【K哥爬蟲普法】淘寶一億快遞信息泄漏，有人正在盯著你的網(wǎng)購！
我國目前并未出臺(tái)專門針對(duì)網(wǎng)絡(luò)爬蟲技術(shù)的法律規(guī)范，但在司法實(shí)踐中，相關(guān)判決已屢見不鮮，K 哥特設(shè)了“K哥爬蟲普法”專欄，本欄目通過對(duì)真實(shí)案例的分析，旨在提高廣大爬蟲工程師的法律意識(shí)，知曉如何合法合規(guī)利用爬蟲技術(shù)，警鐘長(zhǎng)鳴，做一個(gè)守法、護(hù)法、有原則的技術(shù)人員。
案情介紹
2014 年 5 月初，被告人翁秀豪發(fā)現(xiàn)淘寶店鋪源碼存在漏洞，利用該漏洞可以在店鋪源碼中植入一個(gè) url，執(zhí)行該 url 指向的 javascript，以獲取訪問被植入 url 的淘寶店鋪的所有淘寶用戶的 cookie（淘寶用戶登錄時(shí)產(chǎn)生的一組認(rèn)證信息，利用 cookie 可以執(zhí)行對(duì)應(yīng)帳號(hào)權(quán)限內(nèi)的所有操作，無需帳號(hào)、密碼），并利用其中的賣家 cookie 將 url 再次植入賣家淘寶店鋪源碼，實(shí)現(xiàn)自動(dòng)循環(huán)，獲取更多的淘寶用戶 cookie。
被告人翁秀豪向被告人黃后榮報(bào)告該情況，經(jīng)黃后榮的授意，以非法獲取 cookie 數(shù)據(jù)為目的，編寫了用于獲取 cookie 的 javascript，存儲(chǔ)在其租用的阿里云服務(wù)器中。自同年 5 月 15 日開始，通過上述方法非法獲取淘寶用戶 cookie 達(dá) 2600 萬余組，并將獲取的 cookie 存放在虛擬隊(duì)列中。被告人黃后榮利用被告人翁秀豪事先編寫的網(wǎng)絡(luò)爬蟲程序讀取虛擬隊(duì)列中的 cookie 并獲取淘寶用戶的交易訂單數(shù)據(jù)（內(nèi)容包含用戶昵稱、姓名、商品價(jià)格、交易創(chuàng)建時(shí)間、收貨人姓名、收貨人電話、收貨地址等）達(dá) 1 億余條。
經(jīng)查詢，上述 9 臺(tái)服務(wù)器均是被告人黃后榮注冊(cè)的，被告人黃后榮另外還注冊(cè)了兩臺(tái)阿里云服務(wù)器做“云派券”業(yè)務(wù)，以及通過訂單詳情頁面可以知道交易雙方的淘寶帳號(hào)、昵稱、聯(lián)系方式、交易創(chuàng)建時(shí)間、商品價(jià)格、數(shù)量、收貨地址、收貨人姓名和聯(lián)系電話等，正常情況下需要使用淘寶賬號(hào)和密碼登陸后才能訪問訂單頁面，使用用戶 cookie 相當(dāng)于繞開了賬號(hào)和密碼的驗(yàn)證過程，據(jù)統(tǒng)計(jì)，2014 年 5 月 21 日當(dāng)天就有 330 萬個(gè) cookie 被獲取。
供述情況
被告人黃后榮辯稱：
其是為了回傳客戶（使用云派券軟件、授權(quán)其公司操作店鋪裝修等權(quán)限）的 cookie，解決云派券斷線問題才編寫相應(yīng)的程序；
cookie 是用戶登錄淘寶時(shí)產(chǎn)生的臨時(shí)認(rèn)證信息，用戶在瀏覽每一網(wǎng)站頁面時(shí)即會(huì)產(chǎn)生瀏覽日志，同一 cookie 用戶在瀏覽多個(gè)網(wǎng)站頁面時(shí)會(huì)產(chǎn)生多個(gè)瀏覽日志，公訴機(jī)關(guān)指控的 2600 萬余組是瀏覽日志數(shù)，而非獲取的淘寶用戶 cookie 數(shù)，上述 2600 萬余組瀏覽日志中包含的用戶 cookie 存在重復(fù)，且部分 cookie 在回傳時(shí)已經(jīng)失效；
其等人只使用了符合云派券業(yè)務(wù)需要的賣家 cookie，回傳的買家 cookie 是過濾掉的，其他部分賣家 cookie 也未使用；
非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪的主觀要素是直接故意，由被告人翁秀豪編寫 js 程序的目的是獲取有效的賣家 cookie，故應(yīng)以獲取的有效的賣家 cookie 數(shù)作為定案依據(jù)。
被告人翁秀豪辯稱：
爬蟲程序是被告人黃后榮編寫的，系在老板黃后榮的指示下實(shí)施，雖不宜區(qū)分主從犯，但在量刑時(shí)應(yīng)與被告人黃后榮有所區(qū)別；
犯罪動(dòng)機(jī)是為了解決公司業(yè)務(wù)開展過程中的技術(shù)問題，并非擾亂淘寶網(wǎng)絡(luò)的秩序、侵害淘寶用戶的利益，且 cookie 具有時(shí)效性、權(quán)限的限制性，與一般的客戶身份認(rèn)證信息不同，沒有造成淘寶公司或者淘寶用戶的直接經(jīng)濟(jì)損失。
法院觀點(diǎn)
被告人黃后榮、翁秀豪違反國家規(guī)定，侵入計(jì)算機(jī)信息系統(tǒng)，獲取該計(jì)算機(jī)信息系統(tǒng)中存儲(chǔ)、處理、傳輸?shù)臄?shù)據(jù)，情節(jié)特別嚴(yán)重，其行為均已構(gòu)成非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪。被告人對(duì)通過 javascript 獲取的全部 cookie 均具有概括的故意，且獲取的均為有效的 cookie，之后 cookie 是否失效，是否被實(shí)際使用，指向的是否為同一淘寶用戶等均不影響其非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)這一事實(shí)的認(rèn)定，也不影響對(duì)二被告人的定罪量刑，上述辯解及辯護(hù)意見，均不予采納。
本案被告人主要違反了以下法律法規(guī)：
《中華人民共和國刑法》第二百八十五條第二款：此條款規(guī)定了非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)、非法控制計(jì)算機(jī)信息系統(tǒng)功能、非法獲取計(jì)算機(jī)數(shù)據(jù)、非法控制計(jì)算機(jī)信息系統(tǒng)等行為，情節(jié)嚴(yán)重的可處三年以下有期徒刑或拘役；
《中華人民共和國刑法》第二十五條第一款：該條款規(guī)定了單位犯罪的情形，單位犯罪的單位刑事責(zé)任由單位負(fù)刑事責(zé)任的主管人員承擔(dān)；
《中華人民共和國刑法》第六十七條第三款：此款規(guī)定了數(shù)據(jù)、資料在計(jì)算機(jī)信息系統(tǒng)中破壞或者刪除，情節(jié)嚴(yán)重的可處三年以下有期徒刑、拘役或者管制；
《中華人民共和國刑法》第五十二條：該條規(guī)定了非法利用信息網(wǎng)絡(luò)罪，對(duì)非法為他人提供入侵、非法控制計(jì)算機(jī)信息系統(tǒng)工具的，情節(jié)嚴(yán)重的可處三年以下有期徒刑或拘役，并處罰金；
《中華人民共和國刑法》第五十三條：此條規(guī)定了非法侵入計(jì)算機(jī)信息系統(tǒng)罪，對(duì)非法侵入計(jì)算機(jī)信息系統(tǒng)的，情節(jié)嚴(yán)重的可處三年以下有期徒刑、拘役或者管制，并處罰金；
《最高人民法院、最高人民檢察院關(guān)于辦理危害計(jì)算機(jī)信息系統(tǒng)安全刑事案件應(yīng)用法律若干問題的解釋》第一條第一款第（二）項(xiàng)、第二款第（一）項(xiàng)、第十一條：這些解釋是為了指導(dǎo)在危害計(jì)算機(jī)信息系統(tǒng)安全的刑事案件中的適用法律。其中第一條第一款第（二）項(xiàng)是指在情節(jié)較輕的情況下，對(duì)被告人實(shí)施刑事拘留；第二款第（一）項(xiàng)是對(duì)涉及計(jì)算機(jī)病毒、木馬等破壞性程序的行為，以刑事拘留或者逮捕對(duì)被告人實(shí)施限制自由；
《最高人民法院關(guān)于適用財(cái)產(chǎn)刑若干問題的規(guī)定》第一條、第二條第一款：這些規(guī)定主要是為了規(guī)范在刑事案件中適用財(cái)產(chǎn)刑的情形。財(cái)產(chǎn)刑是指對(duì)犯罪分子的財(cái)產(chǎn)進(jìn)行處罰。第一條規(guī)定了在適用罰金時(shí)應(yīng)當(dāng)考慮犯罪分子的財(cái)產(chǎn)狀況；第二條第一款規(guī)定了適用沒收財(cái)產(chǎn)刑時(shí)應(yīng)當(dāng)依法進(jìn)行財(cái)產(chǎn)評(píng)估。
判決情況
一、被告人黃后榮犯非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪，判處有期徒刑六年，并處罰金人民幣六萬元（刑期自判決執(zhí)行之日起計(jì)算。判決執(zhí)行前先行羈押的，羈押一日折抵刑期一日。即自 2014 年 5 月 28 日起至 2020 年 5 月 27 日止。罰金限判決生效后十日內(nèi)繳納）；
二、被告人翁秀豪犯非法獲取計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)罪，判處有期徒刑五年八個(gè)月，并處罰金人民幣五萬五千元（刑期自判決執(zhí)行之日起計(jì)算。判決執(zhí)行前先行羈押的，羈押一日折抵刑期一日。即自 2014 年 5 月 28 日起至 2020 年 1 月 27 日止。罰金限判決生效后十日內(nèi)繳納）。
判決文書
（2014）杭余刑初字第1231號(hào)
案例分析
cookie 的作用有很多，本案中提到的 cookie，主要作用為會(huì)話管理，也就是在用戶與網(wǎng)站進(jìn)行交互時(shí)跟蹤會(huì)話，通過在用戶訪問網(wǎng)站時(shí)設(shè)置一個(gè)會(huì)話 cookie，網(wǎng)站可以在用戶瀏覽網(wǎng)頁時(shí)識(shí)別用戶，并在整個(gè)會(huì)話期間保持登錄狀態(tài)。
舉個(gè)例子，第一次進(jìn)入某個(gè)網(wǎng)站時(shí)，會(huì)要求登錄賬號(hào)，首次登錄之后，一段時(shí)間內(nèi)，再次訪問該網(wǎng)站，就不用再次登錄了。而過段時(shí)間可能需要重新登錄，這就是因?yàn)橹暗?cookie 過了有效期，失效了。
cookie 也是有一些缺陷的，比如數(shù)據(jù)安全保障能力不足，存在被跨站點(diǎn)腳本攻擊（XSS）的可能。
交易訂單數(shù)據(jù)只有賣家能看到，本案被告人通過一定的方法（非爬蟲技術(shù)）獲取了大量的賣家登錄態(tài)的 cookie，搭建 cookie 池，從而對(duì)買家的用戶昵稱、商品價(jià)格、交易創(chuàng)建時(shí)間、收貨人姓名、收貨人電話、收貨地址等數(shù)據(jù)進(jìn)行爬取，收貨人姓名、收貨人電話、收貨地址這些都屬于隱私數(shù)據(jù)，這些數(shù)據(jù)是正常用戶無法看到的，這是違背爬蟲原則的行為，侵害了公民的個(gè)人隱私信息，觸犯了法律法規(guī)！
技術(shù)本身是無罪的，但謹(jǐn)記不要利用技術(shù)來實(shí)施可能違法犯罪的行為，法律的重錘降到頭頂?shù)哪且豢淘俸蠡诰褪裁炊纪砹?。即便是公司的需求，也要仔?xì)權(quán)衡后再執(zhí)行，不然一旦違法，不僅不會(huì)保你，還有可能成為上層脫罪的說辭（參考本案）。
