网络钓鱼行为的刑法规制探析

2017年5月12日，一款名为WannaCry的蠕虫勒索软件袭击全球网络，这被认为是迄今为止最巨大的勒索交费活动，影响到近百个国家和上千家企业及公共组织。2015年腾讯网址安全云共检测出恶意网址3.87亿条，其中钓鱼欺诈网址1.86亿条。2016年阿里云誉反欺诈发布《2016第一季度钓鱼网站报告》，在2016年1月至2016年3月阿里云誉反欺诈系统共检出拦截钓鱼网站59567个，涉及钓鱼url总计81089个。威瑞森最新的《数据泄露调查报告》指出，社会工程对目标用户的有效程度依然令人心惊，2016年超过30％的网络钓鱼消息都被打开了，而2014年钓鱼消息打开比例为24％。可见当前网络钓鱼现象已经具有很大的危害性，甚至有人断言，没有任何一个地区、行业或公司可以躲过网络钓鱼。网络钓鱼犯罪行为随着网络的普及和发展，已经成为我们每天不得不面对的威胁。

一、网络钓鱼行为的概述

网络钓鱼行为可以归类于诈骗犯罪的一种，本质上也是一种以非法占有为目的，虚构事实或者隐瞒真相，通过欺骗的方法占有他人数额较大的公私财产的行为。①国际反网站钓鱼工作组APWG（Anti-Phishing Work-ing Group）给出的定义：一种利用社会工程和技术欺骗，针对个人身份数据和金融账号进行盗窃的犯罪机制。社会工程就是利用人的心理弱点（如人的本能反应、好奇心、信任、贪婪）、规章与制度的漏洞等实施欺骗、伤害，以期获得所需的信息（如计算机口令、银行账号信息）。笔者认为，网络钓鱼行为属于充分利用现实社会人际交往方式进行诈骗的行为，是随着计算机、网络的发展而产生的新型犯罪方式，其成长的特点与不同时期网络的发展有着密切的关系。截至目前，网络世界的发展大体可以分为三个阶段，即网络1.0阶段、网络2.0阶段、网络3.0阶段。网络钓鱼行为在这三个不同的阶段有不同的表现。

（一）网络1.0阶段

网络1.0阶段属于计算机、网络包括软件初始发展阶段，时间大体可以定位在1990年前后。初始阶段的网络基本上是公司、企业内部的局域网，数据的传送功能比较弱，而且计算机硬件的配置普遍不高，运行速度慢。计算机与软件的发展也处于探索阶段，能够进行的操作有很大的局限性。因此，网络1.0阶段主要还是对计算机机器本身及其存储资料的保护，基本上不存在网络钓鱼的行为。

（二）网络2.0阶段

网络2.0阶段的时间定位在2000年前后，全世界各种网站如雨后春笋般涌现出来。这一阶段是计算机和网络飞速发展的阶段，尤其是全世界的互联网连接在一起。无论是计算机机器本身的运行能力，还是计算机软件的应用和开发，其所展现的空间与领域，都给网络钓鱼提供了可能。网络2.0阶段为人们开启了一个虚拟世界，相关的法律规范却远远没有跟上网络世界的发展，网络钓鱼犯罪行为从无到有，再到泛滥成灾。这个阶段典型的网络钓鱼方式是通过发送大量声称来自银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、账号ID、ATM PIN码或信用卡详细信息）。利用掌握的受害人信息，钓鱼者可以假冒受害者进行欺诈性金融交易，从而获得经济利益。

（三）网络3.0阶段

网络3.0阶段可以定位在从2010年至现在，这一时期网上公民不再受到现有资源积累的限制，具有更加平等获得财富和声誉的机会。①网络与生产、生活更有效、深入融合，引发人们生活习惯和思维的转变，网络钓鱼的行为随着社会的发展有了新的方式和内容，除了传统的虚假网购、中奖诈骗外，仿冒手机银行、运营商等钓鱼手段层出不穷，并且数量呈爆发式增长，手法上由简单的钓鱼欺诈转变为结合虚假短信、诈骗电话、植入木马等新型欺诈模式，钓鱼软件更加科技化、现代化，网络钓鱼趋势向职业化、专业化、集团化迅速发展，更加难以识别和防范。

二、网络钓鱼行为的现状

当前，中国网络的发展已经处于世界先进行列。无线网络基本上遍布城市各个角落，网络速度更迅捷，移动终端更便利，支付宝、微信、网约车、美团等网络平台的频繁使用，使得每一位民众的日常生活离不开网络，因此，网络钓鱼犯罪现象也层出不穷。

（一）网络钓鱼行为的新形势

随着社会进步和人们生活习惯的变化，网络钓鱼行为又具有了新的形式，从原先的单兵作战、漫天撒网型的钓鱼方式，转向团伙作战、针对性更强的钓鱼方式。各种网络钓鱼方法层出不穷，网络钓鱼程序愈新，工具愈多。以下列举一些当前有代表性的钓鱼方式和方法。

1.鱼叉式钓鱼、鲸钓

鱼叉式网络钓鱼指一种源于亚洲与东欧只针对特定目标进行攻击的钓鱼方法。传统意义上的网络钓鱼是以几个（通常是很多）随机独立主机为目标，并以某种方法使他们中的一些能够执行包含其能被钓鱼者获得私有信息的特定动作。鱼叉式网络钓鱼不同之处在于，它并不以随机目标为对象，而是以特定的对象（主要是大型企业）为标靶，因为早已经锁定目标，并且有针对性地对其进行研究和部署，往往成功率比较高。鲸钓主要针对的是企业高管、政界精英、影视明星或者其他的一些名人，据FBI统计显示，自2015年1月以来，鲸钓的受害者已经增加了270％，而此类骗局在过去3年已经让某些公司损失了至少23亿美元，受影响的国家超过80个。

2.社交媒体钓鱼

近几年，出现一种名叫“安康鱼”的网络钓鱼新攻击方法。与传统的钓鱼方式不同，实施“安康鱼”网络钓鱼者是通过虚拟的社交媒体进行钓鱼。《2016社交媒体品牌欺诈报告》中揭示与10家全球品牌有关的社交媒体账号中，近20％都是虚假的。网络钓鱼犯罪分子会先掌握要模仿的部门资料，通常这种部门资料比较容易掌握，可以通过很多的途径了解，甚至被模仿的部门本身也会将自己的一些资料公开来进行宣传。利用被模仿部门的工作方式、习惯等，创建极具可信度的虚拟客户服务账号，并通过虚拟客户服务账号与被模仿部门的真实客户进行联络之后，等待客户向虚拟账号求助。当客户主动向虚拟客户服务账号寻求帮助的时候，也就降低了防范心理，从而使得网络钓鱼的犯罪行为更容易得逞。

3.勒索软件和软定位

勒索软件是一种网络犯罪的手段，从2005年以来，勒索软件一直没有停止过破坏的脚步。事实上，2016年新出现的勒索病毒种类暴涨了近8倍，收取的赎金接近10亿美元。PhishMe在2016第一季度《恶意软件综述》表明，所有有记录的网络钓鱼邮件中，92％都含有某种加密勒索软件。到了2016年第三季度，该数字增长到了97％。Phish Me研究人员指出，犯罪团伙还在不断精炼勒索软件构造和投放方式。

“软定位”的功能在时下适用比较普遍，然而“软定位”功能也为网络钓鱼犯罪人实施钓鱼犯罪所利用，成为另一种新型犯罪手段。“软定位”部署的网络钓鱼介于钓鲸攻击和大规模网络钓鱼邮件之间，其分布广的攻击使用也是关键。智能手机有一种功能就是定位，软定位一般是利用被害人的手机或者其他电子设备，对被害人进行远程监控和定位。例如有些犯罪行为将传统犯罪行为与软定位结合起来，欺骗被害人，通过软定位的寻找附近人功能，只要能够与定位所指定的被害人联络上，就比较容易进一步去诈骗被害人，使得被害人不经意间就被欺骗。

4.鬼钩

安全公司CyberArk的安全专家发现一种钓鱼方法，通过英特尔CPU的新功能Processor Trace（PT）绕过Windows系统中的PatchGuard内核保护。借助这种方法，攻击者可以在此前被认为坚不可摧的系统上植入Rootkit。研究人员表示，“鬼钩”目前仅针对运行英特尔PT系统。PT是使用专用硬件捕获当前软件执行相关信息的英特尔CPU功能，以帮助调试操作，并检测恶意代码。正常情况下，进入英特尔PT操作需要攻击者将恶意功能置人内核级代码，而PatchGuard一般会立即发现并阻止这种操作。Cy-berArk的研究人员称，分配非常小的缓冲区处理英特尔PT数据包会导致CPU耗尽缓冲空间，并打开PMI处理器（PMIHandler）来管理溢出代码。而PatchGuard不会监控PMI处理器，攻击者可能会趁机通过PMI处理器利用恶意代码修改内核操作。攻击者通过这种方法神不知鬼不觉地修改Windows内核，并在64位Windows上嵌Rootkit。

5.利用CIA工具

美国时间2017年6月22日，维基解密披露发布了CIAVault7系列的第十二批文件，披露的文件详细描述了美国情报机构如何远程隐蔽地入侵访问封闭的计算机网络或独立的安全隔离网闸（Air-Gapped Devices，从未连接过互联网的设备）。目前，这两个项目的工具只针对微软Windows操作系统。实际上，自2016年3月到目前，维基解密已经披露发布了11种CIA工具【Brutal Kangaroo（野蛮袋鼠）、Emotional Simian（情感猿猴）、Cherry Blossom（樱花）、Pandemic（流行病）、Athena（雅典娜）、After Midnight（午夜之后）、Archimedes（阿基米德）、Scribbles（CIA追踪涉嫌告密者的程序）、Weeping Angel（哭泣天使）、Hive（蜂巢）、Grasshopper（蝗虫）、Marble Framework（大理石框架）、DarkMatter（暗物质）。】。美国中央情报局近年来利用研制的这些工具，能够无视相关人员的权利保护和法律规定，肆意收集所需要的情报和信息。时下许多CIA工具已经沦为钓鱼工具，因其专业性和技术性属于国家设计级别，所以其破坏性远非一般的钓鱼工具和方法能够相比，而且在技术层面上，民间技术很难进行有效防御。

另外，维基解密称智能手机也是CIA关注的重点，截至2016年底，CIA“军火库”已经有24款针对Android系统的漏洞代码，这些程序或者软件部分是CIA独自研发，有些来自英国情报机构政府通信总部、美国国土安全局和第三方。三星、HTC、索尼等品牌的部分智能手机据称已经“沦陷”，CIA可以利用漏洞读取用户在Whatsapp、Signal、Telegram和微博等社交平台上的数据，苹果IPhone和IPad也未能幸免。通过从英国情报机构政府通信总部、美国国土安全部和FBI获取的1OS漏洞代码，技术人员已经可以实现定位，激活设备照相功能和麦克风，并读取短信记录。

（二）网络钓鱼行为的犯罪特性

在过去，网络钓鱼仅仅只是简单的攻击，例如攻击者发送一条带有跳转信息的链接，然后引诱用户在自己的电脑上运行恶意代码。但现在，网络钓鱼的攻击已经大大超出了以前的范畴，尽管概念没有变，但手法却变得异常复杂，有的网络钓鱼甚至是好几种技术结合在一起的，层出不穷的钓鱼手法已经开始颠覆我们对网络钓鱼的传统看法。

1.钓鱼行为与传统犯罪相结合

钓鱼的方式、方法不断推陈出新，有的钓鱼犯罪与传统的犯罪方式、犯罪工具相结合，从而衍生出来更多的钓鱼犯罪行为。例如，钓鱼软件与勒索软件的结合，现在90％以上的钓鱼软件都会包含勒索软件，传统的敲诈勒索犯罪具有一定的局限性，而钓鱼软件恰巧能够克服传统敲诈勒索犯罪的局限，犯罪成本小，成功几率高。而且钓鱼勒索软件还有一个与传统敲诈勒索型犯罪显著的区别，其勒索的赎金价格较低，被勒索的受害人往往以“花钱买教训”的心态接受钓鱼者的勒索。许多犯罪分子也是看中这一可乘之机而加入钓鱼犯罪的行列之中，由于钓鱼软件的泛滥，甚至部分钓鱼勒索的受害人也转化成为其他钓鱼勒索犯罪的加害人。

2.犯罪对象的针对性更具体

网络钓鱼开始锁定特定的目标或者群体，有针对性地研究钓鱼对象。针对的对象有大型的企业、机关单位、事业单位等，还有企业内的管理人员以及影视名人等。比较典型的代表有鱼叉式钓鱼、鲸钓等。犯罪对象具体化的变化反映了网络钓鱼方式、方法的发展和网络钓鱼犯罪分子主观心态的变化，过去“漫天撒网”式的钓鱼方式，偶然因素占了较大的比重，攻击者对于钓鱼进程的把控相对较弱。而通过锁定具体的目标，攻击者能够更好地掌控攻击方向和进程，成功率得到大幅提升，破坏性更加显著。

3.钓鱼行为的掩饰性更强

传统钓鱼方式是需要攻破被害人的防御，许多民众也认为只要保护好账号的密码或者身份信息就能够有效地避免信息或者财物被侵犯。新的网络钓鱼犯罪转换了方式，几乎不需要账号或者密码，只需要被害人“授权”就可以将被害人的身份信息或者财物有效掌控，而且被授权的行为或者授权以后的行为都被“掩饰”成为“正当”行为无法防御。例如，网络钓鱼攻破一些公共服务网站，在服务网站链接一个后台，“钓鱼者”的指令和行为都成为“正当”行为。被害人误认为网址正确不会出现钓鱼犯罪，对于网站的指令会放松警惕，从而导致自己的财物受到损失。

4.钓鱼手段凸显科技化、专业化、智能化

随着网络与科技的发展，钓鱼的手段也越来越科技化、专业化、智能化。钓鱼的手段往往与最新的科技相联系，利用最新的科技产品。而此时因为产品的前沿化、高端性，民众关注的重点多在产品的适用性上，相对就弱化了防范意识，这使得钓鱼犯罪者有了可乘之机。例如WiFi钓鱼，除了能盗取用户的银行账户、网络支付密码外，还能利用相应软件截获数据包，并用分析软件破译出用户使用过的WiFi密码等。再有键盘记录器钓鱼，这是一种专门用来记录键盘数据以及屏幕数据的记录器，受害人几乎不会注意到键盘会成为钓鱼工具。还有一些钓鱼手段，如域名解析攻击、XSS攻击等，充分显示了钓鱼手段的科技化、智能化特点。5.网络钓鱼犯罪朝着产业化、职业化发展网络钓鱼正向着产业化的方向发展，通过与商业资本的紧密结合，黑客与网络犯罪团伙获取了高额利润。由于利益的驱使，不少商业公司或多或少介人黑色产业链中。网络钓鱼甚至已经出现了一条龙的犯罪产业链，从钓鱼软件的开发到购买钓鱼所需要获得的各种信息、钓鱼犯罪的后续服务等，都有专门的人员负责。另外，钓鱼犯罪也出现了分地域、分时间、分环境等不同的划分，具有分工明确、相互支持的产业化特点。钓鱼犯罪亦呈现职业化发展趋势，一些犯罪分子以网络钓鱼作为职业，有专门研究钓鱼工具、软件的人，有对钓鱼所获信息专门进行处理的人等。例如实时交互式网络钓鱼，这种类型的攻击能够模拟目标网站的外观和感觉，而不仅仅是一般的钓鱼页面，如果没有职业化、专业化的训练，这种钓鱼犯罪行为很难获得成功。与网络钓鱼行为配套的行业也在发展，例如复制银行卡片、倒卖个人信息、散发网络信息、勒索被害人等，这也使得网络钓鱼不再只是一个孤立的犯罪行为，而是产业链犯罪中一个重要环节。

三、网络钓鱼行为相关刑事法规定及完善建议

2014年10月党的十八届四中全会通过的《中共中央关于全面推进依法治国若干重大问题的决定》提出，要加强互联网领域立法，完善网络。

信息服务、网络安全保护、网络社会管理等方面的法律法规，依法规范网络行为。规范网络行为的刑事法律亦在不断完善中，《刑法修正案（五）》《刑法修正案（七）》《刑法修正案（九）》就增加了关于网络犯罪的立法。

（一）现有规范网络钓鱼行为的相关法律规定

截至2016年8月，中国已经初步形成了网络法律法规体系。2015年颁布的《国家安全法》以及2016年颁布的《网络安全法》《电子商务法》等一系列最新立法实践表明，我国网络立法工作正处于发展和完善阶段。

1.网络1.0时代的法律规定

在网络1.0时代，中国计算机、网络立法处于落后阶段，直到1994年国际互联网进入中国，中国才陆续出台关于计算机及网络的立法。第一部立法是1994年2月18日国务院发布的《计算机信息系统安全保护条例》，之后在计算机系统和互联网安全管理方面又发布了《计算机信息网络国际互联网管理暂行规定》《计算机信息网络国际联网安全保护管理办法》等。

2.网络2.0时代的法律规定

随着互联网的广泛应用，计算机犯罪发展到了网络犯罪阶段。为了打击日益严重和不断变化的网络犯罪，1997年中国修订刑法的时候，规定了非法侵人计算机信息系统罪和破坏计算机信息系统罪两种犯罪。到了2000年左右，网络钓鱼行为开始呈现爆发式的增长，网络钓鱼行为最主要的表现就是侵犯个人信息。2000年12月28日，全国人大常委会通过了《全国人民代表大会常务委员会关于维护互联网安全的决定》，明确规定依照《刑法》有关规定处罚15种利用互联网实施的犯罪；对于以网络为犯罪工具实施的传统型犯罪进行了体系性的阐述。针对网络犯罪的犯罪手法越来越多的现状，2008年中国重启网络犯罪立法，2009年3月生效的《刑法修正案（七）》增设了三种新的网络犯罪，以打击新形式的经济领域的网络犯罪，中国最高司法机关还为审理新型网络犯罪颁布了若干司法解释。

3.网络3.0时代的法律规定

2012年12月制定了《全国人民代表大会常务委员会关于加强网络信息保护的决定》，规定了互联网环境下公民个人电子信息保护的相关制度。《刑法修正案（九）》第16条、第17条、第26条、第27条、第28条、第29条、第32条共7个条文与信息网络安全犯罪有关，通过信息网络实施侮辱、诽谤行为，通过网络出售、非法提供公民个人信息，网络服务提供者拒绝履行信息网络安全管理义务，利用信息网络设立用于实施诈骗、传授犯罪方法、制作销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组，利用信息网络发布制作、销售毒品，拒不履行信息网络安全管理义务罪，非法利用信息网络罪，帮助信息网络犯罪活动罪，加大了对信息网络犯罪的惩罚力度，进一步加强了对公民个人信息的保护，对编造和传播虚假信息的犯罪设立了明确条文。

2016年11月7日，中华人民共和国第十二届全国人民代表大会常务委员会第二十四次会议通过了《中华人民共和国网络安全法》。2016年7月《国家信息化发展战略纲要》进一步强调要完善信息化法律框架，要以网络立法为重点，加快建立以促进信息化发展和强化网络安全管理为目标的法律、行政法规框架。

（二）完善刑事法律的建议

习近平总书记强调，网络安全和信息化是相辅相成的。网络钓鱼犯罪行为尽管表现为多个行为的集合体，有可能侵犯到个人信息，但是其侵犯个人信息的客观行为与钓鱼行为所要求的最终目的具有明显的区分，网络钓鱼行为具有自己的特点和内涵。现有的刑事法律罪名和刑事责任的规定对于规范网络钓鱼的行为有一定的滞后性与不适性，因此需要完善相应的刑事法律规定，笔者建议如下：

1.严密法网，增设相关罪名

网络钓鱼的行为虽然可以归类于诈骗犯罪，然而网络钓鱼行为的表现形式多种多样，已经形成了自己独特的类型和特点，而且网络本身的发展亦冲击传统犯罪的行为模式与处罚模式。通过上文的研究与总结，网络钓鱼行为涉及的新的犯罪行为类型和新的行业种类，呈现出范围广、行业密、侵犯客体多的特点。已有的法律规定和罪名明显表现出滞后性，并且不能完全规制相应的犯罪行为。例如2017年初的WannaCry蠕虫勒索软件，这是钓鱼手法与勒索软件结合的典型案例，本案的行为如果以敲诈勒索罪来定性的话，就有与实际情形不相符合的地方【笔者认为，本案无论是加害人还是受害人都具有不确定性，勒索的内容是无法打开文件，索要财物是通过付费来实现，这些因素会影响敲诈勒索罪的定性。】。再有，鱼叉式钓鱼、鲸钓、使用钓鱼软件的行为是否需要处罚，如何处罚？现有的刑事法律条文也具有不适性。笔者建议应该严密网络钓鱼行为相关的刑事法网，以求预防和打击相关的犯罪行为。对于核心的网络钓鱼行为，建议增设网络钓鱼罪，具体论证详见下文。

2.完善刑事责任，增设职业禁止

《网络安全法》第63条【违反网络安全法第27条规定，受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。】规定，凡是违反网络安全的犯罪人员，终身不得从事网络安全管理和网络运营关键岗位的工作，这是关于实施网络安全犯罪行为会受到职业禁止的法律规定。笔者建议，网络钓鱼的犯罪行为也应该有职业禁止的法律规定，原因如下：

（1）由实施网络钓鱼的主体特点所决定

网络3.0时代，实施网络钓鱼犯罪的行为人表现出越来越专业化、职业化的特征。此类行为人对于网络知识的掌握、网络软件的运用都比较熟练，甚至对于网络的漏洞、网络法律的不健全都有一定的了解。实施过网络钓鱼犯罪行为后，继续从事与网络相关的工作，在巨大的利益诱惑面前，其自控的难度就会比较大，社会所承担的风险就会增加。因此，有必要对于这种类型的犯罪行为人实施职业禁止的处罚。

（2）保护相关网络行业的需要

网络已经成为人们生活、工作中必不可少的工具，是无法与人隔离开的空间。未来的发展，网络更是具有举足轻重的地位和作用。网络已经成为人们生活最重要的工具和手段，保护好相关的网络行业发展也就成为当前工作的重点。网络钓鱼犯罪涉及的范围比较广，涉及的行业也比较复杂，牵连的人也比较多。鉴于网络钓鱼犯罪的特点和原因，实施网络钓鱼的犯罪行为人，如果未来仍然从事网络行业的相关工作，很难改变其思维和习惯，笔者认为这对于网络行业的发展有较大威胁。通过实施职业禁止，能够有效控制行业风险，从而保护好相关网络行业的发展。

四、增设网络钓鱼诈骗罪

通过上文的分析，网络钓鱼行为的危害显而易见，应该严密规制网络钓鱼行为的刑事法网。时下，笔者建议可优先考虑增设网络钓鱼诈骗罪，具体论证如下。

（一）增设网络钓鱼诈骗罪的必要性

网络钓鱼行为具有相当严重的社会危害性，与其他类型的诈骗罪相比亦具有显著的独立性特点。

1.网络钓鱼行为社会危害性较大

据全球反钓鱼组织APWG的统计，2016年前三季度，整个网络钓鱼的数量达到前所未有的高度，检测到的钓鱼攻击就多达上百亿次，相当于每30秒钓鱼者就会发起一次新的攻击。网络钓鱼行为已经造成了严重的社会危害。网络钓鱼攻击一般仅利用一些简单的工具和技术来欺骗缺乏警惕性的用户，本身网络钓鱼的行为就具有很大的欺骗性，难以认定相应的行为。支撑一次网络钓鱼攻击的底层基础设施可以是最基本的简单地拷贝一个HTML页面，上传到一个刚刚攻陷的网站服务器，以及一个服务器端的用来处理用户输入数据的脚本，也可能涉及更为复杂的网站及内容重定向。①正是这样看似简单的行为，既麻痹了实施犯罪的行为人，也迷惑了被侵犯的潜在被害人。中国互联网络信息中心发布的第39次《中国互联网络发展状况统计报告》显示，仅仅三成以上网民对网络安全环境持信任态度，认为上网环境“不太安全”和“很不安全”的用户占比为20.3％，认为网络安全一般状态占40.8％，网络安全事件仍然对大部分网民影响很大。数据显示，2016年遭遇过网络安全事件的用户占比达到整体网民的70.5％，其中网上诈骗是网民遇到的首要网络安全问题，39.1％的网民曾遇到过这类网络安全事件。网络钓鱼犯罪行为不再是件小事情，它已经严重扰乱了社会正常的管理秩序，对网络钓鱼犯罪必须要重视起来，不能因为网络钓鱼行为实施的方式看似简单，就放松对网络钓鱼行为的预防和打击。

2.有助于打击网络钓鱼犯罪

“钓鱼者通常都具有相对较高的理性，所以他们在实施钓鱼行为之前，通常会对自己的钓鱼行为可能付出的法律惩罚代价和预期的经济收益进行一些理性的比较分析。”网络钓鱼行为明确入刑，才能够有效打击相关的犯罪行为。网络钓鱼行为中的多数极端行为有相关的刑事法律进行规制，但是这些能够适用的法律条文仅仅是对相关的行为进行规范，并没有涉及网络钓鱼行为的根本问题。只有将网络钓鱼行为以刑法规制，才能使得规范网络钓鱼行为有理有据，才能够有效打击网络钓鱼犯罪。

3.有助于维护网络安全和发展

网络技术非常发达，网络信息更是丰富，这是科技飞速发展，全球经济一体化的必然结果。我们日常所需要的信息和知识都可以在网络上搜寻，人们越来越习惯于在网络上交流信息和资料，这一方面能够方便民众迅捷地找到自己想要的信息，另一方面也使得有意获得犯罪信息的人比较便捷地获得自己想要的信息。另外，网络钓鱼软件在网络上可以轻松获得，而且使用方法都有专门的人来教，入门的门槛很低，甚至没有系统学过网络知识的人也能够很快掌握使用网络钓鱼软件的技巧。这些都是网络钓鱼行为产生的原因。将网络钓鱼诈骗行为定罪，使实施网络钓鱼行为的人能够得到应有的处罚，有益于净化网络空间，更好地维护网络空间的秩序与安全。

（二）网络钓鱼诈骗罪的特征

网络钓鱼诈骗罪具有自己的特征，其侵犯的客体具有复杂性，属于复杂客体。犯罪的客观方面也具有显著的特点。

1.网络钓鱼诈骗罪侵犯的客体

网络钓鱼诈骗罪侵犯的是复杂客体，即网络用户的身份识别信息安全和互联网的信用体系。网络钓鱼者欺诈性地获取网络用户敏感的身份识别信息，对网络用户的信息安全产生了巨大的破坏，同时破坏了网络用户对互联网的信任，损害了整个互联网的信用体系。

随着互联网应用的深入，网络已经从虚拟空间变成了现实社会不可或缺的组成部分，开启了网络全面社会化阶段。在网络3.0时代，网络空间虽然仍旧无法触及，但是网络空间已经实实在在存在于每个人的生活中，与现实空间遥相呼应。网络主权、网络关键基础设施、网络运行安全、网络信息安全、网络空间各行为主体权益等，已经成为新型的权利内容，而且这些权利内容不容侵犯。网络钓鱼行为是复杂行为，往往是通过几个单独的行为完成的，每个单独行为都不可避免地侵犯不同权益客体。网络钓鱼的犯罪目的由传统诈骗财物发展演化成侵犯网络空间的本身权益。综上所述，网络钓鱼犯罪行为侵犯的犯罪客体由复杂客体组成，其中侵害的对象包含了个人信息、网络安全、社会秩序、计算机信息网络安全、公私财物等。

2.网络钓鱼诈骗罪的客观方面

网络钓鱼的犯罪行为一般分为三个阶段，第一个阶段布置“钓饵”；第二阶段被害人上钩，实施网络钓鱼行为的犯罪分子获得被害人的个人信息；第三阶段实施钓鱼行为的犯罪分子获得利益，一般是获得被害人的财物。

（1）三个阶段间隔的时间具有一定的概率

网络钓鱼行为所期待的犯罪目标具有一定的概率，司法实践中需要注意的关键在于，尽管三个阶段的具体时间不确定，但是三个阶段间隔的时间具有一定的范围，具体的时间间隔可以根据网络钓鱼的工具、攻击的对象以及实施钓鱼的频率等相关因素进行确认。

（2）三个阶段行为本身会涉及相关刑事法律规范规制

第一阶段布置“钓饵”，这一阶段的行为会涉及侵犯计算机网络等相关犯罪。第二阶段加害人获取个人信息，这一阶段行为也可能涉嫌个人信息犯罪。第三阶段加害人获得财物，行为可能又涉嫌盗窃罪、诈骗罪等。所以司法实践中，需要注意与相关犯罪的竞合关系。

（3）三个阶段行为之间的因果关系

实施钓鱼行为的犯罪分子，其第一阶段的行为与最后加害人获取财务之间的因果关系需要着重关注，这是认定网络钓鱼犯罪行为的关键所在，只有将三个阶段的行为联系在一起，才可以算是网络钓鱼的完整行为。

3.网络钓鱼诈骗罪的主观方面

（1）网络钓鱼的犯罪目的具有欺骗性

网络钓鱼的犯罪行为已经由传统的钓鱼犯罪，仅仅侵犯个人或者单位财务，转化为具有多种目的性的犯罪。例如在2017年5月发生的勒索型犯罪，其实质就是属于网络钓鱼犯罪，通过实施钓鱼行为，引诱被害人点击木马软件，从而导致利益受到损害。在司法实践中，网络钓鱼的行为往往被多种形式所掩盖，通过不同的表现形式掩饰网络钓鱼的真正目的。

（2）网络钓鱼的心理成本低廉

网络钓鱼与传统的普通诈骗犯罪不同。在网络钓鱼诈骗中，行为人无需与被害人直接接触，他们只需要借助计算机和网络即可实施诈骗，这种间接性的特点导致行为人常常存在侥幸心理，他们认为被害人不知道自己的真实身份，也不会知道加害者身在何处。即使有一天受害人发现上当受骗，也只能自认倒霉，不能拿加害者怎么样。因此，如所有网络犯罪的行为人一样，实施网络钓鱼的人亦常常有恃无恐，自认为技高一筹。并且在这种侥幸心理的驱使下，行为人往往会反复实施钓鱼行为。①网络钓鱼犯罪心理成本低廉，其犯罪目的具有一定的欺骗性，仿佛其实施网络钓鱼的行为目的仅仅就是使用钓鱼软件而已。但正是这种看似与侵犯被害人权益无关的心态，掩饰了其最终的犯罪目的。

（3）网络钓鱼诈骗罪的罪过形式与传统网络犯罪的故意并不相同

网络钓鱼犯罪行为的故意内容与普通犯罪的故意标准并不能完全吻合，刑法规定普通犯罪的故意是明知道自己的行为会发生危害社会的结果，希望或者放任这种结果的发生。而网络钓鱼的“明知”在于行为人知道自己的行为“大概”能发生危害社会的结果，“大概”与“会”有一定的距离，这种“大概”的概率有很多条件的限制，例如，钓鱼软件的性质、被害人的防范意识、网络服务商的服务、监管机构的监管，甚至被害人的杀毒软件等，都能够影响到概率，甚至网络钓鱼对象的范围也会对其有所影响。另外，使用钓鱼软件的意图也因为使用者的不同而不同，某些软件本身属于正常的软件，却被钓鱼者利用实施犯罪行为。

网络钓鱼是一个复杂的犯罪行为，其中还涉及网络帮助行为、共同犯罪行为。笔者认为，网络钓鱼的帮助行为、共同犯罪行为，对于传统的共同犯罪理论具有一定的冲击，应该在传统的共同犯罪理论框架下，按照我国的刑法理论的核心原理进行完善，未来要对网络共同犯罪问题进行更加深入的研究，本文限于篇幅不涉及相关内容。但是对于网络钓鱼行为的复杂性、现实性等特点，我们需要给予更多的关注，有效预防和打击网络钓鱼行为，维护网络安全。