网络环境下以骗取方式盗窃QQ账号的定性

方孔强　胡公枢

摘要：行为人受上家雇佣，制作钓鱼网站，盗取QQ账号和密码后返还上家非法获利的，其手段行为构成非法获取计算机信息系统数据罪，其目的行为构成侵犯公民个人信息罪，属于牵连犯，应当认定为侵犯公民个人信息罪。

关键词：盗窃 非法获取计算机信息系统数据罪 侵犯公民个人信息罪

[基本案情]犯罪嫌疑人杨某某受其上家雇佣，制作钓鱼网站，盗取QQ账号和密码，从2015年7月至2016年6月，共盗取数量达100余万个。盗取QQ账号和密码的具体方式为：上家先给杨某某几十个已经盗取的QQ账号和密码，杨某某通过QQ群发器，登陆这些QQ账号，向这些QQ账号的好友发送“腾讯公司十周年送手机流量500M”的钓鱼网站链接，这个钓鱼网站是杨某某租用服务器，编写代码制作的，被害人点击这个钓鱼网站，网页上会跳出要求输入QQ账号和密码的表单，一旦被害人输入之后，这些QQ账号和密码的信息会被自动保存到该钓鱼网站的服务器，杨某某再将服务器上盗取的QQ账号和密码，下载下来发给上家，按量获取报酬，同时利用这些盗取的QQ账号和密码，继续通过QQ群发器，反复盗取QQ账号和密码。截至案发，杨某某非法获利40余万元。其中2016年有两个月的时间，杨某某的上家向杨某某支付宝转账61万元，除去双方之间其他解密、网页推广等费用，盗取QQ账号的报酬达30余万元。

一、司法实务分歧

关于本案的处理，司法实践中产生了两种不同意见：一种观点认为，杨某某的行为属于非法获取计算机信息系统数据罪中的“采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据”，应该认定为非法获取计算机信息系统数据罪。另一种观点认为，杨某某的行为属于侵犯公民个人信息罪中的“窃取或者以其他方法非法获取公民个人信息”，应认定为侵犯公民个人信息罪。

笔者认为，本案同时侵犯了非法获取计算机信息系统数据罪和侵犯公民个人信息罪，属于牵连犯，应定侵犯公民个人信息罪。

二、非法获取计算机信息系统数据罪条文解读

非法获取计算机信息系统数据罪规定在《刑法》第285条第2款：“违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据……处……”。认为本案应定“非法获取计算机信息系统数据罪”的一个主要理由源自《中华人民共和国刑法解读》（以下简称《解读》），根据《解读》，非法获取计算机信息系统数据罪是指非法获取他人计算机信息系统中存储、处理或者传输的数据的行为。“获取”包括从他人计算机信息系统中窃取，如直接侵入他人计算机信息系统，秘密复制他人存储的信息；也包括骗取，如设立假冒网站，在受骗者登陆时，要求用户输入账号、秘密等信息。“存储”、“处理”和“传输”这三种形态，涵括了计算机信息系统中所有的数据形态，不论行为人非法获取处于哪种形态的数据，均符合法律的规定。[1]

但笔者认为该《解读》具有一定的误导性。

第一，关于“获取”的误导性解读。《刑法》第285条第2款规定，“侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据”，其中“获取”并非一个容易发生歧义或误导性的概念。但《解读》将“获取”一词进行重点解释，解读为“窃取”和“骗取”两种行为方式，并列举了“窃取”和“骗取”的具体行为类型。这就与条文所规定的“侵入”或“其他技术手段”的行为方式发生混淆，使人产生理解上的困惑。虽仔细分析，应当是“侵入”、“其他技术手段”中可以包含“窃取”和“骗取”的方式，但也容易使人理解为“侵入”、“其他技术手段”与“窃取”和“骗取”之间为一种并列的关系，抑或“窃取”、“骗取”是一种“其他技术手段”，甚至有可能将“窃取”、“骗取”的作用對象与本罪的犯罪构成发生混淆。

第二，关于获取的计算机信息系统中“处理”、“传输”数据的误导性解读。按照条文规定，获取的数据具有方式上的特定性，仅指“侵入”或“采用其他技术手段”获取该计算机信息系统中的数据。本罪的条文是《刑法修正案（七）》增加的内容。按照条文的立法背景，之所以新增本罪条文，是因为“公共信息安全和网络监察部门提出，当前，我国计算机网络安全形势十分严峻。”“非法侵入他人计算机系统或者利用其它技术侵入计算机系统的主要目的之一，是非法窃取他人在计算机系统存储、处理和传输的数据”。[2]按照《解读》，“获取（窃取、骗取）”、“处理”、“传输”的数据，均为本罪犯罪罪状的描述。这样理解，未对“侵入”等行为进行强调，导致网络环境下“获取”处理、传输的数据均有被误读为本罪的可能。

三、本案中的手段行为构成非法获取计算机信息系统数据罪

本案中的情形可以分为两个行为，一个行为是杨某某非法登陆他人的QQ账号，向这些QQ账号里面的好友发送诈骗信息，另一个行为是杨某某利用诈骗信息，骗取QQ账号，卖给上家。前者是手段行为，后者是目的行为。

按照非法获取计算机信息系统数据罪的犯罪构成，杨某某的手段行为已构成该罪。非法获取计算机信息系统罪的犯罪构成又包含两个行为，一是“侵入”计算机信息系统，二是“获取”该系统中的数据。

本案中，杨某某利用上家提供的盗窃的QQ账号、密码登陆，应评价为一种“侵入”计算机信息系统的行为。早期的“侵入”计算机信息系统的行为表现为“侵入”大型计算机信息系统（服务器）数据库，获取数据库内存储的信息，造成极其恶劣的影响和严重的危害。如1994年英国电信公司一员工“侵入”该公司的内部数据库，获得了政府机构重要部门的电话号码和地址。[3]“侵入”的方式有很多，有非法用户侵入，有合法用户越权访问，或者采取破解身份认证信息，或者采取盗窃身份认证信息，或者强行突破安全防火墙等，但其本质是“未经计算机信息系统控制人或者所有者授权的擅入行为”。为此，行为人通过钓鱼网站等方式骗取他人的身份认证信息，并运用这些身份认证信息登录到计算机信息系统，从形式上看，行为人是获得信息系统的许可进行登录，但实质上也是一种未经授权的“侵入”行为。[4]本案中，杨某某利用上家提供的盗窃的QQ账号、密码登录QQ软件系统的行为，就是一种形式上获得计算机信息系统授权的合法登录，实质上是一种“侵入”计算机信息系统的行为。

有观点可能会认为，QQ软件的服务提供商本身对该软件QQ账号、密码被盗用的行为不负辨识是否为真实的QQ账号使用人的责任。换言之，该软件的服务提供商对于只要持有正确QQ账号、密码的人都允许登录，而不会视为自身的QQ软件计算机信息系统被“侵入”。对于QQ账号的注册人而言，更不会视作自身的计算机信息系统被“侵入”，仅仅是认为自身的QQ账号、密码被盗。事实上，本案中的QQ账号、密码被盗，亦并非盗取者“侵入”注册用户的电脑进行盗取。对于该观点，有反驳者曾举一例，撬门进入他人住宅是非法“侵入”，盗取钥匙后，用钥匙开门进入他人住宅的，当然也是非法“侵入”。[5]笔者认为，本罪处于《刑法》分则第六章第一节“扰乱公共秩序罪”中，其首要的保护法益是“公共秩序”，因未凸显本罪中“被害人”的构成要素，才会有观点认为本罪与盗窃罪不同，获得账号、密码进行登录的行为不视为“侵入”计算机信息系统。这里应当对“侵入”作适当的扩大解释，包括未破坏计算机信息系统的网络安全防火墙，冒用他人的身份信息进行登录的行为。

还有观点可能会认为按照最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第11条，“‘计算机信息系统，是指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等”，而杨某某“侵入”的是某一特定QQ用户的QQ账号，不能被评价为计算机信息系统。这种观点是未具体地理解QQ软件的计算机信息系统。其是一个网络时时信息交互的软件，软件分为客户端和服务器端，在客户端，用户下载QQ软件安装之后，进行注册，获得服务器端的许可，就可以进行不同QQ用户之间的时时信息交互，在服务器端，为每一个QQ用户保存着一套该用户的信息，客户端的QQ用户进行时时信息交互的数据都要经过服务器。笔者认为，这样由客户端、服务器端软件组成的具有时时信息交互功能的软件，是司法解释第11条所称的“具备自动处理数据功能”的计算机信息系统。

本案中，杨某某利用盗窃的QQ账号、密码“侵入”计算机信息系统（QQ软件信息系统），向该QQ账号内的好友发送钓鱼网站链接，属于“获取”该QQ账号内“存储的好友数据”，杨某某还直接“利用”了这些数据。每一个QQ账号的好友就是一份信息系统数据，以特定的编码和方式存储在服务器上的该QQ账号项下，既可以直接侵入服务器获取，也可以按照杨某某的方式，以盗取QQ账号、密码登录后获取。因此，杨某某的行为属于“获取”计算机信息系统数据。

综上，本案中杨某某的手段行为符合非法获取计算机信息系统数据罪的犯罪构成。

四、本案中的目的行为构成侵犯公民个人信息罪

杨某某受其上家委托，非法盗取他人QQ账号、密码，但其并不清楚这些被盗取的QQ账号、密码的不法用途，从杨某某的角度来说，其侵入计算机信息系统获取该系统内的QQ好友数据，并利用了这些QQ好友数据，其目的是通过向这些QQ好友发送诈骗性质的钓鱼网站，以盗取QQ账号、密码，并提供给其上家，获取报酬。简言之，本案中，杨某某的目的行为是盗取QQ账号、密码，卖给其上家。

侵犯公民个人信息罪规定在《刑法》第253条之一第1款：“违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处……”该条第3款：“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。”该罪的主体是一般主体，主观方面为故意。该罪的客观方面表现为违反规定，向他人出售或提供公民个人信息，这些信息的来源无论是窃取或其他方法取得，不影响本罪的认定。由于我国尚未制定《信息保护法》，何为“公民个人信息”，存在一定的争议。

有观点认为，公民个人信息，“即指以任何形式存在的、与公民个人存在关联并可以识别特定個人的信息。其外延十分广泛，几乎有关个人的一切信息、数据或者情况都可以被认定为个人信息”。[6]该观点的前半部分称公民个人信息为“可以识别特定个人的信息”，而后半部分又称只要“有关个人的一切信息”等都可以被认定为个人信息，存在一定的矛盾，因为后者不一定属于前者，如个人的一份未包含姓名、身份信息的体检报告，属于“有关个人的信息”，但该信息不能“识别特定个人”。尽管如此，一般的观点认为，公民个人信息是“能够识别公民个人身份等情况的信息”。[7]笔者对此不能完全认同，而更支持“有关个人的一切信息”的公民个人信息观。但两者并非不可调和。只要对前者中的“识别”一词扩大理解，对后者作限缩解释，就能基本将两者相等同。

2012年12月颁布的全国人民代表大会常务委员会《关于加强网络信息保护的决定》第1条规定：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。”持有的是一种“身份识别和隐私权利”的公民个人身份观，结合该法的具体内容，特别是其中提到的网络服务提供者收集、使用“公民个人电子信息必须严格保密，不得泄露、篡改、毁损，不得出售或者非法向他人提供”等规定，可以反观该法所持的公民个人身份观，是一个比“识别特定个人”更广的概念，应是认为“识别特定个人”的公民个人信息观尚不足以保护公民个人信息，为此，增加了“公民个人隐私”的概念。概言之，应当从网络服务者等收集公民个人信息的角度来反向检验何为“公民个人信息”更合适。公民的QQ账号是当前网络上注册的必填项目之一，也是很多网站、论坛、微博的登陆账号，特别是随着QQ软件服务器提供商附加在QQ账号上的功能越来越多，QQ账号绑定手机号码、号码、苹果手机识别码、个人空间等功能越来越多，大多数QQ账号已基本具备了“身份识别和隐私权利”的属性，应属于网络服务者收集的公民个人信息。

2013年4月颁布的最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》第1条提到：“当前，一些犯罪分子为追逐不法利益，利用互联网大肆倒卖公民个人信息，已逐渐形成庞大‘地下产业和黑色利益链。买卖的公民个人信息包括户籍、银行、电信开户资料等，涉及公民个人生活的方方面面。”该条描述的正是本案中的情形，杨某某受其上家雇佣，大肆盗窃QQ账号，并予以倒卖，形成了地下产业和黑色链条，其买卖的QQ账号，显然属于该条中提到的公民个人信息。易言之，互联网上具有倒卖价值的个人信息，都可以是“公民个人信息”。

综上，尽管一般理论认为侵犯公民个人信息罪中的公民个人信息应具有“识别特定个人”的属性，但是相关法律已将公民个人信息作了适当扩大的规定，特别是针对网络上侵犯公民个人信息的情况，已将公民个人信息的属性规定为“网络服务提供者所收集的公民个人信息”、“互联网上大肆倒卖的公民个人信息”，而当今社会公民个人的QQ账号、密码属于这类信息。因此，本案中杨某某所倒賣的公民QQ账号、密码，属于公民个人信息。杨某某违反国家有关规定，向他人出售或者提供公民个人信息，其目的行为构成侵犯公民个人信息罪。

五、关于本案的定性

首先，杨某某的行为不属于想象竞合犯的情形。想象竞合犯是指一个行为触犯数个罪名的情况。本案中，杨某某入侵QQ软件计算机信息系统，获取QQ用户的好友信息，再向这些QQ好友发送钓鱼网站链接，欺骗这些QQ好友进行点击，注册信息，骗取这些QQ好友的QQ账号、密码，最后提供给其上家，获取报酬。评价杨某某的行为是一个行为还是两个行为，如果可以分为两个行为，这两个行为之间有无重合，是评价杨某某的行为是否属于想象竞合犯的关键。从描述的事实来看，杨某某至少实施了三个行为：一是侵入QQ软件计算机信息系统，并获取QQ好友信息；二是向这些QQ好友发送钓鱼网站，实施诈骗；三是将骗取的QQ账号、密码提供给上家，获取报酬。而从案件的客观事实来看，杨某某利用QQ群发软件，批量登陆QQ账号，向QQ好友批量发送钓鱼网站链接，杨某某两个行为着手的时间点几乎是同时的，第二个行为包含了第一个行为，第二个行为多了一个准备钓鱼网站的预备行为和一个获取“量”的（已经盗取的QQ账号、密码）收尾行为。据杨某某供述：“（上家）给我一些‘量，我就将这些‘量导入QQ群发软件，向他们好友发送钓鱼网站，如果收到‘量了，再将收到的‘量导入QQ群发软件，再次向他们好友发送，就这样反复进行。”根据《刑法》第253条之一第3款“侵犯公民个人信息罪”的相关规定，“窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚”，为此，杨某某的第二个行为和第三个行为是其“侵犯公民个人信息罪”的一个行为，该行为与杨某某“非法获取计算机信息系统数据罪”的行为，在第二个行为部分发生重叠，但是“侵犯公民个人信息罪”行为的主要部分是上述第三个行为，按照想象竞合犯“主要部分重合说”的观点，[8]杨某某所触犯的两个罪的行为的主要部分未重合，因此，不属于想象竞合犯的情形。（见下图）

其次，杨某某的行为从数罪上来看，具有两个故意，两个行为，触犯两个罪名，但是，杨某某的行为与数罪又有区别。一般来说，数罪的两个行为具有不同的主观目的（这个目的不一定是犯罪构成上的目的），及两个缺乏联系的受到侵害的结果。反观杨某某的行为，其非法侵入计算机信息系统，获取数据，骗取QQ账号、密码，予以转卖，行为之间连贯性较强，犯罪的主观目的明确，即窃取QQ账号、密码获取钱财，受到侵害的结果之间具有关联性，且杨某某非法侵入QQ软件计算机信息系统，获取QQ好友的计算机信息数据，并非提供给他人，而是为其下一步的犯罪行为所利用。因此，杨某某的行为与数罪的情况不同。

杨某某的行为应属于牵连犯的情形，“牵连犯，是指犯罪的手段行为或结果行为，与目的行为或原因行为分别触犯不同罪名的情况”，[9]非法获取计算机信息系统数据是其手段行为，侵犯公民个人信息是其目的行为。牵连犯属于科刑上的一罪，从一重罪论处。之所以如此，是因为两个行为之间具有关联性。如骗购外汇罪的规定即是如此，全国人民代表大会常务委员会《关于惩治骗购外汇、逃汇和非法买卖外汇犯罪的决定》规定：“伪造、变造海关签发的报关单、进口证明、外汇管理部门核准件等凭证和单据，并用于骗购外汇的，依照前款的规定从重处罚。”“伪造、变造海关签发的报关单等”属于手段行为，“骗购外汇”属于目的行为，两者具有牵连性，刑法按目的行为从重论处。杨某某的手段行为和目的行为之间不仅具有主观上的关联性，还具有客观上的关联性，并且这种关联性具有某种程度的类型性，因此应按牵连犯，以目的行为所触犯的罪名从重处罚。

注释：

[1]王爱立：《中华人民共和国刑法解读》，中国法制出版社2015年版，第674页。

[2]黄太云：《<刑法修正案（七）>解读》，载《人民检察》2009年第6期。

[3]赵秉志、于志刚：《论非法侵入计算机信息系统罪》，载《法学研究》1999年第2期。

[4]李遐桢、侯春平：《论非法获取计算机信息系统数据罪的认定——以法解释学为视角》，载《河北法学》2014年第5期。

[5]同[4]。

[6]高铭暄、马克昌：《刑法学》，北京大学出版社、高等教育出版社2016年版，第482页。

[7]陈兴良：《规范刑法学》，中国人民大学出版社2013年版，第805页。

[8]张明楷：《刑法学》，法律出版社2011年版，第434页。

[9]同[8]，第433-439页。