بلا تفويض كتابي لا تختبر نظام الغير؛ و«حسن النية» و«الإبلاغ لاحقا» ليسا سببا للإعفاء في النص

النص ينظر إلى وجود التفويض وإلى مقدار ما أُخذ، لا إلى نيتك. الحصول على 500 مجموعة حساب وكلمة مرور عادية، أو كسب 5000 يوان، أو إلحاق خسارة 10000 يوان بالطرف، يكفي لعقوبة حتى 3 سنوات. ولتثبت ثغرة قد تُصدَّر جدول مستخدمين مرة واحدة فتجاوز 500 مجموعة. وإن كان لديك حساب وكلمة مرور واستخدامهما خارج نطاق التفويض يعد اختراقا أيضا.

التكلفة

بلا نفقة. قبل المشاركة في SRC البائع أو الاختبار الجماعي احصل على وثيقة تبيّن نطاق التفويض وقائمة الأهداف ونافذة الاختبار المسموحة. وSRC مركز استجابة أمنية يديره البائع لاستقبال الثغرات من الخارج. توقف عند التحقق من وجود الثغرة. والصعب التخلي عن «تجربة سريعة عابرة»

الفائدة

أنظمة الشركات والأفراد العادية من أنظمة معلومات الحاسوب خارج شؤون الدولة والدفاع الوطني والعلوم والتقنية المتقدمة. واختراق هذه الأنظمة، أو بوسائل تقنية أخرى، للحصول على البيانات المخزنة أو المعالجة أو المنقولة فيها. فإن كانت الظروف خطيرة، عقوبة حتى 3 سنوات سجنا أو حبسا قصيرا، مع غرامة أو غرامة وحدها. والأشد خصوصا من 3 إلى 7 سنوات مع غرامة. ولـ«الظروف الخطيرة» معايير منها: الحصول على معلومات مصادقة هوية لخدمات مالية شبكية مثل الدفع والتسوية وتداول الأوراق المالية والعقود الآجلة (حساب وكلمة مرور وما شابه) 10 مجموعات فأكثر؛ معلومات مصادقة هوية أخرى 500 مجموعة فأكثر؛ السيطرة على أنظمة معلومات حاسوبية دون وجه حق 20 جهازا فأكثر؛ دخل غير مشروع 5000 يوان فأكثر، أو خسارة اقتصادية 10000 يوان فأكثر. وخمسة أضعاف هذه الأرقام فما فوق «ظروف أشد خصوصا». قضية رسمية: قضية النيابة الإرشادية رقم 36 أرست جملة: «استخدام الحساب وكلمة المرور لتسجيل الدخول إلى نظام معلومات حاسوبي خارج نطاق التفويض يعد اختراقا لنظام معلومات الحاسوب». أي أن وجود الحساب وكلمة المرور لديك أصلا واستخدامهما خارج النطاق يعد اختراقا بذاته. في تلك القضية دخل ثلاثة أشخاص بنظام الشركة الداخلي من مكان آخر بحساب وكلمة مرور ورمز كانوا يملكونها من العمل. نزّلوا بيانات خارج نطاق عملهم وباعوها على الشبكة، بدخل غير مشروع 37000 يوان. أحكام 4 سنوات و3 سنوات و9 أشهر و4 سنوات، وغرامة 40000 يوان لكل منهم (وطنيا)

ملاحظات

قضية النيابة الإرشادية رقم 36 نفسها قضية بيع بيانات للربح. والاستشهاد بها لجملة «الدخول خارج نطاق التفويض يعد اختراقا» فقط، لا أن الاختبار بحسن نية يُحكم عليه بالمثل. والمادة 285 من القانون الجنائي وتفسير 2011 لا يجعلان حسن النية ولا الإبلاغ اللاحق سببا لعدم اعتبار الفعل جريمة. ومن ذلك يستنتج المؤلف: ما قصدتَه وما إن أبلغت لاحقا لا يسقطان التهمة، وقد يؤثران فقط في مقدار الحكم أو في رفع الدعوى أم لا. وشكر البائع ثم الإبلاغ لاحقا أمران لا يتناقضان؛ الشكر ليس تفويضا. سنة 2016 باحث أمني يُدعى عادة «القبعة البيضاء» قدّم ثغرة موقع Jiayuan إلى منصة ثغرات طرف ثالث. ثم أبلغ Jiayuan الشرطة وقُبض عليه. وقال Jiayuan للصحافة إن الإبلاغ كان لأن بيانات أُخذت، ولم يُعرف وقتها أن من أخذها هو من قدّم الثغرة. لهذه القضية تغطية إعلامية فقط، بلا حكم وبلا بلاغ رسمي، ولا بيان رسمي عن النهاية. ولم يُعثر على موقع المحكمة العليا أو النيابة العليا على قضية اختبار بحسن نية يمكن مطابقة نصها حرفا، لذا يُصنَّف هذا البند وفق النص ومعايير العقوبة فقط. إن أردت الاختبار فاسلك SRC البائع المعلن، أو تقييما بتفويض كتابي، مع كتابة النطاق والأهداف ونافذة الزمن في الوثيقة. ولإثبات وجود الثغرة استخدم أقل دليل، بلا سحب بيانات بالجملة. وما دون حد الجريمة يعاقب أيضا بعقوبة أمن عام وحظر مهني، ومبالغ الغرامة والمدد كالبند 8 (لا تشغّل برنامجك على آلة الغير). وكيف تتصرف بعد اكتشاف الثغرة، انظر البند 10 (أبلغ عن الثغرات حسب اللوائح).

المصادر · 3

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925…
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304…（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. spp.gov.cn/spp/jczdal/201710/t20171017_202593…
3. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. m.cnr.cn/news/yctt/20160629/t20160629_5225318…（网页存档 web.archive.org/web/20261005043859/https://m.…）