“撞庫”還是“拖庫”，一起因不當獲取數據庫信息引發的不正當競爭糾紛案
作者：千慧視點
發布時間：2019-11-04
文章來源：杭州鐵路運輸法院
10月31日，杭州鐵路運輸法院對杭州A科技公司、杭州B科技公司與被告浙江C網絡科技公司不正當競爭糾紛一案進行了公開宣判，判定被告浙江C網絡科技公司立即停止侵權，并賠償原告杭州A科技公司、杭州B科技公司經濟損失共計350000元，承擔消除影響的民事責任，一并駁回其他訴訟請求。
兩原告訴稱，判令被告立即停止侵權，并賠償經濟損失及合理維權費用2000000元，并承擔賠償道歉、消除影響的民事責任。兩原告認為，品牌商客戶借助“女裝網”平臺，將其加盟意向匿名發布在平臺上，兩原告投入了大量人力、物力進行人工審核經銷商資料，審核通過的經銷商數據，進一步加貼標簽并進行人工分類篩選，最終放入平臺經銷商數據庫。后兩原告發現被告以“撞庫”方式非法獲取、使用“女裝網”上的賬號及密碼登錄“女裝網”并查看經銷商數據庫信息。被告辯稱：其沒有實施涉案被控侵權行為，案發后，經調查，涉案被控侵權行為為公司內部個人行為，已經對涉事員工進行處理，且并不構成不正當競爭，兩原告網站的服務協議及現行法律規定對會員賬號及密碼的權屬并沒有定性，即便有使用會員賬號及密碼的行為，也應當由用戶來主張權利。訴辯焦點：根據雙方當事人的陳述、答辯及已查明的案件事實，本案主要爭議焦點為：一是涉案被控侵權行為是公司行為還是個人行為；二是涉案被控侵權行為是否構成不正當競爭。《侵權責任法》第三十四條規定：“用人單位的工作人員因執行工作任務造人他人損害的，由用人單位承擔侵權責任?！本捅景付裕旱谝?，涉案會員賬戶登錄訪問的時間和地點顯示浙江C網絡科技公司員工是在不同時間使用不同的品牌會員賬戶進行登錄、訪問“女裝網”經銷商數據庫的，且日常登錄時間多為工作日的正常工作時間。登錄使用的四個IP地址段也均為浙江C網絡科技公司專有。第二，從兩名員工實施涉嫌侵權行為與職務是否有內在聯系來看，兩名員工本身為客服人員，其二人在工作期間和公司辦公場所使用客戶賬戶和密碼登錄網站獲取信息，是利用職務之便實施，和本身工作性質和內容密切相關，應屬于職務行為。第三，從涉案被控侵權行為的行為表現及利益指向來看，登錄達上千余次的持續性登錄過程中，訪問、登錄使用的均是浙江C網絡科技公司所屬的IP地址，且行為指向最終的利益歸屬均為浙江C網絡科技公司。綜上，根據被控侵權行為實施的時間、地點、與職務的內在聯系、行為表現及利益歸屬等因素，本院認定涉案被控侵權行為應為浙江C網絡科技公司的行為，而非個人行為。（一）杭州A科技公司、杭州B科技公司是否享有反不正當競爭法所保護的權益杭州A科技公司、杭州B科技公司舉證證明其通過宣傳推廣吸引經銷商在“女裝網”發布非公開的加盟意向，杭州A科技公司、杭州B科技公司經過簡要加盟信息之后，通過人工審核方式深度核實并獲取更多的加盟信息進行分析及整合，加貼特殊標簽，最終加工形成較為完善的加盟信息。杭州A科技公司、杭州B科技公司認為單個的經銷商數據庫信息匯集成一定規模的數據之后，可以成為一種資源、要素、財產，涉案經銷商數據庫是杭州A科技公司、杭州B科技公司長期經營的勞動成果，為此投入勞動及成本，系其核心競爭資源，具有商業意義和商業價值，應當屬于《反不正當競爭法》所保護的財產性權益。關于浙江C網絡科技公司抗辯“女裝網”服務協議及現行法律規定對會員賬號及密碼的權屬并沒有定性，即便有使用會員賬號及密碼的行為，也應當由用戶來主張權利的意見。本院認為，會員賬號及密碼使用權雖然歸屬用戶，但賬號所對應的經銷商數據庫的財產性權益應當屬于平臺，且涉案經銷商數據庫中數據內容雖然來源于意向加盟商，但經過杭州A科技公司、杭州B科技公司的深度開發已不同于普通的客戶信息。綜上，本院認為，反不正當競爭法旨在維護合法有序的社會競爭秩序，經營者在經營活動中的行為如符合法律規定，基于合法的經營行為獲得的合法權益應受反不正當競爭法保護。根據在案證據顯示，杭州B科技公司是涉案經銷商數據庫的實際運營者，故其亦享有相關權益，杭州A科技公司、杭州B科技公司訴稱其對涉案經銷商數據庫共同享有競爭性財產權益的訴訟主張，本院予以支持。本案中，杭州A科技公司、杭州B科技公司訴請浙江C網絡科技公司立即停止針對“女裝網”企業會員及經銷商數據資料的侵權行為，具體包括三種侵權行為：一是獲取、使用杭州A科技公司、杭州B科技公司企業會員在“女裝網”的賬號及密碼的侵權行為；二是訪問企業會員后臺頁面的侵權行為；三是訪問企業會員后臺，查看、獲取、使用經銷商數據的侵權行為。綜合分析上述三種涉案具體被控侵權行為如下：第一，從上述三種涉案被控侵權行為的方式和手段分析，杭州A科技公司、杭州B科技公司已經舉證證明對涉案登錄密碼和經銷商數據庫進行了加密處理，而浙江C網絡科技公司確認使用四個IP地址登錄“女裝網”的會員賬戶中，有24個賬戶是“中服網”客戶委托浙江C網絡科技公司員工登錄“中服網”的，“中服網”員工得知會員賬戶和密碼后，使用24個會員賬戶和密碼不斷嘗試登錄“女裝網”付費會員賬戶、密碼，成功登錄“女裝網”后隨即查看、獲取、使用涉案經銷商數據庫信息。在浙江C網絡科技公司無法證明獲得客戶授權而登錄“女裝網”的情形下，結合涉案24個賬號在“女裝網”“中服網”的ID不完全一致的事實，杭州A科技公司、杭州B科技公司主張浙江C網絡科技公司以不正當手段完成在杭州A科技公司、杭州B科技公司網站順利登錄的行為的指控，予以認定。綜上，本院認為，浙江C網絡科技公司系通過不正當手段登錄并獲取案涉數據信息，其行為手段和方式具有不正當性。第二，從涉案被控侵權行為目的和后果分析，浙江C網絡科技公司以不正當的手段獲取涉案經銷商數據后，在涉案兩個網站提供服務同質化的情況下，主觀上具有“搭便車”、“不勞而獲”的故意，導致的直接后果就是杭州A科技公司、杭州B科技公司客戶群的流失和商業合作機會的減少，攫取了不正當的財產性權益，故被控侵權行為不僅僅是一種牟利性的商業行為，更具有明顯的指向性。第三，從涉案被控侵權行為是否違反誠實信用原則和公認的商業道德分析，首先涉案經銷商數據庫具有積極的效果，當互聯網服裝行業的品牌方會員通過網站獲取所需信息，不僅可以直觀獲取意向加盟商詳細信息，還可以了解加盟商對于相關服裝品牌的喜好，涉案經銷商數據庫高效率地提升了品牌方會員的用戶體驗，豐富了會員選擇，具有積極效果。其次，浙江C網絡科技公司不正當地超出必要限度使用涉案經銷商數據信息，實質性替代了杭州A科技公司、杭州B科技公司在服裝網站上給品牌方會員提供的服務，給“女裝網”帶來負面評價及商譽上的損失，影響了競爭行為正當性的判斷。《反不正當競爭法》的立法目的在于通過規制市場主體參與市場競爭的行為，阻止市場主體以不正當方式獲取市場競爭優勢，維護“平等、公平、誠信”的市場競爭秩序，不僅維護具有直接競爭關系的經營者之間的正當競爭，也維護整個市場的競爭秩序。不正當競爭行為損害對象的多樣性決定了競爭行為的廣泛性，當經營者以不正當手段謀取競爭優勢或是破壞他人競爭優勢，由此產生的亦是損害與被損害的關系。本案中的涉案經銷商數據庫屬于正當經營模式，杭州A科技公司、杭州B科技公司注冊并經營“女裝網”，浙江C網絡科技公司注冊并經營“中服網”。原被告網站之間的商業模式核心均是以提供優質的精準經銷商資料為賣點，進而向企業會員收費的盈利模式，二者屬于同業范疇，且二者在為經銷商和品牌方提供的服務模式上近乎一致，本質上是在爭奪相同的經銷商和品牌方這一用戶群里。本院認為，原被告雙方當事人的商業模式、企業定位、用戶群體存在高度重合性，存在經營中爭奪用戶資源或相同用戶的注意力、交易機會的情形，故在互聯網服裝領域是直接競爭關系，彼此的利益存在此消彼長的情況，故浙江C網絡科技公司使用不正當手段登錄、使用、獲取涉案經銷商數據庫應納入反不正當競爭法規制的范圍。（四）被控侵權行為是否給杭州A科技公司、杭州B科技公司造成損害浙江C網絡科技公司不正當使用用戶賬號和密碼登錄使用，實質性替代付費會員獲取經銷商信息，不正當地獲取了額外商業機會和競爭優勢，直接損害了杭州A科技公司、杭州B科技公司的商業利益，導致杭州A科技公司、杭州B科技公司的核心競爭力及財產性權益受損，因此浙江C網絡科技公司的行為與杭州A科技公司、杭州B科技公司所受損害之間具有因果關系。
綜上所述，本院認為涉案被控侵權行為已經給杭州A科技公司、杭州B科技公司造成了損害，故浙江C網絡科技公司的行為已經構成不正當競爭。
根據百度百科解釋，撞庫是黑客通過收集互聯網已泄露的用戶和密碼信息，生成對應的字典表，嘗試批量登錄其他網站后，得到一系列可以登錄的用戶。很多用戶在不同網站使用的是相同的賬號密碼，因此黑客可以通過獲取用戶在A網站的賬戶從而嘗試登錄B網站，這就可以理解為撞庫攻擊。撞庫通常意義上也指用拖庫方式獲得的用戶名和密碼在其他網站批量嘗試登錄，進而盜取更有價值的東西。部分負責任的網站不會將密碼明文保存在數據庫中，會提前將一些比較簡單的密碼做MD5運算，將結果保存下來，破譯密碼的時候直接查，加鹽后的明文=明文+鹽密文=MD5（加鹽后的明文）。互聯網領域適用《反不正當競爭法》原則的適用條件應為不正當競爭行為確實損害了競爭對手的利益，限制網絡用戶的自主選擇權，未保障網絡用戶的知情權，破壞了互聯網環境中的公開、公平、公正的市場競爭秩序，從而引發惡性競爭或者具備這樣的可能性。超越邊界的獲取數據庫行為也可能會損害未來網絡用戶的利益，網絡用戶利益的根本提高來自于經濟發展，而經濟的持續發展必然依賴于公平競爭的市場秩序。如果研發數據庫者的利益不能得到有效保護，必然使得同行業之間出現惡意競爭，網絡用戶能獲取信息的渠道和數量亦將減少。該案針對目前的數據庫信息市場提出三個問題：第一個是互聯網網站能不能基于自身經營所收集、整理的用戶數據庫信息主張權利的問題。目前能夠達成共識的是，數據就是一種財產，是一種利益，是可以被保護的，互聯網網站可以在用戶同意的情況下，基于自身經營活動，就收集并進行商業性使用或具有商業價值的用戶數據庫信息主張權益。第二個是明確適用《反不正當競爭法》第二條認定互聯網中的競爭行為是否屬于不正當競爭行為時需要綜合考慮同行業競爭者、網絡用戶和社會公眾的利益，需要在各種利益之間進行平衡。第三個是賬號秘密的信息技術特性決定了其為身份認證信息，賬號密碼內產生的網絡虛擬財產或數據具備計算機信息系統數據的法律屬性，故賬號密碼內的財產性權益應當歸屬平臺。該案指出，就數據庫信息而言，其規模及質量反映了網絡平臺用戶的活躍度，影響到互聯網企業的吸引力。掌握用戶數據越多，越有可能擁有更大的用戶規模，顯然只有維持已有用戶并不斷吸引新用戶，才能推進企業經營發展。另一方面，用戶數據庫信息是網絡經營者分析整理用戶需求，開發特色產品和服務，提升用戶體驗的重要來源，故本案中的經銷商數據庫不僅是杭州A科技公司、杭州B科技公司的競爭力，也是生產力。
因此，該案的裁判也為數據庫的獲取提供了清晰的指引——即在獲取相關數據庫信息時，應遵循合法、正當、必要限度的原則，且不能通過不正當手段實質性替代原數據庫開發者的服務，可以在一定程度上從實現積極效果的目的出發對數據庫信息進行利用。
