国家法律法规数据库的法条文档带恶意病毒？！如何防范？如果游戏文件带病毒会如何处罚？
发现国家法律法规数据库官方文档携带W97M宏病毒，分析病毒危害与防范措施，并梳理误发布带毒文件的民事、行政和刑事责任。
近日，笔者在国家法律法规数据库（https://flk.npc.gov.cn/）搜索下载法条时，突然被电脑的杀毒软件警告。
所以，这是官方文档带毒？
笔者再经过一番调查，发现有另一个文档也带毒：
OMacro/Thus.a ?
这是什么病毒？
该如何防范？
如果自家游戏产品也带毒了被传播出去，会遭受什么处罚？
*本文仅为笔者个人观点，不视为任何法律建议或法律意见。
一、官方网站文件带毒？
先来一个一镜到底的演示：
胆大的读者也可以尝试自行打开以下两个链接下载测试（后果自负）：
《安徽省中小企业促进条例》
《铜陵市居家养老服务促进条例》
下载成功后，杀毒软件（火绒）第一时间报告风险，提示文件存在病毒，并已经进行了处理。
对于官方网站的信任，为了确认是否存在误报情况，笔者冒险关闭了火绒（请勿模仿），再次下载了这两个疑似带毒的文档，并分别上传到海内外的病毒检测网站进行多引擎检测，以下分别为各自结果：
安徽省中小企业促进条例.docx
铜陵市居家养老服务促进条例.docx
基本可以确认并非误报。
二、这病毒危害是什么？
根据杀毒软件和排查网站给出的病毒名称和流行标签，基本可以确认是宏病毒W97M/Thus。
笔者通过这个名字进行了一番调查，该病毒的危害方法可以简单理解为：
当打开了包括这个病毒的文档后，病毒会试图感染Word软件的全局模板（NORMAL.DOT）。
一旦模板被感染，所有新建或打开的文档都会被病毒宏插入，导致病毒在文档间扩散。
如果在12月13日当天（根据病毒变种不同，日期会略有变化），用户打开了受感染的 Word 文档，病毒的破坏性就会被激活，然后
病毒会尝试删除 C 盘根目录下的所有文件和文件夹。
只要是Word97及以后的版本，都会可以被这病毒感染。
三、如何防范宏病毒？
这是一个非常古老的病毒。
从名字就可以知道，这病毒是基于上个世纪的Word97版本制作的，距今也有快30年了。
但没想到到今天都还在传播，可见还有很多电脑的安全措施还是不够充分。
笔者在搜索资料的时候发现，起码安徽省内官方电脑中可能还有大量这病毒在流转，在2023年就有网友发现安徽税务局下载的文档报这个病毒：
考虑到这病毒的危害程度还是挺高的，因此大家可以考虑从以下方面去防范感染病毒的可能性：
装个现代杀毒软件
最简单的办法，当然是装个现代杀毒软件。
如果不是火绒报毒，笔者也不会发现官方文档居然带有病毒。
虽然理论上这么古老的病毒，应该各家杀毒软件都能发现，但实际上通过上文的检测网站可知，部分杀毒引擎并不能检测出来（或认为不是危害），例如：
以及起码上传法条文档的办公人员电脑，以及国家法律法规数据库背后存放文档文件的OSS提供商——联通云，也没有检测出来。
换个新版的Office
部分读者朋友可能基于个人操作习惯，或者电脑配置问题，会停留在比较旧的Office版本，但旧版本的Office软件因为缺少部分防御功能，很容易成为病毒的温床。
新版Office拥有保护功能，以及默认停用未经授权的宏，可以在一定限度上提高安全性。
换个新版的WPS
换WPS并非因为WPS不会感染病毒。
新版WPS的宏功能改用了JavaScript语言编写，而此类上古版本的病毒基本基于微软的VBA语言编写。
因此新版WPS不会运行这类宏病毒，自然也不会触发病毒的危害代码。
但前提是不要买商业标准版/商业高级版并切换到VB环境。
当然，JS环境也会有自己的宏病毒，并不是安装WPS就可以一劳永逸：
四、一般人误发布带毒文件应该承担什么责任？
对于一般人而言，误发布带毒文件，例如不小心在游戏中嵌入了病毒，导致用户设备被感染了，基于民事、行政、刑事，都有“合适的责任”在等着。
民事责任
最直接是民事责任。
就算是“不小心”误嵌入了病毒，基于《民法典》，依然要承担侵权责任。
第一千一百六十五条 行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。
如果游戏文件中夹带病毒，导致用户计算机系统损坏、个人资料泄露等，即构成对用户的“财产权益”侵害，开发者/研发商作为“过错方”需要进行赔偿。
一般而言，开发者需要赔偿用户因病毒感染造成的损失，例如数据恢复费用、系统维修费用等直接损失，如果病毒窃取了用户的虚拟财产（如游戏装备、账号）或银行账户信息并造成损失，可能还需要承担这部分的赔偿。
行政责任
游戏研发商作为“网络运营者”，有义务保障其提供的产品和服务的安全性。
基于《网络安全法》《数据安全法》《个人信息保护法》等法律法规，游戏研发商在发布游戏前，就应该承担相关审查、防范义务。
例如《网络安全法》
第二十一条 ……网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
……
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
……
如果因为没尽到管理义务导致病毒被传播以及导致用户感染，自然需要承担行政责任，政府监管部门（如网信办、工信部、公安机关等）可以介入，并作出处罚，一般而言会包括：
-
警告
-
责令改正： 要求立即修复漏洞、清除病毒。（在修复完成前可能会被责令下架游戏）
-
通报批评
-
罚款： 对单位（公司）和直接负责的主管人员（个人）进行罚款。
-
暂停相关业务： 在严重情况下，可能被责令暂停全部游戏的运营业务。
-
吊销许可证： 在极其严重或拒不改正的情况下，可能被吊销相关的业务许可或营业执照。
至于罚款金额，可以参考以下条款：
第五十九条 网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
刑事责任
除非极端情况，研发商一般“不小心” 并且在事发后立刻、主动、积极地通知用户、发布补丁、配合调查、赔偿损失，通常不会被追究刑事责任。
什么是极端情况？
例如：
-
员工在发包前发现有病毒，但老板为了赶进度还是决定先发包（罚公司和老板）；
-
员工为了报复公司“故意”植入病毒（罚个人）；
-
事后自行发现、被官方或第三方告知后，研发商因为赶进度、不舍得收益甚至技术能力不足等原因，故意不修复或推迟修复（罚公司）；
基本都是事前“不小心”但事后故意的情况。
虽然造成刑事责任的前提是“导致了大规模用户数据泄露或重大经济损失”，但我国入罪的数额标准一般低于“普通人的想象”，因此建议切勿以身犯险。
五、最后
笔者已经通过国家法律法规数据库的官方渠道提交了病毒通知，尽了一份责任。
相信这只是工作人员的无心之失。
不过，无论是游戏行业还是法律行业人员，还是要尽可能提高自己的安全意识，做好病毒的防范工作。
“电脑病毒”好像听起来已经是“很远的事”，但实际上它们一直在我们身边。
每个人都要做好自己的数据安全“第一责任人”。
不如先从排查自己电脑是否中毒了开始？
