从成都女子利用电商系统漏洞获取3000余件家电案看刑民边界与刑法谦抑性
一、案件事实回顾
据央视新闻报道，2026年5月30日，某电商平台工作人员向成都市公安局武侯区分局机投桥派出所报案，称公司后台数据发现大量异常订单。经梳理，异常订单累计3711条，涉及86个买家账号，按进货价统计，平台经济损失约169万元。
嫌疑人张某的作案手法是：先在页面选择以旧换新，选取一台高估值旧家电（如柜机空调，系统估值800元），然后切换为低价值商品（如煮蛋器），再迅速切换回高估值旧家电。经过两次快速切换，系统出现计算漏洞，最终显示应付金额为0元。张某全程未提供任何旧家电，却不用支付一分钱便获得了全新小家电。
警方在张某家中查获166件全新未拆封家电及22件已拆封使用的家电，在其租用的约600平方米仓库内查获977件全新家电。大量货物已被张某通过二手平台及线下渠道以约八折价格转售获利。据报道，张某系该电商平台前离职员工，86个涉案账号涉及她的父母、丈夫、亲戚、朋友及5名前同事。目前，张某等人因涉嫌盗窃罪被警方依法采取刑事强制措施，案件正在进一步侦办中。
二、问题的提出：刑法是否应当介入？
案件见诸媒体后，舆论普遍倾向于“盗窃罪”的定性。笔者对此持不同看法。笔者认为，本案行为的本质是利用平台交易规则漏洞获取财物，应当通过民事程序——即不当得利制度——解决，而非动用刑法。
刑法是国家对公民最为严厉的制裁手段，其启动应当遵守谦抑性原则。当民事法律能够充分、有效地解决纠纷、弥补损失时，刑法就不应当越俎代庖。本文从漏洞类型区分、“秘密窃取”要件、平台自身过错、民事救济充分性以及刑法谦抑性等多个维度展开分析。
三、“交易规则漏洞”与“技术漏洞”的区分
中南民族大学法学院王晓晓在《法学评论》（CLSCI核心期刊）2023年第6期发表《利用计算机信息系统漏洞“薅羊毛”的教义学分析》一文，将利用计算机信息系统漏洞“薅羊毛”的行为区分为两种类型：一是利用平台、商家设置的交易规则中存在的漏洞，二是利用计算机信息系统本身存在的技术漏洞。
该论文明确指出：在被害平台、商家自身不谨慎导致交易规则漏洞形成的场合，行为人利用此漏洞“薅羊毛”的行为不构成犯罪，仅属于不当得利。而利用技术漏洞获取实际利益的，才构成盗窃罪。这一观点为区分“薅羊毛”行为的刑民属性提供了重要的理论框架。
周贵长律师认为，本案中张某利用的漏洞属于“交易规则漏洞”而非“技术漏洞”。张某并未使用任何黑客技术手段入侵系统、不曾修改代码、不曾篡改支付参数，也未使用外挂软件或抓包工具。她全程通过平台APP的正常界面操作，在“以旧换新”页面上按照平台设置的操作流程进行选择和切换。漏洞的本质是平台自身交易规则设计不周密——系统允许用户在下单过程中快速切换商品，但未对切换后的价值差额进行重新核算，这是业务逻辑的缺陷，而非系统代码被破解。
福建省高级人民法院董文博、福州大学肖若若及福州市鼓山地区人民检察院丁秋云在《中国审判》杂志发表的文章也指出：如果行为人是该平台的消费者，利用计算机信息系统漏洞获取财物行为的法律基础应当是消费者与平台所订立的协议。行为人通过漏洞进行的非正常交易属于可撤销的行为，其所获财物因不具备法律基础而属于不当得利，应予以返还。
四、“秘密窃取”要件的缺失
盗窃罪的核心客观要件是“秘密窃取”。传统通说认为，“秘密”是指行为人采取自认为不被财物所有人或占有人发觉的方法。在本案中，张某的行为是否具备“秘密性”，值得商榷。
张某的全部操作均在平台APP内完成，3711笔订单均由平台系统自动处理、自动记录、自动发货。每一笔订单都留有完整的电子痕迹，包括下单时间、账号信息、商品信息、收货地址等。这些数据对平台完全可见，平台随时可以调取审查。张某没有删除订单、没有伪造数据、没有屏蔽平台的监测。从客观上看，这与“不被发觉”的秘密状态存在明显差异。
当然，有观点认为，“秘密”是行为人的主观认知，只要张某自认为平台不会发现，就具备秘密性。但这一观点忽视了一个基本事实：平台不是“没有发现”，而是其系统设计本身就允许这种操作完成。张某的每一步操作都在平台预设的交易流程之内，系统按照既定规则处理了这些订单。这更像是平台“放任”财物被取走，而非行为人“偷偷”拿走。当商户自己打开了门、自己设置了“免费拿”的流程，就很难说拿走东西的人是“秘密窃取”。
重庆市渝北区人民法院（2018）渝0112刑初48号案件中，被告人利用网络直播平台系统漏洞重复盗刷虚拟货币并兑现，法院最终认定构成盗窃罪。但该案中，被告人制作了可以重复领取的软件工具，这已经超出了“在平台界面内正常操作”的范畴，属于利用技术手段绕过系统限制。本案张某并未使用任何外部工具，与该案有本质不同。
五、平台自身过错与风险自担
在讨论本案时，一个不容忽视的问题是：漏洞是怎么产生的？答案很明确——是平台自己设计的“以旧换新”系统存在逻辑缺陷。平台作为系统的设计者和运营者，对系统漏洞的产生负有不可推卸的责任。
在民事法律中，有一项基本原则叫“与有过错”。当损失的发生与受害方自身的管理缺陷具有因果关系时，受害方应当自行承担相应的损失。平台作为专业的电商运营者，具备完备的技术能力和风险意识，理应在上线前对“以旧换新”系统进行充分的测试，包括对商品切换、价值重算等关键环节的压力测试。系统在用户快速切换商品后未能重新核算差额，这是平台技术团队的过失，而非用户的错误。
更值得注意的是，据报道，张某系该平台前离职员工。这意味着张某对系统规则的了解，其实是基于平台自身的业务设计。张某所利用的操作路径，本质上是平台业务流程的一部分——只是平台在设计时未预见到这种操作序列。将平台自身设计不周密的后果完全归咎于用户，甚至动用刑法惩罚，有失公允。
六、民事救济的充分性
当有人质疑“不动用刑法怎么办”时，答案是：民事法律已经提供了充分的救济手段，包括不当得利制度和可撤销法律行为制度。
《中华人民共和国民法典》第一百二十二条规定：“因他人没有法律根据，取得不当利益，受损失的人有权请求其返还不当利益。”第九百八十五条进一步规定：“得利人没有法律根据取得不当利益的，受损失的人可以请求得利人返还取得的利益。”这些条款为平台追索返还提供了明确的请求权基础。
更为关键的是第九百八十七条：“得利人知道或者应当知道取得的利益没有法律根据的，受损失的人可以请求得利人返还其取得的利益并依法赔偿损失。”张某明知自己未付款却获得商品，属于“知道或者应当知道”的恶意得利人。按照本条，平台不仅有权要求张某返还全部家电，还可以要求赔偿因此造成的损失，包括转售差价、仓储费用、物流费用等。
据法律媒体报道，各地法院已就多起类似的“薅羊毛”行为作出民事判决。例如，山东省淄博市高青县人民法院审理的“仅退款不退货”案件中，法院认定买家利用平台规则漏洞“仅退款”后不退货的行为构成不当得利，判令返还货款并承担运费损失。河南省汝州市人民法院、广东省中山市第二人民法院也均有类似判决，将“薅羊毛”行为纳入民事不当得利维度处理。这些案件表明，民事程序完全能够解决此类纠纷。
除不当得利制度外，民法典关于可撤销法律行为的规定同样适用于本案。民法典第一百四十七条规定：“基于重大误解实施的民事法律行为，行为人有权请求人民法院或者仲裁机构予以撤销。”最高人民法院《关于适用〈中华人民共和国民法典〉总则编若干问题的解释》第十九条对“重大误解”的认定标准作出了明确规定：行为人对行为的性质、对方当事人或者标的物的品种、质量、规格、价格、数量等产生错误认识，按照通常理解如果不发生该错误认识行为人就不会作出相应意思表示的，可以认定为重大误解。
尤为值得注意的是，最高人民法院在起草该司法解释时，明确以电子商务中的“薅羊毛”现象为例，阐述允许经营者撤销因“薅羊毛”缔结的买卖合同的必要性。最高法指出，如果一概不允许撤销此类合同，经营者可能面临灭顶之灾；而如果允许撤销，善意相对人的信赖利益损失依然可以依照民法典第一百五十七条规定获得救济。这一说明直接回应了本案的情形。
在本案中，平台的自动化系统在处理“以旧换新”订单时，对行为的性质产生了错误认识——系统“认为”存在真实的旧家电回收交易，但实际上张某从未提供任何旧家电。按照通常理解，如果平台知道没有真实的旧家电回收，显然不会批准订单并发货。这完全符合重大误解的认定标准。平台作为产生重大误解的一方，有权请求人民法院撤销这些交易。
此外，如果能够证明张某具有欺诈故意，平台也可以依据民法典第一百四十八条关于欺诈的规定主张撤销。最高人民法院机关刊《人民司法》刊载的解读文章明确指出，相对人故意造成行为人错误认识的，构成欺诈，此时重大误解与欺诈存在法条竞合，当事人可以自由选择主张。但从举证角度，重大误解不要求证明对方有欺诈故意，举证门槛更低。
无论基于哪一条撤销，依据民法典第一百五十七条，张某均应返还因该行为取得的财产；不能返还或者没有必要返还的，应当折价补偿。有过错的一方应当赔偿对方由此所受到的损失；各方都有过错的，应当各自承担相应的责任。本案中，平台自身系统存在设计漏洞，对交易错误亦有过错，依据“各方都有过错的，应当各自承担相应的责任”之规定，平台也应自行承担部分损失。
七、刑法谦抑性：最后的手段而非首选
刑法谦抑性原则是现代刑法的基本理念之一。其含义是：刑法应当作为保护法益的“最后手段”，只有在民事法律、行政法规不足以应对时才动用。这一原则在我国刑法理论与司法实践中已得到广泛认同。
在本案中，民事法律能够提供充分救济：平台可以依法请求张某返还全部家电、赔偿相应损失，必要时可申请财产保全。张某已转售的货物，可依《民法典》第九百八十八条请求受让人返还。这些民事手段足以完全恢复平台的损失，没有必要再动用刑法。
如果对利用平台自身设计缺陷的行为动用刑法，开启的将是一个危险的先例。每个电商平台的系统都可能存在漏洞，如果用户利用漏洞就可能被追究刑事责任，那么平台将失去修复漏洞的动力——因为漏洞造成的损失可以由用户的刑事责任来买单。这不符合激励平台完善系统的社会效果，也与刑法谦抑性原则相悖。
当然，笔者并非认为张某的行为无可原谅。她利用平台交易规则漏洞获取财物，主观上具有过错，客观上造成了平台的财产损失，理应承担民事责任。但“过错”不等于“犯罪”，“造成损失”也不等于“刑事责任”。在民事法律能够充分解决纠纷的情况下，动用刑法是不必要的，也是不成比例的。
八、结语
本案的核心启示不在于“漏洞怎么被利用”，而在于“漏洞怎么被设计”。平台作为系统的设计者和运营者，应当为自己的设计缺陷承担主要责任。用户利用平台自身交易规则的漏洞获取财物，固然过错，但应当通过民事不当得利制度解决，而非动用刑法。
平台可以起诉要求返还财物、赔偿损失，可以加强系统安全防止类似情况再次发生，但不应当将自己的设计缺陷交由刑法来买单。这才是法律对平台和用户各方权利义务的公平分配。本文的分析仅代表笔者个人观点，不预判案件最终结果。
热门跟贴