Sin autorización por escrito, no testes el sistema de otro; la «buena intención» y el «informe posterior» no son causas de exención en la ley

La tipificación mira si hay autorización y cuánto se obtuvo, no qué pretendías. Conseguir 500 pares de cuentas y contraseñas ordinarias, o ganar 5000 yuanes, o causar al otro una pérdida de 10000 yuanes, ya basta para menos de 3 años. Para demostrar la vulnerabilidad, exportar de paso una tabla de usuarios suele pasar de 500 pares de una vez. Tener cuentas y contraseñas y usarlas fuera del alcance autorizado también cuenta como intrusión.

Costo

No cuesta dinero. Antes de participar en el SRC del fabricante o en pruebas abiertas, consigue un documento que detalle el alcance de la autorización, la lista de objetivos y la franja horaria en que se puede testear. El SRC es el centro de respuesta a emergencias de seguridad que organiza el propio fabricante, pensado para recibir vulnerabilidades reportadas desde fuera. En cuanto verifiques que la vulnerabilidad existe, para. Lo difícil es renunciar a ese «probarlo de paso»

Beneficio

Los sistemas de empresas y particulares corrientes son sistemas informáticos ajenos a los asuntos del Estado, la defensa nacional y la ciencia y tecnología de punta. Invadir ese tipo de sistemas, u obtener por otros medios técnicos los datos que almacenan, procesan o transmiten: si las circunstancias son graves, menos de 3 años de prisión o detención criminal, con multa conjunta o única. Si son especialmente graves, de 3 a 7 años con multa. «Circunstancias graves» tiene varios umbrales: obtener 10 o más grupos de información de autenticación de identidad de servicios financieros en red (pago y liquidación, valores, futuros y similares: cuentas y contraseñas); obtener 500 o más grupos de otra información de autenticación; controlar ilícitamente 20 o más sistemas informáticos; ganancias ilícitas de 5000 yuanes o más, o pérdidas económicas de 10000 yuanes o más. Cinco veces o más esas cifras son «circunstancias especialmente graves». Caso oficial: el caso guía n.º 36 de la fiscalía fija una frase: «usar cuentas y contraseñas para iniciar sesión en un sistema informático fuera del alcance autorizado constituye intrusión en el sistema». Es decir: aunque ya tengas la cuenta y la contraseña, usarlas fuera de lo autorizado es, en sí, intrusión. En ese caso, tres personas usaron cuentas, contraseñas y tokens obtenidos en el trabajo para entrar a distancia en el sistema interno de la empresa. Descargaron datos ajenos a su trabajo y los vendieron en la red; ganancias ilícitas de 37000 yuanes. Penas de 4 años, 3 años y 9 meses, y 4 años, con 40000 yuanes de multa cada uno (nivel nacional)

Notas

El caso guía n.º 36 es en sí un caso de venta de datos con ánimo de lucro. Se cita solo por la frase «iniciar sesión fuera del alcance autorizado también es intrusión», no para decir que un test de buena fe se castigue igual de duro. El artículo 285 del Código Penal (刑法) y la interpretación de 2011 no escriben la buena intención ni el informe posterior como motivos para no considerar delito. De ahí infiere el autor: lo que pretendías y si reportaste después no anulan la tipificación; solo pueden influir en cuánto se condena y en si se procesa. Que el fabricante agradezca primero y denuncie después no es contradictorio; el agradecimiento no equivale a autorización. En 2016, un investigador de seguridad conocido como «sombrero blanco» envió una vulnerabilidad del sitio de citas Jiayuan a una plataforma de terceros. Luego Jiayuan denunció y lo detuvieron. Jiayuan dijo a la prensa que denunció porque alguien se había llevado datos, sin saber entonces que era quien había reportado la vulnerabilidad. Solo hay cobertura mediática, sin sentencia ni comunicado oficial; el desenlace no tiene versión oficial. En los sitios del Tribunal Popular Supremo y de la Fiscalía Popular Suprema tampoco hay casos de test de buena fe que permitan cotejar palabra por palabra, así que este punto se gradúa solo por el artículo y los umbrales de sanción. Si lo haces, usa el SRC público del fabricante o una evaluación con encargo por escrito, y deja alcance, objetivos y ventana temporal en el documento. Para demostrar que la vulnerabilidad existe, usa la menor evidencia posible; no extraigas datos en lote. La banda que no llega a delito también recibe sanción de seguridad pública y prohibición profesional; importes y plazos como en el punto 8 (no ejecutes tus programas en máquinas ajenas). Qué hacer tras hallar una vulnerabilidad: punto 10 (reportar conforme a las normas).

Fuentes · 3

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925…
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304…（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. spp.gov.cn/spp/jczdal/201710/t20171017_202593…
3. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. m.cnr.cn/news/yctt/20160629/t20160629_5225318…（网页存档 web.archive.org/web/20261005043859/https://m.…）