孙雪洁：制售秒杀软件行为的定性分析——以J某提供工具案为例|cookie|命令提示符|孙雪洁|计算机

厚积薄发

启行千里

一、基本案情

2024年1月至2024年3月期间，J某为谋取私利，在微信上添加一名软件开发中介为好友，后在该人介绍下，为D某、F某开发了一款专门用于在某高校平台进行预约设备、实验室的程序，经鉴定，该程序具有绕过验证码并且循环向高校平台发送请求的功能。J某非法获利共5000余元，因涉嫌提供侵入、非法控制计算机信息系统程序、工具罪（简称“提供工具罪”），J某被立案侦查并移送审查起诉。

二、辩护思路

刚刚接触此案，可以发现行为人的涉案金额较小，极有可能在审查起诉阶段争取到相对不起诉的结果，但因涉及到计算机领域的专业问题，经仔细研究下来，辩护人发现此案并不符合提供工具罪的构成要件。

根据最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称《解释》）第二条的规定，具有下列情形之一的程序、工具，应当认定为专门用于侵入、非法控制计算机信息系统的程序、工具：

（1）具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的；

（2）具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权对计算机信息系统实施控制的功能的；

（3）其他专门设计用于侵入、非法控制计算机信息系统、非法获取计算机信息系统数据的程序、工具。

结合相关的法律规定、司法解释以及在案证据情况，辩护人主要围绕以下几点提出了无罪辩护意见：

一

（一）涉案软件没有未经授权或超越授权获取计算机信息系统的数据

1.涉案软件并未非法获取计算机信息系统的“X5sec”值或Cookie数据

在刘合臻、浦冬奎（江苏省海安市人民检察院）所写的《制售“秒杀”软件行为的司法认定》一文中提到：本案相关的司法鉴定意见表明，用户使用HR软件，可以在“秒杀”促销活动开始前触发手动滑块验证程序，并在未经授权的情况下自动提取淘宝天猫系统中传输的X5sec值等数据。“秒杀”促销活动开始后，淘宝网站会认为之前HR软件所获取的X5sec值为当前用户手动操作滑块验证所产生的数据，继而立即通过软件的下单请求，导致“秒杀”成功率大大提高。据此，足以认定HR软件具有避开淘宝安全验证保护措施并获取用户数据的侵入功能。从该文中可以看到，司法机关认定涉案秒杀软件是否超越授权获取数据，实际上抓住的是获取“X5sec”值没有得到授权。

而实际上，“X5sec”值是Cookie的一部分，它在验证码验证后由服务端生成并写入客户端。具体来说，当用户通过验证码验证后，服务端会生成一个“X5sec”值的Cookie，这个Cookie就可以用于后续的数据采集请求中，并存储在用户的浏览器中。比如，当用户打开网站时，会跳出“是否要记住网站的登陆账号和密码”对话框，如果用户登陆时保存了账户密码，本地浏览器就会保存我们的Cookie信息，这时候就类似网站在用户身上标记了标签，省去下一次重新认识用户的过程，当用户再次打开该网站时不需要重新登录。

从原理上分析，Cookie信息记录保存在用户的本地浏览器中，属于用户隐私，网站的服务端未经授权是不能非法获取和使用的。而对于涉案软件来说，其以用户的身份登录预约平台，是由用户提供账号密码、授权后登录的，使用Cookie信息登录预约平台也是基于用户的授权，不存在非法获取Cookie的行为。因此，可以得出结论，Cookie数据既不属于高校平台的信息系统数据，涉案软件也没有未经授权或超越授权获取该数据。

Cookie工作原理

2.涉案软件并未非法获取高校平台的预约信息数据

部分观点认为，秒杀软件在秒杀成功后，会获取平台的交易订单数据返还给消费者，秒杀软件获取该订单数据的行为即非法获取计算机信息系统数据。就本案而言，需要探讨的即涉案软件预约成功后，是否有获取平台的预约信息数据返还给用户。

第一，鉴定意见并未对涉案软件是否有获取该数据进行鉴定，在案并无证据证实涉案软件获取了该数据。

第二，平台的预约信息对于用户来说，是有权利知晓、获取的，而预约软件在获得用户同意后，登录用户的账号、密码，即代表用户授权该软件去查看、获取预约数据。

换句话说，平台的预约信息只设置了一层保护机制，即必须登录账号、密码才能获取。因此，就本案而言，即便涉案软件获取了该数据，也是合法获取的。综合以上两点，不能认定涉案软件非法获取了高校平台的预约信息数据。

二

（二）涉案软件没有对计算机信息系统进行非法控制

在案鉴定意见显示：涉案程序具有绕过链接为“http://******”所对应网页中的验证码并进行自动登录的功能；涉案程序具有循环向链接为“http://******”所对应的网站发送网络请求的功能。

首先，从在案证据来看，涉案软件仅具备绕开验证码自动登录并向网站发送请求的功能，并未得出涉案软件具有对计算机信息系统实施控制的功能。

其次，对于此类“秒杀软件”是否有非法控制计算机信息系统的功能，周光权（清华大学教授）在《制作、销售网络外挂软件的定性》一文中提到：如果赞成实质解释论，就可以大致认为：一方面，抢购软件以非常规方式构造网络请求，批量下单的行为，是对他人计算机系统的非法围攻、控制。这和现实社会中招标行为被围标者非法控制类似。···当然，如果固守形式解释论的立场，可能会认为抢购软件无法侵入、控制计算机信息系统，因而会对判决的合理性提出质疑。对此，还值得进一步研究。

但无论从实质解释论还是形式解释论，辩护人认为涉案软件都没有非法控制计算机信息系统。从实质解释论来看，D某、F某证言能证实软件预约成功率不高，学校其他同学也都在使用各种软件进行预约，对此可以认为，不同于其他秒杀软件开始预约时几乎都是秒杀软件在频繁发送请求。在本案中，开始预约时，包括涉案软件在内的所有预约程序都在对平台进行围攻，根本无法判断涉案软件是否在发送请求时占据了上风。因此，当所有用户竞争行为又回到了同一个起点，多个软件都对高校平台发送请求时，根本得不出涉案软件对高校平台进行了非法控制的结论。从形式解释论来看，涉案软件仅是向平台发送请求，并未获取平台的控制权，也没有对平台的数据进行增删改，在案D某、F某和H某的笔录证实，学校网站一直在正常运行，实际上平台功能并未受到任何影响。因此，涉案软件并未非法控制该计算机信息系统。

三

（三）在涉案软件没有非法获取计算机信息系统数据、对计算机信息系统进行非法控制的前提下，仅绕开验证码访问平台、发送请求的行为不具备非法性

2024年9月30日国务院发布的《网络数据安全管理条例》第十八条规定：网络数据处理者使用自动化工具访问、收集网络数据，应当评估对网络服务带来的影响，不得非法侵入他人网络，不得干扰网络服务正常运行。

从该条规定可以看出，其根本上为“使用自动化工具访问、收集网络数据”正名，将其视为一种合法行为。因此，仅使用自动化工具访问、收集网络数据并不一定构成非法控制计算机信息系统罪、非法获取计算机信息系统数据罪等犯罪。重点是要判断自动化工具是否非法侵入他人网络、是否干扰网络服务正常运行。

就秒杀软件而言，很多司法人员认为如果软件绕开了诸如验证码之类的“人机识别程序”，就可以认定为“避开或突破计算机信息系统安全保护措施”，属于非法行为。但实际上“人机识别程序”的价值在于防止过大的并发访问、造成过重的负载、影响网络服务正常运行。根据《网络数据安全管理条例》的规定，仅使用自动化工具进行访问，实际没有给网络服务造成影响的话，该访问行为并不具备非法性。就本案而言，虽然涉案软件绕开验证码访问了平台，但其后续没有非法获取平台数据，没有对平台进行非法控制，平台也没有因涉案软件的访问造成瘫痪或产生其他不利影响。因此，在涉案软件没有对网络服务造成不利影响的前提下，仅突破“人机识别程序”访问平台、向平台发送请求的行为，并不属于非法行为。

四

（四）本案不具备严重的社会危害性，不应作犯罪处理

1.涉案软件仅代替人工向平台发送请求，并未影响平台的正常运行

第一，从涉案软件的运行原理来看，其可以绕过平台的人机验证机制，向平台发送网络请求，实际就是通过节省时间、反复发送数据请求的方法来增加预约成功率，本质上就是用机器代替人来完成点击预约的动作。对于平台而言，使用该软件的用户和普通用户的预约流程都是一样的，平台的功能并不会因此产生任何不利影响。在案证据D某、F某和H某的笔录均可以证实，学校的网站一直都是正常运行的，不会因此受到影响。

第二，从软件的使用人数来看，本案中仅两人购买了涉案软件并使用，即便向平台发送请求的频率再频繁，也不会因为个位数的人数使用就造成平台的瘫痪。因此，综合涉案软件的运行原理以及实际使用人数和效果来看，涉案软件并未对平台的正常运行造成不良影响。

2.本案并未破坏其他学生预约实验仪器的公平竞争环境，未对他人造成不利影响

第一，涉案软件预约成功率较低，未破坏公平竞争环境。上述提到涉案软件实际就是代替人力来进行预约，但该过程本身就可以由人自主实现，对于手速、网速较快的用户来说，即便不使用该软件也可能预约成功。且D某和F某的笔录中均提到，使用涉案软件进行预约的成功率不高，经常约不到。可见，涉案软件实际上并未起到极大增加成功率的效果，本身并未对学生之间公平竞争的环境产生明显影响。

第二，涉案软件使用人数仅两人，且其他学生都在使用各种软件进行预约，实际并未对他人造成不利影响。F某和H某的笔录中提到，学校的学生都是使用各种程序进行预约实验设备的，因此在大家都用各种软件预约时，本身又处在了相同的竞争起点上，客观上涉案软件的使用者并不会因此提高竞争成功率。而且涉案软件使用人数仅两人，对整个公平竞争环境所造成的影响微乎其微，可以忽略不计。

三、处理结果

就本案而言，经过分析下来可以发现，其实涉案软件并没有非法获取计算机信息系统的数据，也没有对计算机信息系统实施非法控制，并不满足提供侵入、非法控制计算机信息系统程序、工具罪的构成要件。此外，“严重的社会危害性”属于犯罪的基本特征，但本案行为人的行为并没有对网络平台造成不利影响，也没有破坏公平竞争的环境，并不具备“严重的社会危害性”。因此，本案完全可以不作犯罪处理。辩护人也主要围绕以上几点同承办人员进行了深入沟通，最终公安机关以没有犯罪事实为由，撤销了此案。

虽然本案涉案金额较小，案情比较简单，但是每一个案件都承载着当事人的命运与尊严，无论规模大小，都值得被认真对待。

感谢关注

原创文章转载请注明出处

作者简介

孙雪洁，华东政法大学刑法学硕士，浙江厚启律师事务所专职律师。专注于刑事案件的辩护与代理工作，拥有丰富的办案经验和刑事法理论知识。入职厚启以来，办理多起涉黑涉黄、网络犯罪、涉税犯罪、传统犯罪等刑事案件，其中部分案件获撤案、不起诉、缓刑等处理结果。重视实务经验与法学理论知识的结合，在浙江省律师法学研究会、海宁法治论坛等学术研讨会上发表多篇实务文章，秉持专业精神，追求当事人合法权益最大化。

部分成功案例：1、H某诈骗、妨害作证案，审查起诉阶段拿掉诈骗罪；2、C某传播淫秽物品牟利案，经辩护档次减为三年以下，获得缓刑；3、M某盗窃案，附条件不起诉；4、L某诈骗案，审查批捕阶段介入争取到不批捕；5、H某生产、销售伪劣产品案，审查起诉阶段成功取保。

穷尽一切法律手段

维护当事人的自由与尊严

电话：0571-86898968

公众号：houqilawyer

官网：www.houqilawyer.com

邮箱：houqilawyer@163.com

地址：浙江省杭州市余杭塘路515号莱茵矩阵国际3号楼7层

浙江厚启律师事务所简介

厚积薄发，启行千里。

浙江厚启律师事务所成立于2015年9月1日，是一家以商事法律服务与商事犯罪辩护为特色的合伙制律所。

厚启的业务范围包括：公司治理、金融、税务、数字与网络、知识产权、环境、食品与药品、工程与能源、房地产、企业合规与反舞弊、刑事辩护。