【案例研究】危害计算机信息系统的行为性质分析与损失认定

编者按：近年来，将计算机信息系统作为犯罪对象加以侵害的新型网络犯罪日益增多，其行为性质与经济损失如何认定？本案法官认为，攻击单位的计算机信息系统，既造成系统不能正常运行，又造成经济损失的，涉及破坏计算机信息系统罪与破坏生产经营罪的竞合，应根据经济损失的数额区分此罪与彼罪，如数额都达两个罪名的入罪标准，按照想象竞合犯，从一重罪处罚；认定经济损失时，应计算直接经济损失，包括行为给用户直接造成的损失，以及用户为恢复数据、功能而支出的必要费用，间接经济损失不包含在内。

2015年至2016年间，被告人耿某在江苏省扬州市通过互联网以利用电脑漏洞植入木马的方式，非法控制计算机信息系统后出租给他人，以牟取不法利益。经勘验,耿某于2016年1月29日非法控制计算机信息系统50台。

2016年1月6日，被告人李某在河南省郑州市租用前述被告人耿某非法控制的计算机信息系统，对被害单位联众公司（注册地位于本市海淀区）的“联众德州扑克”游戏服务器进行非法网络攻击，导致该游戏不能正常提供服务，造成联众公司经济损失人民币7350元。

危害计算机信息系统的行为，同时涉及破坏计算机信息系统罪与破坏生产经营罪时，如何区分适用？

此类行为中，直接经济损失与间接经济损失如何区分与计算？

法院经审理认为，被告人耿某违反国家规定，通过互联网以利用电脑漏洞植入木马的方式，非法控制计算机信息系统，其行为已构成非法控制计算机信息系统罪，应予惩处。

被告人李某租用被告人耿某非法控制的计算机信息系统，对“联众德州扑克”游戏服务器进行非法网络攻击，造成联众公司经济损失人民币7350元，其行为已经构成破坏生产经营罪，应予惩处。

鉴于被告人耿某、李某在到案后及在庭审过程中均能如实供述犯罪事实，认罪态度较好，本院依法对其均予以从轻处罚。

依照《中华人民共和国刑法》第二百八十五条第二款、第六十七条第三款、第五十三条，对被告人李某依照《中华人民共和国刑法》第二百七十六条、第六十七条第三款之规定，判决如下：

被告人耿某犯非法控制计算机信息系统罪，判处有期徒刑一年六个月，罚金人民币二万元。

被告人李某犯破坏生产经营罪，判处有期徒刑十一个月。

近年来，将网络作为犯罪对象加以侵害的新型网络犯罪日益增多，如非法控制计算机信息系统、非法获取计算机信息系统数据、破坏计算机信息系统等，审判中对于新型网络犯罪案件比较容易出现行为定性困难、危害结果确定困难的问题。本案控辩双方没有实质争议，但本案涉及被告人行为的定性、经济损失的确定等问题，具有一定的典型性，值得探讨。结合本案，审理危害计算机信息系统犯罪应注意以下两个问题：

李某非法攻击联众德州扑克的服务器，导致该游戏不能正常提供服务，这个行为实际上涉及到破坏计算机信息系统和破坏生产经营罪两个罪名。

一方面，李某用DDOS软件攻击他人计算机信息系统，是对他人信息系统功能的干扰，导致计算机信息系统不能正常运行，满足了破坏计算机信息系统罪的客观要件。然而，根据法条规定，破坏计算机信息系统需达到“后果严重”，依照2011年《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》，造成经济损失1万元以上的构成后果严重，而本案李某仅造成经济损失人民币7350元，没有达到该罪的入罪标准，因此，对李某不以破坏计算机信息系统罪进行规制。

另一方面，李某的行为造成了被害单位经济损失，该行为满足破坏生产经营罪中以其他方法破坏生产经营的规定。且破坏生产经营罪的入罪门槛比破坏计算机信息系统罪的入罪门槛低，即造成公私财物损失5000元以上的，即可入罪。因此本案中，李某的行为构成破坏生产经营罪。

对于损失在1万元以上的，同时构成破坏计算机信息系统罪和破坏生产经营罪，按照想象竞合犯、择一重处理。

非法控制计算机信息系统或破坏计算机信息系统，达到后果严重才能构成这两个罪名。根据有关司法解释，“后果严重”包括四种具体的情形，其中一种情形是违法所得五千元以上或者造成经济损失一万元以上的。依照有关司法解释，危害计算机信息系统中的经济损失，包括行为给用户直接造成的经济损失，以及用户为恢复数据、功能而支出的必要费用。

间接经济损失或者实施犯罪行为时尚未实际发生的可能经济损失，不能认定为直接经济损失，从而不能计入犯罪行为所造成的经济损失。

本案中公诉机关指控被告人李某造成的经济损失是7350元，该金额是被害公司因遭受李某非法攻击后恢复服务器的费用，即是直接经济损失。该损失在本罪量刑时被予以考虑。

在新型网络犯罪中，被告人攻击计算机系统等行为可能侵害多个客体，涉及多个罪名，导致行为的定性发生困难，实践中加强对相应罪名的理解和区分，防止定性偏差。另外，对于经济损失的认定，也应准确把握危害行为与危害结果之间的因果关系，准确理解直接经济损失。

计莉卉

北京市海淀区人民法院刑一庭法官助理