之前看到一个案例印象很深，一名游戏玩家在论坛和别人争吵，对方发来一个DDoS压力测试工具的下载链接，还放话让他有本事就发起攻击。这个人真的下载软件，并且执行了攻击操作。目标IP对应的服务器直接瘫痪三小时，受害一方选择报警。最开始他只觉得自己只是点了几下鼠标，直到警方上门，才清楚这个行为在法律层面属于干扰计算机信息系统，一旦认定后果严重，最低量刑就是五年以下有期徒刑。很多人没有想明白，下载一款免费工具，背后可能付出失去数年自由的代价。
DDoS攻击相关的法律定性，近些年已经非常明确。刑法第二百八十六条将干扰计算机系统归入破坏计算机信息系统罪的行为范畴。DDoS攻击向目标设备发送海量请求消耗资源，让业务无法正常对外提供服务，司法实践和理论层面，都认定这属于法条里所说的干扰行为。DDoS攻击已经形成分工完整的黑色产业链，链条不同环节的参与者，对应的法律责任并不一样。
产业链最顶端，是搭建网站售卖攻击服务的人。2017年有一起相关案件，唐某某联合王某搭建专门提供DDoS攻击的网站，网站功能简单直接，用户充值之后提交攻击任务。有需求的用户注册账号、充值资金，填写目标IP，唐某某团队就按要求发起攻击。网站运营期间，会员充值总金额达到十七万六千多元。法院裁判观点清晰，搭建、运营专门提供DDoS攻击服务的网站，造成目标计算机系统无法正常运行，后果严重的，适用破坏计算机信息系统罪定罪。唐某某最终被判处五年六个月有期徒刑，这是整条链条里量刑最重的角色。法院特别说明，网站运营者就算不是攻击想法的提出者，只是接单实施攻击，本身存在明确犯罪故意，并且实际完成攻击行为，不能定性为帮助信息网络犯罪活动罪这类处罚更轻的罪名。
顺着产业链往下，就是在攻击平台充值、提交攻击任务的使用者。张某等四人在唐某某搭建的网站注册充值，提交DDoS攻击任务。张某单独针对武汉多家教育公司的11个IP或域名，发起117次攻击套餐。法院判定他构成破坏计算机信息系统罪共犯，理由是他和网站运营者存在主观合意，用户在网站提交带有目标地址、攻击方式的请求，网站运营方接收任务，双方就达成共同犯罪的约定。张某等人的刑期在十个月至五年六个月之间，根据各自作案情节区分轻重。这里有一点需要留意，法院认定后果严重时，不会直接把IP数量等同于计算机系统数量，会结合攻击带来的网速下降、服务掉线等实际影响综合判定。攻击产生的实际损害程度，直接影响最终量刑。
产业链还有一类参与者，不搭建平台，也不直接发起攻击，负责提供底层流量资源。江苏无锡的案件里，吴某依靠暴力破解程序拿到服务器权限，植入木马，控制多台主机作为肉鸡，再把产生的流量按每天100元每G的价格出售给上游收购者，这些流量最后被用于DDoS攻击。吴某非法控制超过60台计算机，获利二十多万元。法院以非法控制计算机信息系统罪判处他三年九个月。他的朋友张某清楚吴某的违法行为，还帮忙维护系统，提供财付通账户用于收款，被认定帮助信息网络犯罪活动罪，判处有期徒刑一年，缓刑一年。这个案例说明，DDoS攻击链条上的辅助人员，同样会被追究法律责任。
还有一部分人专门制作、售卖攻击软件。有人开发DDoS攻击客户端放到网络售卖，法院认定构成提供侵入、非法控制计算机信息系统的程序、工具罪。这个罪名的量刑标准低于破坏计算机信息系统罪，但依旧属于刑事犯罪，并不是单纯售卖软件就没有责任。
梳理这些不同角色可以发现，法律判定的重点，不在于你有没有手动执行攻击指令，而是你在整个攻击链条承担的角色，以及造成的实际作用。搭建网站售卖攻击服务的人，属于直接实施者；充值下单发起攻击的人，是犯罪意图发起人和共同实施者；控制肉鸡售卖流量的，属于资源供给方；编写程序售卖工具的，提供攻击所需能力。整条产业链各个环节都有对应的罪名，不存在只是帮忙就不会追责的情况。
民事赔偿是很多人忽略的风险。DDoS攻击造成经济损失，受害方能够单独提起民事诉讼。广州番禺的案件中，黑客对网吧计算机发起DDoS攻击，造成网吧营业额减少五千多元，修复系统花费三万六千元，法院认定这两笔都属于需要赔付的损失。更近的案例，一家企业电商网站遭受DDoS攻击，办案检察官将受害企业为抵御攻击采购云高防、抗DDoS服务产生的费用，全部计入经济损失，最终攻击实施方需要赔付五十万元。这类各项支出叠加后的总额，往往超出普通人预估。
免费DDoS攻击软件的风险，从法律层面看，它只是降低操作门槛，并不会减轻对应的法律责任。你在软件界面点击开始攻击，和专业黑客手动输入命令执行攻击，法律定性完全一致。这类免费工具本身大多捆绑木马程序，你利用工具攻击他人服务器的同时，自己的设备可能已经被第三方接管，变成攻击网络里的肉鸡。看起来是你在使用工具，实际却是工具背后的黑产控制你的机器。
2020年有个案例让人印象很深。一名17岁少年因为无法买到回国机票，在境外网站购买DDoS攻击套餐，多次持续攻击某航空公司计算机系统，造成对外服务网络瘫痪接近四小时，五千多万用户受到影响。法院以破坏计算机信息系统罪判处他有期徒刑四年。嫌疑人只有十七岁，刑期四年，起因仅仅是购票不顺心生不满。这个案件没有搭建平台的人，也没有出售肉鸡的中间商，只有一名充值下单点击攻击按钮的未成年人。法律没有因为未成年就免除处罚，也不会因为只是购买攻击套餐就从轻处理。
DDoS攻击在法律层面不存在小打小闹一说。刑法第二百八十六条，在刑法分则第六章计算机相关犯罪里面法定刑最高，后果特别严重的，可以判处五年以上有期徒刑。而后果严重的认定门槛，根据司法解释和司法实践，不需要大型网站持续瘫痪数日才达到标准，只要攻击造成网速下降、服务掉线、用户无法正常访问，就满足入罪条件。网上随手搜到的免费压力测试工具，下载之前想清楚，点击启动按钮的那一刻，连接的是陌生服务器，还有一整套你无法预估后果的法律条文。