一、案例还原：

最高人民检察院指导性案例 —— 检例第 36 号

卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案（最高检第九批指导性案例，2017 年 10 月 17 日公布）

卫梦龙离职后与仍在某大型网络公司任职的前同事龚旭合谋，由龚旭提供本人账号、密码和Token令牌，卫梦龙异地登录公司内部管理开发系统下载电子数据，再由薛东东网上出售，违法所得3.7万元。北京海淀区法院以非法获取计算机信息系统数据罪判处卫梦龙有期徒刑四年。没动用黑客技术，凭内部账号为什么也构成犯罪？

二、非法侵入计算机信息系统罪到底是什么？刑法如何规定

本罪规定于《中华人民共和国刑法》第二百八十五条第一款：违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。这是行为犯，未经授权侵入这三类系统即构成犯罪，不要求实际后果。该条第二款、第三款为刑法修正案（七）增加，分别规定非法获取计算机信息系统数据、非法控制计算机信息系统罪，以及提供侵入、非法控制程序、工具罪。

三、入侵公司网站属于哪一类？为什么通常不是第一款之罪

普通人说的入侵公司网站、破解后台、拖库下载数据，对象是普通商业网站、企业内部系统，不属于国家事务、国防、尖端科技领域，一般不适用第一款，而适用第二款：侵入前款规定以外的系统，或采用其他技术手段获取系统中存储、处理、传输的数据，或对系统非法控制，情节严重的才构成犯罪。若同时对系统功能、数据删除、修改、增加并造成严重后果，则可能转入刑法第二百八十六条破坏计算机信息系统罪评价。

四、超出授权范围登录也算侵入吗？立案标准是什么

检例第36号卫梦龙案明确，非法获取数据罪中的侵入，既包括技术突破防护进入，也包括未授权擅自进入，还包括超出授权范围进入。员工用本人账号、Token登录无权访问的模块下载数据，即使未破解密码仍属侵入。法释〔2011〕19号解释第一条规定，获取网络金融身份认证信息十组以上、其他身份认证信息五百组以上、非法控制系统二十台以上，或违法所得五千元以上、造成经济损失一万元以上的，属情节严重；数量数额达五倍以上属特别严重。

五、非法获取数据、非法控制计算机系统一般判几年

第二百八十五条第二款法定刑：情节严重的三年以下有期徒刑或拘役，并处或单处罚金；情节特别严重的三年以上七年以下，并处罚金。检例第36号三人违法所得3.7万元，按解释违法所得二万五千元以上即属特别严重，被判处三年九个月至四年不等。第三款针对制作出售木马、撞库软件的上游人员，按提供人次和违法所得入罪；明知他人入侵仍提供服务器、接入、结算帮助的，按共同犯罪论处。

表1 刑法第二百八十五条三款罪名适用对照

实务中，入侵普通公司网站、下载数据或控制服务器绝大多数适用第二款；只有侵入国家事务、国防、尖端科技三类系统才直接适用第一款。

六、涉非法侵入计算机信息系统罪常见问题解答

问：黑客入侵公司网站偷数据，和员工越权登录下载资料，罪名一样吗？

答：两者都可能构成第二百八十五条第二款非法获取数据罪。检例第36号明确，超出授权使用账号、Token登录下载数据，与技术破解入侵在本罪评价上相同。

问：入侵公司网站只改了几条订单数据，没造成大损失，会坐牢吗？

答：仅获取、控制数据的按第二款判断；若对数据删除、修改、增加，造成损失一万元以上的，可能构成第二百八十六条破坏计算机信息系统罪，特别严重的处五年以上。

问：把自己写的爬虫、漏洞扫描程序卖给别人，也犯罪吗？

答：具有突破安全保护措施功能、专门用于侵入非法控制的程序工具，按第二百八十五条第三款追究；明知他人用于犯罪仍提供的按共犯论处，违法所得五千元以上即入罪。

问：发现公司网站被入侵、数据被拖库，企业该怎么报案？

答：立即保全服务器日志、异常账号和数据快照，不急于重装或删痕，及时向属地网安部门报案并委托有资质机构出具电子数据鉴定。

七、全文总结

非法侵入计算机信息系统罪特指侵入国家事务、国防、尖端科技系统，一进即罪；入侵普通公司网站、下载数据或控制服务器适用第二款，违法所得五千元以上、控制二十台以上即入罪，特别严重的处三至七年；超出授权使用账号、Token下载数据同样构成侵入。

律师提醒

企业应严格控制内部系统账号权限，禁止共用账号、Token，关键操作留痕审计。员工切勿用工作账号下载与本职无关的数据，更不得外借或转卖账号。涉案后主动供述、退赃、配合挽损，是争取从宽的关键。

免责声明

本文依据现行法律法规、司法解释及公开指导性案例撰写，仅作法律知识参考，不构成个案法律意见。具体案件以司法机关认定为准，涉及刑事风险请咨询执业律师。