针对盗用CDN（Content Delivery Network，即内容分发网络）流量的违法行为，目前国内主要适用罪名是非法控制计算机信息系统罪和破坏计算机信息系统罪。近日笔者读到一篇文章认为应当适用盗窃罪。笔者认为，综合犯罪行为事实、刑法理论和社会治理需要，盗用CDN流量行为定破坏计算机信息系统罪较为合适。

为什么盗窃罪不合适

CDN是“结果”不是“行为”。CDN被盗用是因为不法人员将本不应该存储在受害人服务器上的文件传了进去，这些文件在被调用的过程中消耗了CDN流量资源。因此，CDN被消耗是犯罪结果而不是犯罪行为，真正应该追究法律责任的是上传文件的行为。

二是盗用CDN是一个持续性的过程，与一次性的盗窃行为不符。如果将盗用CDN本身视为犯罪行为本身，则其持续性又与盗窃行为的一次性特征不符。虽然关于盗窃的既遂与未遂有接触说、转移说、隐匿说、损失说、失控说、控制说、失控加控制说等诸多学说，但我国普遍还是接受失控说和控制说，即受害人失去对财物的控制或者不法人员实际控制财物则为既遂。如上所述，只要不法人员搭建的网站持续运营，受害人的CDN流量资源就会被持续消耗，这与控制说或失控说一次性的财物转移模式完全不同。

三是CDN资源作为一种虚拟资产不应被视为受害人实际占有的财务。在行业内，采购CDN大多采用95峰值计费法，即电信运营商每5分钟计一个CDN带宽峰值，全天累计288个峰值，刨去其中最高的5%，按照剩余95%峰值付费。也就是说，在该场景下，受害人并非是预先采购并实际占有了一定的CDN资源，不法人员再偷摸使用相关流量，而是受害人根据电信运营商提供的账单进行后付费，不法人员在犯罪过程中使用的实际上是电信运营商并未明确售出的无主资源，只是这些空白资源的使用会被记在受害人的账单上。因此，不法人员使用的CDN资源更接近于无主物的状态。

除了违法行为的性质与盗窃罪有明显区别外，如果对盗用CDN流量的行为适用盗窃罪，极易导致刑罚过重，罪刑失衡。根据盗窃罪相关的司法解释，盗窃公私财物3万元至10万元可以认定为数额巨大，刑期在三年以上十年以下。行业内，CDN资源按照95峰值采购价大约在8000-12000元/Gbps/月。由于盗用CDN行为是一个持续性的过程，也就是说不法人员只要连续3个月占用1Gbps的CDN带宽就有可能达到盗窃罪数额巨大的标准，对于影视剧或漫画类网站/App而言，每月1G的带宽属于极易达到的水平。与此类行为侵害的法益或恶劣程度等违法后果相比，量刑明显过重。

为什么非法控制计算机信息系统罪不合适

最高检发布第十批全国检察机关依法办理涉新冠肺炎疫情典型案例之三：上海市闵行区王某某涉嫌非法控制计算机信息系统案

上海某网络科技有限公司推出的APP软件系图片服务平台，供摄影爱好者上传摄影作品分享交流，用户可免费注册，免费使用该平台上传、分享、编辑和展示其摄影作品，其他用户也可在该平台观看摄影作品，以上服务产生的网络宽带流量作为运营成本由该科技公司承担。2020年1月初，该科技公司工作人员发现APP服务器上部分文件在2019年12月份被高频访问，均为热门影视剧，导致网络宽带费用超出先前每月平均账单费用，于2020年1月9日向上海市公安机关报案。

经审查，该科技公司APP软件只允许注册用户上传一定数据大小的图片文件，影视剧并不符合上传格式要求。王某某注册为该科技公司用户后，利用“自动切片上传”程序，将影视剧文件分割成若干符合该APP要求的图片，以每分钟上千次的频率上传至该科技公司APP服务器，当观影用户点击影视剧链接时，实现上传图片的自动连续播放，达到观看影视作品的效果，消耗该科技公司APP服务器的宽带流量。2月21日，上海市闵行区人民检察院以涉嫌非法控制计算机信息系统罪对王某某批准逮捕。

在最高检公布的典型案例中，盗用CDN流量的行为被适用的是“非法控制计算机信息系统罪”。该罪名考虑了不法人员向受害人服务器上传文件导致服务器流量被异常消耗这一行为的整体性，并没有偏颇的单纯探究服务器流量消耗问题，这一点值得肯定。但是，笔者仍然认为，破坏计算机信息系统罪更加贴切。

一方面，不法人员上传和引用文件的行为达不到“控制”的程度。虽然司法解释并未明确说明何种程度的技术措施能够认定为“对该计算机信息系统实施非法控制”，但根据提供工具罪的相关表述，能够控制计算机信息系统的工具应当“具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权对计算机信息系统实施控制”的功能。最高检案例是比较典型的盗用服务器流量行为，此类案件中，不法分子大多是利用受害人在其网页/App中提供的公开上传服务，将各种类型的文件上传至服务器，最多是为了满足上传接口的访问策略，对动图和视频文件的大小和格式进行调整，整个程序或流程既缺乏避开或突破安全保护措施的环节，也缺乏控制计算机系统的技术或功能。

另一方面，盗用CDN流量行为完美符合破坏计算机信息系统罪的罪状。刑法第286条第二款规定，违反国家规定，对计算机信息系统中存储、处理或者传输的数据合应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。首先，该行为违反了《计算机信息网络国际联网安全保护管理办法》第6条的相关规定，符合刑法第286条“违法国家规定”的前提条件。其次，不法分子向受害人服务器上传文件的行为属于“增加”存储的数据，引用相关文件产生的流量属于“增加”传输的数据。再次，虽然立足于语义解释，“破坏”需要达到相当的程度，但根据司法解释，只要违法所得达到5000元以上或者造成经济损失1万元以上就可以认定为“后果严重”。如前所述，盗用CDN流量作为一种具有持续性的违法行为，很容易达到立案门槛。

综上所述，笔者认为对于盗用CDN流量的行为，适用刑法第286条第二款之规定，以破坏计算机信息系统罪进行规制最为适当。

声明：本文来自互联网法务那些事，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。