引言
“公司官网凌晨突然打不开，流量峰值是平时的几百倍，怎么就涉嫌破坏计算机信息系统了？”——“我在网上接单帮人‘发包’，一次几百块，也算犯罪吗？”——“孩子打游戏跟人置气，买了攻击服务把对方服务器刷崩了，会被判刑吗？”——“对方企业说损失几十万，都要算在我头上吗？”——“用DDoS吓唬对方给钱，是一个罪还是两个罪？”这是DDoS网络攻击案件中当事人和家属最常提出的疑问， 也折射出技术行为的法律定性、 后果门槛的对照审查、 共犯责任的层级划分等环节在辩护中的关键作用。DDoS攻击即分布式拒绝服务攻击， 是当前网络攻击中最常见的形态， 其刑事评价横跨《刑法》第二百八十五条、 第二百八十六条与第二百七十四条等多个条文。本文依据现行有效的《中华人民共和国刑法（2023修正）》第二百八十五条、 第二百八十六条、 第二百七十四条、 第十七条， 以及《最高人民法院、 最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（法释〔2011〕19号）， 从技术原理、 罪名体系、 后果认定、 因果关系、 共犯责任、 未成年人处理、 罪数问题、 辩护要点八个维度作系统解析。作为长期在江西吉安及周边地区办理刑事案件的吉安刑事律师， 笔者结合实务经验对网络犯罪辩护的规律作系统梳理。
一、DDoS攻击的技术原理与法律定性
DDoS攻击的技术形态多样， 但法律评价殊途同归， 均落脚于对计算机信息系统功能的干扰与破坏。准确理解技术原理， 是审查技术证据、展开有效辩护的前提。
（一）僵尸网络与流量洪泛
攻击者通过木马、 病毒非法控制大量联网的服务器、 个人电脑乃至物联网设备（俗称“肉鸡”）， 组建可远程统一调度的“僵尸网络”；攻击发起时， 控制端向全部“肉鸡”下达指令， 使其在短时间内向目标服务器集中发送SYN、 UDP、 ICMP等海量数据包， 即“流量洪泛”， 耗尽目标的带宽、 连接数与硬件资源， 致使正常用户无法访问。在这一链条中， 攻击的规模取决于其掌控的“肉鸡”数量， 而控制每一台被控设备的行为， 在刑法上都是对他人计算机信息系统的非法控制。
（二）CC攻击与反射放大攻击
CC攻击不依赖海量“肉鸡”的带宽， 而是模拟大量看似正常的网页请求， 持续消耗服务器CPU、 内存、 数据库连接与会话资源， 属应用层攻击， 隐蔽性更强、 识别难度更大。反射放大攻击则利用DNS、 NTP等开放服务的响应放大特性， 以伪造源地址的小额请求换取数十倍流量反弹至目标。无论何种形态， 攻击的共同特征都是使目标系统资源被无效请求占满， 服务功能陷于瘫痪。
（三）法律定性：对系统功能的“干扰”
DDoS攻击通常不删除、 不篡改目标系统内的数据， 而是通过海量无效请求挤占系统资源， 在刑法评价上属于《刑法》第二百八十六条第一款列举的“干扰”行为；造成计算机信息系统不能正常运行且后果严重的， 即符合破坏计算机信息系统罪的构成。司法实践中， DDoS攻击案件多以本罪定罪处罚， 攻击工具与技术形态的差异不影响干扰性质的认定。
二、可能触犯的罪名体系
DDoS攻击产业链条长、 分工细， 不同环节的行为人可能触犯不同罪名， 罪名的选择直接决定法定刑区间， 是此类案件辩护的第一战场。
罪名体系应当把握以下五个层次： 第一， 破坏计算机信息系统罪（第二百八十六条第一款）。直接发起攻击， 对计算机信息系统功能进行干扰， 造成系统不能正常运行， 后果严重的， 处五年以下有期徒刑或者拘役；后果特别严重的， 处五年以上有期徒刑。第二， 非法控制计算机信息系统罪（第二百八十五条第二款）。组建僵尸网络控制“肉鸡”的行为本身即属对他人计算机信息系统的非法控制， 情节严重的， 处三年以下有期徒刑或者拘役， 并处或者单处罚金；情节特别严重的， 处三年以上七年以下有期徒刑， 并处罚金。控制行为与攻击行为的评价关系， 司法实践中多分别认定， 个案存在并罚与择一的争论， 辩护中应当争取更有利的处理。第三， 提供侵入、 非法控制计算机信息系统程序、 工具罪（第二百八十五条第三款）。编写、 销售DDoS控制端、 发包机与所谓“压测”工具， 或者明知他人实施攻击仍提供程序、 工具的， 依照第二百八十五条第二款的规定处罚；依法释〔2011〕19号第三条， 提供专门性程序、 工具二十人次以上， 或者违法所得五千元以上、 造成经济损失一万元以上的， 即属情节严重。第四， 制作、 传播破坏性程序（第二百八十六条第三款）。故意制作、 传播计算机病毒等破坏性程序， 影响计算机系统正常运行， 后果严重的， 依照第一款的规定处罚；攻击程序是否属于该解释第五条第（三）项“其他专门设计用于破坏计算机系统功能、 数据或者应用程序的程序”难以确定的， 按第十条委托省级以上负责计算机信息系统安全保护管理工作的部门检验。第五， 敲诈勒索罪（第二百七十四条）。以DDoS攻击相威胁索取财物， 数额较大或者多次敲诈勒索的， 处三年以下有期徒刑、 拘役或者管制， 并处或者单处罚金；数额巨大或者有其他严重情节的， 处三年以上十年以下有期徒刑， 并处罚金；数额特别巨大或者有其他特别严重情节的， 处十年以上有期徒刑， 并处罚金。
三、“干扰”与“不能正常运行”的司法认定
破坏计算机信息系统罪以“造成计算机信息系统不能正常运行”为客观构成要素， 以“后果严重”为入罪门槛， 二者的证据审查是本类案件的第一道关口。
服务中断的证明主要依赖以下四类证据： 第一， 流量与性能监控数据。受害方与云服务商的流量监控记录、 带宽峰值曲线、 服务器CPU与内存占用记录， 能够直观反映攻击时段的异常尖峰。第二， 防御与处置日志。防火墙、 负载均衡、 高防节点的清洗记录， 运维人员的应急处置与工单记录， 可以还原攻击的发生、 持续与压制全过程。第三， 业务影响记录。网站、 App的访问失败率， 交易系统的订单失败记录， 用户投诉与舆情记录， 用于证明服务在功能层面陷于不可用。第四， 恢复时间记录。服务恢复正常的时刻有日志可查， 攻击开始至恢复之间的时长即为中断时长， 该时长的起算与截止直接决定累计一小时标准的适用。
认定中应当注意两点： 其一， “不能正常运行”要求系统功能出现现实的、 可观测的障碍， 如网站无法访问、 接口大面积超时、 交易全面停滞；仅有局部卡顿、 个别请求失败而整体服务仍可用的， 是否达到“不能正常运行”的程度应当从严审查。其二， 法释〔2011〕19号第四条对基础服务系统与用户服务系统按“累计一小时以上”掌握， 多次分散攻击造成的中断时长可以累计计算， 累计的口径与证据基础本身亦是质证要点。
四、攻击行为与损害后果的因果关系
DDoS攻击发生在公开网络环境， 目标系统所在网络同时可能存在其他故障因素， 因果关系审查直接决定归责范围与损失数额， 是降档减刑最有效的技术阵地。
因果关系的认定应当把握以下四个要点： 第一， 时间对应性。攻击发起、 持续与结束的时段应当与服务中断时段吻合；中断发生于攻击之前或者结束之后的， 不能归责于攻击行为。第二， 流量特征同一性。中断时段捕获的攻击流量， 其来源IP分布、 协议类型、 包特征、 请求模式应当与指控的攻击手段一致；电子数据鉴定意见中攻击流量的提取、 固定过程是否规范， 直接影响同一性认定。第三， 其他因素排除。服务器自身故障、 机房检修、 带宽限速、 业务高峰导致的性能瓶颈、 应用程序缺陷、 运营商网络波动等， 均可能独立造成服务异常；辩护中应当调取历史基线数据逐项排查， 对无法排除其他原因介入的时段与损失， 主张按比例切割或者整体不予归责。第四， 鉴定与日志的完整性。日志有无被覆盖、 污染、 截取， 鉴定检材的提取笔录与保管链条是否完整， 是审查因果关系证据可靠性的技术抓手；检材来源不明、 提取过程不规范的鉴定意见， 应当依法申请排除或者重新鉴定。
五、受雇攻击的共犯责任与主从认定
DDoS攻击已形成“发包方——接单平台——控制端操作者——工具作者——肉鸡出租者”的产业链， 各环节的责任划分是此类案件辩护的核心问题。
共犯责任的认定应当把握以下三个要点： 第一， 发包方（雇主）。出资雇佣攻击、 指定目标与时间的雇主， 是犯意提起者与利益归属者， 通常被认定为主犯， 对其雇请实施的攻击所造成的后果承担相应责任。第二， 接单者与操作者（打手）。在平台上接单、 实际操作控制端实施攻击的人员， 按其在共同犯罪中的地位与作用认定；受雇牟利、 按次取酬、 不参与利益分配、 未参与策划的， 具有明显的从属性， 应当全力争取从犯认定， 依法从轻或者减轻处罚。第三， 工具作者与肉鸡出租者。仅编写、 销售工具或者出租“肉鸡”资源， 与具体攻击目标之间缺乏犯意联络的， 按提供侵入、 非法控制计算机信息系统程序、 工具罪等相应罪名单独评价， 一般不对下游攻击的具体后果负责；明知他人实施攻击仍提供专门帮助的， 才可能构成相关犯罪的共犯。明知的审查应当立足聊天记录、 交易流水、 接单价格与频率、 工具功能说明等客观证据， 防止以推定代替证明。
六、未成年人“游戏互刷”型攻击的处理
网络游戏玩家之间因游戏冲突、 口角争执而互相雇人攻击对方游戏服务器、 语音平台的事件多发， 参与者以未成年人与在校学生居多， 此类案件的处理具有明显的教育矫治导向。
处理规则应当把握以下三点： 第一， 刑事责任年龄。依《刑法》第十七条， 已满十六周岁的人犯罪， 应当负刑事责任；已满十四周岁不满十六周岁的人， 仅对法律明确列举的八类严重犯罪负刑事责任， 不包括破坏计算机信息系统罪。对依照本条追究刑事责任的不满十八周岁的人， 应当从轻或者减轻处罚。第二， 涉罪未成年人的特殊程序。情节较轻、 认罪悔罪的未成年人， 可以依法争取不起诉；符合刑事诉讼法规定条件的， 可以适用附条件不起诉， 在监督考察期内悔改的不再被起诉。第三， 不满十六周岁的处置。因不满十六周岁不予刑事处罚的， 责令其父母或者其他监护人加以管教；在必要的时候， 依法进行专门矫治教育。此类案件中， 及时退赔、 取得被害方谅解、 修复与被害平台的关系， 是争取从宽的最有效路径；家长应当第一时间委托辩护人介入， 防止未成年人在讯问中作出不利于己的失实陈述。
七、勒索型DDoS的罪数问题
勒索型DDoS以攻击为筹码索取钱财， 是近年来多发的高危形态， 罪数认定直接影响刑期量级， 需要精细辨析。
罪数的认定应当把握以下三个要点： 第一， 威胁索财行为的定性。以“不给钱就持续攻击”相要挟， 迫使企业支付“保护费”的， 该行为以恶害相通告索取财物， 构成《刑法》第二百七十四条规定的敲诈勒索罪；敲诈勒索数额较大或者多次敲诈勒索的， 处三年以下有期徒刑、 拘役或者管制， 并处或者单处罚金；数额巨大或者有其他严重情节的， 处三年以上十年以下有期徒刑， 并处罚金。第二， 实际攻击行为的并罚。先以小规模攻击“展示破坏力”、 索财不成后升级攻击的， 攻击行为造成系统不能正常运行、 后果严重的， 又独立构成破坏计算机信息系统罪；两个行为基于不同犯意、 侵犯不同法益， 司法实践中多认定数罪并罚， 刑期叠加后量级显著上升。第三， 仅威胁未攻击的场合。仅以攻击相威胁而未实际实施的， 一般只按敲诈勒索罪一罪评价， 未取得财物的按犯罪未遂处理， 依法可以比照既遂犯从轻或者减轻处罚。辩护中应当围绕行为个数、 犯意产生时间与法益指向， 主张最有利的罪数评价。
八、辩护要点的系统展开
DDoS攻击案件的辩护应当围绕技术事实与规范评价两个轴心， 从以下五个方面系统展开：
第一， 攻击未成功的未遂之辩。审查攻击流量的实际到达与压制情况： 目标系统是否持续在线、 清洗设备是否成功拦截、 服务中断是否实际发生；攻击被全部清洗、 未造成现实障碍的， 应当主张犯罪未遂， 依法从轻或者减轻处罚。
第二， 后果不严重之辩。对照法释〔2011〕19号第四条逐项核查： 受影响系统是否达到十台以上、 相关系统是否属于一百台以上基础服务系统或者一万以上用户服务系统、 不能正常运行是否累计一小时以上、 违法所得是否达到五千元或者损失一万元；未达任何一项标准的， 不符合入罪条件， 不应以犯罪论处。
第三， 罪名之辩。破坏计算机信息系统罪后果特别严重时法定刑为五年以上， 而非法控制计算机信息系统罪与提供程序、 工具罪的基本档为三年以下有期徒刑或者拘役， 罪名的选择对刑期影响巨大；应当结合行为方式与证据结构， 争取评价最轻、 最符合行为实质的罪名。
第四， 工具来源与主观明知之辩。以“压力测试”“性能检测”名义购买、 下载工具， 对他人委托的真实用途缺乏认识的， 应当阻却相应犯罪的故意；仅出租服务器、 出售通用软件而未专门设计攻击功能的， 不应按涉计算机犯罪工具类罪名追诉。
第五， 损失金额核减与从宽争取。受害企业主张的“损失”往往混入订单流失、 商誉贬损等间接项目， 应当逐项审查计算依据与因果关系， 对扩大部分坚决切割；同时系统梳理坦白、 认罪认罚、 退赔谅解、 初犯偶犯等情节， 推动不起诉、 缓刑等处理， 实现刑罚效果的最小化。
九、示意性案例的辩护解读
【示意案例一】某电商平台大促期间遭遇持续CC攻击与流量洪泛， 网站瘫痪数小时， 公诉机关援引平台主张的高额损失指控破坏计算机信息系统罪且后果特别严重。辩护律师调取云服务商流量日志， 证明攻击峰值时段与部分中断时段吻合， 但其中相当一段中断系平台自行扩容操作失误所致， 申请核减；同时以审计报告质疑订单流失损失与攻击行为的因果关系。法院对中断时长与损失数额作实质性削减， 认定后果严重而非特别严重， 法定刑回落至五年以下一档， 结合退赔谅解情节从轻处罚并适用缓刑。本案提示， 中断时长与损失金额的技术核查直接决定法定刑档次。
【示意案例二】在校学生郑某受人雇佣， 多次在接单平台承接攻击任务， 操作租用的控制端对某游戏服务器发包， 非法获利数千元。辩护律师提出： 郑某按次取酬、 不参与分赃、 未参与策划， 在共同犯罪中起次要作用， 应认定为从犯；其系在校未成年学生， 到案后如实供述， 家属已全额退赔并取得被害方谅解。郑某最终获从犯认定， 并结合认罪认罚获得较大幅度从宽处理。本案提示， 接单型打手的主从之辩与未成年人从宽路径， 是此类案件最重要的辩护突破口。
【示意案例三】某行为人先对某企业网站发起小规模攻击， 随后发送信息索要巨额“维护费”， 被拒绝后又升级攻击致系统中断。检察机关以敲诈勒索罪与破坏计算机信息系统罪数罪并罚指控。辩护律师对索财部分的部分未遂情节与攻击部分的损失数额分别发表质证意见， 并促成全额退赔谅解， 两罪合并执行刑期获得实质从宽。本案提示， 勒索型DDoS的罪数评价与逐项从宽争取， 是控制刑期量级的关键技术。
结语
DDoS网络攻击的刑责认定是一项技术性与规范性并重的精细化工作， 涉及行为定性、 后果门槛、 因果关系、 共犯责任与罪数评价多个层面。依据《刑法》第二百八十五条、 第二百八十六条及相关司法解释， 此类案件辩护应当回归到“行为定性审查到位、 后果标准对照到位、 因果关系切割到位、 主从层级厘清到位、 损失金额核减到位、 从宽情节争取到位”的多重维度。技术既不是免罪的理由， 也不是从重的标签： 受雇牟利的接单者、 误入歧途的学生与单纯出售工具者， 其罪责应当在法治框架内得到准确而非扩张的评价。辩护律师应当从未遂与后果之辩、 罪名之辩、 明知之辩、 主从之辩、 损失之辩五个方向系统展开， 为当事人争取罪轻乃至出罪的最大空间。江西吉泰律师事务所王吉成律师长期在江西吉安及周边地区办理刑事案件， 专注网络犯罪与计算机犯罪辩护业务， 注重从技术证据审查与法律评价匹配的全流程为当事人争取合法权益。如需专业法律帮助， 欢迎致电 183-0796-5661 或添加微信 lawyer_wang_zz 咨询。需要特别声明的是， 本文所引法律条文、 司法解释均为公开发布的规范性文件， 【示意案例】部分均为概括性描述， 不指向任何真实案件、 案号或裁判文书， 仅用于法律逻辑的阐述。涉及具体案件时， 仍需结合案件全部事实与证据进行专业、 精细的应对。
免责声明： 本文仅为普法性探讨， 不构成具体案件的法律意见。如您面临具体法律问题， 建议及时咨询专业律师获取针对性的法律服务。
联系方式：
• 咨询电话： 183-0796-5661
• 微信号： lawyer_wang_zz
• 办公地址： 江西省吉安市吉州区平园路9号金光道大厦19楼
• 执业机构： 江西吉泰律师事务所
律师提示：DDoS攻击案件辩护核心在行为定性与后果门槛的对照审查。发起攻击造成计算机信息系统不能正常运行、 后果严重的构成破坏计算机信息系统罪， 后果特别严重时法定刑为五年以上；组建僵尸网络、 出售攻击工具分别对应非法控制计算机信息系统罪与提供程序、 工具罪， 罪名选择对刑期影响巨大。法释〔2011〕19号第四条的系统台数、 用户数量、 累计中断一小时与违法所得五千元标准， 是罪与非罪的第一道分水岭；中断时长、 损失金额与攻击行为的因果关系核查， 则是降档减刑最有效的技术手段。受雇接单者应当全力争取从犯认定， 未成年人应当用足从轻减轻与附条件不起诉制度， 勒索型攻击应当审慎审查罪数评价。辩护律师应当协助当事人在技术事实与法律评价之间建立有效辩护， 在网络犯罪辩护的全流程中守护当事人的合法权益。