破坏计算机信息系统罪客观方面的证据审查
破坏计算机信息系统罪的客观方面表现为三类法定行为：一是对计算机信息系统功能进行删除、修改、增加、干扰，造成系统不能正常运行；二是对系统数据或应用程序进行删除、修改、增加操作；三是制作、传播计算机病毒等破坏性程序，影响系统正常运行。审查客观方面证据需围绕 “行为存在性”“因果关系”“后果严重性” 三个核心维度，结合行为类型细化证据审查要点，具体如下：文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
一、三类法定行为的核心证据审查文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
1. 对计算机信息系统功能进行删除、修改、增加、干扰的证据审查文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
此类行为的证据需同时证明 “实施了干扰操作”“系统不能正常运行”“操作与故障存在因果关系”，重点审查以下内容：文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
- （1）行为人实施干扰操作的证据：需固定能直接指向行为人操作的电子数据，包括：
- 操作日志：如行为人使用的设备 IP 地址、网络活动记录（如登录服务器的时间、操作指令）、路由器或防火墙的访问记录（标注异常操作来源）；
- 攻击过程记录：在 DDoS 攻击案件中，需调取 “肉鸡”（被控制设备）的指令接收日志、攻击平台的充值记录（如购买攻击流量的支付凭证）、攻击指令发送记录（如通过暗网工具下达攻击命令的痕迹）；
- 工具与程序证据：行为人使用的干扰工具（如 DDoS 攻击软件、流量生成器）的源代码、安装包，以及工具运行过程中生成的临时文件（佐证工具用途）。
- （2）被害人系统不能正常运行的证据：需证明系统故障的具体表现与程度，包括：
- 系统基础信息：被害人的营业执照（证明系统所属主体）、被侵害服务器的 IP 地址、域名注册信息、系统功能说明（如为电商平台提供交易服务）；
- 故障记录：被攻击服务器的系统日志（如 CPU 使用率骤升、内存耗尽的时间节点）、网络监控数据（如异常流量峰值与攻击时间吻合）、用户反馈记录（如大量用户投诉无法访问、交易失败）；
- 被害人情况说明：详细载明系统故障的起止时间、故障表现（如完全宕机、响应延迟）、对业务的影响（如订单量下降、用户流失），并需附相关截图（如故障时的系统报错页面）佐证。
- （3）行为与故障的因果关系证据：需排除其他因素（如系统自身故障、其他攻击），锁定行为人操作的关联性，包括：
- 时间吻合性证据：攻击日志显示的攻击开始 / 结束时间，与被害人系统故障的发生 / 恢复时间完全一致；
- 技术匹配性证据：攻击手法（如 TCP Flood 攻击）与系统故障原因（如 TCP 连接数耗尽）技术原理一致，攻击源 IP 轨迹与行为人控制的 “肉鸡” IP 范围重合；
- 主观关联证据：行为人攻击前后与被害人的聊天记录（如威胁 “不付款就让系统瘫痪”）、邮件往来（如发送攻击预告），佐证攻击意图与系统故障的直接关联。
2. 对计算机信息系统数据或应用程序进行增删改操作的证据审查文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
此类行为的证据需聚焦 “数据 / 程序被修改的事实”“修改行为由行为人实施”，重点审查以下内容：文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
- 操作痕迹证据：行为人实施增删改操作的日志（如数据库的 SQL 语句执行记录、文件修改时间戳）、远程登录记录（如通过 SSH、RDP 登录系统的 IP 与账号）、操作过程中的屏幕录像（若有）；
- 工具与程序证据：使用的修改工具（如数据库管理软件、文件编辑工具）的安装记录、工具操作日志，若使用自定义程序，需提供程序源代码（证明程序具备数据修改功能）及鉴定报告（确认程序用途）；
- 系统勘验笔录：对行为人设备（如电脑、U 盘）和被害人系统进行勘验，提取被修改前的数据备份（如数据库快照）、修改后的数据文件，通过比对证明数据差异（如关键交易数据被删除、用户信息被篡改）；
- 佐证证据：被害人发现数据异常的时间记录、数据恢复尝试记录（如委托第三方机构恢复失败的报告）、行为人与他人的聊天记录（如炫耀 “已修改某系统数据”）。
3. 制作、传播计算机病毒等破坏性程序的证据审查文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
此类行为的证据需突出 “程序的破坏性”“传播事实”“对系统的影响”，重点审查以下内容：文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
- 程序鉴定报告：由具备资质的机构出具，明确程序是否属于 “破坏性程序”（如是否能自我复制、删除系统文件、占用系统资源导致瘫痪），并说明程序的技术原理（如勒索病毒的加密算法、蠕虫病毒的传播机制）；
- 传播证据：程序传播的路径记录（如通过邮件附件、P2P 软件、恶意链接传播的日志）、接收者的设备感染记录（如其他用户设备检测出该病毒的报告）、行为人传播程序的聊天记录（如在论坛发布病毒下载链接）；
- 系统影响证据：被感染系统的勘验笔录（如系统文件被删除的痕迹、病毒残留文件）、被害人情况说明（如感染病毒后系统无法启动、数据被加密）、病毒造成的故障统计（如感染设备数量、故障持续时间）。
二、“后果严重” 的量化证据审查文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
根据司法解释，“后果严重” 需通过具体量化标准认定，不同情形的证据审查要点如下：文章源自法随行北京律师网_免费咨询_法随行-https://www.fasuixing.com/12353.html
1. 造成 10 台以上系统软硬件不能正常运行
- 审查证据：每台故障设备的系统日志（如硬件报错记录、软件崩溃日志）、云服务商出具的故障证明（如阿里云、腾讯云提供的服务器异常运行报告）、勘验笔录（逐一记录设备故障情况）、被害人统计的故障设备清单（需标注设备编号、IP、故障时间）。
- 注意事项：需排除 “非行为人导致的故障”（如设备老化、系统兼容性问题），可通过技术鉴定确认故障原因与行为人操作的关联性。
2. 对 20 台以上系统数据进行增删改操作
- 审查证据：每台被修改系统的数据库日志（如数据删除 / 修改的 SQL 记录）、文件修改时间戳（证明数据被篡改的时间）、勘验笔录（比对修改前后的数据差异）、被害人统计的被修改系统清单（需附数据修改前后的截图）。
- 注意事项：若涉及云数据库，需调取云平台的操作审计日志（如 AWS CloudTrail、阿里云 ActionTrail 记录），确认修改操作的发起账号与行为人关联。
3. 违法所得 5000 元以上或经济损失 10000 元以上
- 违法所得证据：行为人名下银行卡流水、第三方支付账号（微信、支付宝）转账记录（筛选与犯罪相关的收款，如 “病毒解锁费”“数据修改报酬”）、交易对手的证言（如支付报酬的被害人陈述）；
- 经济损失证据：
- 直接损失：被害人因系统故障导致的业务损失（如电商平台故障期间的订单损失，需附订单记录、交易流水）、数据丢失导致的直接损失（如客户信息丢失引发的赔偿款支付凭证）；
- 恢复费用：系统修复费用（如聘请技术公司的服务合同、发票）、数据恢复费用（如第三方数据恢复机构的收费凭证）、硬件更换费用（如被病毒损坏的服务器采购发票）、临时替代服务费用（如租用备用服务器的合同与支付记录）；
- 辅助证据：审计报告（由会计师事务所出具，确认损失金额）、员工加班记录与工资凭证（如为修复系统支付的加班费）。
4. 为 100 台以上基础服务系统或 10000 名以上用户系统造成 1 小时以上故障
- 审查证据：基础服务系统的后台数据（如域名解析服务器的故障日志、身份认证系统的访问失败记录）、用户数量统计（如平台注册用户数截图、活跃用户数据报告）、故障持续时间证据（系统监控记录显示的故障起止时间）、被害人情况说明（载明服务中断对用户的影响）。
- 注意事项：用户数量需以系统后台真实数据为准，避免被害人夸大；故障持续时间需精确到分钟，确保累计时长达到 1 小时以上。
5. 破坏性程序特有的 “后果严重” 情形
- 程序传播证据：病毒传播的网络日志（如感染设备的 IP 分布、传播路径）、杀毒软件厂商的病毒报告（如 360、卡巴斯基发布的病毒感染统计）；
- 植入设备证据：20 台以上被植入程序设备的勘验笔录（每台设备需单独记录植入痕迹）、设备使用者的证言（如发现设备异常的时间与症状）；
- 提供程序证据：向 10 人次以上提供程序的交易记录（如支付宝、比特币转账凭证）、聊天记录（如与 10 名不同对象沟通提供程序的内容）、接收者的确认证言。
三、证据审查的关键原则
- 电子证据的真实性审查：电子数据（如日志、聊天记录）易被篡改，需审查证据的提取过程是否合法（如勘验笔录是否有见证人签字）、是否进行哈希值校验（确保数据未被修改）、是否有原始存储介质（如扣押的硬盘、U 盘）佐证；
- 证据链的完整性：每一项事实（如行为实施、后果发生、因果关系）均需至少两项以上独立证据印证，例如：证明 “系统故障由行为人导致”，需同时有攻击日志、故障记录、技术鉴定报告三项证据；
- 量化标准的严格把握：“10 台系统”“5000 元违法所得” 等量化标准需精确计算，避免模糊认定（如故障设备需逐一核对日志，不得估算），对存疑数据（如被害人自行统计的损失）需通过第三方鉴定（如审计报告）确认。
综上，客观方面的证据审查需以 “行为 - 因果 - 后果” 为逻辑链，通过技术证据与言词证据的相互印证，精准认定行为人实施的破坏行为及危害后果，为定罪量刑提供扎实的客观依据，同时避免因证据不足或标准模糊导致的司法认定偏差。
