病毒勒索中的新法律問題

5月13日，勒索病毒“WannaCry”大規(guī)模入侵全球電腦網(wǎng)絡(luò)，包括中國、美國在內(nèi)的多個國家相繼“中招”。國內(nèi)不少高校、加油站、火車站、自助終端、醫(yī)院、政府辦事終端都被此病毒感染。

病毒勒索來了，有哪些法律問題需要了解？

從中國法律視角看勒索病毒事件

趙成（刑法專長律師）

電腦勒索病毒爆發(fā)后，根據(jù)比特幣交易平臺公開的數(shù)據(jù)，截至5月15日上午，全球已有136個受害者分別繳納了價值300美元的比特幣贖金，幕后黑客組織共計收到近4萬美元黑產(chǎn)。

就算以網(wǎng)絡(luò)病毒的面目出現(xiàn)，敲詐勒索的本質(zhì)并沒有改變。根據(jù)中國刑法規(guī)定，敲詐勒索罪是指行為人以非法占有為目的，對受害人及其近親屬的人身、財產(chǎn)、名譽(yù)相威脅，致使受害人產(chǎn)生恐懼心理而處分財產(chǎn)或財產(chǎn)性權(quán)益的行為。

根據(jù)刑法第二百七十四條規(guī)定：敲詐勒索公私財物，數(shù)額較大或者多次敲詐勒索的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金；數(shù)額巨大或者有其他嚴(yán)重情節(jié)的，處三年以上十年以下有期徒刑，并處罰金；數(shù)額特別巨大或者有其他特別嚴(yán)重情節(jié)的，處十年以上有期徒刑，并處罰金。

5月15日，美國白宮公開稱，此次病毒勒索全球共有150個國家的30萬臺電腦受到感染，但聯(lián)邦電腦系統(tǒng)沒有受到影響。目前向該勒索軟件支付的贖金不到7萬美元（約合人民幣49萬元）。僅根據(jù)已獲敲詐金額（不計未遂金額）核算，如在中國法律的框架下敲詐49萬元人民幣，或?qū)@刑10年。以上刑期僅是根據(jù)敲詐勒索罪的勒索金額計算，除了勒索，本次黑客案例還牽涉危害公共安全等罪名。

刑法第115條規(guī)定，“以危險方法危害公共安全，尚未造成嚴(yán)重后果的，處三年以上十年以下有期徒刑；犯本罪致人重傷、死亡或者使公私財產(chǎn)遭受重大損失的，處十年以上有期徒刑、無期徒刑或者死刑”。

黑客全球勒索的行為，從涉案金額、范圍、影響等各角度而言，都屬可從重處理的范疇。

勒索病毒是黑客的“商業(yè)模式”

鄭文（IT安全技術(shù)負(fù)責(zé)人）

勒索病毒本質(zhì)不僅僅是一種網(wǎng)絡(luò)病毒，而是一種“商業(yè)模式”，只要網(wǎng)絡(luò)環(huán)境中有財產(chǎn)可被獲取，就會出現(xiàn)無盡的“變種”。也就是說，黑客找到任何一種攻擊方式，都可以拿來作為勒索工具，不一定是符合技術(shù)意義的病毒。

許多人認(rèn)為勒索病毒是某種新生事物，實際上它卻由來已久，最早可追溯至2013年，當(dāng)時蠕蟲病毒通過郵件、掛木馬傳播，2015年曾經(jīng)出現(xiàn)蠕蟲病毒爆發(fā)期。2016年3月，勒索病毒Locky愈演愈烈，中國國內(nèi)相繼有多家大中型企業(yè)、政府單位內(nèi)部員工或高層領(lǐng)導(dǎo)的電腦、手機(jī)感染了該病毒，導(dǎo)致重要文件被加密，需要繳納贖金才能恢復(fù)正常。

截至目前，全球已經(jīng)有超過100個勒索病毒“家族”存在。有數(shù)據(jù)顯示，僅其中一個勒索病毒CryptoWall家族的一個變種就曾經(jīng)收到全球范圍內(nèi)23億美元的贖金。

這次勒索病毒的爆發(fā)，黑客指定支付貨幣為比特幣。針對沒有比特幣的被勒索者，他們附上了15種語言的“購買指引”，甚至還針對被感染者搞了“幸運抽獎”活動：針對半年沒付款的被勒索者，被抽中就可以免費給你解除文檔加密。這些貌似“盜亦有道”的行為讓許多受害者感到啼笑皆非。

在傳統(tǒng)黑客世界中，某些心懷不軌而技術(shù)高超的人物，通過暢游于網(wǎng)絡(luò)和系統(tǒng)的漏洞、暗門之間，法律的邊界在他們的世界里早已模糊。

但是，黑客的世界里也分“白帽”與“黑帽”。“白帽”黑客發(fā)現(xiàn)漏洞并不是為自己牟利，而是會公示提醒系統(tǒng)升級。他們采取的方法為模擬攻擊嘗試發(fā)現(xiàn)漏洞，這種模擬攻擊大多發(fā)生在企業(yè)不知情的情況下。

360公司董事長周鴻祎此前認(rèn)為：盡管“白帽”發(fā)現(xiàn)漏洞的初心是好的，但方法卻是灰色的，很多企業(yè)接受不了。如此來看，即便是“好”黑客的行為也游走在法律灰色地帶，何況于那些本就以牟利為目的的“壞”黑客呢。

可以說，本次勒索病毒給全世界提了個醒，網(wǎng)絡(luò)安全與黑客之間的爭斗未來可能更為激烈。

黑客的“罪與罰”

潘葉虞（IT技術(shù)總監(jiān)）

美國的《計算機(jī)詐騙和濫用法案》（CFAA），明確規(guī)定嚴(yán)禁“未經(jīng)授權(quán)的訪問”以及“超越權(quán)限的訪問”。而以上行為對于黑客卻是呼吸一般的“必需”和“日常”。

美國聯(lián)邦政府首次使用反黑客攻擊法令是在1989年，即該法案頒布的3年后。被告是時任NSA美國國家計算機(jī)安全中心首席科學(xué)家的兒子，當(dāng)時就讀康奈爾大學(xué)的研究生Morris。后者被控創(chuàng)造并釋放了后來臭名昭著的Morris蠕蟲。Morris最終被判3年緩刑和400個小時的社區(qū)服務(wù)。如今，他已成為麻省理工的終身教授。

中國某知名黑客曾對“黑客是一種職業(yè)嗎”一問如是回答：“黑客相當(dāng)于習(xí)武之人。強(qiáng)盜、飛賊、保鏢、捕快，這才是習(xí)武之人的各種職業(yè)。”

所以，世界究竟應(yīng)該怎樣對待黑客，尤其是那些所謂天才黑客？一起引發(fā)爭議的判決曾使這樣一位天才“隕落”：著名電腦黑客Aaron Swartz因向麻省理工校園的所有游客提供JSTOR（一個在線學(xué)術(shù)期刊系統(tǒng)）免費學(xué)術(shù)論文下載而遭到起訴。盡管JSTOR管理方無意發(fā)起起訴，但聯(lián)邦檢察官堅持訴諸法律。2013年1月，患抑郁癥的Swartz于紐約自殺身亡，年僅26歲。他的死亡對于崇尚信息自由開放的互聯(lián)網(wǎng)社區(qū)是一個重大損失。他的家人此后發(fā)表聲明稱：美國“罪惡的司法體系充斥著恐嚇行為和無法無天的公訴人”。

谷歌新公司員工準(zhǔn)則中有一條寫道：應(yīng)該做正確的事，遵守法律、行為端正并相互尊重。水能載舟亦能覆舟，黑客行為和法律之間，以法為先；如何判定黑客的罪名并進(jìn)行量刑，也需要更為詳細(xì)、完善的法律。

目前中國對黑客定罪量刑依據(jù)刑法第二百八十六條規(guī)定：對計算機(jī)信息系統(tǒng)功能進(jìn)行刪除、修改、增加、干擾，造成計算機(jī)信息系統(tǒng)不能正常運行，后果嚴(yán)重的，處五年以下有期徒刑或拘役；后果特別嚴(yán)重的，處五年以上有期徒刑。

勒索比特幣，所以查不到黑客？

曾火（比特幣從業(yè)者）

中國成為了此次病毒勒索的主要攻擊地之一。5月15日，部分國內(nèi)比特幣交易平臺發(fā)出提示：在監(jiān)管整改下，當(dāng)前比特幣不支持提現(xiàn)，因此建議“受害者”不要在交易平臺購買比特幣支付贖金。

國內(nèi)大型比特幣交易平臺OKCoin有關(guān)負(fù)責(zé)人此前聲明：目前國內(nèi)比特幣交易平臺不能提取比特幣，若網(wǎng)友想購買比特幣去支付贖金解封電腦，需要選擇能夠提幣的交易所，不然會遭受二次損失。

黑客為什么選擇比特幣作為支付工具？這是由于比特幣目前仍缺乏全球統(tǒng)一的有效監(jiān)管，讓黑客感覺使用比特幣有“免受審查”的便利。

“匿名性”的確是比特幣的特征之一，但比特幣發(fā)掘和交易人的信息也并非不可查悉：首先，只要變現(xiàn)比特幣便有跡可循，很多交易平臺采用實名認(rèn)證，一旦注冊就會留下身份痕跡；其次，盡管比特幣支付時不會傳遞身份信息，但支付時的IP地址是可查的。根據(jù)FBI已經(jīng)處理的案例，除非使用者擅長防追蹤技術(shù)，否則多數(shù)還是可以查到身份。對于調(diào)查機(jī)構(gòu)來說，理論上只要黑客使用勒索到的比特幣或者變現(xiàn)就能找到他們。

亞洲區(qū)域的比特幣研究員Kolidat日前宣布，針對此次病毒勒索，調(diào)查機(jī)構(gòu)目前已掌握了非常多數(shù)量的勒索地址，并且在持續(xù)追蹤相關(guān)比特幣的走向。

雖然調(diào)查機(jī)構(gòu)有一定的信心，但我們還需要了解另一個事實，那就是2013年勒索病毒誕生以來，幾乎從沒有抓住過相關(guān)黑客。

對于網(wǎng)絡(luò)時代的新型犯罪，尤其類似此次使用比特幣為支付手段的犯罪，監(jiān)管比特幣市場仍是重中之重。2017年1月始，中國政府就對比特幣市場開展了一系列調(diào)查、整頓專項活動。我認(rèn)為，全球虛擬貨幣和虛擬財產(chǎn)的管理都應(yīng)該進(jìn)行這樣的整頓，在技術(shù)上避免給黑客留下可乘之機(jī)。