引言
“我就是改了下域名指向、弹点广告赚推广费，怎么就成犯罪了？”——“帮人写了个劫持脚本、租了台服务器，也会被追诉吗？”——“违法所得是按广告分成全算，还是要扣掉成本和合法业务？”——“同样是劫持流量，为什么有人定破坏计算机信息系统罪，有人定非法获取数据罪？”——“后果特别严重要判五年以上，这个后果是怎么算出来的？”这是流量劫持案件中当事人和家属最常提出的疑问，也折射出行为类型的识别、罪名的选择与竞合、后果与违法所得的认定等环节在辩护中的关键作用。流量是互联网商业的基础资源，围绕流量的劫持与变现已形成灰色产业链，而司法机关近年来对此类行为的刑事评价日趋成熟与严厉：最高人民法院指导案例102号已明确DNS劫持可以构成破坏计算机信息系统罪。本文依据现行有效的《中华人民共和国刑法（2023修正）》第二百八十五条、第二百八十六条、第二百五十三条之一，以及《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号），从行为类型、侵害法益、罪名体系、功能与数据的界分、违法所得认定、技术中立与共犯、辩护要点七个维度作系统解析，为当事人及家属提供可操作的辩护思路。作为长期在江西吉安及周边地区办理刑事案件的吉安刑事律师，笔者结合实务经验对网络犯罪辩护的规律作系统梳理。
一、流量劫持的行为类型与技术原理
流量劫持并非规范上的法定概念，而是对一类技术行为的概括：通过技术手段改变网络访问的正常走向，使用户在不知情或者违背意愿的情况下访问指定页面。准确识别行为类型，是判断该方法是否符合特定罪名构成要件的前提。
常见的行为类型应当把握以下四种： 第一种，DNS劫持。DNS是负责域名解析的服务系统，DNS劫持是通过修改域名解析使对特定域名的访问由原IP地址转向篡改后的指定IP，典型手法包括恶意代码修改用户路由器的DNS设置、攻击并篡改域名解析服务器的解析记录等。用户输入原网址却到达另一个页面，导航站、电商页的访问流量被整体改道。第二种，运营商及链路劫持。行为人在电信运营商的流量服务器、传输链路上部署DPI程序或旁路设备，对经过的数据流进行监控与改写，在用户访问的网页中插入代码、广告或者实施跳转，此类行为多与运营商内部人员违规合作实施，隐蔽性强、影响面广。第三种，路由器固件与设置篡改。利用路由器弱口令、安全漏洞批量植入恶意代码，修改设备配置使其强制指向指定解析服务器，由于家庭路由器动辄成千上万台，一次攻击即可形成大规模流量改道。第四种，浏览器劫持。通过恶意插件、捆绑软件修改浏览器主页设置、锁定导航页、反复弹出新窗口，强制用户访问指定网站。上述四种类型在指导案例102号中被概括评价为流量劫持的典型手段，其共同点是未经授权改变了计算机系统原有的运行状态，这一点正是刑事评价的入口。
需要注意的是，正常的广告投放、搜索引擎竞价排名、合作导流虽然同样改变用户的访问去向，但其以用户可见、可自主选择的方式实施，不存在对用户终端或服务器系统的秘密修改，与刑事意义上的劫持存在本质区别。这一界分既是罪与非罪的分水岭，也是后文辩护要点的逻辑起点。
二、流量劫持侵害的法益与刑事定性逻辑
流量劫持入罪的法理基础，在于其侵害的并非抽象的“网络秩序”，而是刑法分则明确保护的计算机信息系统安全。理解这一点，需要把握法释〔2011〕19号对“计算机信息系统”的扩张界定。
定性逻辑应当把握以下三个层次： 第一个层次，劫持对象属于计算机信息系统。法释〔2011〕19号第十一条规定，本解释所称“计算机信息系统”和“计算机系统”，是指具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备等。据此，家用路由器、企业网关、域名解析服务器、运营商流量服务器均属于计算机信息系统；对这些设备的设置、配置、解析记录的修改，就是对计算机信息系统及其数据的修改。第二个层次，劫持手段属于“删除、修改、增加、干扰”。无论是改写DNS解析配置、向传输数据流中注入代码，还是篡改浏览器设置，其技术实质都是未经授权对系统功能或系统内数据实施了改动，落入《刑法》第二百八十六条规定的行为方式范围。第三个层次，劫持结果危及系统功能与数据安全。劫持使用户无法到达原本要访问的系统，或者使网页内容被改写，系统功能不能正常发挥、数据的完整性与真实性被破坏；指导案例102号明确指出，此类行为“破坏计算机信息系统功能、数据或者应用程序”。因此，流量劫持的刑事定性并非类推扩张，而是对其技术实质的如实评价；反过来说，指控能否成立，也必须逐项检验上述三个层次是否都有证据支撑。
三、可能触犯的罪名体系与竞合处理
流量劫持极少只触犯一个条文，其行为链条（实施劫持、抓取数据、变现广告、出售流量）可能分别对应不同罪名，形成罪名体系。罪名选择直接决定法定刑档次与辩护空间。
罪名体系应当把握以下五个方面： 第一，破坏计算机信息系统罪（《刑法》第二百八十六条）。这是当前司法实践对DNS劫持、链路劫持的主流评价。该条第一款规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。第二款规定，对系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加操作，后果严重的，依照前款规定处罚。指导案例102号、李某龙修改域名解析案、陈启商等运营商流量劫持案均以此罪论处。第二，非法获取计算机信息系统数据、非法控制计算机信息系统罪（《刑法》第二百八十五条第二款）。劫持过程中未经授权抓取用户账号、口令、Cookie等身份认证信息，或者对他人系统形成持续控制（如长期把持解析权限）的，可能适用本罪；情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金，情节特别严重的处三年以上七年以下有期徒刑，并处罚金。第三，提供侵入、非法控制计算机信息系统程序、工具罪（第二百八十五条第三款）。开发、销售专门用于劫持的程序、工具，或者明知他人实施侵入、非法控制行为而为其提供工具，情节严重的，依照第二款的规定处罚，工具提供者并不因未亲自实施劫持而当然出罪。第四，侵犯公民个人信息罪（第二百五十三条之一）。劫持链路上截获、留存并向他人出售公民个人信息的，窃取或者以其他方法非法获取公民个人信息的，依照该条定罪处罚，与劫持行为本身可能数罪并罚或择一重处。第五，帮助信息网络犯罪活动罪等关联罪名。明知他人利用信息网络实施犯罪（如为赌博、诈骗网站导流），仍为其提供广告推广、支付结算等帮助，情节严重的，可能构成《刑法》第二百八十七条之二规定的帮助信息网络犯罪活动罪。至于个别案件中提出的非法经营罪评价，实践主流并未采纳——未经许可的流量变现通常不被认定为刑法意义上的特许经营业务，以破坏计算机信息系统罪或数据类犯罪评价更为常见，但罪名主张的攻防本身即是辩护的重要内容。竞合处理上，一个劫持行为同时触犯数罪的，按想象竞合从一重处断；多个行为分别触犯数罪的，依法并罚，行为个数的切割是量刑辩护的关键点。
四、“破坏系统功能”与“修改数据”的界分
《刑法》第二百八十六条第一款与第二款分别规定了对“系统功能”的破坏与对“数据、应用程序”的破坏，二者法定刑相同，但行为方式、后果认定路径不同，准确界分直接关系指控是否成立。
界分要点应当把握以下三个方面： 第一，行为对象不同。第一款指向系统功能本身，即系统对外提供服务、完成运算的能力；李某龙修改大型网站域名解析服务器指向，使网站域名被恶意解析到其他IP地址、无法正常发挥服务功能，法院认定属于对系统功能的修改、干扰。第二款指向系统中的数据与程序，即具体的配置信息、传输内容、应用程序；付宣豪、黄子超修改互联网用户路由器的DNS设置，被认定是对用户计算机信息系统中存储、处理的数据实施修改、增删。第二，后果要求的表现不同。第一款要求“造成计算机信息系统不能正常运行”；第二款未作此明文要求，但同样须达到“后果严重”。法释〔2011〕19号第四条对两种情形分别设定了后果标准，指控时必须与行为方式精确对应：以功能破坏指控的，应证明系统不能正常运行的事实与程度；以数据修改指控的，应证明被修改数据的设备台数或数据规模。第三，界分的辩护价值。其一，行为方式的审查是无罪辩护的入口——如果证据只能证明正常的商业跳转、用户自行安装软件引起的变化，而不能证明行为人实施了未经授权的修改、干扰，则不符合本罪的行为要件。其二，指控路径与证据的错配是有效的辩点——以数据修改指控却仅有“用户访问异常”的笼统陈述，缺乏被修改设备台数、数据量的鉴定意见的，后果认定即存疑。其三，同一劫持行为可能同时符合两款，法院最终依何种路径认定，影响的是后果标准的适用与证据组织的方向，辩护应当主动引导法庭沿证据最薄弱的路径审查。
五、违法所得的认定与后果严重程度的判断
流量劫持案件的入罪与升格，几乎都围绕“数额”展开。法释〔2011〕19号第四条将违法所得五千元以上或者造成经济损失一万元以上设定为“后果严重”的兜底入口，五倍以上（即违法所得二万五千元以上、经济损失五万元以上）即为“后果特别严重”，法定刑从五年以下直接跳升至五年以上。因此，数额审查是此类案件辩护的核心战场。
违法所得的认定应当把握以下四个要点： 第一，计入范围。通过劫持获得的广告分成、导流收益、流量出售价款，通常被整体认定为违法所得；指导案例102号中，二被告人将劫持的导航网站流量出售，违法所得七十五万余元被全额认定，并据此认定后果特别严重。第二，切割空间。行为人同时经营正常广告业务的，与劫持行为无关联的合法收益应当从违法所得中剔除；与其他主体共有、按比例分配的收益，只应就本人实际所得指控；以合法业务成本抵扣的主张虽实践支持度不一，但收益来源的逐笔比对与司法审计申请是必须用足的手段。第三，经济损失的口径。法释〔2011〕19号第十一条明确，“经济损失”包括犯罪行为给用户直接造成的经济损失，以及用户为恢复数据、功能而支出的必要费用；受害方主张的商誉损失、预期利益通常不属于该口径，对夸大的损失评估应当申请重新鉴定。第四，后果标准的多元路径。除数额外，第四条还设定了系统台数与影响面标准：造成十台以上计算机系统主要软硬件不能正常运行，或者造成为一百台以上系统提供域名解析等基础服务、为一万以上用户提供服务的系统不能正常运行累计一小时以上的，即属后果严重；五百台基础服务系统、五万用户系统的对应情形属后果特别严重。相关权威裁判同时明确，被攻击IP地址、域名的个数不能直接等同于计算机信息系统的台数，应当综合攻击时间、不能正常运行时长、损失与影响综合评判——这为对抗“按域名数量套用台数标准”的机械认定提供了裁判依据。后果严重性不成立的，全案不符合构成要件；后果特别严重不能认定的，法定刑即回落至五年以下，辩护价值巨大。
六、技术中立与共犯责任：工具提供者、广告主与结算方
流量劫持已形成分工链条：有人开发劫持程序，有人实施劫持，有人提供服务器与结算通道，广告联盟与广告主购买流量。链条末端的人员是否担责、担何种责，是此类案件争议最集中的领域。
责任审查应当把握以下三个要点： 第一，工具提供者的独立罪名。《刑法》第二百八十五条第三款将“提供专门用于侵入、非法控制计算机信息系统的程序、工具”与“明知他人实施侵入、非法控制的违法犯罪行为而为其提供程序、工具”独立入罪，情节严重的，依照第二款的规定处罚。法释〔2011〕19号第二条、第三条进一步明确了专门性程序工具的认定标准与入罪门槛，如提供专门程序工具二十人次以上、违法所得五千元以上等。开发销售带劫持功能的插件、登陆器、脚本的，即使未亲自劫持，也可能独立构罪。第二，帮助行为的共犯评价。法释〔2011〕19号第九条规定，明知他人实施刑法第二百八十五条、第二百八十六条规定的行为，为其提供用于破坏系统功能、数据的程序工具（违法所得五千元以上或提供十人次以上），提供互联网接入、服务器托管、网络存储空间、通讯传输通道、费用结算、交易服务、广告服务、技术培训、技术支持等帮助（违法所得五千元以上），或者通过委托推广软件、投放广告等方式提供资金五千元以上的，以共同犯罪论处；数量数额达到五倍以上的，认定为情节特别严重或后果特别严重。第三，技术中立的边界。技术本身中立，但人的使用目的与认知并非中立。工具功能专门服务于劫持、无法作正常商业解释的，行为人对下游用途存在概括乃至明确认知、并从劫持收益中直接分利的，“仅提供技术”的抗辩难以成立；反之，提供通用建站、通用广告结算服务，费率与正常客户无差别、无证据证明知悉劫持细节的合作方，不应被扩大追诉。明知程度的审查应当回到聊天记录、报价单、交易模式等客观证据，防止以“应当知道”的推定替代“明知”的证明。
七、辩护要点的系统展开
流量劫持案件的辩护应当围绕行为方式、后果数额与罪名选择三大轴心，从以下六个方面系统展开：
第一，行为方式之辩。逐项审查电子数据鉴定意见、日志、代码，确认在案证据能否证明未经授权的修改、干扰行为存在；区分用户自主安装、捆绑软件的正常跳转与合作导流，行为方式不符合第二百八十五条、第二百八十六条任何一款规定的，应作无罪辩护。
第二，对象属性与因果关系之辩。审查被劫持的路由器、解析服务器、流量系统是否属于具备自动处理数据功能的计算机信息系统，劫持行为与系统不能正常运行之间的因果关系是否成立；因用户自身误操作、被劫持网站自身故障引起的异常，不能归责于行为人。
第三，后果严重性之辩。对“不能正常运行的台数、累计时长、受影响用户数、经济损失”逐项质证：设备台数有无鉴定依据，时长有无日志支撑，用户数是注册数还是实际受影响数，损失是否落在法定口径内；坚决反对以域名个数、广告展示次数直接套用系统台数标准。
第四，违法所得核减之辩。逐笔比对收款记录与业务台账，切割正常广告业务收益、共有分成、与劫持无关的收益；对以收款总额径行认定的做法申请司法审计；违法所得降入后果严重区间甚至五千元以下的，量刑档次与罪与非罪随之改变。
第五，罪名之辩。在破坏计算机信息系统罪、非法获取数据罪、提供工具罪、帮信罪之间，争取构成要件最匹配、法定刑最低的评价；对以非法经营罪等重罪指控的，审查其特许经营前提是否成立；对一行为数罪指控的，主张从一重处断而非并罚。
第六，从宽情节的全面争取。系统梳理自首、坦白、认罪认罚、退赃退赔、初犯偶犯等情节；指导案例102号中二被告人虽属后果特别严重，但因自首、退缴全部违法所得、未泄露公民个人信息而获减轻处罚并适用缓刑，说明数额巨大的案件仍有充分的从宽空间。
八、示意性案例的辩护解读
【示意案例一】某甲伙同他人租用服务器，使用恶意代码批量修改互联网用户路由器的DNS设置，将用户访问导航网站的流量劫持至其自设的导航页面，再将流量出售获利。指控认定其违法所得远超“后果特别严重”标准，面临五年以上有期徒刑。辩护律师提出：违法所得中包含部分正常推广业务的收益，申请司法审计切割；同时突出其主动投案、退缴全部违法所得、未获取公民个人信息的情节。案件经审理，法院对从宽情节予以确认，减轻处罚并适用缓刑。本案提示，DNS劫持类案件数额虽大，数额切割与从宽情节的组合仍能实质改变量刑结局。
【示意案例二】某广告公司与运营商内部人员合谋，在运营商流量服务器上部署可劫持网络流量、插入广告的程序，致使用户访问某金融类应用页面时被强制弹出广告。侦查机关以破坏计算机信息系统罪移送起诉，公司负责人辩称插播的广告本身是合法内容、危害有限。辩护律师提出：其一，行为的刑事可罚性不在于广告内容，而在于对传输数据的未经授权修改，这一事实清楚，作无罪辩护空间不大；其二，指控的违法所得将公司全部广告营收计入，其中与本次劫持无关的长期客户业务应予剔除；其三，负责人到案后如实供述并协助抓捕同案犯，应认定重大立功或立功。法院对数额作了削减，对立功情节予以认定，在五年以下幅度内从轻处罚。本案提示，链路劫持案件应把辩护重心放在数额口径与法定量刑情节上。
【示意案例三】某程序员受托开发一款游戏登陆器，其中集成了可未经许可修改用户电脑网络设置、将访问重定向至指定网站的定向劫持模块，软件经多层代理销售后大量流入市场。侦查机关先以提供侵入、非法控制计算机信息系统程序、工具罪对其立案，后又考察全案以共同犯罪评价。辩护律师提出：其一，审查其明知程度的证据——沟通记录显示其仅按需求开发、未参与后续劫持与分成；其二，模块技术上兼具正常加速与重定向功能，是否属于“专门用于”劫持的工具应经省级以上主管部门检验；其三，其获利仅为一次性开发费，与下游违法所得应作切割。案件经审查，法院结合其地位作用与获利情况，认定为从犯并适用缓刑。本案提示，工具链条案件的核心辩点在于工具属性鉴定、明知程度与获利切割三个环节。
结语
流量劫持的刑事认定是一项技术与法律深度交织的精细化工作，涉及行为类型识别、法益归属判断、罪名体系选择、后果与数额认定多个层面。依据《刑法》第二百八十五条、第二百八十六条及法释〔2011〕19号，此类案件辩护应当回归到“行为方式审查到位、系统属性界定到位、功能与数据界分到位、后果数额核减到位、罪名竞合厘清到位、共犯边界划清到位”的多重维度。指导案例102号确立了DNS劫持入罪的裁判规则，但入罪不等于不加区分地重判：行为方式不符构成要件的应作无罪辩护，后果特别严重不能认定的法定刑应回落至五年以下，违法所得中的合法成分应坚决切割。辩护律师应当从行为方式、因果关系、后果数额、罪名选择、共犯边界、从宽路径六个方向系统展开，为当事人争取罪轻乃至出罪的最大空间。江西吉泰律师事务所王吉成律师长期在江西吉安及周边地区办理刑事案件，专注网络犯罪与经济犯罪辩护业务，注重从技术事实的审查、数额证据的质证、罪名的精准选择全流程为当事人争取合法权益。如需专业法律帮助，欢迎致电 183-0796-5661 或添加微信 lawyer_wang_zz 咨询。需要特别声明的是，本文所引法律条文、司法解释均为公开发布的规范性文件，【示意案例】部分均为概括性描述，不指向任何真实案件、案号或裁判文书，仅用于法律逻辑的阐述。涉及具体案件时，仍需结合案件全部事实与证据进行专业、精细的应对。
免责声明： 本文仅为普法性探讨， 不构成具体案件的法律意见。如您面临具体法律问题， 建议及时咨询专业律师获取针对性的法律服务。
联系方式：
• 咨询电话： 183-0796-5661
• 微信号： lawyer_wang_zz
• 办公地址： 江西省吉安市吉州区平园路9号金光道大厦19楼
• 执业机构： 江西吉泰律师事务所
律师提示：流量劫持辩护核心在行为方式的构成要件审查与后果数额的严格质证。最高人民法院指导案例102号已明确修改路由器、浏览器设置强制用户访问指定网站的DNS劫持行为可以构成破坏计算机信息系统罪，法释〔2011〕19号第四条将违法所得五千元以上设定为后果严重的入口、五倍以上升格为后果特别严重。涉案当事人应当注意：正常的广告投放与合作导流不属于劫持；被攻击域名个数不等于计算机信息系统台数；违法所得应切割合法业务与共有分成；工具提供者的责任取决于明知程度与工具专门性鉴定。一旦涉刑，行为方式之辩、因果关系之辩、数额核减之辩、罪名选择之辩与从宽情节之辩，均是辩护实务中的关键节点。辩护律师应当协助当事人准确把握上述要点，在网络犯罪辩护的全流程中守护当事人的合法权益。