网络攻击案是一种新型的犯罪案件，虽然我国刑法规定了破坏计算机信息系统罪、非法控制计算机信息系统罪等罪名，但是由于目前DDOS攻击产业化和僵尸网络构建工具包以及其他 DDoS 出租服务的广泛运用，导致ddos很难溯源、溯源成本高，再加上IP伪造等技术，查到攻击源头非常困难，并且不是每一起DDoS攻击事件都能溯源。

因为计算机网络技术原因，在有些案件中，即使办案机关尽了最大努力，勘验检查取证工作可能仍然无法穷尽收集所有数据，难以形成指控犯罪的完整证据链，并且在这类案件的办理过程中经常出现对于证据的标准和司法解释的理解适用把握宽严不一等问题 ，导致出现定罪难、定性争议大的司法乱象，这些都需要我们律师专业的辩护，找到证据中的问题和争议，才能为犯罪嫌疑人（被告人）争取到无罪或罪轻的结果。我们律师在办理这类案件时，要了解产业链上不同行为的分类定性以及不同类型的ddos攻击路径、手段，要掌握每一种行为争取无罪和罪轻的辩护技巧。

案情简介：

山东A公司被持续网络攻击，造成网站崩溃，A公司报警后，公安机关在被害公司的app项目后台发现了一个可疑的ip地址，根据该ip地址，山东公安机关远赴福建某地进行抓捕，抓获犯罪嫌疑人林某。
警方扣押了嫌疑人林某手机，从该手机中发现了嫌疑人在“飞机”聊天中曾联系过第三方测压平台对受害方的网站进行压力测试，并说如果测试成功可以付费购买相关的压力测试服务。当时第三方压测平台有回复说已压测成功，嫌疑人确认并付款。
嫌疑人被抓获后，口供中承认当时发现受害方的业务后台有漏洞并尝试登录成功，但是并没有对后台的内容进行篡改、删除以及金额方面的有害操作。
警方经侦查认为，嫌疑人林某涉嫌破坏计算机信息系统罪，并决定移交检察院起诉。
律师辩护意见：
张洪强律师接受嫌疑人委托后，在与嫌疑人沟通、详细了解案件情况后，认为该案指控嫌疑人林某构成破坏计算机信息系统罪事实不清、证据不足，最终该案经过努力，林某没有被移交起诉，林某最终获得无罪的结果。
案件反思总结：
使用黑客技术对网站、服务器进行网络攻击类犯罪是新型犯罪，需要我们律师掌握相关的计算机知识，加强研究学习，只有加强研究学习，才能处理好这类案件，维护被告人的合法权益。
张洪强律师认为，在办理网络攻击、非法侵入、破坏计算机信息系统类犯罪案件过程中，主要从以下几个方面来审查是否达到定罪条件：
1、是否找到主控服务器、是否找到攻击软件程序，是否针对攻击软件做侦查实验。在很多此类犯罪案件中，实施网络攻击（ddos）的工具程序都没能找到，作为此类犯罪的直接证据，如果找不到工具软件程序，就没法证明该程序具有破坏计算机信息系统的功能，可能导致案件事实无法查清。例如在梁某案件中，梁某自己口供供述他用ddos攻击软件对某公司网站进行了攻击，后来翻供说他没有进行过ddos攻击，只是将上线给他的木马程序安装到其控制的肉鸡中，公安机关未查到三人制作木马程序的相关证据，也无法核实被攻击对象，最终法院判决检察院指控的破坏计算机信息系统罪不成立。
2、是否从主控服务器中提取到中控端的攻击记录（包括攻击目标、攻击流量和攻击时长）。在赵某、刘某等人案件中，公安机关未提取到赵某、刘某的中控端的攻击记录（攻击目标、攻击流量和攻击时长），故无法认定他们提供给“阿布小组”的“肉鸡”流量就是全部攻击被害公司的流量。
3、被控列表中的ip对应的服务器是否核实，是否从被控服务器中提取到木马程序被控端。在某DDOS攻击案中，因从被控端服务器提取到的被控端程序的MD5值以及安装时间与主控端不一致，最终无法查清事实。
4、网络攻击的具体时间、具体攻击方式手段是否查清。看是否出现攻击时间、手段与被告人供述不一致或与其他证据不一致的情况。例如钟某案中，中国电+信的分析报告证明被害网站遭受UDP反射型ddos攻击与CC型DDOS攻击，但钟某供述自己只是实施过CC型DDOS攻击，并且从主控端也未发现udp攻击的工具。
5、造成的损失是否查清，包括破坏计算机的数量、被攻击网站的用户数量、网站瘫痪持续时间、购买防护的支出等，还有被攻击IP的运行记录、访问日志等。 很多案件争取到无罪与罪轻就是因为造成损失的的事实无法查清、证据不足。

此外，张洪强律师认为，在办理网络攻击、非法侵入、破坏计算机信息系统类犯罪案件过程中，律师必须掌握网络攻击损害后果的认定标准，降低网络攻击行为造成的损失，争取认定为没有造成“后果严重”、“后果特别严重”。

在司法实践中，对“后果严重”、“后果特别严重”的认定存在模糊之处，我们律师在辩护时，主要从是否能正常运行、破坏计算机信息系统的台数、计算机信息系统网站使用的用户数量、提供服务的时间以及违法所得和经济损失等要素进行辩护，争取认定为没有造成“后果严重”和后果特别严重”。如果能争取认定为没有造成“后果严重”，就可以争取罪名不成立，如果能争取认定为没有造成“后果特别严重”就可以争取将刑期降低一个档次。

在此类案件中，基本上每个被害人都会提出自己所遭受的经济损失，以此来要求犯罪嫌疑人赔偿或者加重对犯罪嫌疑人的处罚。在很多案件中，被害人提出的自己的经济损失往往都是夸大的损失，并非是真实的损失数额，而且在经过夸大之后，损失数额很容易就达到五万元后果特别严重的标准，现实司法实践中，对于损失具体如何计算，计算的依据是什么，并没有明确的规定，各个法院对此采取的标准也不相同。这种施用的混乱其实也给辩护律师提供了辩护空间，这就要求我们辩护律师在面对此类问题时，要具有专业的思维，要认真审查所谓的经济损失，以争取最轻的处理结果。

我们律师在办理案件时，可以通过以下几个方面来辩护：

1、网络攻击行为是否导致计算机信息系统不能运行。实践中，对计算机信息系统造成破坏的认定标准并不统一。我们律师需要掌握对“破坏”和“干扰”的认定标准，要掌握运行崩溃、中断、迟缓的证据标准，争取对犯罪嫌疑人(被告人)最有利的认定。我们要注意，网站流量折线示意图、浏览次数、独立访客、IP数据较案发时前后时段的数据有明显降低，并不能简单证明网络瘫痪不能运行。

2、要审查被害单位所称的造成损失的证据，对被害人没有证据的夸大的损失要坚决予以排除。

在刘某网络攻击案中，被攻击公司报案称其遭受网络攻击致使一台服务器烧毁，但因该公司无法提供发票也未保留原有组件，无法提供服务器品牌、型号、组成、及cpu等基本信息，长春市价格认定中心及吉林省物价局均无法对被烧毁服务器的经济损失进行鉴定，且该公司研发的“某游戏”为棋牌手游，利用的都是具有交互等功能的服务器，信通等技术部门和物价部门均无法认定、该公司也无法提供其在被攻击期间服务器停服累计的时间和造成的损失，也无法核实接受域名解析或身份认证的用户数量，所以最终无法认定被告人的ddos攻击行为造成后果的严重程度。

3、要审查被害单位购买的防护服务是否超过必要限度，对超过必要限度购买的高防服务的支出不应算到被告人的头上。例如，被告人只对某公司的一个ip进行攻击，但被害单位购买的覆盖多个ip的防护服务。还有一种情况就是，被攻击单位购买的防护服务是按年计算的，显然不能让被告人承担全年的防护支出。

4、要排除由他人网络攻击造成的损失。在很多案件中，都存在被攻击的系统网站还遭受别人网络攻击的情况，需要根据证据情况确定被告人攻击的ip所占比例，如果确定不了，也就确定不了损失。在赵某、刘某等案件中都存在这种情况，最终无法确定被告人在案发时控制的“肉鸡”数量在所有参与攻击的“肉鸡”数量所占的比例，也无法认定被告人的“肉鸡”攻击鑫泽公司造成的具体经济损失数额。

5、要降低被攻击的网站的用户数量。被攻击的网站用户数量越多，其瘫痪后造成的损失就越大，被告人承担的刑事责任就越大，降被攻击的网站的用户数量可以降低刑期。我们在辩护时要注意，在很多网络案件中，被攻击网站的会员数量的认定缺少认定的方法、标准及统计依据， 我们必须掌握对相关证据的质证技巧。

本文作者：张洪强律师，是北京市京师（济南）律师事务所高级合伙人，专注于计算机犯罪研究十多年，熟悉网页篡改、流量攻击（ddos攻击、cc攻击等）、数据库攻击（SQL注入）、恶意扫描、域名攻击（DNS域名劫持）、嗅探、Web破坏等计算机犯罪案件，对黑客个人、漏洞挖掘者、黑客工具开发者（木马、外挂、远控、爬虫、撞库工具）涉嫌入侵、控制、破坏计算机案件具有丰富的办案经验和技巧，对破坏计算机信息系统罪、非法控制计算机信息系统罪、非法获取计算机信息系统数据罪、提供侵入、非法控制计算机信息信息系统程序、工具罪有深入研究和总结。著作有《破坏计算机信息系统罪案件无罪攻略》《黑客入侵类计算机犯罪无罪攻略》、《网络攻击类计算机犯罪无罪攻略》《域名劫持流量劫持类计算机犯罪无罪攻略》《木马病毒类计算机犯罪无罪攻略》《流氓软件恶意程序类计算机犯罪无罪攻略》《爬虫类计算机犯罪无罪攻略》，为办理计算机犯罪案件提供有效的指导。