广东省东莞市第三人民法院刑 事 判 决 书（2019）粤1973刑初1168号公诉机关东莞市第三市区人民检察院。被告人罗思泳，男，1996年4月17日出生，汉族，高中文化，无业，户籍所在地为广东省茂名市茂**，因涉嫌犯破坏计算机信息系统罪于2018年12月5日被羁押并刑事拘留，2019年1月10日被逮捕。现押于东莞市看守所（上桥）。指定辩护人袁立鹏，广东立慧律师事务所律师。东莞市第三市区人民检察院以东三区检刑诉[2019]1040号起诉书指控被告人罗思泳犯破坏计算机信息系统罪，于2019年4月23日向本院提起公诉。本院立案后，并依法组成合议庭适用普通程序审理，于2019年6月11日公开开庭审理了本案。东莞市第三市区人民检察院指派检察员吴淦森、何元妍出庭支持公诉；被告人罗思泳及其指定辩护人袁立鹏到庭参加诉讼。在审理过程中，东莞市第三市区人民检察院建议延期审理，后建议恢复审理，本院均予以同意。现已审理终结。东莞市第三市区人民检察院指控称，2018年1月开始，被告人罗思泳在东莞市东坑镇大坑6号6楼出租房内研发“cheat”木马病毒，预谋盗取他人支付宝等网络账号和密码，从而盗窃他人钱财。2018年11月，该病毒研发成功，罗思泳租用河南省郑州市景安网络公司快云服务器，将该病毒植入一个易语言开发的软件（精易模块.ec）内，发帖至“精易论坛”，该病毒会对下载该软件的计算机进行感染。该病毒运行后对计算机的文件进行加密，并弹出勒索窗口（附有微信收款二维码），罗思泳以解密为由向每台感染病毒的计算机用户敲诈勒索110元，至今共收款37笔（其中一笔30元），非法所得3990元。12月5日15时许，罗思泳被抓获，公安机关在罗的住处查获acer笔记本电脑、手机等作案工具。12月6日，上述37笔收款已退回被害人。经广东中科司法鉴定所鉴定，可确定“cheat”病毒为电脑持有人原创；该病毒程序会对用户主机中存储的数据进行加密，为未授权地修改、干扰，故为破坏性程序；该病毒具有通过监控用户键鼠操作来获取用户网络账号、密码信息的功能；该病毒感染电脑主机数量为27939台，记录键盘鼠标操作记录有21546条。为支持上述指控，公诉机关提供了现场勘查材料，作案工具笔记本电脑等物证，广东中科司法鉴定所鉴定意见书，数据光盘等电子数据，到案经过等书证，证人刘某1的证言，吴某1等被害人的陈述及被告人罗思泳的供述和辩解等证据；并据此认为被告人罗思泳违反国家规定，故意制造、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果特别严重，其行为已触犯《中华人民共和国刑法》第二百八十六条第三款之规定，犯罪事实清楚，证据确实、充分，应当以破坏计算机信息系统罪追究其刑事责任。建议对被告人罗思泳判处五年至七年有期徒刑，并处罚金。提请本院依法判处。在法庭上，被告人罗思泳对公诉机关起诉指控的主要事实无异议，对罪名、量刑建议均有异议，提出以下辩解意见：1.程序是可以删除的，没有破坏计算机行为；2.指控的感染计算机数量不对，其认为最多一千台；3.没有盗窃他人支付宝账号；4.手机并非作案工具；5.其行为应构成敲诈勒索；6.对感染病毒的计算机进行解密。指定辩护人提出以下主要的辩护意见：1.本案应定罪为敲诈勒索；2.人身危险性较小；3.司法鉴定依据不够充分；4.系初犯。经审理查明，2018年1月开始，被告人罗思泳在东莞市东坑镇大坑6号6楼出租房内研发“cheat”木马病毒，预谋盗取他人支付宝等网络账号和密码，从而盗窃他人钱财。2018年11月，该病毒研发成功，罗思泳租用河南省郑州市景安网络公司快云服务器，将该病毒植入一个易语言开发的软件（精易模块.ec）内，发帖至“精易论坛”，该病毒会对下载该软件的计算机进行感染。该病毒运行后对计算机的文件进行加密，并弹出勒索窗口（附有微信收款二维码），罗思泳以解密为由向每台感染病毒的计算机用户敲诈勒索110元，至今共收款37笔（其中一笔30元），非法所得3990元。12月5日15时许，罗思泳被抓获，公安机关在罗的住处查获acer笔记本电脑、手机等作案工具。12月6日，上述37笔收款已退回被害人。经广东中科司法鉴定所鉴定，可确定“cheat”病毒为电脑持有人原创；该病毒程序会对用户主机中存储的数据进行加密，为未授权地修改、干扰，故为破坏性程序；该病毒具有通过监控用户键鼠操作来获取用户网络账号、密码信息的功能；该病毒感染电脑主机数量为27939台，记录键盘鼠标操作记录有21546条。上述事实，有公诉机关出示，并经法庭质证、认证的下列证据予以证实：（一）勘验、检查、辨认、侦查实验等笔录1.现场勘查记录、现场图及现场照片：证实案发现场位于东莞市东坑镇黄屋大塘坑三街6号6楼出租房、东坑镇东坑大道南375号303号房，未提取痕迹、物证。2.搜查证、搜查笔录：证实依法对被告人罗思泳的人身进行搜查，查获金色VIVO牌手机1部；依法对罗思泳位于东莞市东坑镇东坑大道南375号303号房的住处进行搜查，查获acer笔记本电脑1部、小米牌手机1部、中国邮政储蓄银行卡2张；依法对罗思泳位于东莞市东坑镇黄屋大坑6号6楼出租房的住处进行搜查，未发现与本案有关的物品。（二）物证金色VIVO牌手机1部、acer笔记本电脑1部、小米牌手机1部、中国邮政储蓄银行卡2张：系作案工具。（三）鉴定意见1.广东中科司法鉴定所鉴定意见书（穗司鉴19010660900002号）：鉴定意见为：（1）可确定“cheat”病毒为电脑持有人原创；（2）该病毒程序会对用户主机存储的数据进行加密，为未授权地修改、干扰，故该程序为破坏性程序；（3）该病毒具有通过监控用户键鼠操作来获取用户网络账号、密码信息的功能。2.广东中科司法鉴定所鉴定意见书（穗司鉴19010660900002号）：鉴定意见为：“cheat”病毒感染电脑主机数量为27939台，记录键盘鼠标操作记录有21546条。（四）电子数据1.向财付通支付科技有限公司调取的数据光盘2个：内容为被告人罗思泳的微信注册资料和交易记录。2.向郑州市景安网络科技股份有限公司调取被告人罗思泳的数据库资料数据光盘1个。3.向北京豆网科技有限公司调取被告人罗思泳的“豆瓣网”注册资料和所有相关数据光盘1个。4.向揭阳市揭东区精易科技有限公司调取被告人罗思泳的“精易论坛”账号相关资料和所有发布的帖子相关内容数据光盘1个。5.被告人罗思泳电脑、手机电子数据U盘1个。（五）书证1.到案经过：证实被告人罗思泳系被动到案，无自首、立功情节。2.居民户口簿：证实被告人罗思泳的身份情况及作案时已满18周岁。3.接受证据材料清单：证实从被害人吴某1处接受扫二维码付款截图1份；从被害人林某处接受扫二维码付款截图1张、微信二维码截图1张、勒索病毒截图1张；从被害人黄某处接受扫二维码付款截图1张；被害人邵某处接受扫二维码付款截图1张、勒索病毒截图1张；从被害人周某处接受扫二维码付款截图1张。4.扫二维码付款截图、微信二维码截图、勒索病毒截图：证实被告人向被害人勒索钱财的情况。5.扣押笔录、扣押清单：证实依法从被告人罗思泳处扣押金色VIVO牌手机1部、acer笔记本电脑1部、小米牌手机1部、中国邮政储蓄银行卡2张。6.调取证据通知书、调取证据清单：证实依法向财付通支付科技有限公司调取被告人罗思泳的微信注册资料和交易记录，调取到光盘2份。7.微信注册资料及交易记录：证实从2018年11月30日9时23分至被告人罗思泳微信上有36笔扫二维码付款（收入）金额是110元，1笔扫二维码付款（收入）金额是30元，合计3990元；从2018年12月6日10时53分至10时59分，罗思泳微信上有36笔退款金额是110元，1笔退款金额30元。8.情况说明：由深圳市腾讯计算机系统有限公司安全管理部提供，证实遭受“Unname1989”勒索病毒破坏的电脑规模在5000至7000台。9.调取证据通知书、调取证据清单、情况说明：证实依法向郑州市景安网络科技股份有限公司调取被告人罗思泳的数据库资料光盘1份。10.调取证据通知书、调取证据清单：证实向北京豆网科技有限公司调取被告人罗思泳的“豆瓣网”账号注册资料和所有相关数据。11.调取证据通知书、调取证据清单：证实向揭阳市揭东区精易科技有限公司调取被告人罗思泳的“精易论坛”账相关资料和所有发布的帖子相关内容。（六）证人证言1.刘谷远（系揭阳市揭东区精易科技网络有限公司“精易论坛”工作人员）：证实2018年11月15日，用户qq17×××86（姓名：罗思泳）在“精易论坛”、“易源码分享”模块发布一个题为“小型软件在线更新方法，不需要服务器，让更新永不失效，老方法”的帖子。同年12月1日，其公司发现该帖子存在木马程序，经工作人员分析，该木马程序会监听用户电脑键盘输入，并把用户的支付宝等网站的账号、密码上传到用户qq17×××86的数据库，该数据库内已经保存有1万多条他人的账号、密码信息。其公司核实该情况后，将用户qq17×××86在“精易论坛”所发布的帖子都屏蔽了，并将该用户禁言，在论坛上发布了该帖子的核查报告。目前还没有网友有经济损失，但是有约2、3名网友发帖称电脑中了“勒索病毒”，电脑内的大部分文件都加密了，需要向一个微信二维码支付110元才可以解密。（七）被害人陈述1.吴某1：证实2018年11月30日10时30分许，其打开台式电脑发现屏幕弹出勒索病毒界面，界面内容是“你的电脑已被加密，请执行以下操作进行解密”，并附有微信二维码，二维码上提示“需要支付110元”。其估计电脑中病毒，于是按照对方的要求扫微信二维码支付110元。其电脑中病毒后，电脑内的所有文件都被加密，打开文件显示的全部是乱码。其支付110元后，对方提供一个解密的界面，其输入转账单号，点击解密，但界面没有反应，文件也没有解密。指认笔录：指认其提供的扫二维码付款截图1张（2018年11月30日12时44分向pay支付110元）。2.林某：证实2018年11月28日10时许，其使用电脑在“赚客吧”网站下载一个联通助力软件，其想了解联通有什么优惠活动，其打开软件时，电脑360杀毒软件马上提醒该网络地址有风险，其运行了一下该软件就关掉。11月30日10时许，其打开电脑时弹出勒索病毒界面，内容是“你的电脑已被加密，请执行以下操作进行解密”，还附有一个微信二维码。后其按照对方的要求使用微信扫一扫该二维码支付了110元。但其电脑的文件打开还是乱码，无法操作，其自己下载了火绒破解工具电脑才恢复正常。指认笔录：指认其提供的扫二维码付款截图1张（2018年11月30日10时14分向pay支付110元）、微信二维码截图1张、勒索病毒截图1张。3.黄某：证实2018年11月26日16时许，其使用电脑在互联网“小刀娱乐”网站下载一个领取手机流量的软件，其打开看有什么优惠活动，浏览了一段时间后退出。11月30日10时30分许，其打开电脑时弹出勒索病毒界面，内容是“你的电脑已被加密，请执行以下操作进行解密”，还附有一个微信二维码。其电脑中毒后，电脑内的文件都被加密了，打开都是乱码。后其按照对方的要求使用微信扫一扫该二维码支付了110元，对方提供一个解密的界面，但解密失败，其就自己将电脑重装。指认笔录：指认其提供的扫二维码付款截图1张（2018年11月30日12时47分向pay支付110元）。4.邵某：证实2018年11月28日14时许，其使用电脑在互联网“2345”网站下载微信软件。11月30日10时许，其打开电脑时弹出勒索病毒界面，内容是“你的电脑已被加密，请执行以下操作进行解密”，还附有一个微信二维码。其电脑中病毒后，所有文件打不开，打开全是乱码。后其按照对方的要求使用微信扫一扫该二维码支付了110元，对方提供一个解密界面，其将转账单号输入点击解密，但界面显示无法查询到录入转账单号，文件也没有解密。指认笔录：指认其提供的扫二维码付款截图1张（2018年11月30日11时53分向pay支付110元）、勒索病毒界面1张。5.周某：证实2018年11月26日20时许，其使用电脑在互联网电影网站下载了软件。11月28日15时许，其打开电脑时弹出勒索病毒界面，内容是“你的电脑已被加密，请执行以下操作进行解密”，还附有一个微信二维码。后其按照对方的要求使用微信扫一扫该二维码支付了110元，对方提供一个解密界面，但解密失败，其就自己将电脑重装。指认笔录：指认其提供的扫二维码付款截图1张（2018年11月30日12时53分向pay支付110元）。（八）被告人供述罗思泳：1.侦查阶段：（1）盗取他人网络账号、密码的情况：供述2017年9月开始，其在东莞市东坑镇黄屋大坑6号6楼出租屋内使用手提电脑研发“cheat”木马病毒（译名“作弊”）。2018年6月，该病毒研发成功并发布出去。其研发该病毒的动机是想通过该病毒盗取他人支付宝、淘宝、阿里旺旺、网盘、邮箱等网络账号和密码，再通过转账方式，盗取他人支付宝内的钱。其至今未能成功盗取他人支付宝内的钱便被抓获。首先其制作一种“易语言开发软件”模块，里面包含有“cheat”木马病毒代码，然后其将该模块命名为“精易模块.ec”，之后在互联网“精易论坛”（访问网址http：//bbs.125.la，其账号17×××86，密码ABC151××××****）发布了一个帖子（名称为“小巧软件，在线更新，永不失效”），帖子内包含两个文件：一个是“精易模块.ec”，另一个是“源程序代码.e”，用户通过运行源程序代码，则自动跳转到豆瓣（账号179×××＠ｑｑ.ｃｏｍ，密码ABC151××××****）上的HTML文件，用户只要下载HTML文件就会自动下载其QQ空间（QQ号码28×××47，昵称28110）一张图片，这个图片是经过伪装的，里面包含了另一个压缩包文件，压缩包里面就是其制作的木马病毒。木马病毒在后台运行时，其后台服务器即会自动运行，记录用户的电脑操作，包括登录支付宝等账号，也会记录下键盘操作，也就是把支付宝等账号密码截取下来保存在其服务器内。（2）敲诈勒索的情况：其还通过“cheat”木马病毒实施微信支付敲诈勒索。其实其计划2023年才启用这个功能，该功能是通过执行命令对感染病毒的计算机除系统文件及执行文件之外的所有文件进行加密，然后弹出勒索界面，界面里有解密字样及其预置的微信收款二维码，然后在其设定的解密程序标题显示“你的电脑已被加密，请执行以下操作，扫一扫二维码，你需要支付110进行解密”。截止被抓，其有约182条微信转账记录，其中有36笔转账金额是110元，1笔金额是30元，合计3990元（其他转账记录是几分钱或者几毛钱，其猜测是勒索界面被人公布到网上，网友故意小额转账来调侃其）。用户给其转账后，将微信转账单号输入解密程序里，其通过后台服务器数据库进行解密（输入1为解密，输入0为加密）。12月1日晚上，其通过互联网及新闻报道得知事件爆发，觉得将事情搞大了，就将所有感染病毒的用户计算机设定为1解密，这样用户不需要给其转账，只需再次点击勒索界面上的解密按钮就可以自动解密了。（3）计算机被病毒感染的情况：第一、二次供述：发布至其被抓获，约12万台计算机被“cheat”木马病毒感染。2018年7月开始有计算机用户的支付宝、淘宝、阿里旺旺、网盘、邮箱等网络账号、密码信息传回其后台数据库，累计5至6万条记录。2018年9月，其通过后台管理操作将数据清理了一次。2018年12月4日，其将服务其数据库备份到其笔记本内。第三、四、五次供述：发布至其被抓获，约5万多台计算机被“cheat”木马病毒感染，具体不清楚，因为其于2018年9月清空了数据库。2018年9月至今约2万多台计算机信息保存在数据库的“md”表格里，其手提电脑也备份了一个“md.xls”文件。“md”表格和“md.xls”文件内容一样，表格每一行代表其非法入侵、控制了1台计算机的信息，包括计算机的GUID、USERNAME、SYSTEMNAME、IPaddr、Location、installedProgram等信息，其中GUID表示的是受控主机的唯一编号，是按照中毒的日期时间随机生成的，一台机器只对应一个编号，下次上线也是对应这个编号。只要计算机不重新安装操作系统都是这个编号。其可以对被病毒感染的计算机进行完全控制，包括操纵对方文件、读取对方计算机信息、键盘记录、窃取对方登陆的支付宝、阿里旺旺、QQ邮箱等网络账号和密码。这些账号和密码保存在其数据库的taccount表格内，约4万至5万条记录，具体不清楚，因为2018年9月其清空了数据库。2018年12月4日其在其笔记本电脑备份了一个“taccount.xls”文件，该文件有约28000多条被感染用户的账号和密码数据。对广东中科司法鉴定所进行司法检验鉴定结论没有意见。（4）租用服务器、数据库的情况：其是通过快云服务器公司租用服务器的，2018年6月开始租，2024年到期。其快云服务器访问连接为：mc.zzidc.com，账户名：qq17×××86，密码：Lsy19960417。其数据库存放在河南省郑州景安网络公司的服务器内，地址是lgso2mw2.2313.dnstoo.com，数据库名字“id19960417”。指认笔录：指认作案工具金色VIVO牌手机1部、acer笔记本电脑1部、小米牌手机1部。指认笔录：其微信注册资料及交易记录。辨认现场笔录及照片：辨认出作案现场。2.审查起诉阶段：其认可公安机关提供的鉴定意见，对鉴定结果为“被“cheat”病毒感染电脑主机数量为27939台，记录键盘鼠标操作记录有21546条”没有意见；但其认为感染病毒的计算机只有1000多台，因为很多病毒都是无效的，其根据转账的次数判断最多1000多台。其本来设定2023年启动病毒，但调试的时候将时间改为调试时间，后忘记改回来，结果病毒就提前传播出去了。不清楚为什么有些网民已经付钱，也无法解除病毒。当时其微信已经被冻结，不知道收到了钱。派出所让其将钱全部退回给被害人。其在第一、二次供述中提到感染病毒的计算机约12万台，后在第三次供述又说感染病毒的计算机约5万台，并提到笔记本电脑备份了一个“taccount.xls”文件，该文件保存约28000多条被感染用户的账号和密码数据，开始都是其乱说的，一切以电脑主机服务器记录数据为准。关于本案的事实，以及各被告人及辩护人所提意见，本院作如下确认：一、关于本案罪名定性的问题。经查，经鉴定被告人罗思泳所创的病毒程序会对用户主机中储存的数据进行加密，未经授权地修改、干扰计算机数据，为破坏性程序，该病毒具有获取用户网络账户、密码信息的功能进而盗窃他人财物，亦可设定条件对文件加密弹出勒索窗口，以解密为由向他人勒索财物；罗思泳通过破坏计算机信息系统的手段以进行盗窃、敲诈勒索，其同时触犯破坏计算机信息系统罪、敲诈勒索罪、盗窃罪，应择一重罪处罚，故以破坏计算机信息系统罪追究罗思泳的刑事责任。罗思泳及其指定辩护人所提该点意见不成立，本院不予采纳。二、关于该病毒感染电脑主机数量的问题。经查，广东中科司法鉴定所的司法鉴定意见书，根据法定程序作出，经过鉴定意见书认定的感染电脑数量根据“GUID”数量作出，“GUID”是电脑唯一标识，该点被告人罗思泳亦无异议，故鉴定书认定的感染电脑主机数量，具有客观性、合法性，本院予以采信。罗思泳及其指定辩护人所提该点意见不成立，本院不予采纳。三、关于被告人罗思泳及其辩护人所提其他辩护意见的问题。关于罗思泳提出没有破坏计算机行为的辩解意见，经查，根据鉴定意见书，该病毒程序为破坏性程序，且感染电脑主机数量为27939台，记录键盘鼠标操作记录有21546条，该病毒在计算机后台监控并提取被害人账户信息，另符合条件后运作的加密病毒会对计算机文件加密，该行为均构成对计算机系统的破坏行为，该点意见不成立，本院不予采纳。关于罗思泳提出手机不是作案工具的辩解意见，经查，罗思泳设置微信收款二维码，通过手机收取款项，该手机应认定作案工具，予以没收，该点意见不成立，本院不予采纳。关于罗思泳提出没有盗窃他人支付宝账号的辩解意见，经查，记录键盘鼠标操作记录有21546条，其中包括支付宝账号、密码，罗思泳创造病毒的目的亦是盗窃他人支付宝账号上的款项，现无证据证实其已实施盗窃他人支付宝账号里面的款项，但不影响认定其已盗窃他人支付宝账号、密码的行为，该点意见不成立，本院不予采纳。关于罗思泳提出对感染计算机进行解密的辩解意见，经查，罗思泳编写的木马程序有写解密工具，虽无客观证据证实罗思泳案发后对感染计算机进行解密，但公安机关亦未收到该勒索病毒有大量爆发的信息，根据有利于被告人原则，本院予以采纳罗思泳该点辩解意见。关于罗思泳的指定辩护人所提其他辩护意见，经查属实，本院予以采纳。本院认为，被告人罗思泳违反国家规定，故意制造、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果特别严重，其行为已构成破坏计算机信息系统罪，依法应予惩处。公诉机关提请本院以破坏计算机信息系统罪对罗思泳定罪处罚，罪名成立，本院予以支持。罗思泳归案后如实供述主要犯罪事实，依法可从轻处罚。公诉机关的量刑建议,经查,在法定量刑幅度内，并能与被告人所犯罪行相适应，具有合法性、合理性，本院予以采纳；罗思泳及其指定辩护人关于量刑建议的意见不成立，本院不予采纳。视被告人罗思泳的犯罪情节和悔罪表现等情况，依照《中华人民共和国刑法》第二百八十六条第一款、第三款、第六十四条、第六十七条第三款的规定，判决如下：一、被告人罗思泳犯破坏计算机信息系统罪，判处有期徒刑六年六个月（刑期从判决执行之日起计算。判决执行以前先行羁押的，羁押一日折抵刑期一日，即自于2018年12月5日起至2025年6月4日止）。二、随案移送的手机二部、笔记本电脑一台，予以没收，上缴国库。如不服本判决，可在接到判决书的第二日起十日内，通过本院或直接向东莞市中级人民法院提出上诉。书面上诉的，应当提交上诉状正本一份，副本二份。审判长  陈浩辉审判员  余志球审判员  高平平二〇一九年九月二日书记员  刘建舜黄晓菲（附页）本案适用的法律条文：《中华人民共和国刑法》第二百八十六条违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。第六十四条犯罪分子违法所得的一切财物，应当予以追缴或者责令退赔；对被害人的合法财产，应当及时返还；违禁品和供犯罪所用的本人财物，应当予以没收。没收的财物和罚金，一律上缴国库，不得挪用和自行处理。第六十七条犯罪以后自动投案，如实供述自己的罪行的，是自首。对于自首的犯罪分子，可以从轻或者减轻处罚。其中，犯罪较轻的，可以免除处罚。被采取强制措施的被告人、被告人和正在服刑的罪犯，如实供述司法机关还未掌握的本人其他罪行的，以自首论。被告人虽不具有前两款规定的自首情节，但是如实供述自己罪行的，可以从轻处罚；因其如实供述自己罪行，避免特别严重后果发生的，可以减轻处罚。