张洪强律师办案经验总结，禁止任何形式的转载复制。

我们律师一定要专业，只有专业化，掌握一定的计算机、网络大数据恢复电子取证等高科技知识，才能处理好网络犯罪案件。此类犯罪是新型高科技犯罪，与传统犯罪不同，证据审查难度大、法律适用要求高，需要律师具备计算机网络犯罪方面的专业知识，对于律师的要求相比较传统的犯罪更高。

我在处理网络犯罪案件时发现，有些法律从业人员在办理这类案件时，对这类案件涉及的计算机网络知识不是很懂，在辩护时对相关证据找不到问题，在去年办理刘某等人案件时，同案犯的律师竟然不知道ddos和肉鸡是什么意思，计算机网络犯罪是非常专业的领域，如果平时没有研究和积累，很难掌握这类案件的知识以及处理技巧。

下面，我就简单说一下我总结的这类案件处理思路和相关技巧。

我总结的辩护思路如下，我认为这是处理此类犯罪最有效的思路。

第一辩护思路：从证据链入手，看能否切断证据链，争取使案件认定为事实不清、证据不足。例如，沈某案，法院就因为案件事实不清、证据不足判决无罪。

沈某利用在某无线通信技术公司担任技术主管的便利，在公司的手机“销量管理系统”应用软件中植入自己书写的程序，通过该程序对用户手机进行静默卸载及下载安装的操作，恶意卸载了UC浏览器等手机应用程序，并通过通知栏及对话框提醒等方式推广欧鹏浏览器、百度应用盒子等应用程序，收取推广费约人民币130万元。

检察院以破坏计算机信息系统罪对沈某提起公诉，但法院审理后认为事实不清、证据不足，作出了无罪判决，判决沈某无罪释放。

在该案中，没有充分证据证明沈某“静默安装”，即未经用户许可操控用户的手机下载应用程序及具体数量，鉴定结论不能证明被告人发出指令与涉案手机的UC浏览器被卸载之间存在因果关系，也不能证明沈某推广欧鹏浏览器等应用程序所获取的130万元是通过“静默安装”的方式获取的违法所得。

在处理网络犯罪案件时如果我们能从专业角度用专业的思维找到证据中存在的问题，就有可能切断证据链，有可能使案件事实不清，查不清事实就无法逮捕、无法公诉、无法定罪，我处理的毕某、杨某、王某案都是因为切断了证据链而撤案检察院不公诉。

网络犯罪与传统犯罪不同，不会在犯罪空间或者说在犯罪场所留下可以证明其行为和人身同一的痕迹或者物品，在很多案件中，犯罪嫌疑人留下的痕迹都是虚假的，要从虚假的痕迹中找到确凿的定罪的证据是很难的，因为网上证据与网下证据衔接难，很难形成完整的证据链，容易导致事实不清、证据不足，最后定不了罪，这就是我常说的，世上没有真相，有的只是基于证据对事实的构建和解释，我们律师不能先入为主的对这类案件的犯罪嫌疑人有偏见。

一、要争取使案件认定为事实不清，如果以下内容没有查清并有充分证据证明，就可以事实不清为由要求罪名不成立。

1、实施的破坏行为的时间是否查清。要注意审查电子证据如系统日志与言词证据口供之间关于时间的证据，看是否出现时间不吻合的情况。

2、实施破坏行为的方式是否查清。看是否出现破坏行为与被告人供述不一致或与其他证据不一致的情况。例如钟某案中，中国电信的分析报告证明被害网站遭受UDP反射型ddos攻击与CC型DDOS攻击，但钟某供述自己只是实施过CC型DDOS攻击。

3、实施破坏行为的工具软件、程序是否找到。在浩如烟海的数据中查找一个并不明确的软件难度很大，在很多此类犯罪案件中，实施破坏行为的工具软都没能找到，作为此类犯罪的直接证据，如果找不到工具软件程序，就没法证明该程序具有破坏计算机信息系统的功能，直接导致案件事实无法查清。

4、涉案的工具软件、程序的基本工作原理、功能是否查清。是否具有增加、干扰、删除计算机信息系统的功能，是否具有自我传播、自我复制的功能等。我们要注意，在一些外挂程序案件中，很多浏览器劫持软件、恶意广告软件 、共享软件、外挂程序 等虽然具有:强制安装、静默安装、篡改浏览器设置等恶意功能，但不应该被认定为病毒性程序。

5、造成的损失是否查清，包括破坏计算机的数量、网站瘫痪持续时间、购买防护的支出等，还有被攻击IP的运行记录、访问日志等。

6、违法所得数额是否查清。

二、要争取使案件认定为证据不足，切断证据链，我们在审查证据链时，可以考虑按照以下三步来走。

第一步：审查‘由案到机’的证据链，看能否切断。公安机关在侦查此类案件时，通过被侵害破坏的计算机信息系统进行分析取证，主要依据电子形成的痕迹、物证，采取各种计算机技术追溯到作案的计算机，明确作案主体使用计算机IP 地址。对于疑难复杂的DDOS案中，嫌疑人通过控制傀儡机发动攻击行为，其实施犯罪的IP很难通过被害机器发现，因为‘肉鸡’和VPN的使用，以及犯罪嫌疑人删除相关日志等行为，他们留在网络上的痕迹往往都是虚假的，要想形成完整证据链是有难度的。我们律师在处理这类案件时，第一步要做的，就是通过对服务器日志、网站日志、用户文件、最近访问记录、浏览器记录、删除数据恢复、U盘插拔记录等电子证据的质证，来切断‘由案到机’的证据链。如果我们律师在处理案件时,切断了由‘由案到机’的证据，就使案件确定不了作案的具体计算机的ip地址，就会使案件很难定罪。

第二步：审查‘由机到人’的证据链，看能否切断。IP地址只是证据链其中一部分，还需要证明是犯罪嫌疑人本人使用该IP地址做出了构成犯罪的行为，仅仅一个ip地址，只能作为线索，对相关嫌疑人进行“初查”。 仅有IP地址无法简单的认定犯罪，大部分被判刑的都是有其他证据印证，例如自己认罪、证人证明或者网络日志缓存日志等痕迹、QQ登录信息以及其他信息相印证。我们律师在办理案件时要将言词证据与其他证据进行综合分析，尤其是要注意与扣押的电脑、手机中的各种日志证据进行对比印证，要注意审查侦查人员是否对IP地址拥有者的电脑进行排查，确定电脑是否被病毒控制，或者其他人使用，要配合网络日志，以及一些qq登录时间等其他证据。找到各个证据之间存在矛盾和不能印证的地方，如果能切断由“机器到人” 这一环，也就无法确定谁是作案者、无法定罪。

第三步：审查‘由人到人’的证据链，看能否切断。破坏计算机信息系统犯罪呈现出黑色产业链的特征，犯罪主观证明较难，共犯联系松散难以认定，这些人一般都互不认识，只是在微信群、qq群里的网友，互相之间连真实名字都不知道。例如肉鸡出租者、木马病毒开发者、销售者、挂马者、恶意程序开发者等，网络犯罪中行为人之间意思联络形式多样化、联络主体虚拟化、共同行为模糊化，有时候要形成指向某一犯罪嫌疑人的证据链是有难度的，在很多案件中，公安机关只抓获黑色产业链一个环节上的犯罪嫌疑人，从这些被抓获的嫌疑人这里找证据指向其他环节的人，这就是我所说的网络犯罪中“由人到人”证据指向。

我们律师在处理案件时要审查证据中的聊天记录、转款记录、通话记录等，看是否有充分证据证明他们之间有预谋、有联系，争取切断“由人到人”的证据链。

随着网络黑产从业者反侦察能力的提高，公安机关在取证时要找到“由人到人”的证据链越来越困难，我去年在湖北荆州和河南周口处理的案件中，犯罪团伙分别使用蝙蝠聊天软件和台湾的聊天软件whatsapp，这些聊天软件是端到端的加密，服务器不留痕迹，直接用ID登录，不需要绑定任何身份信息，极致安全私密、信息可以双向撤回、删除聊天信息，这些都为我们从证据上切断“由人到人”的证据链提供了条件和可能。

第二辩护思路：争取改变定性。破坏计算机信息系统罪在认定时经常存在争议，我们律师在办理此类案件时必须掌握这些争议的点以及争议的原因，才能从争议中去争取对被告人最有利的认定。

1.争取将破坏的对象认定为“非计算机信息系统”。此罪针对的行为是破坏计算机信息系统的行为，如果被破坏的对象不能认定为计算机信息系统，那就不能构成破坏计算机信息系统罪。例如一些公司的自动化控制设备、网络设备等，如果不具有自动处理数据的功能、不具有对信息进行采集、加工等处理功能，就不能认定为本罪名所指的“计算机信息系统”。我们要掌握本罪名所指的计算机信息系统的含义和本质，对于计算机信息系统、计算机系统，应当严格按照文义解释，限制扩大解释，不能将所有的和计算机有关的程序和系统都归纳进入，造成法律权利的滥用。

2.争取将涉案的程序认定为非病毒性、非破获性程序。当前对于流氓软件、恶意程序与计算机病毒的界定缺乏规范性的指导文件，导致在一些案件中出现了盲目将流氓软件认定为计算机病毒、破坏性程序的错误倾向，我们律师在办理案件时要根据对计算机影响后果和方式来证明他们不会对计算机信息系统造成本罪名所指的破坏，这些都需要我们用专业的知识和思维来辩护。

一些、外挂程序、优先抢单、秒杀软件、自动点击软件、绑架、劫持等流氓软件具有强制安装、静默安装、难以卸载、浏览器劫持、广告弹出、恶意捆绑等特征，从表面上看触犯了《刑法》第 286 条所规定的破坏计算机信息系统罪，但如果仔细分析辩护，其实很多流氓软件不对计算机信息系统的功能进行删除或增加、也不具有自我复制、自我传播的功能。

例如，很多恶意劫持上网软件，仅仅是针对不特定终端系统，依靠软件下载包自动完成，并未对计算机信息系统内部对信息进行采集、加工、存储、传输、检索等主要功能进行实质性破坏，也并未造成计算机信息系统不能运行或不能按照设计要求运行。在恶意劫持软件下载包中包含的未授权安装软件、强制修改计算机用户 IE 浏览器、增加开机启动项和桌面图标等程序数据，实质上是一种封闭式行为，仅为自身功能的实现，不与计算机本身的系统程序、应用程序、数据等刑法保护的对象发生关系，既不是刑法中所谓的“计算机信息系统中存储、处理或者传播的数据”，也不是“计算机的应用程序”。

3．是否对计算机信息系统造成干扰和破坏，被破坏的计算机信息系统能否认定为不能正常运行。实践中，对计算机信息系统造成破坏的认定标准并不统一。干扰的方式是多种多样的，包括如外挂程序、拦截信号、干扰传输等等。如果此类干扰行为没有导致计算机信息系统运行机理发生重大变化，功能仍正常发挥，就不能认为是刑法所规定的干扰。

我们律师需要掌握对“破坏”和“干扰”的认定标准，争取对犯罪嫌疑人被害人的有利认定。

某些软件中虽然含有恶意插件，在一定程度上会影响计算机用户的正常使用，但不会造成整个计算机信息系统不能正常运行，例如游戏外挂类型的案件，外挂软件的运行，只是改变了网络游戏软件设定的游戏规则，影响程序的正常运行，导致服务器的加重，但并没有破坏计算机系统本身运行的安全性，明显不构成破坏计算机信息系统罪。

我们在辩护时，在重点考虑从以下几个方面来证明没有对计算机信息系统造成破坏和干扰。

（1）、运行是否崩溃，如DDoS攻击导致运行崩溃。

（2）、运行是否中断，如修改系统文件导致网络中断。

（3）、运行是否迟缓，如恶意软件不断占用计算机资源。

（4）、运行强制情况，如恶意软件不断自动下载。

（5）、运行干扰情况，如流量攻击导致不断弹出非正常对话框。

（6）、其他运行不能，如使信息系统原有功能失效，对信息系统进行加密等。

我们要注意，破坏计算机信息系统罪着重考察行为对计算机信息系统功能、数据或者应用程序的破坏程度，应理解为实质性的或者不可逆、难以修复的损害，且这种损害与计算机信息系统安全具有关联性，破坏的是计算机的核心数据和核心应用程序。

4、争取认定没有造成“严重后果”。破坏计算机信息系统罪是结果犯，只有造成严重后果才构成犯罪，在司法实践中，对严重后果的认定存在模糊之处，我们律师在辩护时，主要从破坏计算机信息系统的台数、计算机信息系统使用的用户、提供服务的时间，以及违法所得和经济损失等要素进行辩护，争取认定为没有造成严重后果。

从违法所得数额上来讲，根据《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》中第四条第三项的规定：违法所得五千元以上或者造成经济损失一万元以上的为后果严重;违法所得二万五千元以上或者造成经济损失五万元以上为后果特别严重。

在此类案件中，基本上每个被害人都会提出自己所遭受的经济损失，以此来要求犯罪嫌疑人赔偿或者加重对犯罪嫌疑人的处罚。在很多案件中，被害人提出的自己的经济损失往往都是夸大的损失，并非是真实的损失数额，而且在经过夸大之后，损失数额很容易就达到五万元后果特别严重的标准，现实司法实践中，对于损失具体如何计算，计算的依据是什么，并没有明确的规定，各个法院对此采取的标准也不相同。这种施用的混乱其实也给辩护律师提供了辩护空间，这就要求我们辩护律师在面对此类问题时，要认真审查所谓的经济损失，以免加重对当事人的处罚。

第三辩护思路：争取改变罪名，给被告人争取最轻的罪名认定。

上面已经说过，此罪在认定时存在争议，与其他罪名容易混淆。从310个案例中随机抽取的100个案例统计，公诉机关指控罪名与法院最终认定罪名完全一致的有56个，而公诉机关、辩护人和法院最终认定罪名之间出现争议的有44个。这就需要我们律师对此罪犯罪有深入的研究、深刻的认识，只有知道常见的争议点和争议的原因，才能在争议中争取最轻的认定,我们需要从主观动机、技术原理、危害后果等多度进行综合分析，为犯罪嫌疑人（被告人）选择适当的罪名辩护。

常见的争议罪名有以下几个：非法控制计算机信息系统罪、盗窃罪、非法经营罪、侵犯著作权罪、破坏生产经营罪、敲诈勒索罪等。

第四辩护思路：争取从犯认定。

此类犯罪呈现出产业链的趋势，由于事实难以查清，组织架构、运行体系难以查清，在逃人员难以全部抓获等原因，就存在主犯从犯认定困难的情况，有争取从犯的空间，一旦认定成从犯，就会大幅度降低刑期。

最后，我要说一下，破坏计算机信息系统罪口供的问题，在这类案件中，犯罪嫌疑人（被告人）自己的口供非常重要，因为这是高科技犯罪，犯罪组织隐蔽严密，电子证据容易被窜改和灭失，很难形成完整的证据链，所以严重依赖被告人的口供。

在很多案件中犯罪嫌疑人会自信自己的技术高超，或者自信侦查人员听不懂一些计算机术语，在被讯问时，故意说一些计算机网络专业术语，以求蒙混过关，却不得要领，所以经常出现口供来回翻供或者与同伙之间口供不一的情况，对于每一种情况该怎么处理，包括我们律师会见时如何在不违法的前提下提供最明确的法律咨询，这些都考验着我们律师的办案能力。

移动互联网浪潮下的网络终端犯罪日新月异、花样繁多，我们律师要想处理好此类案件，除了掌握基本的计算机网络知识外，必须有超前的意识，深入的研究。

今天，就先讲到这里，有关破坏计算机信息系统罪其他辩护技巧以及对证据的质证技巧有时间我会再讲。最后真诚的希望我们每一位办案律师都能掌握这类新型犯罪的知识以及辩护技巧，提供最专业最敬业的辩护 。

作者：张洪强律师

作者：张洪强律师，北京市京师（济南）律师事务所律师，专注于网络犯罪辩护研究。