一、这条线的划法：不是"用没用技术"，而是"有没有授权"

一个很常见的误解是：非法访问＝用了黑客手段。其实法律看的不是手段，是越过授权这件事本身。

具体来说，构成"非法访问"通常要同时满足两点：

1. 违反了国家规定（也就是有明确的法律／行政法规禁止这样做）；
2. 未经授权，或超越授权，进入了系统、获取了数据、或实施了控制。

这里有三个词特别要紧：

• 未经授权——根本就没有得到许可（比如随手试别人的密码）。
• 超越授权——本来有许可，但超出了范围（比如你有普通账号，却去翻管理员的表；或者在职期间能查，离职后接着查）。这一条最容易被忽略，也最容易在现实中出事。
• 避开或突破安全保护措施——这是判断"专门用于侵入的工具"的关键（下面第五节会用到）。

所以爬取公开页面（没有绕过任何保护）和绕过登录抓数据，虽然都是"抓数据"，性质完全不同。

二、我国的主要法律依据

和"非法访问"直接相关的是三条主线：

还有一份非常关键的司法解释（由最高人民法院、最高人民检察院联合发布），它把刑法条文里的"情节严重""专门用于侵入的工具""什么是计算机信息系统"这些词定成了可执行的数量标准。没有这份解释，法条基本没法落地。

三、《刑法》第 285 条的三款

这是最核心的一条，它分三款，管三类不同的行为：

两个要点值得单独说：

第一款的特殊之处在于"不需要情节严重"。 只要侵入的是那三类特定领域的系统，进了就算——因为这类系统的敏感性本身就是"情节"。

第三款把"做工具的"也纳进来了。 这个思路很重要：打不到用工具的人，就先打做工具和卖工具的人。 游戏外挂被判刑的案子，走的正是这一款。

四、什么叫"情节严重"

司法解释给了明确的数量门槛，只要够任一条就算"情节严重"：

• 获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息 10 组以上；
• 获取其他身份认证信息 500 组以上；
• 非法控制计算机信息系统 20 台以上；
• 违法所得 5000 元以上，或造成经济损失 1 万元以上；
• 其他情节严重的情形。

达到上面标准的 5 倍以上，就是"情节特别严重"。

另外两个定义极其重要，很多人不知道：

• "计算机信息系统" ＝ 具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。所以家用摄像头、路由器都在里面（已有生效判例把家庭监控摄像头认定为计算机信息系统）。
• "身份认证信息" ＝ 用于确认操作权限的数据，包括账号、口令、密码、数字证书等。

这两条把打击面撑得很开：门槛是按"组"和"台"算的，不是按"金额"算的——所以拖库即使一分钱没卖，也可能早就够线了。

五、动手 Demo：按第 285 条判定八件事

# 依据：《刑法》第 285 条三款 ＋ 2011 年两高解释
# 情节严重门槛：金融类身份认证信息 ≥10 组；其他 ≥500 组；
#                非法控制系统 ≥20 台；违法所得 ≥5000 元或损失 ≥1 万元
cas = [
    ("未获授权进入某省电力调度系统看数据", "国家事务领域系统", "第 1 款"),
    ("拖库拿到某普通网站 600 组账号", "600 组身份认证信息", "第 2 款"),
    ("拿到 12 组网银身份认证信息", "12 组金融类信息", "第 2 款"),
    ("远程控制 25 台家用摄像头", "控制 25 台系统", "第 2 款"),
    ("写破解工具在网上卖了 25 人次", "提供专门工具", "第 3 款"),
    ("写爬虫抓公开页面，未绕任何保护", "未突破安全保护措施", "不适用"),
    ("用授权账号登录本单位系统改数据", "有授权", "不适用"),
    ("编写并售卖游戏外挂", "提供专门工具", "第 3 款"),
]

实跑输出：

  依据：《刑法》第 285 条三款 ＋ 2011 年两高解释（法释〔2011〕19 号）
  第 1 款 侵入国家事务 / 国防建设 / 尖端科技领域的系统 → 3 年以下或拘役
  第 2 款 非法获取数据 / 非法控制系统，情节严重 → 3 年以下；特别严重 → 3~7 年
  第 3 款 提供专门用于侵入、非法控制的程序或工具，情节严重 → 同第 2 款

  情节严重门槛：金融类身份认证信息 ≥10 组；其他身份认证信息 ≥500 组；
                非法控制系统 ≥20 台；违法所得 ≥5000 元或损失 ≥1 万元。

  行为                              关键事实                  适用条款    结论
  ------------------------------------------------------------------------------------
  未获授权进入某省电力调度系统看数据               国家事务领域系统              第 1 款   构成（无需情节严重）
  拖库拿到某普通网站 600 组账号               600 组身份认证信息           第 2 款   构成且情节严重
  拿到 12 组网银身份认证信息                 12 组金融类信息             第 2 款   构成且情节严重
  远程控制 25 台家用摄像头                  控制 25 台系统             第 2 款   构成且情节严重
  写破解工具在网上卖了 25 人次                提供专门工具                第 3 款   构成且情节严重
  写爬虫抓公开页面，未绕任何保护                 未突破安全保护措施             不适用     不构成本条
  用授权账号登录本单位系统改数据                 有授权                   不适用     不构成本条
  编写并售卖游戏外挂                       提供专门工具                第 3 款   构成，情节看销售规模

  八件事里有 6 件踩到刑法，两件不构成——区别只在一处：
    ·【有没有突破安全保护措施】——爬公开数据不绕保护，就不算侵入；
    ·【有没有授权】——用单位给的账号做事，是违纪问题不是刑事问题。

  两条来自司法解释的定义常被忽略：
    ·【计算机信息系统】= 计算机、网络设备、通信设备、自动化控制设备等——
      所以家用摄像头、路由器都算（有生效判例把家庭监控摄像头认定为计算机信息系统）。
    ·【身份认证信息】= 账号、口令、密码、数字证书等。
      数量门槛是按【组】算的，不是按钱算的——拖库即使没卖钱也可能已经够线。

读这个输出：注意后两行的"不适用"——它们不是"情节轻微"，而是根本不构成这个罪。这两个例子的共同点是：都没有越过授权那条线。反过来看那六个"构成"，其中三个（600 组账号、12 组网银信息、25 台摄像头）的数量本身就已经越过了门槛，不需要额外证明什么损失。

六、⚠️ 2026 现状

• 《网络安全法》2026 年 1 月 1 日起施行新版本。 修改决定于 2025 年 10 月 28 日通过，自 2026 年 1 月 1 日起施行。这是行政层面的重大变化，与刑法那条线并行——同一个行为可能同时触发刑事和行政两条责任。
• 罚则大幅提高，最高到一千万元。 新法把责任与后果挂钩做成了分级：不履行网络安全保护义务、造成大量数据泄露，或关键信息基础设施丧失局部功能等情形，最高罚款 1000 万元，直接负责的主管人员最高 100 万元。对比修改前对类似情形的上限是 100 万元——提高了十倍。
• "大量数据泄露"被新增为违法情形。 这是本次修改里最直接相关的一条：过去"被泄露"更多被当作受害事件，现在明文成为一项需要担责的违法情形。也就是说，防护不到位本身就可能带来行政处罚。
• 增加了人工智能专条。 新法新增第二十条，一方面支持人工智能基础理论、算法、训练数据与算力建设，另一方面要求完善人工智能伦理规范、加强风险监测评估和安全监管，并明确支持运用人工智能等技术提升网络安全保护水平。
• 新增了对"卖不合规安全产品"的处罚。 新法增加了对销售或提供未经安全认证、安全检测不合格的网络关键设备和网络安全专用产品的责任条款。这条对做安全产品的人来说是硬约束：卖出去的东西要合规，不合规要担责。
• 与《数据安全法》《个人信息保护法》打通。 新法明确了违法行为依照相关法律处理的衔接规则，包括侵害个人信息权益、关键信息基础设施运营者违规在境外存储或提供数据等情形。"只遵守一部法"的思路在 2026 年已经行不通了。
• 一个配套文件值得记住：网络安全事件报告管理办法。 2025 年 9 月出台的这份配套规定，要求网络运营者建立应急管理机制、定期演练。结合起来看就是一条完整的链条：防护不到位要担责（新法），出了事要按时报告（报告办法），造成大量数据泄露是加重情形（新法）。

30 秒实验

做一次自查，两件事：

1. 翻一遍你手里有哪些账号的权限：有没有哪个系统的访问权限，是你现在的工作已经不需要的？那就是"超越授权"最容易发生的地方——权限留着不用，本身就是风险。
2. 看一下你所在单位有没有"离职账号回收"的固定动作。如果没有，那正好对应第一章 1-8 里那个例子——前员工还留着入口。这件事在技术上叫最小权限，在法律上叫切断授权。

这一节要带走的一句是：技术上做得到，不等于法律上可以做；而"我本来就有权限"也不是免罪牌——超出授权的那一半，一样算越线。

常见误区

1. 错误：我没赚钱、没造成损失，所以不算犯罪。——纠正：这类罪名的门槛是按数量算的，不是按钱算的。获取金融类身份认证信息 10 组、其他身份认证信息 500 组、控制系统 20 台——够任一条就属于"情节严重"，跟你有没有卖、有没有获利无关。违法所得五千元只是其中一条门槛。

2. 错误：我有权限，所以怎么用都行。——纠正："有权限"不是一张无限通行证。有账号但超出工作需要去翻别人的数据，属于超越授权——这在法律上同样是"非法获取"。权限的边界由工作需要决定，不由账号本身决定。

3. 错误：我只是自己研究研究，没给别人用。——纠正：看的是行为而不是动机。"研究"这个说法在法条里不构成免责；反过来，即便一个人只是提供工具给别人用，也可能单独构成第 3 款。判断标准是"有没有越过授权"，不是"心里想的是什么"。

4. 错误：罚的是公司，跟我这个人没关系。——纠正：新修改的《网络安全法》明确对直接负责的主管人员和其他直接责任人员另设罚款（在严重情形下最高 100 万元），刑法相关条款也直接追究直接负责的主管人员和其他直接责任人员的刑事责任。"这是单位的事"在安全这件事上不成立。

• ☐ 下一节（2-5 无辜的人变成犯罪者）

相关笔记

• 无辜的人变成犯罪者 —— 下一篇：你的机器被拿去犯罪
• 冒充特定的人物 —— 上一篇：冒充的落点常常是拿到一个有效账号
• 权限只交给合适的人 —— 授权与最小权限原则
• 攻击者的目的 —— 不同的动机会触及不同的法条
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图