近日，上海市黄浦区人民法院审结的一起刑事案件，在技术圈和法律界同时引发热议。被告人周某某通过网络爬虫技术，从开源社区获取某公司对公支付账户的ID和密钥，随后将账户内2.7万元划转至个人名下，被法院以盗窃罪判处有期徒刑一年，缓刑一年，并处罚金5000元。
本案案值不大，但裁判逻辑极为精巧——“爬取公开数据”与“划转他人资金”被截然不同的法律标尺衡量。这背后，不仅关乎《刑法》罪名的构成要件，更触及数字经济时代“数据”“财产”“公开”等核心概念的法律再定义。
01
案例回顾
2024年2月，周某某在G开源社区浏览时，发现某公司开发人员上传的代码中，赫然包含了对公支付账户的ID、密钥等敏感信息。G社区以开放共享为宗旨，未设置任何反爬措施，周某某利用爬虫工具批量抓取了这些公开数据。
随后，周某某尝试使用该密钥登录支付平台，成功进入R公司账户。在R公司完全不知情的情况下，他通过平台的“提现”功能，将账户内2.7万元分次转入自己控制的银行卡。数日后，R公司对账时发现异常，随即报案。周某某到案后如实供述，并退赔全部违法所得，取得被害单位谅解。
02
法院裁判
关于爬取公开信息——不构成犯罪
法院认定，G社区系开源平台，R公司员工主动上传账户信息，该信息即进入公共领域，公司对该信息的访问控制权已因自愿公开而消灭。同时，G社区未设置技术障碍，爬虫行为未突破任何防护措施，不涉及非法获取计算机信息系统数据罪，也不构成侵犯公民个人信息罪（该信息非个人信息）。因此，该阶段行为不具刑事违法性。
关于划转资金——构成盗窃罪
法院进一步指出，数据的“公开性”仅意味着权利主体放弃了排他性访问，但绝不代表其放弃了数据所承载的财产权益。支付账户ID和密钥，本质上是开启资金保险箱的“钥匙”，钥匙本身公开，不代表保险箱内的金钱可以任人取用。周某某利用该信息，未经授权侵入R公司支付账户，将他人占有的货币资金转移至自己控制之下，属于破坏他人占有、建立自己占有的行为，符合盗窃罪“秘密窃取”的本质特征。盗窃金额2.7万元，已达“数额较大”标准，故定罪处罚。
03
律师解读
1. “数据公开”的法律内涵是什么？——访问权与所有权的分离
很多非法律人士会困惑：既然账户信息是公开的，我用它登录难道不是合法的吗？这种理解混淆了“信息的可得性”与“信息所代表权益的排他性”。
从物权法角度看，账户ID和密钥属于“无形财产凭证”，它们本身是数据，但功能上等同于物理钥匙。钥匙被丢在公共场合，捡到的人可以拿去开锁，但开锁后取走他人财物，依然是盗窃。刑法保护的是财产性法益，而非信息本身的秘密状态。R公司从未作出任何“允许他人动用账户资金”的意思表示，公开信息的行为本身不构成对资金所有权的处分。因此，即使信息完全公开，他人也无权使用该信息进行财产处分。
2. 为何定盗窃罪，而非诈骗罪、侵占罪或计算机犯罪？
与诈骗罪的区别：诈骗罪要求被害人基于错误认识主动交付财物。本案中，R公司从头到尾不知情，无处分行为，资金系在平台系统自动执行指令下被划走，周某某并未欺骗R公司人员或平台风控（若平台风控被突破则可能涉及破坏计算机信息系统罪，但本案未出现），故不构成诈骗。
与侵占罪的区别：侵占罪对象是“代为保管的他人财物”或“遗忘物、埋藏物”。周某某从未合法持有该笔资金，也不存在合法保管关系，故不适用。
与非法获取计算机信息系统数据罪的区别：该罪保护的是计算机系统内的数据安全，但周某某获取的数据是公开的，且未侵入系统（密钥系正常登录），故不构成本罪。盗窃罪恰恰填补了“数据公开但财产受损”时的保护空白，评价的是“利用数据转移资金”这一后续行为，而非“获取数据”本身。
3. 技术中立的边界：爬虫合法，但“爬后行为”需审视
本案给技术从业者敲响警钟：技术手段的合法性，不延续至技术结果的任意使用。爬虫获取公开数据，通常属于民事或行政范畴，但一旦利用这些数据实施侵害他人财产、隐私、国家安全等行为，即跳出技术合规领域，进入刑事评价。司法实践中，已有利用公开工商信息伪造身份诈骗、利用公开定位信息跟踪骚扰等判例，其共同逻辑是：数据的“公开性”只豁免获取端的责任，不豁免使用端的责任。使用行为是否合法，要单独判断其目的、方式和后果。
4. 本案对数字经济财产保护的特殊启示
在数字经济中，财产形态日益虚拟化，支付凭证、数字密钥、API接口等成为财产控制的关键节点。本案确立了一个重要裁判规则：凡是能够直接支配他人账户内资金的信息，无论其本身是否公开，其使用行为均受财产犯罪规范。这相当于将传统刑法中的“钥匙”概念延伸至数字领域，为类似案件提供了明确指引。同时，法院通过缓刑和罚金，也平衡了惩罚与教育，避免“重刑化”对技术创新的过度压制，体现了司法克制。
04
结语
从爬虫到转账，周某某只用了几个步骤，但法律评价却层层递进、泾渭分明。本案的标杆意义在于：它清晰地区分了“数据层面的访问自由”与“财产层面的处分权限”，并警示每一位网络参与者——公开网络中的每一串字符，都可能对应现实世界的真实权益，技术的“能用”绝不意味着“可为”。
对于企业，这是一堂沉痛的合规课；对于个人，这是一道清晰的红线。当数据成为新时代的“货币”，唯有尊重代码背后的财产权利，才能在数字浪潮中行稳致远。
本文依据上海市黄浦区人民法院公开判决信息撰写，旨在普及法律知识，不构成个案法律意见。如遇具体问题，请咨询专业律师。
山河律师
湖北山河律师事务所（商事法律团队）— 专注商事诉讼与知识产权法律服务 执业律师，专注法律实务研究。
