Без письменного разрешения чужие системы не тестировать: «добрые намерения» и «потом сообщил» в нормах не снимают состава

Для состава смотрят, было ли разрешение и сколько взяли, а не на намерения. 500 пар обычных логинов и паролей, либо доход 5000 юаней, либо ущерб другой стороне 10000 юаней — уже до 3 лет. Чтобы «доказать дыру», часто выгружают таблицу пользователей — и сразу переваливают за 500 пар. Если логин и пароль уже на руках, использование вне разрешённого диапазона тоже считается проникновением.

Стоимость

Не стоит денег. Перед участием в SRC производителя или в открытом тестировании получите документ с границами полномочий, списком целей и окном времени. SRC — собственный центр реагирования производителя на уязвимости от внешних людей. Как только уязвимость подтверждена — остановитесь. Сложно отказаться от «мимоходом попробовать».

Эффект

Системы обычных компаний и частных лиц — это компьютерные информационные системы вне сферы госдел, обороны и передовых наук. Проникновение в такие системы либо иные технические средства для получения хранимых, обрабатываемых или передаваемых данных при тяжких обстоятельствах — до 3 лет лишения свободы или арест и штраф (одновременно или только штраф). При особо тяжких — от 3 до 7 лет и штраф. Пороги «тяжких»: от 10 наборов учётных данных для сетевых финсервисов (платежи, ценные бумаги, фьючерсы и т.п.); от 500 наборов прочих учётных данных; незаконное управление от 20 систем; незаконный доход от 5000 юаней либо экономический ущерб от 10000 юаней. В 5 и более раз выше этих цифр — «особо тяжкие». Официальный пример: руководящий пример прокуратуры №36 закрепляет: «вход по логину и паролю за пределами полномочий — это проникновение в компьютерную информационную систему». То есть данные уже были, но применение вне разрешённого диапазона само по себе — проникновение. В том деле трое по рабочим логинам, паролям и токенам заходили в систему компании из другого региона, скачивали данные вне рабочих задач и продавали в сети, незаконный доход 37000 юаней. Приговоры: 4 года, 3 года 9 месяцев и 4 года, каждому штраф 40000 юаней (по всей стране).

Примечания

Руководящий пример №36 сам по себе — дело о продаже данных ради выгоды. Его цитируют только ради фразы «вход вне полномочий — тоже проникновение», а не чтобы сказать, что добросовестный тест накажут так же жёстко. Статья 285 УК и разъяснение 2011 года не делают «добрые намерения» и «потом сообщил» основанием не считать деяние преступлением. По выводу автора: намерение и последующий отчёт не снимают состав, могут лишь влиять на тяжесть и на то, возбудят ли дело. Благодарность производителя и последующая жалоба в полицию не противоречат друг другу: спасибо ≠ разрешение. В 2016 году исследователь («белый хакер») сдал уязвимость сайта «Шицзи Цзяюань» на стороннюю платформу; компания потом заявила в полицию, его задержали. Компания говорила журналистам, что жаловалась из‑за унесённых данных и не знала, что унёс именно сдавший дыру. По делу есть только медиа, нет приговора и официального сообщения — итог неизвестен. На сайтах Верховного суда и Верховной прокуратуры пословных дел о безнаказанности добросовестного теста не найдено, поэтому пункт опирается на нормы и пороги наказания. Делать — только через открытый SRC производителя или с письменным поручением, с границами, целями и окном времени в документе. Для доказательства дыры — минимум данных, без массовой выгрузки. Даже если до уголовного состава не дотягивает — административка, запрет на профессию; суммы и сроки как в пункте 8 (не запускать свои программы на чужих машинах). Что делать после обнаружения уязвимости — в пункте 10 (сдавать по правилам).

Источники · 3

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925…
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304…（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. spp.gov.cn/spp/jczdal/201710/t20171017_202593…
3. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. m.cnr.cn/news/yctt/20160629/t20160629_5225318…（网页存档 web.archive.org/web/20261005043859/https://m.…）