對抗DDoS攻擊的法律武器
若干年前讀大學時候我接觸的第一門專業課是“網絡基礎課”，還記得第一節課時老師就以ping命令為切入點介紹DDoS攻擊，當時還專門告訴我們要念成“D-D-O-S”，而非“D-DOS”。時至今日，DDoS攻擊依然是網絡系統所面臨的主要威脅之一。
簡而言之，DDoS是Distributed Denial of Service的縮寫，即分布式拒絕服務。簡單來說是向服務器同時發布大量請求，讓服務器無法及時響應正常的訪問請求，以至于服務癱瘓。防御DDoS攻擊當然需要技術手段，比如擴容、建立防火墻、設置CDN……但法律對于應對DDoS攻擊同樣重要。
一、用途
DDoS的用途非常廣泛，是敲詐勒索、破壞競爭對手經營的一把利刃，甚至可以被用于提高網絡游戲的勝率。
2020年1月，育碧游戲紐約地區法院起訴就DDoS攻擊服務商，DDoS攻擊服務商為玩家提供“炸房”服務，即玩家可以在一局游戲快失利之時對游戲服務器發動DDoS攻擊，造成服務器卡頓，導致本局服務無效。“炸房”在國內也不是新鮮的話題。2019年，暴雪旗下的游戲《守望先鋒》中國運營團隊配合上海公安等執法機關，對《守望先鋒》游戲中性質惡劣的“炸房外掛”進行重點打擊。在2017年，騰訊旗下《英雄聯盟》運營團隊對2189名玩家因為使用“炸房”程序被全服封號。
以“DDoS”+“網絡游戲”作為關鍵詞進行檢索，就會發現“炸房”更悠久的歷史。比如在鄭志隆、劉華剛等破壞計算機信息系統案((2012)杭拱刑初字第486號)中：
| 2011年下半年開始，被告人鄭志隆、劉華剛因在互聯網http://www.game456.com網站游戲上輸錢遂起報復心理，在互聯網上租用攻擊控制端服務器，通過遠程登錄的方式操控攻擊控制端服務器，對浙江凱聯科技有限公司(以下簡稱凱聯公司，住所地杭州市拱墅區湖墅南路186號1403室)運營的http://www.game456.com網絡游戲服務器發起網絡攻擊，致使該網絡游戲服務器無法正常運營，以達到操控牌局“包贏不輸”的目的。 |
二、罪名與打擊
對DDoS最大的威懾，來自于《刑法》第二百八十六條破壞計算機信息系統罪：
- 違反國家規定，對計算機信息系統功能進行刪除、修改、增加、干擾，造成計算機信息系統不能正常運行，后果嚴重的，處五年以下有期徒刑或者拘役;后果特別嚴重的，處五年以上有期徒刑。
- 違反國家規定，對計算機信息系統中存儲、處理或者傳輸的數據和應用程序進行刪除、修改、增加的操作，后果嚴重的，依照前款的規定處罰。
- 故意制作、傳播計算機病毒等破壞性程序，影響計算機系統正常運行，后果嚴重的，依照第一款的規定處罰。
- 單位犯前三款罪的，對單位判處罰金，并對其直接負責的主管人員和其他直接責任人員，依照第一款的規定處罰。
在最高人民法院與最高人民檢察院《關于辦理危害計算機信息系統安全刑事案件應用法律若干問題的解釋》中，對破壞計算機信息系統的適用進行了明確：
| 破壞計算機信息系統功能、數據或者應用程序，具有下列情形之一的，應當認定為刑法第二百八十六條第一款和第二款規定的“后果嚴重”：
(一)造成十臺以上計算機信息系統的主要軟件或者硬件不能正常運行的; (二)對二十臺以上計算機信息系統中存儲、處理或者傳輸的數據進行刪除、修改、增加操作的; (三)違法所得五千元以上或者造成經濟損失一萬元以上的; (四)造成為一百臺以上計算機信息系統提供域名解析、身份認證、計費等基礎服務或者為一萬以上用戶提供服務的計算機信息系統不能正常運行累計一小時以上的; (五)造成其他嚴重后果的。 實施前款規定行為，具有下列情形之一的，應當認定為破壞計算機信息系統“后果特別嚴重”： (一)數量或者數額達到前款第(一)項至第(三)項規定標準五倍以上的; (二)造成為五百臺以上計算機信息系統提供域名解析、身份認證、計費等基礎服務或者為五萬以上用戶提供服務的計算機信息系統不能正常運行累計一小時以上的; (三)破壞國家機關或者金融、電信、交通、教育、醫療、能源等領域提供公共服務的計算機信息系統的功能、數據或者應用程序，致使生產、生活受到嚴重影響或者造成惡劣社會影響的; (四)造成其他特別嚴重后果的。 |
在公安部網絡安全保衛局設立的網絡違法犯罪舉報網站上，就有舉報計算機破壞的入口，當然網站也建議，遇到緊急情況請撥打110。螞蟻金服也很貼心地整理了“遭受DDoS攻擊后如何向網監報案”，在正式立案后阿里云將配合網監部門接口人提供攻擊取證。
對于遭受DDoS攻擊的受害者，報案也不是一個簡單選擇。從2018年8月開始，公安機關針對網絡亂象已實行“一案雙查”制度，即在對網絡違法犯罪案件開展偵查調查工作時，同步啟動對涉案網絡服務提供者法定網絡安全義務履行情況的監督檢查。對拒不履行法定網絡安全義務、為網絡違法犯罪活動提供幫助的網絡服務提供者，公安機關將依法對其進行嚴厲查處
。簡單來說，網站一旦被DDoS攻擊而選擇報案，公安機關不僅會追查發起DDoS攻擊的黑客，也會同時調查遭受DDoS攻擊一方是否按照《網絡安全法》的要求履行網絡安全義務，如完成等級保護工作。因此如果企業疏于網絡安全與數據保護工作，不僅會將自己的網絡系統暴露于DDoS攻擊，也會讓自己在報案時不那么有底氣。
在最近幾年的“凈網行動”中，DDoS攻擊被作為重點打擊對象。2019年，北京網安總隊在公安部統一指揮下，針對DDoS攻擊展開專項打擊。截至2019年底，在全國范圍內共抓獲違法犯罪嫌疑人379名，清理在京被控主機7268臺。專項打擊期間，國內DDoS攻擊控制端數量環比下降30%，參與攻擊信息系統數量環比下降41%。
三、產業鏈
DDoS逐漸升級，形成了復雜的產業鏈。DDoS如果只是通過QQ或電子郵件來威脅要求支付贖金，那么很容易根據資金的流動情況抓獲黑客，但隨著比特幣的出現讓資金流難以追查。另一方面，發起DDoS的門檻也越來越低，哪怕是小白，在所謂的“壓力測試平臺”也能夠購買DDoS服務，甚至還可以包月。育碧起訴的sng.one就提供終身訂閱與月度套餐。
DDoS產業鏈示意圖來自于云鼎實驗室與FREEBUF發布的《深淵背后的真相之[DDoS威脅與黑灰產業調查報告]》。
2018年，浙江省景寧警方破獲全國首例新型DDoS黑客網絡犯罪案(不知道怎么認定的首例)，團伙通過搭建各自的DDoS攻擊平臺，通過刷百度排名，推廣DDoS服務，同時客戶也可以在平臺上購買不同價格的“攻擊套餐”。客戶付錢后，只要輸入需要攻擊的網站網址，平臺便會發起自動攻擊。公安部將該案列為2018年第一批打擊黑客“凈網專項”快偵快破督辦案件，在阿里巴巴團隊的協助下，專案組摸清了這一組織的底細。
在唐小平破壞計算機信息系統案((2018)蘇0684刑初664號)中，將這一產業鏈描繪得更加清晰：
| 被告人王巖受被告人唐小平委托于2017年5月建立了一個具有會員充值、任務提交功能的DDOS網站(后增加任務提醒短信接收功能)，域名http://scy.087.com.cn和http://59ddos.com。被告人唐小平通過網絡推廣等方式吸收有DDOS攻擊需求的人員在網站進行注冊會員、充值及提交DDOS攻擊任務。2017年9月底開始，被告人唐小平伙同被告人肖媛在接收到DDOS攻擊任務后，通過登陸取得DDOS攻擊權限的境外網站，對會員提交的IP等內容進行DDOS攻擊，致使被攻擊的IP等內容的關聯網站、服務器等計算機信息系統不能正常運行。2018年3月期間，被告人唐小平讓被告人王巖將境外DDOS攻擊接口直接接入該DDOS網站。經鑒定， http://scy.087.com.cn網站具備向指定IP或域名的計算機發起DDOS流量攻擊的功能與能力，流量攻擊過程中產生的大量網絡數據包導致用戶無法正常訪問被攻擊計算機，流量攻擊能力對被攻擊目標具有破壞性。該DDOS網站接受會員充值總和為***176310元(以下幣種同)。 |
四、法律工作者也別急著走
法律關系密如蛛網，DDoS攻擊中也不例外。公司的法務與外部律師需要完成評估、取證、協調公安機構、報案、起訴等。公司一旦遭遇DDoS攻擊，當然首先是通過技術手段進行防御，這本身就是一項法律義務：
- ……在發生危害網絡安全的事件時，立即啟動應急預案，采取相應的補救措施，并按照規定向有關主管部門報告。
- ——《網絡安全法》第二十五條
其次，如果公司想要維護自己的權益，找出幕后黑手并避免再次受到攻擊，那么需要公安機關的介入，需要準備報案材料。報案的基礎是證據，證明受到了DDoS攻擊，證明受到了損失。考慮到“一案雙查”制度，還需要評估自己網絡系統是否已經盡到相應的網絡安全責任。
DDoS的取證不是一件容易的事情，如果黑客或競爭對手直接上門聯系，用實名認證過的支付寶或微信索要贖金，那么追查工作會相對容易。否則就需要依賴網絡日志來追查，網絡日志屬于極易被篡改的電子數據，需要專業機構或取證團隊對網絡日志進行固定。在北京珠穆朗瑪網絡技術有限公司訴北京百度網訊科技有限公司不正當競爭糾紛案一審((2005)一中民初字第3218號)中，8848起訴百度發起DDoS攻擊，所提交的服務器日志就沒有得到法庭的認可。
DDoS攻擊的受害者，除了報案以外還可以通過民商事訴訟挽回一定的損失。在打擊DDoS活動中，民事手段與刑事手段可以并行不悖。如果能夠找到發起DDoS攻擊的源頭或黑客，那么可以用不正當競爭、不當得利或侵犯財產權進行訴訟，甚至可以主張侵犯了自己的數據權益。在浙江淘寶網絡有限公司訴杜某等網絡侵權責任糾紛案中，面對惡意差評，淘寶使用刑事手段，還通過民事手段保護自己的數據，激活《民法總則》中數據條款(第127條)。
即使網絡日志無法追蹤到發起攻擊的源頭，也可能追蹤到發起攻擊的“肉雞”，可能是個人電腦，也可能是VPS，抑或是存在安全漏洞的物聯網設備。DDoS攻擊的受害者，也有理由起訴這些作為“肉雞”的疑似受害者。“肉雞”通常來源于下載存在后門盜版軟件，或服務器漏洞、物聯網設備漏洞未得到及時修復。對于網絡運營者或網絡產品服務提供者，有義務履行《網絡安全法》下的各項法律義務，如果網絡運營者或網絡產品服務提供者因為未履行《網絡安全法》下的各項法律義務而導致自己的系統淪為發動DDoS的“肉雞”，那么顯然就存在過錯，根據侵權法需要就自己的過錯承擔部分侵權責任。當然這只是一個簡單的法律推理，需要具體案件具體分析，組織證據，目前還沒讀到類似的案例。
簡而言之，應對DDoS攻擊是一項需要多工種協同工作的危機處理工作，涉及大量利益相關方：IT、信息安全、司法鑒定、法務、外部律師、公安，需要從上到下有效的協同、演練。法律關系看似淡薄，但貫穿于所有的環節之中。
