周立波：规避验证码、IP检测技术措施的登录行为不构成非法侵入计算机信息系统

厚积薄发

启行千里

案例简介：

A平台属于大型网络外卖平台，商家可以入驻该平台从事外卖经营活动。根据平台入驻协议，商家在A外卖平台拥有管理账号，该管理账号对应唯一一组用户名和密码，是商家登录平台进行各种操作的唯一凭证。现商家为经营活动的方便，找到第三方公司，将账号密码给第三方公司，并用其开发的软件自动登录管理账号进行操作。在软件自动登录的过程中会触发A平台设置的图形、滑块验证和动态IP检测，第三方公司为了能频繁自动登录，通过连接价码平台和购买IP代理池的方式规避平台设置的图形、滑块验证和IP检测措施。本案第三方公司使用软件自动登录商家账号的行为是否构成非法侵入计算机信息系统？

应该看到，上述案例中，第三方公司有明显的规避网站平台设置的技术措施的行为，但同时在登录商家账号系统的过程中也经过了商家的授权，那么，该行为到底属不属于刑法中规定的非法侵入计算机信息系统的行为，在司法实践中引起了较大争议。

此类行为既涉及新型的计算机知识，又涉及专业的法律条文，还涉及刑民交叉，容易混淆。笔者试结合技术、法律和行业规则，对这一问题进行探析，以为司法实践进行准确认定提供参考。

1

计算机犯罪中“侵入”的本质是未经授权访问计算机信息系统，其中“未经授权”是指采用技术等手段规避授权主体的身份验证措施，进而获得非法访问权限。

计算机领域中的“侵入”与现实领域中的“侵入”并无本质不同，其是指未经授权主体授权访问计算机信息系统，如同侵入住宅中的未经户主同意进入户主房间。不同的是表现形式，因为在计算机网络中，不可能是直接的物理主体（人）去访问系统，而是通过代表人的相关凭证去访问，也即用户的账号密码等身份凭证。而账号密码系统就是计算机领域中为校验是否授权而设置的身份验证系统。在计算机中，经过授权主体同意登录的即视为授权登录，未经授权主体同意登录的即视为未经授权的“侵入”。未经授权侵入就是采用技术等手段规避授权主体的身份验证措施，进而获得非法访问的权限。如行为人通过技术手段破解账号密码进入或者通过盗取、骗取账号密码进行登录，都是未经授权主体同意的典型的侵入行为。

2

不是所有的技术保护措施都是与“授权”有关的安全保护措施，只有避开或突破与系统“授权”有关的技术保护措施，才能认定为未经授权侵入计算机信息系统。

应该看到，计算机信息系统是由不同功能代码所组成的集合。系统权利人出于各种目的会在计算机信息系统中设置各种技术措施，目的不一样，功能性质就不一样。如为了保护系统的操作权限和系统内数据的安全，防止他人未经授权的侵入，系统会设置身份验证措施；又如，为了防止系统遭受弹窗广告的侵扰，优化浏览效果，系统会设置广告屏蔽措施，等等。应该看到，规避这些不同技术措施的行为，在法律性质的认定上当然也不一样。比如，采用技术手段规避系统对广告设置的屏蔽措施的行为，尽管也会违背系统权利人的意愿，但不属于未经授权侵入计算机信息系统。

只有避开或突破与计算机信息系统“授权”有关的技术保护措施，才能认为未经授权侵入计算机信息系统。在上述案例中，与商家账户系统“授权”有关的技术保护措施，就是A平台在登录过程中设置的账号密码、手机号等身份验证措施。如果第三方公司规避这些技术保护措施登录商家账户，则毫无疑问可以认为侵入了本案的计算机信息系统。例如，通过上述讲到的伪造账号密码、“撞库”等技术手段突破登录或者盗取、骗取商家的账号密码进行非法登录，都可以认为未经授权侵入计算机信息系统。但根据上述，第三方公司的行为并未避开或突破上述与“授权”有关的身份验证措施，反而是经过商家提供的账号密码进行了授权登录。

3

图形、滑块验证的人机区分措施和动态IP检测的反爬虫措施在计算机中都属于限流措施，而不是身份验证措施，与系统授权无关，即使避开或突破这些限流措施，也不属于未经授权侵入商家的账户系统。

在计算机中，图形验证、滑块验证属于人机区分措施，动态IP检测措施可以认为是一种反爬虫措施。其中，“验证码”的全称为“全自动区分计算机和人类的图灵测试”，这一测试的目的在于通过智能测试区分人与计算机程序。常见的验证码类型包括文本验证码、图像验证码、滑块验证码、拼图验证码等。“动态IP检测”是系统检测是否有同一网络地址（IP）在短时间内频繁访问，通过IP地址请求的访问频率来辨别是计算机程序还是人类用户。

根据现有网络安全标准和行业规则，人机区分措施和反爬虫措施的主要功能是区分操作者是否为人类，而非验证特定个体的身份，是为了限流而非身份识别。它们不是身份验证因素，而是一种访问控制门槛或速率限制机制，是为了防止高频访问。它们本身不包含任何与特定用户身份绑定的信息，也无法确认用户的合法身份。由此，这些人机区分措施和反爬虫措施并不直接校验授权主体的身份，与账户系统权利人的“授权”无关。准确而言，这些措施是A平台设置的对用户访问的限流措施，而不是用户有无访问权限的身份验证措施。

应该看到，在登录的过程中，如果没有正确的账号和密码，软件不会直接登录商家的账户系统，当然也就不会 “侵入”计算机信息系统。即使软件避开图形、滑块验证和IP检测等限流措施，在之后并没有什么系统被侵入。事实上，真正决定是否未经授权“侵入”的是账号密码、手机号等身份验证措施。因此，上述案例中，规避人机区分措施或反爬虫措施，但通过账号密码授权登录账户系统的行为，不属于未经授权侵入计算机信息系统。

综上，在对计算机领域中的各种行为进行法律定性时，不能脱离技术原理和行业规则。对实施的各种计算机行为，应结合其功能目的认定其法律性质。在认定非法侵入计算机信息系统行为的过程中，不能只看是否规避了计算机中设置的技术保护措施，而应从本质上考察是否规避与“授权”有关的身份验证措施，从而未经授权获取计算机信息系统的访问权限。不能将规避限流措施的“高频访问”行为错误地认定为非法侵入系统的行为。法律人应该以技术事实的精准还原为基础，以法律构成要件的精细拆解为核心，准确认定各种新型疑难复杂的计算机类犯罪案件。

感谢关注

原创文章 转载请注明出处

作者简介

周立波，刑法学博士、博士后，浙江厚启律师事务所副主任、网络犯罪辩护部主任；浙江财经大学东方学院法律系副主任；浙江省律协刑委会网络犯罪研究中心副主任；浙江省法学会刑法学研究会理事；浙江省法学会诉讼法学研究会理事；浙江省法学会律师法学研究会理事；浙江省法学会案例法学研究会理事；浙江省法学会监察法学研究会理事；浙江省法学会金融法学研究会常务理事；浙江省律师协会刑法专业委员会委员；杭州市律师协会刑法专业委员会专家顾问；杭州市网络犯罪研究中心学术委员会委员；中共宁波市奉化区委区政府智库成员；中共海宁市人大常委会法律监督专家。

从事律师工作以来，先后办理众多疑难复杂刑事案件，经验丰富、效果显著，办案成功率高。尤其擅长办理各类新型疑难复杂案件，在网络犯罪、经济犯罪领域办案成效显著。其中，众多案件获无罪撤案、不予逮捕、无罪不起诉、重罪改轻罪、重刑改轻刑、缓刑等处理。

执业同时为高校法学教师，主讲《刑法学》《刑事辩护》《刑事经典案例研习》《经济法学》等课程。曾在浙江省海宁市人民法院挂职，任刑庭助理审判员。多次接受《浙江法制报》《都市快报》“澎湃新闻”等新闻媒体采访。在《华东政法大学学报》《法治研究》《浙江律师》等法学类、律师类核心期刊发表论文20余篇，在各类网站、微信公号发表高质量时事评论类文章50余篇，是一名理论功底深厚、实务经验丰富的学者型律师。

穷尽一切法律手段

维护当事人的自由与尊严

电话：0571-86898968

公众号：houqilawyer

官网：www.houqilawyer.com

邮箱：houqilawyer@163.com

地址：浙江省杭州市余杭塘路515号莱茵矩阵国际3号楼7层

浙江厚启律师事务所简介

厚积薄发，启行千里。

浙江厚启律师事务所成立于2015年9月1日，是一家以商事犯罪辩护与商事法律服务为特色的合伙制律所。

厚启所的业务领域包括：金融犯罪辩护与金融法务、税收犯罪辩护与税收法务、数字网络犯罪辩护与数字网络法务、食环药犯罪辩护与食环药法务、知识产权犯罪辩护与知识产权法务、职务犯罪辩护、普通犯罪辩护、刑事控告与代理、刑事民事行政交叉事务、企业合规与反舞弊等。

厚启的使命，是“为维护人的自由与尊严而优雅地战斗”。财产、精神、人身与生命的自由，是人之为人的核心权利，是人维持尊严的底线要求。厚启律师的核心使命，是在法律服务中，以法律骑士的精神，穷尽一切法律手段为当事人争取权利，以维护其自由与尊严。

厚启的愿景，是打造一家“学术为基、技能为本、规模适度、辐射全国的精品所”。厚启律师注重学术研究，精研法律技术，不追求最大的规模与最高的收费，力求以最专业的服务为当事人谋取最大的法律利益。

厚启的价值观，是“专业精神、道德勇气与社会担当”。厚启律师将专业作为立所之本，精益求精，不断锤炼；厚启律师恪守职业伦理，为维护当事人的法律利益勇于坚持原则；厚启律师积极承担社会责任，以委托案件标准办理法律援助案件，通过公益课程与原创成果的无私分享，促进法律服务行业水准的提升。