DNS流量劫持案件的刑法规制

背景
随着经济快速发展下的市场主体大幅扩容、线上线下市场加速融合，互联网世界永远是流量为王，网络经济就是关注度经济，互联网产品模式的创新日新月异，但无不围绕快速提升流量和迅速占有市场的目的，因此为了实现商业利益的最大化，便出现了流量劫持的违法行为，以此争夺互联网流量入口。
流量劫持，本意上是利用各种技术手段，包括恶意软件、木马修改浏览器、锁定主页或不停弹出新窗口等方式，强制用户访问某些网站，从而造成原实际用户流量损失的情形。DNS是域名系统，简单理解就是网站域名和IP互相映射，方便用户直接输入网址就能浏览网站内容的系统，DNS流量劫持，就是通过DNS系统达到替换网络数据的目的。
实务中的流量劫持除了弹窗以外，存在A-A和A-B两种行为结果，A-A是指虽然通过劫持行为导致URL发生改变，但用户访问的目的网站不变，比如百度的URL被劫持后，后面加上推广代码，但用户依旧在使用百度网站。A-B即用户的访问网站因为劫持行为发生的改变，比如用户打开的是A网站，但被跳转去了B网站。
以往流量劫持存在于互联网竞品之间竞争的行为，法律以不正当竞争的商事纠纷予以规制，但现几年，随着法律与技术结合认识的提升，特别是上海市浦东新区的刑事判决，确认了流量劫持存在大量利用技术手段实施涉嫌犯罪的行为。
1、司法困境
（一）主体专业性
流量劫持具有强烈的技术特征。网络犯罪中，技术能力和危害程度是对等的。犯罪嫌疑人首先需要具备专业的计算机技术和娴熟的计算机操作技能。因而对案件的承办人以及律师都有着专业化的需求。
（二）行为隐蔽性
实务中的流量劫持行为，无论是A-A还是A-B，都是争取做到让用户无感知的。犯罪嫌疑人通过程序软件的操作来实现劫持目的，一般是利用互联网用户使用的浏览器等软件插件以及数据路径中的路由器DNS等，多数杀毒或安全软件对流量劫持不会报警，故而网络用户往往不知侵害从何时、何地开始，大多需要厂商或部分单位工作发现流量异常才能被知晓。
（三）对象隐忍性
流量劫持案件获利来源基本都是目标网站主，但受害对象有所区别，有些比如A-A的劫持，对实际网络用户来说，并不会产生大的影响，劫持方通过渠道代码结算推广费用，结算方作为大厂除非特殊情况，对该类作弊行为不会予以刑事控告。但A-B的劫持而言，虽然认为会网络用户会产生实际影响，同时会明显影响A的利益，但实务中这类劫持都是针对灰黑产业，所以也很少会有人主动提出刑事控告。
（四）取证困难性
流量劫持属于纯技术行为，行为人只需要制定相应的策略，在任何时间、地点均可实施，并且行为人之间的联络协作通常都是在线，有时通过特殊的社交软件来掩盖真实身份，故而对行为人的身份锁定非常困难。由于犯罪主体的专业性，行为人多具有一定的反侦查能力。本案中，被告人出售劫持的流量时使用了他人的支付宝账户及银行卡；租用境外服务器并不定期要求服务器提供者予以格式化或重启来销毁日志痕迹；根据不同网站的网络监管力度调整恶意代码的投放方向及数量等。
2、刑事制裁
案例1
最高法指导案例102号
2013年底至2014年10月，被告人付宣豪、黄子超等人租赁多台服务器，使用恶意代码修改互联网用户路由器的DNS设置，进而使用户登录“2345.com”等导航网站时跳转至其设置的“5w.com”导航网站，被告人付宣豪、黄子超等人再将获取的互联网用户流量出售给杭州久尚科技有限公司（系“5w.com”导航网站所有者），违法所得合计人民币754,762.34元。
本案是全国首例流量劫持入刑案件，首次以司法的方式确认了劫持他人流量的行为构成犯罪，对推进网络空间法治建设具有重大意义。经笔者徐昊律师查询该法院网站了解，本案在审理过程中，有三种不同意见：
第一种意见认为，流量劫持行为不构成犯罪。流量劫持行为人仅需要承担民事法律责任。流量劫持行为人构成明显侵权和不正当竞争应承担相应的民事赔偿责任。根据消费者权益保护法的相关规定，消费者享有知悉网络服务真实情况的权利和对网络服务的自主选择权，流量劫持行为明显侵犯了消费者的网络服务自主选择权，流量劫持行为人应对网络用户承担赔偿责任。
第二种意见认为，本案中二被告人的行为构成盗窃罪。流量具有法律意义上的财产属性，未经本人许可，他人不能非法劫持。流量劫持行为就是非法窃取他人财产，构成盗窃罪。
第三种观点认为，本案中二被告人的行为构成破坏计算机信息系统罪。被告人明知自己的行为会发生影响计算机系统正常运行等结果，却希望这种结果发生，主观上具有破坏计算机信息系统的故意。被告人利用恶意软件攻击DNS解析的行为，对网络用户的计算机信息系统中存储、处理的数据进行修改、增删，符合破坏计算机信息系统罪的客观构成要件。且本案被告人违法所得人民币75万余元，依法属于“后果特别严重”，达到破坏计算机信息系统罪的入罪标准。
最终上海市浦东区人民法院合议庭采纳了第三种观点，对被告人付宣豪和黄子超都分别以破坏计算机信息系统罪判处有期徒刑三年缓刑三年。
案例2
2013至2014年期间，被告人高某某与李某某共谋利用施某某网络运营商重庆公司工作的职务便利，进入运营商DNS系统实施域名劫持。获知施某具有利用网络运营商的DNS系统修改域名解析配置文件的权限，高某某、李某某将需要劫持的网站域名和某私服游戏的IP地址发给施某，由施某修改网络运营商的DNS系统域名解析配置文件，进行该私服游戏的域名劫持。2014年6月，被告人唐某某与被告人赵某为获取推广费，共谋劫取四个网站域名的IP访问流量，由于也受运营商DNS系统修改权限限制，利用施某权限运营商DNS系统修改域名解析配置文件，当该运营商的重庆用户访问上述四个网站时，自动加入四个网站推广代码。两年内，被告人施某非法获取人民币共计157.1万元，被告人唐某某获利50万元，被告人高某某获利18万余元，被告人李某某获利14万元。公安机关以破坏计算机信息系统罪对被告人施某、唐某某、高某某、李某某刑事拘留，后检察机关以非法控制计算机信息系统罪诉至法院。
最终重庆市渝北区人民法院同意公诉机关观点，对被告人施硕以非法控制计算机信息系统罪判处四年有期徒刑，对唐某等三人都分别判处三年有期徒刑或缓刑。
3、三叶草刑事团队观点
案例1和案例2表面上看都属于通过DNS劫持修改了数据包，技术逻辑类似，案例1是使用恶意软件对DNS系统的解析采取了技术手段，并对互联网用户的域名解析服务器中存储处理的数据进行修改，将网站域名劫持到推广的IP地址，而案例2是直接用网络运营商员工的权限，修改域名解析配置文件，将需要劫持的网站域名指向需推广的IP地址。
为方便了解犯罪技术逻辑下的法律规制，笔者认为在此应当可以将行为分为两个阶段，前置行为和目的行为：前置行为就是如何取得域名的解析控制权，明显两个案例是不同的。而两个案例的目的行为是一致的，都是通过策略制定名单，在某范围内拦截修改了域名解析的请求，法律表达就是对网络数据实施了增删改行为。
案例2很好理解，一般是DSP公司和运营商某岗位人员进行串通，通过修改配置文件来实现流量劫持的目的，即利用现有的控制权实施劫持。而案例1，一般是黑客人员，实现掌握了某品牌型号的硬件漏洞或者软件漏洞，渗透技术获取了相应的权限，来加载代码实现流量劫持的目的，即通过技术手段获取控制权实施劫持。
就此，徐昊律师咨询运营商了解，目前只有省级运营商的DNS系统管理员才有修改域名解析配置文件的权限，这样对于案例2的重庆公司也就能理解了，据说曾经部分地区号百业务也是如此。市县运营商的工作人员是无法设置修改运营商骨干服务器的DNS，所以很多内外勾结案件中就必然存在一个实务现象，就是只要实施流量劫持的业务，不管是跳转还是弹窗，必然需要技术人员事先编辑好代码，通过镜像或者其它服务器实施劫持，同时保障实现自身所需要的劫持策略。
结言
流量劫持行为非常复杂，犯罪行为多样化，可以发生在任何一个数据链路层和网络层节点以及信息系统中所安装使用的软件，比如有些浏览器或其它软件的厂商利用自身优势对自家软件予以技术调整进行劫持，而有的是利用技术控制破坏其它软件或系统进行劫持。犯罪目的也呈现多样化，虽然都是为推广牟利，有些是为了推广竞品，而有些行为却是实施诈骗，比如前几年的搜索到现在的电商等推广，劫持为带有推广ID标识的行为，主观上就是予以骗取这些厂商的推广费用。
本文仅就DNS劫持的两个案例进行举例探讨，但关于DNS的劫持实际非常复杂，比如缓存感染、重定向以及中间人攻击等多种方式。通过该两个案例，徐昊律师认为从刑法规制层面，不能对该类劫持一棒子打死，应当理清犯罪行为的技术逻辑后予以相适应的规制，如此才不会随意扩大解释，也满足罪责刑相适应这一基本刑法原则。