📄 一句话概括
1987 年日本刑法增设两条罪名，第一次承认了一件事：往机器里输入一段它不该听的话，让它自己把钱转走、把自己停掉，这种行为法律上既不是【偷】也不是【砸】，是一种新的东西——所以要么按【骗】算，要么按【妨害业务】算。
📝 本节和前面几节的关系
7-7 讲的是【造工具】这个动作。本篇讲工具用出去之后会发生什么，也就是这条链的落点。 它和 4-1 是【技术—法律】的一对：4-1 讲漏洞是怎么被利用的，本篇讲这些利用在刑法上被叫做什么。 同一段攻击代码，改一个参数就可能从【欺诈】变成【妨害业务】，区别不在代码，在结果。
一、两条罪名的分工
这两条在同一次刑法改正里增设，但它们盯的东西完全不同：
| 对比项 | 使用电子计算机欺诈罪 | 电子计算机损坏等妨害业务罪 |
|---|---|---|
| 法条 | 刑法 246 条之 2 | 刑法 234 条之 2 |
| 打的是什么 | 财产上的利益 | 业务的正常运转 |
| 手段 | 输入虚假信息或不正当指令 | 损坏设备、输入虚假信息或不正当指令 |
| 成立的关键 | 因此得到了财产性利益 | 因此业务被妨害 |
| 罚则上限 | 10 年拘禁刑 | 5 年拘禁刑 或 100 万日元以下罚金 |
| 增设年份 | 1987 年（配合网上银行出现） | 1987 年（同一次改正） |
没接触钱、也没砸机器，为什么也算犯罪？
因为这两条管的不是【东西】，是【指令】：往机器里输入一段它不该听的话，让它自己把钱转走、把自己停掉。 1987 年增设这两条，就是因为原来的盗窃罪和损坏器物罪都套不住这种新手法——
- 盗窃罪要求【拿走他人的财物】，但假数据转走的钱，你没有【拿走】任何一件东西；
- 损坏器物罪要求【弄坏了东西】，但被搞停的服务器，硬件一点没坏。
两条罪名的罚则差了整整一档（10 年 vs 5 年），原因是它们侵犯的利益不同：财产利益的价值更容易衡量、危害更直接；业务妨害的影响面更大但不易量化。 这个差别在实务中很关键——同一段攻击，如果攻击者拿到了钱，落 246 条之 2；如果只是让业务停摆，落 234 条之 2；两样都有，就同时成立。
二、动手 Demo：六个行为落在哪一条
判断的抓手只有一个：这次攻击的结果是【拿到了利益】还是【搞坏了业务运转】。 下面用六个行为跑一遍。
# 节选自本节 Demo 脚本 d8()：六个行为的罪名归属
rows = [
("让系统按假数据多付给自己 100 万", "使用电子计算机欺诈罪", "取得财产利益"),
("攻击让电商网站停 6 小时", "损坏等妨害业务罪", "业务被妨害"),
("写程序让 4.68 万会员被强制退会", "损坏等妨害业务罪", "业务被妨害"),
("改数据库把欠款记录删掉", "使用电子计算机欺诈罪", "免除债务＝财产利益"),
("删掉公司服务器上的交易记录", "损坏等妨害业务罪", "业务无法进行"),
("让生产设备持续误动作", "损坏等妨害业务罪", "生产被妨害"),
]
for a, b, c in rows:
print(pad(a, 46) + pad(b, 22) + c)
实跑输出：
==================================================================================================
二、六个行为落在哪一条
==================================================================================================
行为 罪名 结果要件
让系统按假数据多付给自己 100 万 使用电子计算机欺诈罪 取得财产利益
攻击让电商网站停 6 小时 损坏等妨害业务罪 业务被妨害
写程序让 4.68 万会员被强制退会 损坏等妨害业务罪 业务被妨害
改数据库把欠款记录删掉 使用电子计算机欺诈罪 免除债务＝财产利益
删掉公司服务器上的交易记录 损坏等妨害业务罪 业务无法进行
让生产设备持续误动作 损坏等妨害业务罪 生产被妨害
读这个输出：
- 第 4 行是这张表里最有价值的一行。改数据库把欠款记录删掉，行为人一分钱没拿到，但少了这笔债——这叫【消极的财产利益】，法律上算【得到了利益】。 很多人误以为欺诈罪必须【骗到钱】，实际标准是【财产状态的变化对我有利】。 同理，虚增自己的账户余额、把自己的缴费记录改成已付，都是同一条。
- 第 1 行和第 2 行是同一套手法的两种结局。同样是往系统里输入假数据：让系统多付钱，就是欺诈；让系统停摆，就是妨害业务。 区分这两条的不是技术，是【攻击者想要什么】——所以现场取证时要先问一句：这次攻击的目标是钱，还是业务本身。
- 第 3 行那条案子里，程序没有损毁任何数据，会员只是被移除了；但平台的运营被打乱、客服被打爆——这已经满足【妨害业务】。 →【没弄坏东西】不等于【没犯法】。 这一条的普适版本是：妨害业务罪看的不是【设备状态】，是【业务有没有被打断】。
三、一起案件里可能同时踩好几条
现实中一起案件很少只犯一条罪。 下面这张表是把 7-7 里那起案件的动作拆开看：
| 动作 | 可能触犯的条文 |
|---|---|
| 用假证件办手机卡 | 电磁的记录不实记载罪（刑法 161 条之 2） |
| 写程序让会员退会 | 损坏等妨害业务罪（刑法 234 条之 2） |
| 拿走客户名单 | 不正当竞争防止法 ＋ 侵害公民个人信息 |
| 不付钱拿到服务 | 使用电子计算机欺诈罪（刑法 246 条之 2） |
这就是为什么 IT 相关的刑事案件，起诉书上往往写着长长一串罪名。 一次行为在现实世界里会留下好几个痕迹，法律按痕迹分别评价。
这个现象对防御方有一个直接含义：一次入侵造成的损害，不会只算一笔。数据被拿走了、系统被搞停了、客户被通知了，这是三笔账——所以事件响应的评估清单里，除了【丢了什么】，还要写【业务停了多久】【有没有产生不当得利】。这也是 6-14 讲的那套评估思路的法律侧写法。
四、⚠️ 2026 现状
- 【这两条罪名已经 40 年没大改，但适用场景在扩大】。 增设于 1987 年的两条条文，核心概念是【电子计算机】和【电磁的记录】——这套用词在设计时想的是银行主机和 ATM，现在覆盖的是云服务、IoT 设备、生产控制系统。法条的抽象度反而救了它：因为它管的是【指令】而不是【设备种类】，所以设备换代不影响适用。 这和 7-6 的【钥匙】是同一种立法智慧。
- 【IoT 与工控设备的案件正在变成主流】。 2026-07 那起未成年人用 ChatGPT 写程序搞垮系统的案件，最终落在 234 条之 2——说明这类案件的定罪路径已经稳定：先看结果（钱还是业务），再挑证据最清楚的那一条。 对防御方来说，这意味着一件事：工控和 IoT 系统一旦被写入异常指令，损失会直接落在【业务妨害】这个大口袋里，赔偿和追责都更重（3-10 讲的就是这个扩张）。
- 【用词统一为【拘禁刑】】。 2025-06-01 起日本刑法把【惩役·禁锢】统一为【拘禁刑】，所以 2026 年写 246 条之 2 的罚则时是【10 年拘禁刑】，写 1987 年原文或旧教材时看到的会是【10 年惩役】。刑期没变，只是名称改了。
- 【企业侧的重点：把【业务妨害】的损失量化出来】。 这两条罪名在实务中的差别，最终会变成【求偿多少】的差别。所以事故响应的记录里，有两样东西必须留下：业务中断的起止时间与影响范围（对应 234 条之 2），以及有没有产生不当的金额变动（对应 246 条之 2）。这两组数据决定了后续是【刑事告诉】还是【民事索赔】能站得住。 下一篇换个领域：不用攻击，只是【用了别人的作品】，也可能违法。
30 秒实验
今天做两个动作，各 15 秒：
- 想一个你见过的【系统出错的场景】，比如重复扣款、订单多算数量。 如果这个错误是人【输入假数据】造成的，它在法律上就叫使用电子计算机欺诈——区别只在于动机是失误还是故意。
- 再看一眼你们公司有没有【一台机器停了整条线就停】的系统。 这类系统在法律上价值很高——因为它一旦被输入异常指令，损失直接落在【妨害业务】这个罪名里。
这一节要带走的一句是：法律对数字世界的处理方式是【按结果归类】——拿到了钱算欺诈，搞停了业务算妨害，两样都有就两条都算。
常见误区
- 错误：我没拿到钱，所以不算欺诈。——纠正：欺诈罪的落脚点是【财产性利益】，不是【现金】。删掉欠款记录、把自己的缴费状态改成已付、虚增可提现额度，这些都属于【得到了利益】。判断方法很简单：问一句【这件事让我的财产状态变好了吗】——变好了就是利益，不管有没有出现现金流动。 这也解释了为什么【改数据】比【转钱】在取证上更容易定性：数据改动有日志，钱还不一定追得回来。
- 错误：系统没坏、数据没丢，就不构成妨害业务。——纠正：234 条之 2 看的是【业务被妨害】这个结果，不是【设备被损坏】。4 万 6,800 名会员被强制退会的案件里，数据一条没丢，但业务被搞乱了——定罪成立。 把这条推及日常生活，有一个更贴近的例子：让在线客服系统持续弹出错误提示，客服无法工作——系统没坏，但业务停了。 所以评估攻击影响时，第一栏要填的是【业务能不能正常运转】，不是【设备还好不好】。
- 错误：一起案件只算一条罪，认了最重的那条就完了。——纠正：现实中一条行为链会同时触犯好几条，罪名是并列的（本篇第三节那张表）。这对被告和受害方都有实际影响：对被告是【数罪并罚】的刑期，对受害方是【求偿范围】。 特别提醒一点：攻击过程中顺带拿走的客户名单，可能同时落入不正当竞争防止法和个人信息相关法律——这是很多公司在事发后最容易漏算的一笔。
- 错误：这两条是 40 年前的老法条，跟不上现在的攻击手法。——纠正：恰恰相反，它们的抽象度反而让它们一直在用。因为立法者当时就跳过了【设备形态】和【攻击手法】，直接定义【输入不正当指令造成的结果】。 这也给出一个通用的判断方法：看到一条法律把【具体技术】写进条文，要猜它几年后会过时；看到一条法律只写【作用与结果】，就知道它设计得比较耐久。 安全领域的技术三年一换，法律的最优策略是不跟技术走。
自测三问（点开对答案）
1. 【消极的财产利益】为什么也算利益？ —— 因为**欺诈罪保护的是【财产状态】，不是【财物本身】**。**删掉一条欠款记录，等于凭空获得了一笔钱的价值**——**虽然账户上没多出数字，但你的负债少了。** **法律如果只承认【积极的利益】（拿到钱），就会出现一个漏洞**：**只要不动现金、只改记录，就可以不受罚。** **这个漏洞在 1987 年增设这一条时就被堵上了**，**今天的数字化场景里，它反而是最常用的一档**（改余额、改状态、改额度都是这一类）。 2. 同一次攻击，为什么可能同时是【欺诈】和【妨害业务】？ —— 因为**两条罪保护的是两种不同的利益**：**一个是财产，一个是业务的正常运转**。**一次入侵可以既把钱拿走、又把系统搞停**——**比如篡改对账数据的同时让结算系统宕机**。**法律按【被侵害的利益个数】计数，不按【行为个数】**。**实务中的顺序是**：**先确定有多少种利益受损，再分别找对应的条文**——**这也是读起诉书时最能看出检方思路的地方。** **对防御方的启示是：事件响应的记录要按【损失类型】分开记，而不是按【攻击步骤】记。** 3. 为什么说这两条罪名的立法技巧值得学习？ —— 因为**它们用【抽象】换来了【耐久】**。**条文里没有写【网上银行】或【ATM】，也没按攻击手法分类**——**只定义了【输入不正当指令】和【造成的结果】。** **结果就是：从 1987 年的银行主机，到 2026 年的工控系统和云服务，全部落在同一个框架里。** **对照之下，7-7 用【不正指令电磁的记录】来定义病毒，也是同一种思路**——**不跟着攻击手法的清单跑，只盯住【谁让谁的机器执行了什么】。** **这条经验反过来也适用于写制度**：**写规则时尽量对着【结果】写，对着【工具】写的规则，工具一换就作废。**- ☐ 下一节（7-9 注意出版物的未经授权使用）
相关笔记
- 针对制作、持有病毒软件的处罚 —— 上一篇：造工具这个动作本身的罪
- 软件漏洞的分类 —— 技术侧：漏洞是怎么被利用的
- 计算机病毒感染的不仅仅是计算机 —— IoT 与工控：妨害业务罪的新舞台
- 企业防范信息泄露的思路 —— 事件响应的损失评估清单
- 🛡️ 网络与信息安全 · 索引 —— 全课路线图