的各种收费标准及费用清单。阿里云公司的报价清单列明了DDOS攻击防御值、CC攻击防御值及对应峰值的每日弹性的防护费用。证明在善豹公司遭受DDOS攻击之后，为避免自己的服务器不能运行，需要向阿里云公司等大的服务器提供商购买更多的流量。费用不预付，需之后根据受到攻击当天紧急调用更高流量的数量来付费。关于善豹公司经济损失的第二组证据材料：《阿里云公司协查情况说明》提供了受害者历史购买链接和现高防计费标准链接。内容为受害者的DDOS高防服务历史购买链接，显示2017年7月，阿里云公司提供的高防防护，最高300GB，收费金额上限为人民币4万元。善豹公司的情况说明描述了2017年7月23日，其公司受到攻击的高防服务器3个，地址分别为116.211.169.237、218.11.2.72、116.211.169.178，攻击流量峰值分别为413502、535773、272453，其公司向阿里云公司付费金额分别为人民币4万元、4万元、24453元，证实案发当天善豹公司受到攻击后造成的经济损失为人民币4万元。关于善豹公司经济损失的第三组证据材料：阿里云公司提供的《善豹科技被DDOS情况》的EXCEL表格，显示2017年7月善豹公司遭受DDOS攻击的详细情况。2017年7月23日，善豹公司遭受攻击的有3个高防服务器，其中被攻击的IP-218.11.2.72的处理类型为DDOS-DEFENSE的最大攻击流量为“535773”，IP-116.211.169.178的处理类型为DDOS-FEFENESE的最大攻击流量为“272453”，IP-116.211.169.237的处理类型为DDOS-FEFENESE的最大攻击流量为“413502”。因阿里云公司最高仅能提供300GB防护，因此服务费按照人民币4万元来收取。《善豹201707》的EXCEL表格，显示“7995366356”单号的已结算计费单中，商品名称为“DDOS高防防护”的后付费类型中，在“2017.7.23-7.24”时间段内，账单金额104453元。公诉人当庭说明：根据善豹公司向阿里云公司支付的总费用，对应阿里云公司的收费标准，起诉书指控2017年7月23日善豹公司的高防服务器116.211.169.237受攻击后，向阿里云公司支付人民币4万元，此费用包含在账单104453元中。6.现场勘验检查工作记录、远程勘验检查工作记录，搜查笔录、扣押笔录、扣押决定书、扣押清单及QQ聊天记录截图等材料。证实公安机关通过远程勘验被告人蔡洪强控制的两个远程桌面及远程桌面里对应的程序和该程序直接反映出来的界面，显示出其控制的计算机信息系统数量。公诉人当庭说明：二被告人供认曾约定租赁2000台服务器，日租金据此数量付费。后二被告人之间交易额为18000余元，推算在2017年7、8月案发时涉案计算机信息系统数量应在2000台以上。因为通过木马病毒来控制被害人（单位）的电脑系统，病毒会被杀毒软件所识别进而消灭，故被告人控制的服务器数量是不断变化的，二被告人归案之后，对其已经控制的服务器不再进行维护也不能控制新的服务器，所以被告人所控制的服务器数量呈逐渐减少的趋势。现以同年9月勘验时的数量来指控涉案的计算机信息系统为1100台，此数量并不是蔡洪强7、8月控制服务器的精准数量，此为按照有利于被告人原则作出的指控。7.北京国创鼎诚知识产权司法鉴定中心司法鉴定意见书、五元组日志（源IP地址、源端口、目的IP地址、目的端口和传输层协议这五个量组成的一个集合）等材料。证实2017年7月23日善豹公司服务器遭受大量DDOS攻击，系统自动启动高级防护IP-116.211.169.237，阿里云公司技术人员通过上述服务器逆向查找并锁定攻击该服务器的一台服务器IP-120.26.50.42，后公安机关依法调取了其镜像文件并委托鉴定机关进行分析，验证了其系“肉鸡”（即可以被黑客远程控制的机器），进而公安机关锁定了被告人蔡洪强系犯罪嫌疑人。8.微信转账记录截图。证实二被告人之间使用微信经济往来的情况。9.善豹公司出具的《常见DDOS攻击》。说明CC攻击属于应用层DDOS攻击方式的一种。10.善豹公司的服务器存放地及善豹公司住所地材料。证实本院具有管辖权。11.到案经过、网安大队出具的工作说明。证实公安机关破案及二被告人被抓获的过程。12.身份信息。证实二被告人的身份情况。经庭审质证，被告人蔡洪强及辩护人提出，蔡洪强控制的控制计算机信息系统实行CC攻击的模式，不产生流量。其辩护人对勘验记录中蔡洪强控制计算机信息系统的数量提出异议，同时认为善豹公司所主张的损失与蔡洪强无关。被告人蔡洪强及辩护人对上述其余证据均未提出异议。被告人于贵成对涉及善豹公司损失的证据提出异议，对该公司经济损失数额不予认可；同时提出自己在侦查阶段的供述笔录中，多不是其要说的意思。其辩护人对善豹公司2017年7月23日19时46分遭受的损失认可，提出善豹公司其余时间段遭受的损失与于贵成无关。被告人于贵成及辩护人对上述其余证据均未提出实质性的异议。善豹公司诉讼代理人对上述证据均未提出异议。善豹公司诉讼代理人当庭出示了善豹公司被DDOS攻击的报案材料，说明善豹公司日活用户的数量。经庭审质证，公诉机关对此未提出异议，二被告人及其辩护人对此不予认可。法庭认为，控方、善豹公司诉讼代理人当庭出示的证据、材料，形式及来源合法、有效，内容客观真实，且与案件事实相关联，对其证明效力，本院予以确认。本院认为，被告人蔡洪强非法控制计算机信息系统100台以上，情节特别严重，其行为已构成非法控制计算机信息系统罪，应予惩处。被告人于贵成破坏计算机信息系统功能，造成经济损失1万元以上，后果严重，其行为已构成破坏计算机信息系统罪，亦应予惩处。北京市海淀区人民检察院指控被告人蔡洪强犯非法控制计算机信息系统罪、被告人于贵成犯破坏计算机信息系统罪的事实清楚，证据确实充分，指控罪名成立。关于被告人蔡洪强非法控制计算机信息系统的数量，经查，勘验时间晚于案发时间以及勘验时涉案“肉鸡”数量减少是客观事实，本案被控制服务器的具体数量难以确定，故按有利于被告人的原则认定被告人蔡洪强控制计算机信息系统的数量。关于被告人于贵成犯罪行为造成的经济损失如何认定的问题。在案证据证明，善豹公司在遭受DDOS攻击之后，为避免公司服务器不能运行，需要按之前所签订的合同向阿里云公司购买更多的流量，并根据受到攻击当天紧急调用的流量数量支付费用。善豹公司IP在2017年7月23日的受攻击记录显示，网络出入口流量趋势所对应的阿里云公司高防IP防护费用收费标准是人民币4万元，阿里云公司亦收到了善豹公司支付的相应款项，上述费用可以认为是善豹公司因本案犯罪行为而寻求技术支持产生的必要费用，故认定被告人于贵成破坏计算机信息系统造成的经济损失为人民币4万元。被告人于贵成关于其在侦查阶段讯问笔录有多处不是其所要表达意思的辩解，经查，讯问笔录与讯问录像的内容基本相符。二被告人辩解CC攻击不产生流量，无证据予以支持，故对二被告人的上述辩解，本院不予采信。被告人蔡洪强当庭所辩解的其控制计算机信息系统的数量五六十台与其在侦查阶段供述的二三千台不一致，亦与在案证据差异大，其辩解显系避重就轻。被告人于贵成对给善豹公司造成经济损失予以否认，故公诉人认为二被告人当庭均未能如实供述主要犯罪事实、关键犯罪情节的意见，本院不持异议。被告人蔡洪强辩护人的关于其控制计算机信息系统数量的相关辩护意见，被告人于贵成辩护人的关于经济损失承担方面的辩护意见，均与事实及法律依据不符，本院不予采纳。二被告人各自辩护人的其余相关辩护意见，本院酌予采纳。对被告人蔡洪强依照《中华人民共和国刑法》第二百八十五条第二款、第五十三条、第六十四条及最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第一条第一款第（二）项、第二款第（一）项之规定；对被告人于贵成依照《中华人民共和国刑法》第二百八十六条第一款及最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条第一款第（三）项之规定，判决如下：一、被告人蔡洪强犯非法控制计算机信息系统罪，判处有期徒刑五年，罚金人民币十万元。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2017年8月30日起至2022年8月29日止。罚金限自本判决生效后第二日起十日内缴纳。）二、被告人于贵成犯破坏计算机信息系统罪，判处有期徒刑四年。（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自2017年9月27日起至2021年9月26日止。）三、向被告人蔡洪强追缴违法所得人民币一万八千八百元，予以没收。如不服本判决，可在接到判决书的第二日起十日内，通过本院或者直接向北京市第一中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本二份。审 判 长  吕海菲人民陪审员  唐福来人民陪审员  于景艳二〇一九年七月十九日书 记 员  汪冬泉