書面許可なしで他人のシステムをテストしない。善意や事後報告は法条の免責理由ではない

費用はかかりません。ベンダーのSRC（セキュリティ・レスポンス・センター）やバグバウンティに参加する前には、必ず許可範囲、対象リスト、テスト可能期間が明記された文書を入手してください。SRCはベンダー自身が運営するセキュリティ・レスポンス・センターであり、外部から報告された脆弱性を専門に受け付けています。脆弱性が存在することを確認したら、そこで作業を止めてください。難しい点は、「ついでに試してみよう」という衝動を抑えることです。

普通企業・個人のシステムは国家業務・国防・先端科学以外のシステムです。侵入その他技術で保存処理送信データを取得し重大なら 3 年以下か拘役と罰金、または罰金のみ、特に重大なら 3～7 年と罰金。起点は金融決済・証券・先物等の認証情報 10 組以上、他の認証 500 組以上、制御 20 台以上、利益 5000 元以上か損失 1 万元以上。各 5 倍以上で特に重大。検例 36 は権限外で ID・パスワードを使うログインを侵入と明示。3 人は仕事で得た情報・token で遠隔から社内に入り担当外データを販売し利益 37000 元、各 4 年・3 年 9 か月・4 年と各 4 万元でした（全国）。

全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml；央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

検例 36 は営利販売で、引用は権限外ログインも侵入という点だけで善意テストと同刑ではありません。刑法第 285 条と 2011 年解釈は善意・事後報告を免責とせず、意図や報告は量刑・不起訴に影響しても罪を相殺しないという作者の推論です。感謝後の通報は矛盾せず感謝は許可ではありません。2016 年白帽研究者が世紀佳縁の欠陥を第三者へ提出後逮捕。会社はデータ持出しで通報し、提出者と同一とは当時知らなかったと報道に説明。報道のみで判決・公式発表・最終処理は未確認、善意事例の公式逐語照合もないため法条基準だけで評価。公開 SRC か書面委託で範囲・対象・時間を明記し、最小限の証拠で示し大量取得しないでください。刑事未満も治安処罰・職業禁止があり第 8 項と同じ。発見後は第 10 項参照。