ARTICLE · 1332879
手机里多出来的那个 App,从没问过你
这是技术法庭攻防系列文章
2017 年 6 月，一家美国安全公司 CheckPoint 发布报告：一款叫"火球"（Fireball）的流氓软件感染了全球 2.5 亿台计算机，源头指向中国一家叫卿烨科技的公司。几天后，北京火绒安全的工程师走进北京市公安局海淀分局——他们分析完这批软件后发现，六款看似人畜无害的工具软件（压缩工具 OZIP、图片浏览器 Siviewer、看图工具 FvpImageviewer……）全都内置同一个动作：未经允许，往你的 Chrome 浏览器里塞一个 crx 插件，锁定首页和新标签页，并且让你改不回来。
2017 年 6 月 15 日，卿烨科技 CEO、CTO、COO 和四名程序员被抓获。判决书里记下了这家公司的真实体量：变现软件日活跃用户 200 万到 500 万，2016 年变现业务净利润一千多万到三千万，每月从境外广告公司结算 80 多万美金，收款方是一家在加州注册、没有人办公、专门走账的壳公司 RAFOTECH。
(2018)京0108刑初714号，公司加七个人，全部构成破坏计算机信息系统罪。公司罚金五万，三名高管每人两年，四个程序员每人一年十一个月。
而法院最终认定的违法所得，是 944.85 美元。
一、技术行为链
判决书把这条"变现"生意还原得非常完整，每一步都有人供认：
做壳：开发一批功能正常的小工具——压缩、看图、搜文件、输入法、WiFi 共享，放到境外下载站，等用户来装。用户装的是压缩软件，多出来的是浏览器插件。
锁首页：插件把浏览器首页和新标签页改成指定搜索页，用户每次搜索都会看到广告联盟的广告，点击产生分成。一部分首页用户能改回来，另一部分锁死——就算改回去，软件也会定期改回指定的首页。
静默下载：软件频繁被杀毒软件查杀，于是内置"计划任务"，在用户不知情的情况下后台下载安装最新版——"担心用户一旦知道这个事情，就很可能不同意下载安装"。五个被告人的供述里，这句话几乎一字不差。
免杀：专门团队通过修改特征代码、加壳、修改签名做"免杀"，每次杀毒软件更新查杀，就改一版写法，功能不变。判决书记载了分工：赵某是免杀团队负责人，周某"技术非常好，重要的任务都交给他"，卢某负责下载器免杀。
云控回传：一个服务模块每 90 分钟回访一次公司服务器，接收指令——可以远程静默装软件、把用户改掉的首页再改回去、回传硬件 UID 和搜索习惯。
结算：广告收入打进美国壳公司，再转回国内，账面做成"网络推广服务费"。
这不是小作坊。鉴定意见认定：源代码捆绑程序被用户执行后，会在用户不知情的情况下对 Chrome 内核浏览器安装 crx 插件、劫持浏览器、修改启动页且用户无法更改——具有恶意性质，为恶意代码程序。
同一条技术路线上还有别的走法。朝刑初字第1743号案的"静默插件"直接预置进手机，鉴定列出的功能包括获取位置、删除手机内已装应用、安装其他应用、强制关闭正在运行的应用——这份 2013 年的鉴定书，几乎是十年后所有静默安装案的技术底稿。平湖案把"广告 SDK"预装进手机桌面，配合一个"一键达" apk 静默装应用，靠腾讯的广告结算做到 2017 年单年违法所得两千四百万。新昌案把木马植进老年功能机，回传手机号和验证码，卖给做淘宝拉新的人——法院认定的控制数量是 330 万台，而且是被"就低"出来的：有效手机用户数据 330 余万个，推算最大值 500 万台存疑，取有利于被告人的 330 万。潍坊案则是另一种用法：大连晟平公司把带静默安装+隐藏进程功能的挖矿程序发给下线代理——多为网吧管理员——装进网吧电脑替公司挖矿，用 MAC 地址的唯一性统计控制的电脑数量分赃。北京仙果广告案（苏03刑终217）更直接：三家广告公司因静默推广获刑，二审维持——广告行业自己的公司，一批一批走进这个罪名。
二、法院如何翻译
第一层：手机、电脑，都是"计算机信息系统"。 两高 2011 年解释写得很直白：具备自动处理数据功能的系统，包括计算机、网络设备、通信设备、自动化控制设备。你口袋里的手机，在刑法上是标准的计算机信息系统——朝刑初1743案把这个逻辑完整写进了判决。
"违反国家规定"从哪里来——静默安装案的第一道防线。 朝阳案辩方说：安装插件没违反哪部法律。法院翻出两部：《计算机信息系统安全保护条例》——任何组织或个人不得利用计算机信息系统从事危害公民合法利益的活动；《全国人民代表大会常务委员会关于加强网络信息保护的决定》——未经接收者同意或请求、或者接收者明确拒绝的，不得向其手机发送商业性电子信息。静默弹广告，正好踩在第二条上。"没违反国家规定"这个几乎每个被告人都提过的辩点，在两份判决里被同一段引文驳回。
第二层：静默安装=非法控制。 平湖案 28 个被告人提出了一个听起来很有力的说法：广告 SDK 只是行使"程序运行权"，不是"系统控制权"，手机也没被损坏。法院的回答成了这类案件的标准答案："非法控制的本质在于非法性，即违反国家规定；控制行为的本质在于非用户本人操作。"用户对预装和运行不知情、没有同意——这就够了。判决书还留下一个扎心的细节：多名被告人供述，做静默的原因就是"担心用户一旦知道，就很可能不同意"——主观明知写在行为动机里。
第三层：罪名走哪条，看系统还正不正常。 这是本篇最重要的分水岭。卿烨案里，插件锁死首页、用户改不回，法院认定这"导致用户无法根据本人意愿选择浏览器启动页，是对用户计算机信息系统原有功能的破坏"——静默安装本身是非法控制，插件锁首页是破坏功能，手段和目的牵连，从一重，定破坏计算机信息系统罪。辩方主张只定较轻的非法控制罪，被驳。而重庆话语科技"爱爱视频"案正好反着来：这个 App 拦截订阅短信、自动回复，替用户订了 SP 增值业务扣费，删改了数据，但公诉机关起诉破坏计算机信息系统罪，法院主动改成了非法控制计算机信息系统罪——理由是"没有确实、充分的证据证明存在用户安装使用该应用程序后其手机系统不能正常运行的情况"。罪名在破坏与控制之间摇摆，摇摆轴就是：系统功能有没有被破坏、用户还能不能做主。
第四层：卖程序、卖控制权，单独一档。 吴江案里余文兵卖静默安装程序获利十余万，构成提供侵入、非法控制计算机信息系统程序、工具罪，判五年——本批最重。更有意思的是买家张秋生：他收购"肉鸡"控制权再转卖三千三百台，辩称构成掩饰、隐瞒犯罪所得罪（更轻），法院不认——这些机器"可以重复销售"，说明他手里一直握着控制权，他自己就是非法控制的共犯，四年六个月。
门槛还是那几组数。 这批案件全部适用两高 2011 年解释：非法控制计算机信息系统二十台入罪，数量达到二十倍或者违法所得二万五千元以上就是"情节特别严重"。对照卿烨案——哪怕最终认定的违法所得只有九百多美元，控制规模（日活几百万台）早已远超数字门槛；而汝州卖家们的程序没有实际落地装机多少台，走 285 条第三款按"提供工具"单独计罪，情节特别严重照样成立。门槛不是挡箭牌，只是决定在哪一档判。
三、辩点攻防
"我只是个程序员"——必败。 卿烨案程序员卢某说自己"就是普通的程序员，听从领导安排"，不可能起较大作用。法院查明他明知自己写的下载器就是劫持首页的源代码程序，同案多人指认。平湖案 28 人从架构师到测试全部入罪；新昌案员工周某辩称"仅领取工资报酬，实质上也是受害者"，法院答：明知验证码来源非法仍积极找客户，工资也是违法所得。技术岗的减刑空间在"从犯"认定上，不在"我只是打工"上。
"预装是手机厂商的权限，购机协议授权了我们"——必败。 平湖案的核心抗辩。法院的攻破方式很朴素：多名用户证言+客观印证（弹广告的程序源头就是广告 SDK）证明用户不知情，所谓授权保护不了不知情的用户。
"违法所得应扣开发成本"——看法院。 深圳龙华案给出了最严算法：违法所得是犯罪取得的全部财产，开发费用、维护费用、连刷机费用都算进违法所得，给下家的分成是分赃不扣减——11.59 万，三年实刑。卿烨案则相反：指控 8000 多万全部收入都是违法所得，法院用"因果关系"标准砍到 944.85 美元——审计报告里的"广告注入收入""搜索收入"无法证明哪一笔来自劫持行为，只有财务表里明确标注"siviewer+QTYPE RU 劫持收入"的那一行被采纳。同一罪名，两种算法，相差一万三千倍。
"鉴定有瑕疵"——空泛攻击全败，具体瑕疵能赢。 荥阳"微怪兽"案辩方两线作战：攻击鉴定资质（声像资料鉴定机构能不能做电子数据功能性鉴定？法院认定可以，输）；攻击提取程序——提取时被告人不在场、无见证人签字、送检光盘经"爱思助手"重新签名、因安装失败二次送检但鉴定书只写光盘一张——程序瑕疵成立，"微怪兽"部分数额整体扣除。对照本系列医院抢号篇里渝中院"瑕疵+合理解释=不排除"的打法：攻电子数据，要的是这种一条条列得出来的硬伤。
单位犯罪——双刃剑。 认定单位犯罪的卿烨、话语科技、大连晟平，个人刑期普遍短于同等规模的自然人犯罪；但平湖案辩方主张公司行为，法院认定那是个人共同犯罪——单位这面盾，接不接得住，要看公司意志的证据长什么样。
四、量刑标尺
看表结论：控制台数撑起档位，违法所得填进刑期，退缴决定自由身。 汝州案 6 人卖的是"情节特别严重"级别的软件，因全部退缴违法所得并预缴罚金，一个实刑都没有；龙华案 11.59 万一分成本不扣，就是三年铁窗——量刑的天平上，退赃那一端比金额重。
平湖案的 28 人刑期表还提供了一条少见的岗位量刑阶梯：主导 SDK 研发的主犯欧建宏四年六个月；各模块负责人两年到两年八；测试、客服岗一年四个月、多数缓刑——同一个 SDK，写的人和测的人差三年。卿烨案同构：高管两年，程序员一年十一个月。判决书里的技术岗，不是无差别的共犯，是一张按作用力定价的清单。
五、红线清单
"用户没同意"四个字就是入罪门槛。 静默安装、预置插件、后台推送，在刑法里都叫"未经授权对计算机信息系统实施控制"——哪怕你装的每个 App 单独看都合法。
手机是你的，系统处置权不是。 往用户手机里预置、静默安装、远程推送，和你自己手机上装什么软件，是两回事。
"能改回来"和"改不回来"是两个罪名。 弹广告+可卸载，往非法控制走；锁死首页、用户改了又改回去，往破坏罪走——卿烨案就是这么加重的。
静默的目的本身就是证据。 "怕用户知道就装不了"——这句话在至少四份判决书里出现。做产品时绕开用户知情权的每个设计，都在给未来的判决书写供词。
卖出去的那一刻，责任不会跟着软件走。 提供静默安装类程序=285 条第 3 款，吴江案卖家 5 年是顶格信号；"技术中立"在这类判决里没有赢过。
收购、转卖"肉鸡"不是销赃，是继续犯罪。 可以重复卖的控制权，说明你一直在控制——掩隐罪这个"轻罪出口"被法院焊死了。
违法金额不扣成本、不扣分成。 刷机费、维护费、给下家的分成，法院全都算进违法所得。做预算时按"全额"估。
退缴+预缴罚金是最实际的缓刑钥匙。 汝州六人全缓 vs 龙华三年实刑，中间只隔着"把钱退了"。
手机厂商、渠道、刷机商、SDK 开发者，链条上每个角色都有对应的判决。 平湖 28 人从决策到测试无一豁免，"按领导要求做"只影响从犯认定，不构成出罪理由。
最后一条给产品经理： SDK 埋点、静默升级、锁首页、拉活，这些"行业惯例"在判决书里全部有名字——预装、静默安装、劫持。法务评审时把每个自动化动作写成一句话：用户同意了吗？他不同意，能阻止吗？两个问题过不了，就不是增长黑客，是隐形房客的房东。
