利用app漏洞赚钱犯法吗

有人靠“薅羊毛”月入十万，利用p漏有人因为改了个数字进了看守所。洞赚区别在哪？钱犯就看他动的是谁的口袋，以及怎么动。利用p漏

去年有个案子，洞赚一个00后小伙发现某生鲜App有个漏洞：新用户注册送两张满减券，钱犯但系统不校验手机号和设备的利用p漏真实绑定关系。他用接码平台批量注册了三千多个账号，洞赚把券全部套现，钱犯获利一万八。利用p漏平台发现后报警，洞赚最后定的钱犯是诈骗罪，判了八个月，利用p漏缓刑一年，洞赚罚金两万。钱犯他跟我聊的时候说了一句话：“我以为只是占便宜，没想到是偷。”

这个“没想到”很关键。很多技术控的逻辑是：漏洞是你自己写的，我只是发现了，利用一下怎么了？但法律不看这个。法律看的是——你有没有虚构事实、隐瞒真相，让平台基于错误认识处分了财产。批量注册虚假账号，就是在虚构“我是新用户”这个事实。平台送券的前提是“真实新用户”，你用假身份去领，就是骗。

那如果只是自己用呢？比如你发现某App充值1元能到账100元，你充了十次，赚了990元。这算不算犯法？算。只是金额小，平台可能不追究。但性质上仍然是利用系统错误获取不当得利，民法上平台可以起诉你返还。如果金额大，比如你充了一万次，那就是盗窃或诈骗，看具体手法。

有个做安全研究的朋友跟我讲过他的底线：发现漏洞，第一件事是提交给厂商SRC（安全响应中心），拿奖金。第二件事是等修复。他从来不会在修复前告诉任何人，更不会自己用。“你用了，就是贼。你报了，就是白帽。中间没有灰色地带。”

但现实里确实有灰色地带。比如某电商平台有个“邀请好友得现金”的活动，规则写的是“好友完成首单后奖励到账”。有人发现，好友下单后立刻退款，奖励照样发。于是他找了五十个人，每人下单再退款，薅了五千块。这个案子最后没判刑，因为平台规则本身有歧义，而且退款是正常用户权利。但平台把他账号封了，钱也没收回去。他跟我说：“我知道这不地道，但我不觉得是犯罪。”

法律上，这种叫“民事欺诈”还是“刑事诈骗”，界限在于是否“以非法占有为目的”和“数额是否较大”。五千块在很多地方不够刑事立案标准，但平台可以民事起诉。问题是平台通常懒得起诉个人，成本太高。所以很多人就钻这个空子，觉得“大不了封号”。

真正危险的是那些把漏洞做成生意的人。比如有人写了个脚本，自动抢某App的限时优惠券，然后挂在二手平台卖。这就不是“占便宜”了，这是经营。经营就意味着有组织、有规模、有获利。一旦被认定，就是非法经营罪或诈骗罪，刑期直接上去了。

我观察到一个现象：很多技术控在写代码的时候逻辑严密，一到法律问题就变得特别天真。他们觉得“代码即法律”，但现实是，代码只是平台写的规则，法律才是底线。你绕过代码，平台可能发现不了；你绕过法律，警察一定会找你。

所以回到标题的问题：利用App漏洞赚钱犯法吗？答案不是简单的“是”或“否”。取决于你用的是谁的漏洞、怎么用、赚了多少、有没有给别人造成损失。但有一条铁律：只要你是通过欺骗手段让平台把钱给你，而不是平台自愿给你的，那大概率就是犯法。区别只是平台想不想追究、法律够不够得着。

别拿“技术无罪”骗自己。技术是中性的，但用技术的人不是。