10万余台路由器被植入木马流向二手市场：僵尸网络案的罪名认定与辩护要点

在二手设备里预埋木马卖给不知情用户，属于典型的供应链投毒型非法控制计算机信息系统犯罪——哪怕设备尚未被实际用来攻击，只要木马使设备处于行为人的远程控制之下，就足以构成非法控制计算机信息系统罪。南京这起案件的特殊性在于规模（10万余台）和手法（勾结流通环节批量植入），法律评价上，编写木马者与经销商植入者都落入刑法第二百八十五条第二款的打击范围，区分罪责轻重的关键在于角色分工与控制规模。

一、案情拆解：从二手路由器到"僵尸网络"

这起案件的攻击链有三个环节：编写环节——金某、王某等人开发针对路由器的木马程序；投放环节——勾结二手设备经销商，在出货前批量刷入木马；利用环节——设备售出后联网即上线，形成可远程受控的"僵尸网络"，具备劫持流量、窃取数据、发起网络攻击的能力。10万余台设备的体量，意味着这是一个尚未充分"变现"就已落网的庞大弹药库——警方从某高校一处异常网络信号顺藤摸瓜，把犯罪掐灭在测试阶段。

值得所有企业警觉的是两个细节：其一，投放渠道是二手设备经销商，说明供应链安全的薄弱点在流通环节；其二，嫌疑人密谋应聘路由器生产厂商、企图从生产源头植入，供应链投毒的下一步就是产地化，采购方对供应商的人员与生产管控也需纳入风控视野。

二、非法控制计算机信息系统罪：为什么"还没攻击"也构成犯罪？

刑法第二百八十五条第二款规定，违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

本罪的核心不是"用设备干了什么坏事"，而是"是否取得非法控制"。依据最高法、最高检关于危害计算机信息系统安全刑事司法解释（法释〔2011〕19号），非法控制计算机信息系统数量达到20台以上即可入罪；违法所得5000元以上或造成经济损失1万元以上同样入罪；控制数量、违法所得、经济损失达到入罪标准五倍以上的，属"情节特别严重"。本案10万余台设备，早已数倍越过"情节特别严重"的门槛，对应三年以上七年以下的量刑档——判决的一年三个月至四年，正是各被告人按角色与数量区分后的结果。

辩护中常见的认识误区是"设备没被用来搞破坏就没事"。司法实践看的是控制状态本身：木马使设备脱离用户意志、接受行为人指令，控制即告成立，后续是否变现只影响危害程度评价，不影响定性。

三、"我只是卖路由器的"：各环节的责任怎么界分？

木马编写者：主犯定位。编写行为是全链条的技术基础，即便不直接操作设备，通常按主犯评价，量刑取决于其参与程度与明知程度。

经销商/刷机者：明知是木马仍批量刷入并随设备销售的，构成非法控制计算机信息系统罪的共同犯罪；若经销商对植入行为不知情，仅系被利用的渠道，则不构成犯罪——"明知"的认定靠聊天记录、分成模式、价格异常、隐蔽交付方式等间接证据综合推定，这也是辩护中重点攻坚的争点。

下游利用者：利用僵尸网络实施流量劫持、数据窃取的，可能另构成非法获取计算机信息系统数据罪、侵犯公民个人信息罪等，按牵连或数罪规则处理。

不知情的二手买家：不担刑责，但承担设备处置义务——本案警方已联动厂商推送升级清除木马。买家买到被植入木马的设备且继续用于黑灰产的，另当别论。

四、企业与个人的风险防范清单

企业侧：1）网络设备采购坚持正规渠道，建立供应商资质审查，警惕价格明显异常的"库存机"；2）对联网设备固件做来源校验与版本管理，及时升级；3）部署流量异常监测——大量设备同期外联同一可疑地址是僵尸网络的典型特征；4）发现设备异常立即断网取证并向网警报案。

个人侧：不贪便宜选购来源不明的二手联网设备，新设备首次使用时重置固件、修改默认口令，发现设备流量异常或自动重启等怪象及时送检。

---

广东华商律师事务所潘杰峰律师点评

这起案件把"供应链投毒"从概念变成了判例：控制10万台设备的量级让全链条的主犯几乎没有辩护空间，但实务中真正值得辩护律师下功夫的是两类人——被裹挟的经销商和参与度很低的边缘角色，"明知"的推定与反驳、"控制数量"的司法审计口径（10万台里有多少真实可控制、有多少已失效），都直接决定量刑档。给企业的提醒更直接：物联网设备的供应链安全已经从IT问题变成法律风险问题，采购合同里应当加入固件来源与安全责任的条款；而二手电子设备行业的从业者要引以为戒——为了一点点差价帮人"刷机"，坐牢的是自己，这行当没有"不知者无罪"的侥幸空间。设备厂商也应当从本案看到自身义务：及时推送升级清除木马，既是产品责任，也是未来可能的诉讼中自证尽责的关键动作。

FAQ

问：买了二手路由器才发现里面有木马，我需要承担法律责任吗？

答：不知情购买不含刑事责任。建议立即重置或升级固件、断开使用，保留购买凭证以便追溯卖家；如果设备已接入家庭或办公网络较长时间，应检查关联账户安全并修改相关密码。警方已联合厂商推送升级清除木马，可关注厂商公告配合处置。

问：非法控制多少台计算机会构成"情节特别严重"？

答：依据法释〔2011〕19号司法解释，非法控制计算机信息系统20台以上即可入罪；控制数量、违法所得数额或经济损失达到入罪标准五倍以上（即控制100台以上、违法所得2.5万元以上或经济损失5万元以上）的，属情节特别严重，处三年以上七年以下有期徒刑。控制10万余台属于远超标准，量刑主要看个体角色与参与程度。

问：二手设备经销商被供货方隐瞒植入木马的情况，如何自证清白？

答：关键在于"明知"的证据攻防。可从三个方向组织证据：交易过程书面记录中供货方对刷机内容的隐瞒与误导、价格与交付方式是否符合正常商业逻辑（分成、隐蔽交付指向明知）、自己与上游木马编写者有无资金或通讯关联。案发后第一时间委托律师介入，固定有利于己方的客观证据，比事后解释有效得多。