Sem autorização por escrito, não teste o sistema de outrem; «boa intenção» e «relato depois» não são motivo de isenção na lei

A tipificação olha se havia autorização e quanto se obteve, não o que você pretendia. Ter 500 conjuntos de contas e senhas comuns, ou ganhar 5000 yuan, ou causar prejuízo de 10000 yuan à outra parte, já basta para até 3 anos. Para «provar» a falha, exportar de passagem uma tabela de usuários muitas vezes passa de 500 conjuntos de uma vez. Ter conta e senha e usá-las fora do escopo autorizado também conta como invasão

Custo

Não custa dinheiro. Antes de participar do SRC do fabricante ou de teste coletivo, obtenha documento com escopo autorizado, lista de alvos e janela de tempo permitida. SRC é o centro de resposta a emergências de segurança do próprio fabricante, que recebe vulnerabilidades reportadas por fora. Assim que confirmar que a falha existe, pare. O difícil é largar o «testar um pouco mais de passagem»

Benefício

Sistemas de empresas e pessoas comuns, fora dos de assuntos de Estado, defesa nacional ou ciência e tecnologia de ponta, são sistemas de informação computacional. Invadi-los, ou por outros meios técnicos obter dados neles armazenados, processados ou transmitidos, em circunstâncias graves, leva a até 3 anos de prisão ou detenção curta, com multa cumulativa ou isolada. Em especialmente graves, de 3 a 7 anos com multa. Critérios de «circunstâncias graves»: obter 10 ou mais conjuntos de informações de autenticação de serviços financeiros online (pagamento, valores mobiliários, futuros etc.); 500 ou mais conjuntos de outras informações de autenticação; controle ilegal de 20 ou mais sistemas; lucro ilícito de 5000 yuan ou mais, ou prejuízo econômico de 10000 yuan ou mais. O quíntuplo desses números é «circunstâncias especialmente graves». Caso oficial: o Exemplo Judicial nº 36 fixa a frase «usar conta e senha fora do escopo autorizado para entrar no sistema de informação computacional constitui invasão». Ou seja: já ter conta e senha, mas usá-las fora do escopo, já é invasão. No caso, três pessoas usaram conta, senha e token obtidos no trabalho para entrar de outra localidade no sistema interno da empresa. Baixaram dados fora do escopo do trabalho e venderam na rede, lucro ilícito de 37000 yuan. Foram condenados a 4 anos, 3 anos e 9 meses e 4 anos, cada um com multa de 40000 yuan (nacional)

Notas

O Exemplo Judicial nº 36 é, em si, um caso de venda de dados por lucro. Cita-se só pela frase «login fora do escopo autorizado também é invasão», não para dizer que teste de boa-fé terá a mesma pena. O artigo 285 do Código Penal e a interpretação de 2011 não tratam boa intenção nem relato posterior como motivo de não tipificação. Daí a inferência do autor: o que você pretendia e se relatou depois não anulam o tipo; só podem influir na gravidade da pena e em processar ou não. O fabricante agradecer primeiro e depois registrar boletim não se contradiz; agradecimento não é autorização. Em 2016, um pesquisador de segurança conhecido como «white hat» submeteu falha do site Jiayuan a uma plataforma de vulnerabilidades de terceiros. Depois a Jiayuan registrou boletim e ele foi preso. A Jiayuan disse à imprensa que registrou porque dados foram levados e na época não sabia que quem levou era quem tinha submetido a falha. Só há reportagem de mídia, sem sentença nem comunicado oficial; o desfecho oficial não existe. Nos sites da Suprema Corte e da Procuradoria Suprema também não há caso de teste de boa-fé que se possa conferir palavra a palavra; por isso este item se classifica só pela lei e pelos critérios de pena. Se for fazer, use o SRC público do fabricante ou avaliação com mandato escrito, com escopo, alvos e janela no documento. Para provar a existência da falha, use a evidência mínima; não extraia dados em massa. A faixa que não chega a crime ainda leva a sanção administrativa, além de proibição profissional; valores e prazos como no item 8 (não rode seu programa na máquina de outrem). Depois de achar a falha, como proceder: item 10 (vulnerabilidades reportadas conforme as regras)

Fontes · 3

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925…
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304…（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. spp.gov.cn/spp/jczdal/201710/t20171017_202593…
3. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. m.cnr.cn/news/yctt/20160629/t20160629_5225318…（网页存档 web.archive.org/web/20261005043859/https://m.…）