網絡爬蟲技術濫用的刑事責任

劉榮　王愛強

摘 要：網絡爬蟲是高效收集、分類、整理海量網絡信息的程序或者腳本，具有很高的實用價值。但當網絡爬蟲使用者為了獲取經濟利益，將其作為犯罪工具，嚴重擾亂計算機信息系統的運行秩序，會構成計算機相關犯罪，同時網絡爬蟲具有收集信息的功能，可能會侵害到公民個人信息等多種法益。網絡爬蟲技術濫用的行為一旦已經達到相關司法解釋立案追訴的標準，就應當依照相關規定追究行為主體的刑事責任。應將違法所得和經濟損失作為“情節嚴重”的認定依據。在審查方法上，要厘清相關行為，明確因果關系，并對危害后果進行全面評估。

關鍵詞：網絡爬蟲 技術濫用 刑事責任 經濟損失

一、問題的提出

[基本案情]被告單位某甲網絡科技有限公司于2014年4月成立，負責人為林某某，公司成立后開發了某房產信息APP，為了能夠獲取房源信息，該公司使用自行編寫的網絡爬蟲爬取某乙公司經營的房產網站數據。某乙公司網站服務器設定了一定的反爬取措施。某甲公司使用破解驗證碼、繞開挑戰登錄等方式破解某乙公司的反爬取措施，大量獲取某乙公司網站的房源數據，并采用逆向破解的手段獲取某乙公司在APP端隱藏的真實用戶電話號碼，后將爬取到的數據存儲在自己的公司服務器中，供自己公司的房產信息APP調用，通過向該APP的用戶收取會員費盈利。在爬取期間，某甲公司為了保證自己的房產APP能夠與某乙公司網站同步更新，使用網絡爬蟲24小時不間斷、高頻率、大流量訪問某乙公司網站的數據接口。由于某甲公司爬取數據請求量過大，曾導致某乙公司網站登錄服務器被限流，期間所有需要通過驗證碼登錄的用戶均無法正常登錄，時間長達數十分鐘。為了應對某甲公司的爬取行為，某乙公司通過優化驗證碼驗證策略等手段升級反爬取機制，專門開發了相應防御策略進行應對。某甲公司發現由于反爬取策略升級，網絡爬蟲無法獲取數據后，多次通過互聯網購買針對某甲公司的專業打碼軟件，優化網絡爬蟲，持續突破某乙公司反爬取機制。經鑒定，某甲公司的爬取行為造成某乙公司的直接經濟損失10萬余元。后法院以非法獲取計算機信息系統數據罪分別判處甲公司、林某甲、林某乙有期徒刑1年6個月不等，并處罰金。

在案件審查中，存在以下爭議：一是網絡爬蟲一般屬于不正當競爭的范疇，屬于民事侵權行為，是否能進行刑事打擊;二是本案中某甲公司的行為是否達到了非法獲取計算機信息系統數據罪司法解釋中“情節嚴重”的入罪標準;三是本案中某甲公司的行為是否侵犯了公民個人信息。

二、網絡爬蟲技術入罪分析

就技術本身而言，網絡爬蟲可以在互聯網上采集數據，滿足科學計算、數據處理以及網頁開發等多個方面的用途。[1]網絡爬蟲能模擬正常用戶的一些行為，按照一定的規則自動抓取網絡中的各種信息。網絡爬蟲爬取的數據可以分為政務數據、企業經營類數據，對這兩類數據的獲取和運用有著不同的規則。針對政務數據，《數據安全法》指出，國家機關應當遵循公正、公平、便民的原則，按照規定及時、準確地公開政務數據。依法不予公開的除外。國家制定政務數據開放目錄，構建統一規范、互聯互通、安全可控的政務數據開放平臺，推動政務數據開放利用。對政務數據的合理運用有利于社會各行業的健康發展。而企業經營類數據，多是企業用于開展經營活動，其網站呈現的信息屬于其經營的主要業務，如二手交易信息、視頻、音頻等內容。因此網站經營者會根據數據的重要程度和自身網絡安全技術水平，采取一定的保護措施。網絡爬蟲使用者獲取上述數據時，應當遵循網站管理者設置的訪問規則，規范自己的爬取行為，不得侵害數據所有者的利益。網絡爬蟲濫用大多是“損人利己”的行為，坐享別人的勞動成果，牟取經濟利益。

雖然以往司法實踐，大多將惡意利用網絡爬蟲的行為歸為不正當競爭行為，但這并不妨礙刑法對網絡爬蟲濫用的行為進行規制，這是因為網絡爬蟲在犯罪過程中被作為犯罪手段，需要將其行為所造成的危害后果整體進行評價，如果符合相應的犯罪構成，就應進行刑事打擊，而不限于是否屬于計算機犯罪。通常而言，網絡爬蟲濫用可能涉嫌犯罪的情形有以下幾種：

（一）排除訪問規則的設定擾亂計算機信息系統正常秩序

網絡爬蟲本質上是信息收集和整理的工具，爬取功能是由使用者主觀目的決定的，爬蟲使用者可以設置爬取的目標網站、爬取頻率、爬取內容等，這直接反映出爬蟲使用者的主觀心態。本案中，被告單位未經授權，使用網絡爬蟲通過加裝打碼插件，使目標網站的反爬機制不能正常工作，突破網站管理者對用戶訪問頻率的限制，以達到對目標網站的高頻訪問，保證自己獲取數據更新的及時性。此類網絡爬蟲在短時間內，大量訪問過度占用目標網站的網絡資源，導致網站的正常運行出現問題，服務器崩潰。[2]網絡爬蟲惡意爬取數據，會增加目標服務器的負載。服務器運營者通常會在服務器上設置反爬取措施，可以節約成本，達到服務器正常運轉的目的。通常而言，在單位時間內某些特定IP訪問次數達到設定的閾值，就會觸發驗證碼挑戰、登錄挑戰等反爬取機制，以甄別相應IP的訪問請求是否來自正常用戶，對于不能通過驗證的IP就不再返回數據。網絡爬蟲的違法性在于排除網站管理者對正常訪問秩序的設定。

根據既往的司法實踐，使得驗證碼登錄挑戰不能發揮作用的插件和代碼屬于“專門用于侵入、非法控制計算機信息系統的程序、工具”，此類軟件符合“具有避開或者突破計算機信息系統安全保護措施，未經授權或者超越授權對計算機信息系統實施控制的功能”的特性。[3]

本案中被告單位作為房產類APP，對上新房源的時效性要求高，設定網絡爬蟲24小時不間斷、高頻次地對某乙公司網站進行爬取，在觸發某乙公司的反爬取機制后，被告單位利用公司服務器，部署打碼軟件，對驗證碼挑戰進行破解運算，爬蟲軟件自動利用打碼軟件返回相應的數值通過驗證碼驗證，實現大流量爬取的目的，最終導致某乙公司登錄服務器被限流，影響了正常用戶的登錄操作?！毒W絡安全法》第27條規定“任何個人和組織不得從事非法侵入他人網絡、干擾他人網絡正常功能、獲取網絡數據等危害網絡安全的活動……”。被告單位使用打碼插件嚴重干擾目標網站服務器的正常工作，超過了網絡爬蟲技術正當的使用范圍，情節嚴重的可能構成非法獲取計算機信息系統數據、破壞計算機信息系統數據罪等犯罪行為，此時的網絡爬蟲應當認定為非法獲取計算機信息系統數據的工具，而并不是認為網絡爬蟲技術具有非法性。

（二）采用非法手段獲取數據造成網站經營者較大經濟損失

使用網絡爬蟲非法獲取他人數據，分類、加工整理后謀取經濟利益的模式已經逐漸產業化?！稊祿踩ā返?條規定：“開展數據處理活動，應當遵守法律、法規，尊重社會公德和倫理，遵守商業道德和職業道德，誠實守信，履行數據安全保護義務，承擔社會責任，不得危害國家安全、公共利益，不得損害個人、組織的合法權益。”惡意大流量的爬取行為，會造成被爬取單位的經濟損失。造成經濟損失是計算機類犯罪司法解釋中的一項入罪標準，如果使用的網絡爬蟲違反法律規定，采用非法手段獲取對方數據，造成對方經濟損失，有可能構成非法獲取計算機信息系統數據罪。

網站經營者會根據自身網站用戶的使用情況選擇適當的網絡專線、租賃服務器的付費方式。本案中，被告單位以盈利為目的，在自己公司服務器上開設數千臺虛擬機，使用數千條網絡寬帶，利用網絡爬蟲高頻率訪問目標網站，在打碼插件作用下，目標網站服務器無法區分正常用戶和網絡爬蟲的訪問，甚至無法偵測到爬取行為的存在，由于訪問流量暴增，某乙公司為了保障正常用戶訪問，只能選擇對服務器和網絡專線進行擴容，同時為了避免流量猛增造成的服務器宕機，還設定專人崗位24小時監測網絡流量報警，這直接導致了某乙公司人力成本增加。網絡爬蟲技術濫用，本身就是對計算機信息系統正常運行秩序的干擾，具有違法性。嚴重濫用網絡爬蟲技術的行為所造成的危害，不亞于其他擾亂計算機信息系統運行秩序犯罪所造成的危害后果，達到相應司法解釋立案追訴標準的，就應當依法進行打擊。

（三）惡意利用網絡爬蟲技術提取隱藏信息

提取隱藏信息有可能構成侵犯公民個人信息類的犯罪。在本案中，被告單位利用網絡爬蟲模擬接收某乙公司網站返回的信息流，提取需要的數據，采用技術手段分類整理后存儲在本地的數據庫中，完成對某乙公司網站頁面呈現數據的爬取，某乙公司在其網站上呈現的用戶手機號為虛擬號碼，但在服務器和用戶APP 傳輸過程中采用的是明碼傳輸，轉化虛擬號是在用戶APP端完成。被告單位通過對數據流進行分析，逆向破解了加密手段，自動解密后獲得了用戶的真實手機號，存儲在自己的服務器中，供自己公司APP調用。《數據安全法》第32條也規定了任何組織、個人收集數據，應當采取合法、正當的方式，不得竊取或者以其他非法方式獲取數據。用戶的真實手機號是某乙公司不對外公開的數據，但某甲公司通過逆向破解而獲取數據，為自己所用，不具有正當性。

雖然本案中被告單位獲取的數據經過審查最終沒有認定為公民個人信息，但以網絡爬蟲為手段獲取加密數據并且調用解密插件進行解密，存在侵犯公民個人信息的重大風險。

三、“情節嚴重”的認定

網絡爬蟲僅僅是犯罪嫌疑人實施犯罪的工具，而如果需要定罪量刑，則應當按照相關司法解釋進行論證。在《最高人民法院、最高人民檢察院關于辦理危害計算機信息系統安全刑事案件應用法律若干問題的解釋》（以下簡稱《解釋》）中，對危害計算機信息系統安全的行為進行了列舉，在各個罪名中均將違法所得和經濟損失作為“情節嚴重”的認定依據，而在實際操作中違法所得和經濟損失的認定屬于難點問題。

（一）“違法所得”的認定

結合本案，如果想要以違法所得來判斷犯罪嫌疑人的行為是否達到立案追訴標準，就需要明確犯罪嫌疑人的違法所得是由非法爬取行為產生的。但實際上，被告單位爬取了多家網站的數據，此時就需要偵查機關繼續查明案件事實，全面查明其利用爬取到的數據的獲利情況，認定其違法所得數額。

如果涉案公司或者個人有合法業務收入，其濫用網絡爬蟲技術獲得的收入僅為其盈利項目的一項，則應當從其他角度證明其違法所得數額。本案中，被告單位通過收取APP會員費盈利，但經審查，供用戶查詢爬取到的數據僅為收費功能的一項，該APP中還有一鍵發布房源、房源資料分析整理等其他收費功能，因此無法區分用戶是基于何種功能而購買的會員，無法將其一段時期內收取的所有會員費認定為違法所得。

（二）“經濟損失”的認定

根據上述《解釋》規定，“經濟損失”包括危害計算機信息系統犯罪行為給用戶直接造成的經濟損失，以及用戶為恢復數據、功能而支出的必要費用。直接經濟損失的認定是網絡犯罪認定的難點問題。

網站運營者租賃或者自購服務器、支付網絡專線費用，是網站運營者主要的成本。本案中，某甲公司每月訪問達數百億次，長時間、大流量、不間斷的非法爬取的行為，造成了服務器網絡專線費用上升。由于打碼插件的存在，導致網站運營者無法對爬取行為進行阻斷，為了保證正常用戶的使用，只能對服務器和網絡專線進行擴容。服務器租賃不屬于一次性消耗品，無法確定該服務器是專供爬取的訪問使用，但網絡專線資費是按月結算，可以根據被告單位的IP區分出其額外占用網絡專線的客觀情況，某乙公司支付的額外的網絡專線費用應當認定為經濟損失。

鑒定機構及某乙公司將一定時間內被告單位爬取的數據總量，根據其爬取的時間分布，通過抽樣、比對，換算得出被告單位的網絡爬蟲占用某乙公司服務器網絡專線的區間值，本著存疑有利于被告人的原則，將理論最小值乘以某乙公司服務器網絡專線計費單價，得出一段時間內某乙公司因某甲公司的非法爬取行為所造成的網絡資費損失。

同時，某乙公司為對抗被告單位的爬取行為而支出的人力費用，應當認定為被告單位造成的“經濟損失”。通過分析系統日志、訊問被告人及詢問證人，查明被告單位與某乙公司進行對抗的過程，認定某乙公司為應對大流量的打碼行為開發防御機制而付出的人力成本，屬于乙公司的經濟損失。

四、審查的方法

（一）厘清網絡爬蟲技術濫用的行為

如前述所言，網絡爬蟲技術的應用具有極強的目的導向。因此在認定網絡爬蟲技術濫用行為是否構成犯罪時，應注重對網絡爬蟲使用者言詞證據的審查，明確爬蟲使用者如何突破反爬取機制，與鑒定意見、勘驗檢查筆錄等客觀證據形成印證，認定其主觀目的。

重視司法鑒定意見，對爬蟲功能進行鑒定，重視對雙方所使用的設備系統日志等證據的收集和運用，對雙方的計算機信息系統，均應全面提取日志;通過現場勘驗、遠程勘驗、專業鑒定機構出具鑒定意見等方式對網絡爬蟲工作原理、爬取的數據類型和速度、如何突破反爬機制等方面全面進行復盤。

（二）明確非法爬取行為的因果關系

實踐中，被爬取的單位往往通過可疑訪問請求的IP地址對爬蟲使用者進行追蹤，或者對某些行為模式進行總結，投放特異性數據，對爬蟲使用者進行追蹤。在審查過程中，對確定犯罪嫌疑人身份的過程，要有嚴密的證據鏈條進行證明?？梢詫Ψ缸锵右扇诉M行有針對性的訊問，聽取申辯意見，根據其供述的行為模式或者使用網絡情況等因素綜合進行審查，最終認定非法爬取行為和非法爬取行為造成經濟損失確系犯罪嫌疑人所為，查明因果關系，準確認定責任。

（三）對網絡爬蟲技術濫用的危害后果全面評估

網絡爬蟲大多屬于犯罪的手段行為，可能觸犯多個罪名，在認定時需要對其行為模式、危害后果進行評估，根據侵害的法益，對其準確定性。本案中，在被告單位爬取的房產信息中，包含了一些不對外公開的注冊用戶真實手機號。經查，某乙公司是在一段時間內，逐步在全國范圍內推行的用戶虛擬手機號，在此之前均在網站上展示用戶的真實手機號，由于技術原因，無法確定被告單位獲取的用戶真實手機號的具體時間，無法判斷其是否經過爬蟲自動解密處理得來。在民法典對公民個人信息保護范圍作出調整的背景下，暫無法認定被告人的行為侵犯了公民個人信息。

在審查過程中，應綜合全案證據，評估網絡爬蟲技術濫用造成的危害后果，是否實質上嚴重擾亂了計算機信息系統運行秩序，是否對計算機信息系統造成了破壞;行為人是否以網絡爬蟲為手段非法獲取公民個人信息，是否侵害了其他法益，根據查明的犯罪事實依照刑法的相應罪名定罪處罰。