要弄清楚这个问题，需要分情况阐述。对于一般的游戏外挂使用者而言，是不构成犯罪的（或者说不违法）。但是对于那些通过在游戏中使用外挂谋利的人而言，一般都是具有刑事风险。

哪些是通过在游戏中使用外挂谋利的人？目前来看，主要包括利用外挂刷金/装备的人员和利用外挂代练的人员。

其实决定以上人员是否涉嫌刑事犯罪的标准非常明确，就规定在我国《刑法》之中。

根据我国《刑法》的规定，与外挂有关的罪名主要是破坏计算机信息系统罪和非法获取计算机信息系统数据罪和提供侵入、非法控制计算机信息系统的程序、工具罪。

外挂的作者一般应定性为提供侵入、非法控制计算机信息系统的程序、工具罪，本律师之前在《编写、销售吃鸡类游戏外挂/辅助的行为构成什么犯罪与辩护要点归纳》一文中已经针对该部分作者可能涉嫌的刑事责任进行了具体阐述，本文不再赘述。

与外挂的使用者相关的罪名主要是破坏计算机信息系统罪和非法获取计算机信息系统数据罪。

外挂的使用者涉嫌刑事犯罪的理由在于，我国《刑法》中禁止破坏计算机信息系统的行为和非法获取计算机信息数据罪的行为。而外挂使用者中的部分人员又恰恰符合了我国《刑法》中规定的构成破坏计算机信息系统的行为和非法获取计算机信息数据罪的条件。

一、涉嫌破坏计算机信息系统罪

按照破坏计算机信息系统罪的《刑法》规定，凡是对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的或者违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。就可以构成该罪名，需要承担刑事责任。

具体而言，根据最高人民法院、最高人民检察院《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（下文称《解释》）第四条对于后果严重的规定：……（二）对二十台以上计算机信息系统中存储、处理或者传输的数据进行删除、修改、增加操作的；（三）违法所得五千元以上或者造成经济损失一万元以上的……

怎么理解上面的条文呢？把上面的条文换成通俗的语言就好理解，与外挂使用者后果严重的情形主要有两个：一个是在20台以上的电脑、手机等计算机信息系统中使用了外挂；一个是使用者通过使用外挂的行为获利5000元以上或者使用外挂的行为给游戏运营方造成了1万元以上的损失即可构成破坏计算机信息系统罪。

当然这里面有一个比较关键的要点，即外挂需要能够对计算机信息系统功能进行删除、修改、增加、干扰的操作，否则即使被称为外挂也不符合该罪名的规定，不能构成破坏计算机信息系统罪。

对于外挂是否具有以上删除、修改、增加的能力，在刑事案件中公安机关会委托专门的鉴定机构来进行鉴定，主要是对该外挂是否属于破坏性程序进行鉴定，一般而言，只要鉴定意见得出属于破坏性程序就意味着该外挂具有对计算机信息系统功能进行删除、修改、增加、干扰的功能从而成为外挂使用者构成本罪的主要依据。对于破坏性程序的认定可以查阅本律师撰写的《计算机犯罪研究系列（七）如何理解计算机刑事案件中的破坏性程序》。

本罪中，除了外挂是否属于破坏性程序的要点外，还需要外挂使用者因为外挂的使用而获利或者给游戏运营方造成损失，这点正是区分哪些使用者涉嫌该罪名的关键，对于一般的外挂使用者而言，使用外挂的目的只是为了单纯的想要得到外挂所具有的与普通游戏玩家不同的装备或者技能，使得在游戏中获得不均衡的游戏优势，该种行为的目的并不是为了使得自己获利或者给游戏运营方造成经济损失。而且客观上该部分普通外挂使用者也没有获利或造成经济损失。

而对于想要通过在游戏中使用外挂谋利的人：利用外挂刷金/装备的人员和利用外挂代练的人员而言，刷金/装备的目的是通过出售金币或装备的行为获利，对于利用外挂代练的人员而言，利用外挂所提供的技术支持实现短时间内代练的效果的最大化，根本目的也是为了获利。同时，该两种行为会导致游戏运营方出售金币装备点卡的减少，造成经济损失。

因此，该两种行为不论是从违法所得还是经济损失的角度均可以得出该两类行为涉嫌破坏计算机信息系统罪的结论。

二、涉嫌非法获取计算机信息系统数据罪

除了前文提及的外挂使用者涉嫌破坏计算机信息系统罪之外，外挂使用者还可能涉嫌非法获取计算机信息系统数据罪。

使用者构成该罪的主要原因也是因为违法所得和经济损失

因为根据《刑法》第二百八十五条第二款关于该罪的规定，构成该罪同样需要情节严重。而情节严重的标准，根据《解释》第一条规定的内容主要是：（三）非法控制计算机信息系统二十台以上的；（四）违法所得五千元以上或者造成经济损失一万元以上的；因此可以得出与前文提及的破坏计算机信息系统罪的类似构罪条件。

因此，如果外挂使用者可能因为外挂的使用产生违法所得或者经济损失而涉嫌构成非法获取计算机信息系统数据罪。

关于与经济损失和违法所得有关的辩护观点可以查阅本律师撰写的《计算机犯罪研究系列（十三）破坏计算机信息系统案件中与经济损失、用户数量相关的几点辩护思路》。

三、外挂使用者所涉嫌的两个罪名区分

正如上文所述，外挂使用者可能因为外挂的使用而涉嫌破坏计算机信息系统罪和非法获取计算机信息系统数据罪。那么读者可能有个疑问，既然是外挂使用行为，为何会有两个不同的罪名？直接定一个罪就行了，为何多此一举定设立两个罪名？

其实，外挂使用的行为因为外挂所具有的具体功能的不同以及两个罪名之间的具体构成要件的差异，会产生罪名认定的差异。

根据《刑法》第二百八十六条第一款和第二款规定的内容可以将构成该罪的结构归纳如下：

第一种情形：系统功能+删除、修改、增加、干扰+不能正常运行+后果严重

第二种情形：数据和应用程序+删除、修改、增加+后果严重

根据《刑法》第二百八十五条第二款规定的内容可以将非法获取计算机信息系统数据罪的结构归纳如下：

侵入或其他技术手段+获取存储、处理或者传输的数据+情节严重

从以上两个条文的内容来看，两罪的构成结构存在明显差异，构成破坏计算机信息系统罪主要侧重的是计算机信息系统的功能和程序，而且每一种情形构成犯罪都要求同时符合，即有第一种情形要求对系统功能进行删除等操作而且要造成不能正常运行的结果。第二种情形要求对数据和应用程序进行删除等操作。构成非法获取计算机信息系统数据罪的构成侧重的是计算机信息系统中的数据，只要是通过非法手段获取的即可，对于是否对系统功能、应用程序进行删除等操作并不要求，同时也不要求对计算机信息系统造成不能正常运行的结果。

因此，如果外挂使用者使用的外挂能够对计算机信息系统的功能进行删除等操作同时造成不能正常运行或者能够对数据和应用程序进行删除等操作，是应该构成破坏计算机信息系统罪而非非法获取计算机信息系统数据罪。同样的，如果外挂使用者使用外挂的行为只是通过非法的手段获取数据不造成其他影响，应该只认定涉嫌非法获取计算机信息系统数据罪。

在外挂使用者中比较明显的情形在于如果外挂使用者的目的是刷金或者装备，那么这种行为对计算机信息系统所造成的影响如果只是在数据层面，则只能定非法获取计算机信息系统数据罪，如果超出了这个层面，就有被认定为破坏计算机信息系统罪的可能。

实务中的判决正是按照该思路将两个罪名加以区分，在福建省厦门市中级人民法院（2019）闽02刑终41号《刑事判决书》中，就对于涉案人员凭空生成游戏币的行为具体该如何适用罪名进行阐述：本案犯罪行为侵犯的客体并非计算机信息系统安全和正常运行，而是计算机信息系统的数据安全。查明的事实体现：上诉人张某非法侵入被害单位新游公司《帝2》网络游戏系统后，将系统中的游戏币、游戏装备数据发放给有关玩家。从系统数据呈现情况看，有些玩家的游戏币、游戏装备数据出现从无到有的状态，属于对游戏网络系统中数据进行增加操作的行为，系统中同时呈现的有些数据被修改的现象，不是张某对系统中的数据主动修改的结果，而是系统生成方式所造成，不属于对游戏网络系统中数据进行修改操作的行为。对这种行为的危害，新公司的报案材料及证人肖某、林某的证言证实，所侵害的是正常的游戏秩序，未对游戏系统与功能造成破坏和影响。从类似案件的社会危害看，所影响的是游戏玩家的体验感，对网络游戏系统的应用程序和运行安全并不致以造成危害，与造成网络黑屏、待机、卡机等因为应用程序受到破坏而使网络游戏系统无法安全运行、游戏功能无法正常发挥的情形具有显著的区别。

本案犯罪行为不符合刑法第二百八十六条第二款破坏计算信息系统罪规定的罪质特征。……根据该款规定，该罪的成立既要求具有后果严重要件，又要求具有犯罪对象复合性要件，前者要求达到《解释》第四条规定的情形，后者要求行为人必须同时具有对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作才可能构成本罪。这就意味着，只有同时对数据和应用程序进行删除、修改、增加的操作，才能影响计算机信息系统的正常运行，才可能造成严重后果。如果单纯调整、修改数据，计算机信息系统自身的运行不会受到影响，就不能构成本罪……在结合刑法规定进行定性分析时，对该款罪状规定的上述二要件不可偏废，否则将违背罪刑法定原则。然而，在案并无证据能够证实张某实施了对系统中的应用程序进行删除、增加、修改操作的行为。

因此，审判法官基于以上理由认为涉案人员凭空生成游戏币的行为不属于破坏计算机信息系统罪而是非法获取计算机信息系统数据罪。

将两罪具体构成予以区分的意义在于，两个罪名的法定刑幅度不一样，破坏计算机信息系统罪的法定刑更重，为五年以下或五年以上有期徒刑，而对于非法获取计算机信息系统数据罪而言，法定刑为三年以下或者三年以上七年以下。如果针对外挂使用者错误认定罪名，所导致的量刑过重问题就会非常明显，显然会造成司法不公，侵害涉案人员合法权益，因此有必要将该类行为涉嫌罪名予以区分避免该种情形发生。