实务中常见这样的案例：当事人在某平台下单后发现退款接口存在重复提交漏洞，试一次成功后，连续操作数百次，把商家账户里的钱一笔笔退到自己账户。家属认为这是系统自己退的、不是我偷的，不理解为什么按盗窃罪立案。

一、黑进商家退款系统给自己退款，会构成哪个罪名

《中华人民共和国刑法》第二百六十四条规定，盗窃公私财物，数额较大的，或者多次盗窃、入户盗窃、携带凶器盗窃、扒窃的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金；数额巨大或者有其他严重情节的，处三年以上十年以下有期徒刑，并处罚金；数额特别巨大或者有其他特别严重情节的，处十年以上有期徒刑或者无期徒刑，并处罚金或者没收财产。

《中华人民共和国刑法》第二百八十五条第二款规定了非法获取计算机信息系统数据罪、非法控制计算机信息系统罪，第二百八十六条规定了破坏计算机信息系统罪。三罪在技术类案件中经常交织，需要根据行为最终指向判断适用罪名。

二、利用系统漏洞反复退款，为什么按盗窃罪定罪

最高人民检察院发布的第九批指导性案例检例第37号·张四毛盗窃案，明确，行为人利用计算机信息系统漏洞，以非法占有为目的，通过技术手段将他人占有的财物转入自己账户，本质上是秘密窃取他人财物，符合盗窃罪的构成要件。

最高人民检察院2023年通报的海南五指山案件中，三名网约车司机发现充电桩App退还余额存在漏洞，分别恶意退款数十次至一百九十次，多退款共计数万元至五万余元，法院均以盗窃罪定罪处罚。

2024年最高人民检察院通报的山东济南案件中，行为人利用自助彩票机系统延迟漏洞，窃取资金二百二十余万元，法院以盗窃罪判处有期徒刑十年六个月至一年三个月。只要其利用明知的系统漏洞、以非法占有为目的、反复操作转移他人资金，即按盗窃罪评价。

三、盗窃罪与非法控制计算机信息系统罪如何区分

区分的关键在于行为最终指向。如果行为人通过侵入、控制他人计算机信息系统，只是为了获取系统数据、干扰系统运行，并未将他人财物转归自己占有，通常评价为非法获取计算机信息系统数据罪或非法控制计算机信息系统罪。如果侵入或控制计算机信息系统只是手段，最终目的是将商家账户、平台账户里的资金转入自己账户，则属于手段与目的的牵连，按处罚较重的盗窃罪定罪处罚。

四、退款多少金额、多少次会达到立案标准

盗窃罪的立案标准一般为一千元至三千元以上为数额较大，各省在幅度内确定具体标准；多次盗窃的，二年内盗窃三次以上即构成犯罪。利用系统漏洞反复退款的，每次独立操作通常被评价为一次盗窃行为，累计金额计算犯罪数额。行为人在发现漏洞后继续操作、扩大退款次数，与偶然一次误触有本质区别。

五、主动退还、删除记录，能不能从轻处理

在被司法机关发觉前主动退还全部款项、停止操作，可以作为悔罪表现，在量刑时酌情从轻；但不影响盗窃罪的定性。家属应重点核实退款次数、累计金额、是否存在侵入系统行为、是否构成从犯，以及自首、坦白、退赔、谅解等情节。

表1 盗窃罪与计算机类犯罪在利用系统漏洞案件中的适用边界

以非法占有为目的利用漏洞转移资金的按盗窃罪定罪；仅控制系统或破坏系统功能的按相应计算机犯罪定罪；同时构成数罪的从一重罪或数罪并罚。

六、涉利用系统漏洞退款常见问题解答

问：只是发现系统漏洞试了一次，没有故意多操作，也会构成盗窃罪吗？

答：偶然一次误退或无非法占有目的的操作，不构成盗窃罪。但发现漏洞后继续操作、累计多次退款，主观上形成非法占有故意的，应按盗窃罪评价。

问：同时编写了入侵程序又退款，会数罪并罚吗？

答：如果入侵或控制计算机信息系统是为了转移资金的手段，一般按处罚较重的盗窃罪定罪；如果分别实施独立行为、分别造成危害，可能数罪并罚。

七、全文总结

利用商家退款系统漏洞或技术手段将资金转入自己账户，实务中多按刑法第二百六十四条盗窃罪定罪处罚；与刑法第二百八十五条非法控制计算机信息系统罪、第二百八十六条破坏计算机信息系统罪的区分关键在于行为是否指向非法占有他人财物；多次退款累计金额达到立案标准即入罪；主动退赔可作为量刑情节但不改变定性。

律师提醒

家属得知亲人因利用系统漏洞退款被采取强制措施后，应第一时间委托律师介入，重点核实退款次数、累计金额、是否存在侵入系统行为、是否构成从犯，以及自首、坦白、退赔、谅解等情节。在司法机关发觉前主动停止操作、退还全部款项，对后续处理有利。

免责声明

本文依据现行法律法规、司法解释及公开典型案例撰写，仅作法律知识参考，不构成个案法律意见。具体案件以司法机关认定为准，涉及刑事风险请咨询执业律师。