案例梗概

2018年，大学生徐某在利用肯德基客户端点餐过程中无意间发现两个“生财小门道”。第一个是在APP客户端用套餐兑换券下单，进入待支付状态后暂不支付，之后在客户端对兑换券进行退款操作，然后再将之前客户端的订单取消，这时候竟可以重新获取兑换券，此种方式分文未付骗取了一份兑换券。第二个是先在APP客户端用套餐兑换券下单待支付，在客户端退掉兑换券，再在APP客户端支付，这时便可以支付成功并获得取餐码，此种方式等于分文未付骗取了一份套餐。

发现这个漏洞后，徐某“喜出望外”。从当年4月起，除了自己这样点餐操作外，徐某还做起了“副业”。他将诈骗得来的套餐产品通过线上交易软件低价出售给他人，从中非法获利；同时还与同学有“福”同享，将犯罪方法当面或通过网络传授给丁某等4名同学。

截至同年10月案发，徐某的行为造成百盛公司损失5.8万余元，丁某等四人造成百盛公司损失0.89万元至4.7万元不等，他们总共给肯德基品牌所有者百盛公司造成20余万元的损失。

近日，上海市徐汇区人民法院开庭审理了此案。

法院认定各被告人通过发起虚假交易获取退券退款的行为，体现的是肯德基APP客户端和肯德基客户端自助点餐系统这一“机器”背后的“人”基于数据不同步而发生错误认识，并在错误认识的基础上“自愿”进行财产处分，进而造成被害单位的财产损失，故各被告人的行为符合诈骗罪的构成要件。

因此，法院认定各被告人明知百胜公司旗下品牌肯德基APP客户端和客户端自助点餐系统存在数据不同步的漏洞，仍以非法占有为目的，进行虚假交易，进而非法获取财物的行为认定为诈骗罪。

法院审理后认为，被告人徐某以非法占有为目的，诈骗单位财物，数额巨大，并传授他人犯罪方法，其行为分别构成诈骗罪、传授犯罪方法罪。徐某自动投案，如实供述诈骗和传授犯罪方法罪行，均系自首，依法分别予以减轻、从轻处罚。在判决宣告前徐某一人犯数罪，依法应予数罪并罚。徐某积极赔偿被害单位损失并获谅解，酌情予以从轻处罚。

根据被告人犯罪的事实、性质、情节和对于社会的危害程度，徐汇法院依法认定徐某犯诈骗罪，判处有期徒刑二年，并处罚金人民币六千元；犯传授犯罪方法罪，判处有期徒刑十个月，决定执行有期徒刑二年六个月，并处罚金人民币六千元。丁某等四人皆因相同案由被分别认定为诈骗罪或诈骗罪、传授犯罪方法罪，分别被判处有期徒刑两年至一年三个月，并处罚金人民币四千元至一千元不等的刑罚。

大学生利用肯德基系统漏洞牟利很容易让人联想起曾经引起过轩然大波的许霆案件。

那么，我们就再来回顾一下许霆案。

案件梗概

2006年4月21日晚10时，被告人许霆来到天河区黄埔大道某银行的ATM取款机取款。结果取出1000元后，他惊讶地发现银行卡账户里只被扣了1元，狂喜之下，许霆连续取款5.4万元。当晚，许霆回到住处，将此事告诉了同伴郭安山。两人随即再次前往提款，之后反复操作多次。后经警方查实，许霆先后取款171笔，合计17.5万元；郭安山则取款1.8万元。事后，二人各携赃款潜逃。

同年11月7日，郭安山向公安机关投案自首，并全额退还赃款1.8万元。经天河区法院审理后，法院认定其构成盗窃罪，但考虑到其自首并主动退赃，故对其判处有期徒刑一年，并处罚金1000元。而潜逃一年的许霆，17.5万元赃款因投资失败而挥霍一空，今年5月在陕西宝鸡火车站被警方抓获。日前，广州市中院审理后认为，被告许霆以非法侵占为目的，伙同同案人采用秘密手段，盗窃金融机构，数额特别巨大，行为已构成盗窃罪，遂判处无期徒刑，剥夺政治权利终身，并处没收个人全部财产。

许霆随后提出上诉，经广州市中级人民法院重审后，2008年3月31日15时公开宣判。法院认定被告人许霆犯盗窃罪，判处有期徒刑5年，并处罚金2万元；继续追缴许霆未退还的犯罪所得人民币173826元。 

许霆再度上诉，2008年5月，广东省高院二审驳回上诉，维持原判。

2008年3月31日，广州中院重新审理认为，被告人许霆盗窃罪成立，且数额特别巨大，依法本应适用“无期徒刑或者死刑，并处没收财产”的刑罚。

但鉴于许霆是在发现银行自动柜员机出现异常后产生犯意，采用持卡非法窃取金融机构经营资金的手段，其行为与有预谋或者采取破坏手段盗窃金融机构的犯罪有所不同；从案发具有一定偶然性看，许霆犯罪的主观恶性尚不是很大。根据本案具体的犯罪事实、犯罪情节和对于社会的危害程度，最终判决人许霆犯盗窃罪，判处有期徒刑五年，并处罚金2万元，追缴许霆的犯罪所得173826元，发还受害单位。

重审宣判后，广州市中院专门召开新闻发布会，由刑事审判二庭甘正培庭长结合判决书里内容，对公众关注的几大焦点问题详细答疑。甘正培首先表明，许霆虽未采取有预谋或者破坏手段盗窃金融机构，但自动柜员机是银行对外提供客户自助金融服务的设备，机内储存的资金是金融机构的经营资金。故许霆盗窃柜员机内资金的行为依法当然属于“盗窃金融机构”。 

《刑法》规定，盗窃金融机构且数额特别巨大，最低法定刑是无期徒刑，而重审判决却对许霆在法定刑以下量刑，这很容易让人疑惑。对此，甘正培表示，根据本案具体的犯罪事实、犯罪情节和对于社会的危害程度，如果依据法定量刑幅度就低判处其无期徒刑仍不符合罪责刑相适应原则。因此，根据案件的特殊情况，经最高人民法院核准，对其在法定刑以下量刑，判处有期徒刑五年。

在薅肯德基“羊毛”案中，大学生在客观上利用肯德基APP客户端与微信客户端数据不同步漏洞，骗取兑换券或取餐码，出售给他人牟利，并将犯罪方法传授给其他同学，造成肯德基品牌所有者百盛公司损失20余万元，因此触犯刑律，并要承担刑事责任。

涉案学生是利用两个端口数据不同步的漏洞，让肯德基运营店产生错误认知（认为其有兑换券而应获得套餐），并且在错误认知的情况下，其店员自愿对自有财产进行处分（即交付餐饮套餐），被告人从中获利，肯德基运营店由此遭受损失。

与这起案件有所不同，当年的“许霆案”，则是因为银行取款机出现计算漏洞，许霆取走了本不属于自己的取款机内的钱款。二者在利用“被害方出错”的行为模式上虽有一定相似，但实际触犯的罪名并不相同。

在许霆案中，许霆在ATM机上取款时，发现取出1000元后银行卡账户上才被扣了1元，于是先后取款合计17.5万元。即许霆明知自己银行卡内的存款有多少，而故意利用偶然发现的银行取款机数字结算有漏洞，进而取出不属于自己的钱款。这无异于是利用他人房门未锁好而去拿取其家内的财物，故认定为盗窃罪。

所以，这两起案件最大的区别在于，单纯地利用机器出错，即使经过了一定的数字输入程序，哪怕计算机器有“认知”，因而取走他人财物的，亦构成盗窃罪。而不仅利用数字输入程序，实施欺诈行为，而且还要经过被害单位工作人员的确认，从而自愿发货或者交付财物的，则构成诈骗罪。

从当年的“许霆案”到如今的“肯德基被骗案”，反映出从现金支付到数字支付的重大社会变迁，这正说明了，犯罪伴随着科技的发展也在不断变脸，甚至升级换代。

可以预见，随着数字技术的继续发展，网络犯罪还会出现大量的新特征、新类型。传统犯罪的内涵与外延需要在既有理论轨迹的基础上，进行扩展延伸和重新解读。当然，在必要的时候，则要通过增设新的罪名，因应社会和科技发展，堵塞法律的缝隙。

（作者系同济大学法学教授）

温馨提示

关注国晖北京，了解更多最新法律案例。国晖北京与法同行，与您共赢。如您有具体法律问题需要解决，都可以后台联系小编或欢迎拨打免费法律咨询电话：400-008-8667！广东国晖（北京）律师事务所将给您最权威的法律解答。