打瘫对手小程序获刑5年8个月：破坏计算机信息系统罪怎么辩？
这两份判决的关键不在“判得重”，而在“档位锁死”。法院认定“为五万以上用户提供服务的系统不能正常运行累计一小时以上”，正好落在法释〔2011…
这两份判决的关键不在“判得重”，而在“档位锁死”。法院认定“为五万以上用户提供服务的系统不能正常运行累计一小时以上”，正好落在法释〔2011〕19号“后果特别严重”的独立门槛上，法定刑直接跳到五年以上有期徒刑；一旦进入这一档，赔偿、谅解、坦白最多只能在五年以上的区间内往下微调，五年二个月几乎是理论下限。因此此类案件的辩护重心必须前移到“档位之争”——争用户规模的认定口径、争运行时长的计算方法、争因果关系的排他性，而不是等到量刑阶段去谈悔罪。
一、这不是一起“黑客攻击案”，是一起商业纠纷的刑事化
报道披露的起因很典型：两人曾是同事、交换过股份，合作破裂后一方要求对方无偿退出股份被拒，于是想让对方“难受难受”逼其妥协。
这个动机在刑法上的意义比多数人以为的重要：它排除了“技术对抗”“压力测试”“安全研究”这类出罪或减责事由。明确的报复目的、清晰的打击对象、长达一年多的周期，以及“精准选择使用高峰期”的特征，共同构成主观故意的强证明。
真正值得关注的第二层事实是：这不是一个人在犯罪，而是一条购买服务的链条——南某某指使王某某，王某某雇佣多家黑客。链条越长，共同犯罪中的地位作用区分空间越大，这是本案唯一的辩护富矿。
二、5年8个月是怎么来的：一道精确的量刑公式
《刑法》第二百八十六条第一款规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。
两档之间不是量的差别，是质的跳跃：一档最高五年，另一档最低五年。这意味着“后果严重”与“后果特别严重”的认定，直接决定被告人是否可能获得缓刑。
本案中，法院认定“为5万以上用户提供服务的系统不能正常运行累计一小时以上”，这个表述不是法官的自由裁量，而是照抄司法解释的措辞。法释〔2011〕19号《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第四条第二款第二项明确规定：造成为五百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务，或者为五万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上的，属于“后果特别严重”。
对照结果就能看懂量刑逻辑：法定最低五年，判了五年八个月和五年二个月。两人都已赔偿获谅解，王某某还如实供述，最终仍只比法定下限高两个月——量刑情节的作用空间基本被榨干。
三、真正的辩点：五万用户与累计一小时怎么认定
既然档位决定一切，辩护的全部火力就应集中在两个数字的形成过程上。本案检察机关自己也承认，“对被害单位服务用户规模、小程序受攻击后无法正常运行时长及二者之间的逻辑关系的认定，均存在一定难点”。这句话是辩方的入口。
第一个争点：用户规模是“实际用户”还是“承载能力”。 司法解释的表述是“为五万以上用户提供服务的计算机信息系统”，落脚在“提供服务”。但报道中检察机关的认定口径是“可为5万以上客户提供服务的主要客户小程序域名”——“可为”指向承载能力、注册容量或设计上限，而非案发期间实际获得服务的用户数。这两者在法律解释上并非同一概念。如果一个日活只有数千的小程序，因为注册过五万个账号就被认定为“为五万以上用户提供服务”，实质上把门槛降到了注册量，与“造成不能正常运行”的危害性评价脱节。辩方应主张按案发期间实际受影响的用户数认定，并要求检察机关说明原始数据的统计口径。
第二个争点：封堵时长是否等于不能正常运行时长。 报道称“其中一个微信小程序被封堵累计200余分钟”。封堵与不能正常运行是两个技术概念：封堵通常指被平台安全机制列入黑名单而无法访问，可能由攻击触发，也可能源于平台基于其他规则的处置；不能正常运行则指系统功能本身失效。若200分钟中包含平台处置、恢复或攻击间歇的时段，直接等同于“累计一小时以上”在因果关系上并不严谨，辩方应要求逐时段比对攻击记录与服务日志。
第三个争点：损失数额的构成。 报道提到被害单位为抵御攻击、恢复运行“高额购买服务”。这部分支出能否计入“经济损失”，取决于是否属于为恢复被破坏功能所必需的直接支出。采购长期安全服务、升级基础设施的投入具有经营改善性质，不应全额归入犯罪数额。
第四个争点：罪名选择。 对以干扰方式使系统不能运行的行为，实践中存在按破坏生产经营罪（《刑法》第二百七十六条，第一档三年以下）评价的观点。DDoS攻击同时具备“干扰系统功能”与“破坏生产经营”的双重属性，在危害后果有限、用户规模存在争议的案件中，轻罪辩护值得尝试；但主流判例倾向于适用第二百八十六条，这一辩点更适合作为量刑协商的筹码。
四、共同犯罪中的地位作用，是第二个真实战场
本案两名被告人都不是直接实施攻击的人：南某某是决策与指使者，王某某是联络与执行者，真正动手的是他们雇佣的“多家黑客”。
《刑法》第二十九条规定，教唆他人犯罪的，应当按照他在共同犯罪中所起的作用处罚。这意味着教唆者并非当然的主犯。如果能证明南某某仅提出“让吴平难受难受”的概括意思，具体攻击目标、频率、方式均由王某某与黑客商定，其作用评价存在下调空间；反之，若能证明王某某仅系传达指令、未参与技术方案设计，其在链条中的地位亦可争辩。
另一个容易被忽略的点是单位犯罪。《刑法》第二百八十六条并未规定单位犯罪，即便攻击行为是为了公司利益、由公司人员实施，也无法以单位犯罪追究公司刑事责任，只能追究直接责任人员的责任。这在实务中产生一个反向效果：公司资产不会被判处罚金，但个人承担全部刑责。辩护时应据此争取“个人获利有限、主要为公司利益”的情节评价，同时在公司层面另行处理民事赔偿。
五、赔偿了、谅解了，为什么还是判五年以上？
这是本案最值得企业界和同行记住的一点。
赔偿并获得谅解，在“后果严重”档（五年以下）往往能争取缓刑；但在“后果特别严重”档，法定最低刑就是五年，而缓刑的适用前提是判处三年以下有期徒刑，制度上根本不具备空间。此时赔偿谅解只能作为从轻情节，在五年到十五年的区间内向下微调。
所以五年二个月已是用足坦白、赔偿、谅解三项情节后的结果，这也解释了二审为什么干脆驳回上诉——一审在量刑上没有留下明显缺口。
六、给涉案企业与技术人员的六项应对
- 第一时间做日志保全，而不是删记录。 攻击记录与服务日志是双刃剑，删除会带来妨害作证、帮助毁灭证据的次生风险，委托第三方做完整性固定更稳妥。
- 把用户规模口径当作核心证据来打。 要求公诉方明确数据来源是注册数、活跃数还是容量设计值，并申请调取后台去重统计。
- 逐时段还原“不能正常运行”的时间轴。 将监控数据与攻击流量日志对齐，标注平台处置、恢复与间歇时段。
- 核查损失构成的合理性。 区分恢复性支出与经营性投入，对采购合同、发票、付款凭证逐项质证。
- 在侦查阶段就明确地位作用。 越早固定供述与聊天记录明确其角色，越能避免被整体认定为主犯。
- 民事赔偿与刑事量刑分开设计。 第二档的实际减让有限，谈判重点应放在分期履行、避免个人承担全部赔偿。
广东华商律师事务所潘杰峰律师点评
这类案件我一直提醒企业主一句话：你和对手的商业纠纷，一旦用技术手段解决，性质就变了，而量刑的算法是冰冷而精确的。本案判五年八个月，不是因为攻击了一年多，也不是因为花了多少钱雇黑客，而是因为“五万以上用户、累计一小时”这组数字精确命中了司法解释的独立门槛；跨过这道线，法定刑就从五年以下跳到五年以上，赔偿谅解再也救不回缓刑。所以真正的辩护空间在侦查和审查起诉阶段——争用户规模的统计口径、争运行时长的计算方法、争因果关系的排他性，这三件事做得越早越有价值。我还要特别提示，第二百八十六条没有单位犯罪规定，即便行为是为公司利益，坐牢的仍然是个人，这个错配在企业决策时往往被完全忽略。建议潘律师审核确认后再用于对外发布。
FAQ
问：公司之间的商业竞争，找人做压力测试把对方系统压垮了，也算犯罪吗？
答：只要未经系统所有者授权、以干扰方式造成系统不能正常运行并达到法定后果标准，就构成本罪。“压力测试”只在取得书面授权、明确测试范围与时段、并有技术方案留档的情况下才可能构成正当业务行为。本案的致命之处在于行为人选择使用高峰期发起攻击、持续一年多、并明确以逼迫对方妥协为目的，这些事实彻底排除了正当业务的可能。企业在做性能压测前，务必取得对方书面授权并保留测试窗口约定。
问：只负责联系黑客、不直接操作技术，会被认定为主犯吗？
答：不一定，取决于其在共同犯罪中的实际作用。教唆犯按其所起的作用处罚，如果仅是转达指令、未参与目标选择与技术方案设计，存在被认定为从犯的空间，从犯应当从轻、减轻处罚或者免除处罚。但要注意，如果能证明其对攻击对象、频次、时机有决定权，或者支付了对价并从中获益，被认定为主犯的概率很高。聊天记录、转账记录、通话记录是认定作用大小的核心证据，越早梳理越有利。
问：已经赔偿并取得谅解，还有机会争取缓刑吗？
答：取决于所处档位。缓刑的前提是判处拘役或者三年以下有期徒刑，一旦被认定为“后果特别严重”，法定最低刑为五年，制度上不具备适用缓刑的空间，赔偿谅解只能在五年以上区间内从轻。要想争取缓刑，必须把辩护重心放在推翻“后果特别严重”的认定上，即从用户规模、运行时长、因果关系、损失数额四个维度动摇档位基础。这也是为什么此类案件的技术性辩护必须在审查起诉阶段就展开，等到一审开庭再提，往往已经错过最佳时机。
