基于電子數(shù)據(jù)推理的網(wǎng)絡(luò)犯罪主體同一認(rèn)定*

王寧 許致君

1. 湖北警官學(xué)院 2. 湖北省陽新縣公安局

引言

由于網(wǎng)絡(luò)的虛擬性、跨地域性等特征，網(wǎng)絡(luò)犯罪在空間上呈現(xiàn)出犯罪嫌疑人位于現(xiàn)實(shí)物理空間，而犯罪行為發(fā)生在虛擬網(wǎng)絡(luò)空間的“二元性特征”，網(wǎng)絡(luò)犯罪的這種特征使得確定犯罪嫌疑人身份的難度加大。司法實(shí)踐中通過尋找補(bǔ)強(qiáng)證據(jù)如口供、言詞證據(jù)來認(rèn)定物理空間與虛擬空間嫌疑人身份一致性，容易在庭上受到質(zhì)疑。在立法層面，最高人民法院、最高人民檢察院、公安部先后于2016年、2018年、2021年發(fā)布了《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》《公安機(jī)關(guān)辦理刑事案件電子數(shù)據(jù)取證規(guī)則》《人民檢察院辦理網(wǎng)絡(luò)犯罪案件規(guī)定》，這些部門規(guī)范增強(qiáng)了司法辦案的可操作性，但關(guān)于網(wǎng)絡(luò)犯罪主體身份同一認(rèn)定的方法描述還比較簡約。在學(xué)理上，針對(duì)如何有效解決網(wǎng)絡(luò)犯罪案件中嫌疑人身份同一認(rèn)定問題的研究也很少[1]。本文針對(duì)網(wǎng)絡(luò)犯罪主體身份同一認(rèn)定這一問題，從電子數(shù)據(jù)推理角度探討網(wǎng)絡(luò)犯罪主體同一認(rèn)定的步驟、原則、方法。

一、網(wǎng)絡(luò)犯罪主體同一認(rèn)定的困境

在網(wǎng)絡(luò)犯罪案件中，嫌疑人身份信息的查獲和確定是案件事實(shí)查明首先需要解決的問題，也是后續(xù)刑事追訴能有效進(jìn)行的保證。但在網(wǎng)絡(luò)犯罪案件中，犯罪嫌疑人的身份涉及物理空間和虛擬空間兩個(gè)空間，虛擬空間中的犯罪嫌疑人身份表現(xiàn)為涉案機(jī)器或電子賬號(hào)。涉案機(jī)器包括實(shí)體硬盤、智能手機(jī)、電腦設(shè)備、對(duì)外租賃的“云服務(wù)器”等；涉案電子賬號(hào)包括微信、QQ、Soul、四喵、陌陌、探探、Facebook、Twitter、銀行卡號(hào)、支付寶賬號(hào)等。網(wǎng)絡(luò)犯罪主體的同一認(rèn)定，則是證明涉案機(jī)器或電子賬號(hào)的持有者、使用者就是指向物理空間的真正作案人。

由于網(wǎng)絡(luò)犯罪案件中犯罪嫌疑人現(xiàn)實(shí)身份和虛擬身份的二重性，辦案人員經(jīng)常面臨著對(duì)網(wǎng)絡(luò)犯罪主體同一認(rèn)定的困境。在此類案件中，曾一度被稱為“證據(jù)之王”的嫌疑人口供往往很難獲取，即使前期已獲取口供，也可能隨后遭遇翻供。同時(shí)，行為人會(huì)針對(duì)被指控的事實(shí)提出抗辯[2]。在司法實(shí)務(wù)中具體表現(xiàn)為，犯罪嫌疑人根本否認(rèn)涉案機(jī)器或電子賬號(hào)為其所有，或者在如恐怖主義犯罪案件、販賣毒品等案件中由于犯罪行為的隱蔽性很強(qiáng)，犯罪嫌疑人零口供。犯罪嫌疑人承認(rèn)涉案機(jī)器或電子賬號(hào)為其所有或共同持有，但不為其所用，如在某網(wǎng)絡(luò)小貸APP涉嫌套路貸案中，犯罪嫌疑人稱該APP為公司所有，但為了虛構(gòu)公司業(yè)績，獲得客戶和投資人信任，后臺(tái)數(shù)據(jù)的修改以及大量虛假交易記錄的注入是其技術(shù)團(tuán)隊(duì)所為，所以導(dǎo)致交易金額虛高。司法實(shí)務(wù)中采用嫌疑人口供或?qū)⑾右扇丝诠┲谱鳛樵儐柟P錄并由嫌疑人簽字確認(rèn)的方式，可能在庭審中出現(xiàn)“被告人翻供”或如“黑客”行為抗辯、“木馬”病毒抗辯、“他人”行為抗辯等，容易釀成錯(cuò)案或放縱犯罪[3]。

此外，伴隨著新興互聯(lián)網(wǎng)業(yè)態(tài)模式發(fā)展，網(wǎng)絡(luò)犯罪與經(jīng)濟(jì)犯罪聚合升級(jí)，近年來涉眾型經(jīng)濟(jì)犯罪在一定范圍內(nèi)呈現(xiàn)愈演愈烈的態(tài)勢(shì)。相比傳統(tǒng)犯罪案件，這類網(wǎng)絡(luò)犯罪樣態(tài)的案件具有涉案人數(shù)多、涉案資金大等特點(diǎn)。以筆者作為國家電子數(shù)據(jù)司法鑒定人參與的幾起投資型網(wǎng)絡(luò)詐騙、網(wǎng)絡(luò)傳銷等涉眾型犯罪案件為例[4]，在這類案件中，眾多的案件參與人僅只能被稱為“集資參與人”或“涉案人員”，犯罪嫌疑人與被害人、主犯與從犯的界限，以及參與人的界限模糊。犯罪組織通過不斷增加內(nèi)部層級(jí)，發(fā)展會(huì)員并形成角色豐富的涉案人員群體，真正的犯罪嫌疑人居于幕后并遙控指揮，辦案人員通過該犯罪組織下級(jí)人員的供述通常很難發(fā)現(xiàn)幕后的“真正犯罪嫌疑人”。在案件事實(shí)查明中某嫌疑人為逃避打擊，隱瞞其犯罪事實(shí)，可能只承認(rèn)一個(gè)會(huì)員賬號(hào)，但實(shí)質(zhì)上該嫌疑人使用很多會(huì)員賬號(hào)登陸，獎(jiǎng)金瓜分時(shí)可能用多個(gè)銀行賬號(hào)，會(huì)員賬號(hào)與銀行資金賬號(hào)可能會(huì)出現(xiàn)一對(duì)一、一對(duì)多、多對(duì)多的復(fù)雜關(guān)系[5]。因此在案件事實(shí)查明中，利用其工商注冊(cè)登記信息等傳統(tǒng)方法來證明案件參與人在犯罪組織中的角色，確定主從關(guān)系，不僅會(huì)耗費(fèi)大量的司法和社會(huì)資源，而且這類信息的收集難保沒有遺漏。采用傳統(tǒng)司法實(shí)踐中對(duì)于犯罪主體的證明方式，如采用嫌疑人口供、被害人陳述或證人證言等證明犯罪主體同一的方式，對(duì)具這類網(wǎng)絡(luò)犯罪樣態(tài)的案件而言，其證明作用亦十分有限。

二、網(wǎng)絡(luò)犯罪主體同一認(rèn)定的電子數(shù)據(jù)推理

司法實(shí)踐中，整個(gè)案件或案件客觀事實(shí)的某一部分通過證明的手段來認(rèn)定事實(shí)經(jīng)常會(huì)遇到無法克服的瓶頸，因此，推理是無奈但也是唯一的選擇[6]。就網(wǎng)絡(luò)犯罪案件而言，直接證據(jù)如口供、證人證言等言詞證據(jù)往往難以證明網(wǎng)絡(luò)犯罪的主要案件事實(shí)，難以證明涉案機(jī)器或電子賬號(hào)的指向就是真正的作案人。因此，網(wǎng)絡(luò)犯罪主體同一認(rèn)定需要辦案人員以間接證據(jù)為基礎(chǔ)，以經(jīng)驗(yàn)法則為依據(jù)，推理出涉案機(jī)器或電子賬號(hào)的持有者、使用者，并推定出物理空間中真正的作案人。

（一）電子數(shù)據(jù)推理運(yùn)用的步驟

網(wǎng)絡(luò)犯罪主體同一認(rèn)定的首要任務(wù)是全面收集證據(jù)，收集虛擬空間和物理空間的證據(jù)。其次是面對(duì)大量的證據(jù)，依據(jù)具體案情和待證事實(shí)，分別在虛擬空間和物理空間分類評(píng)估證據(jù)，并形成各個(gè)獨(dú)立的得到證明的基礎(chǔ)事實(shí)。最后，以證明的事實(shí)為基礎(chǔ)，以經(jīng)驗(yàn)法則為依據(jù)，對(duì)嫌疑人身份的同一性進(jìn)行推定，推理步驟如圖1所示。

1. 全面收集證據(jù)

在網(wǎng)絡(luò)犯罪案件中，對(duì)于能扣押、封存電子數(shù)據(jù)原始介質(zhì)的，應(yīng)當(dāng)扣押、封存。對(duì)于不宜扣押、封存電子數(shù)據(jù)原始介質(zhì)的如“云服務(wù)器”等，應(yīng)依法收集提取涉案的音視頻、數(shù)據(jù)庫、電子郵件、社交媒體文件等內(nèi)容信息數(shù)據(jù)，還應(yīng)收集這些數(shù)據(jù)產(chǎn)生過程中的相關(guān)數(shù)據(jù)信息如注冊(cè)人信息/使用者信息、交互信息、存儲(chǔ)位置信息等。

2. 形成基礎(chǔ)事實(shí)

案件初始，從物理空間和虛擬空間收集的證據(jù)是海量的、雜亂的，辦案人員需要根據(jù)案件具體情況對(duì)證據(jù)分類及評(píng)估，選取與待證事實(shí)關(guān)聯(lián)性強(qiáng)的證據(jù)，保證證據(jù)的合法真實(shí)性，在物理空間和虛擬空間分別形成系列能證明的基礎(chǔ)事實(shí)。

3. 嫌疑人身份同一認(rèn)定

辦案人員根據(jù)已證明的基礎(chǔ)事實(shí)，以經(jīng)驗(yàn)法則為依據(jù)，從虛擬空間的涉案機(jī)器或電子賬號(hào)追溯到物理空間行為人，或從物理空間真正作案人向虛擬空間對(duì)涉案機(jī)器或電子賬號(hào)的持有者和使用者展開推理等。

（二）電子數(shù)據(jù)推理運(yùn)用的原則

1. 推理的基礎(chǔ)事實(shí)必須真實(shí)

基礎(chǔ)事實(shí)是推理的基礎(chǔ)，沒有基礎(chǔ)事實(shí)無法進(jìn)行推理。而且基礎(chǔ)事實(shí)必須是被證據(jù)直接證明的事實(shí)，否則，推理虛假的可能性極大。司法實(shí)務(wù)中，基礎(chǔ)事實(shí)均應(yīng)由相互印證證據(jù)予以直接證明，如推理嫌疑人是某涉案電子設(shè)備持有者的基礎(chǔ)事實(shí)由已被證明的證人證言、現(xiàn)場勘查工作記錄等證據(jù)組成。

2. 推理依據(jù)必須可靠

推理依據(jù)，又稱經(jīng)驗(yàn)法則，是人們經(jīng)反復(fù)實(shí)踐認(rèn)識(shí)到的現(xiàn)象之間有根據(jù)的、合乎邏輯的常態(tài)聯(lián)系和因果關(guān)系。這種推理依據(jù)是社會(huì)上一般人或普通大眾所感知或認(rèn)同的無須證據(jù)證明的具有普適性的基本常識(shí)。例如，某涉案電子賬號(hào)是通過嫌疑人刷臉或指紋登錄的，則推理出該涉案電子賬號(hào)為犯罪嫌疑人所持有，合乎邏輯和常識(shí)的推理依據(jù)是人體生物特征唯一性。

3. 推理結(jié)論事實(shí)允許反駁

推理結(jié)論事實(shí)的真實(shí)性受基礎(chǔ)事實(shí)是否為真、推理依據(jù)是否可靠、推理運(yùn)用是否合理等因素影響。司法實(shí)務(wù)中，存在著例外因素、經(jīng)驗(yàn)法則未預(yù)見的特殊因素的介入，可能因辦案人員司法經(jīng)驗(yàn)等的差異得出不同的結(jié)論。允許犯罪嫌疑人提出反駁，否則有可能錯(cuò)誤定罪。

三、網(wǎng)絡(luò)犯罪主體同一認(rèn)定的推理方法

（一）基于使用者唯一性的推理認(rèn)定法

基于使用者唯一性的推理認(rèn)定有基于人體生物特征識(shí)別數(shù)據(jù)的人身同一認(rèn)定和基于密碼技術(shù)的人身同一認(rèn)定。前者是利用物理空間中人的形象特征如指紋、人臉相貌、視網(wǎng)膜、DNA遺傳基因等的身份識(shí)別，后者是利用密碼技術(shù)認(rèn)定相關(guān)主體的身份。例如，通過指紋、人臉、虹膜識(shí)別等方式登錄涉案機(jī)器的，則可推定該涉案機(jī)器為嫌疑人所持有和使用，除非嫌疑人能夠提出有效的抗辯證據(jù)；通過指紋、人臉?biāo)⒛樀确绞降卿涍M(jìn)入涉案電子賬號(hào)的，則可推定該電子賬號(hào)為嫌疑人所持有和使用，除非嫌疑人能夠提出有效的抗辯證據(jù)。

利用基于密碼技術(shù)的人身同一認(rèn)定包括數(shù)字簽名等。數(shù)字簽名是非對(duì)稱密鑰加密技術(shù)與數(shù)字摘要技術(shù)的應(yīng)用，其可簡單地理解為對(duì)附加個(gè)人標(biāo)記所作的密碼交換，達(dá)到系統(tǒng)上手書簽名蓋章的作用。類似傳統(tǒng)紙質(zhì)文件上的簽字或者蓋章，數(shù)字簽名可用于人身同一認(rèn)定，例如，利用網(wǎng)絡(luò)銀行實(shí)施轉(zhuǎn)賬行為的U盾或密碼器數(shù)字簽名。手機(jī)號(hào)碼一般采用實(shí)名制且是唯一，一些應(yīng)用程序賬號(hào)如微信、支付寶等APP采用手機(jī)號(hào)注冊(cè)，設(shè)備登錄采用“密碼 + 短信驗(yàn)證碼”二次交叉認(rèn)證方式，在排除短信嗅探、木馬等安全威脅后，結(jié)合商家短信平臺(tái)安全評(píng)估等其他證據(jù)，可推定涉案電子賬號(hào)為嫌疑人持有和使用，除非嫌疑人能夠提出有效的抗辯證據(jù)。

（二）從物理空間向虛擬空間的犯罪主體同一推理認(rèn)定法

這種方法，指的是在用證明的方法對(duì)物理空間作案人是涉案機(jī)器或電子賬號(hào)持有者的證明之后，再結(jié)合虛擬空間電子數(shù)據(jù)形成的基礎(chǔ)事實(shí)去推理該作案人是涉案機(jī)器或電子賬號(hào)的使用者。以某涉案電腦設(shè)備為例，例如，通過核對(duì)涉案電腦或硬盤的型號(hào)、序列號(hào)等特征與其購買的發(fā)票、資產(chǎn)登記等相關(guān)材料的一致性來證明該涉案電腦為物理空間犯罪嫌疑人所持有，或通過涉案電腦上所附的指紋、毛發(fā)等生物特征來證明該涉案電腦為嫌疑人所持有，或通過出具的證人證言如“這臺(tái)電腦是某某使用”、現(xiàn)場勘查工作記錄等來認(rèn)定該涉案電腦為物理空間犯罪嫌疑人所持有。

推理出涉案機(jī)器或電子賬號(hào)為物理空間某嫌疑人所有，并不能證明被涉案機(jī)器或電子賬號(hào)該嫌疑人使用，為推定嫌疑人身份同一還需以虛擬空間電子數(shù)據(jù)形成的若干基礎(chǔ)事實(shí)為基礎(chǔ)，推理出涉案機(jī)器或電子賬號(hào)的使用者。例如，在某入侵案件中，將嫌疑人涉案電腦的系統(tǒng)日志、系統(tǒng)運(yùn)行文件與網(wǎng)絡(luò)交換日志、服務(wù)器上應(yīng)用日志等文件對(duì)比關(guān)聯(lián)分析訪問者信息、時(shí)間信息、地址信息等，如果一致且能形成相互印證的證明結(jié)構(gòu)，則推理出該涉案電腦為嫌疑人所使用。

（三）從虛擬空間向物理空間的犯罪主體同一推理認(rèn)定法

這種方法，指的是在用證明的方法對(duì)虛擬空間涉案機(jī)器或電子賬號(hào)持有者和使用者的證明之后，再結(jié)合物理空間若干基礎(chǔ)事實(shí)去推理該物理空間的真正作案人。在網(wǎng)絡(luò)犯罪案件中，辦案人員可依據(jù)涉案機(jī)器的IP地址、MAC地址等信息鎖定涉案機(jī)器；可依據(jù)即時(shí)聊天記錄或調(diào)取平臺(tái)交互信息等鎖定涉案電子賬號(hào)；可依據(jù)行為人在網(wǎng)絡(luò)空間中留下的注冊(cè)信息、交互信息如涉案機(jī)器的運(yùn)行信息、內(nèi)容信息等，還原出“特定人”在網(wǎng)絡(luò)空間從事某種違法犯罪活動(dòng)的整個(gè)流程；可依據(jù)對(duì)提取的后臺(tái)數(shù)據(jù)庫中犯罪團(tuán)隊(duì)及具體行為人的犯罪所得、資金去向等的分析和查明，鎖定虛擬空間嫌疑人身份等。

勾勒出虛擬空間嫌疑人身份或嫌疑人的數(shù)據(jù)畫像，并不能指向或證明其為物理空間中的真正作案人，還需以物理空間證據(jù)形成的若干基礎(chǔ)事實(shí)為基礎(chǔ)，推理出物理空間中的真正作案人。例如，在某刷單騙保案件中，辦案人員通過網(wǎng)站日志文件等分析出“IP地址”，結(jié)合“小額支付”的交易記錄鎖定虛擬空間嫌疑人，綜合分析兩類空間中的“收貨地址”證據(jù)，找出物理空間中的真正作案人，最終“挖掘”出騙保金額1150余萬元[7]。再如，在網(wǎng)絡(luò)傳銷案中，結(jié)合數(shù)據(jù)庫中會(huì)員信息表中的會(huì)員賬號(hào)、提款表中的會(huì)員賬號(hào)、銀行賬號(hào)、提款金額、提款時(shí)間等字段數(shù)據(jù)，采用迭代算法，分析嫌疑人會(huì)員號(hào)與銀行賬號(hào)的綁定關(guān)系及犯罪金額，生成“會(huì)員賬號(hào)-銀行資金賬號(hào)”的關(guān)聯(lián)分析結(jié)果，確定虛擬空間的案件參與人定性為嫌疑人抑或受害人[5]。在此基礎(chǔ)上，再依據(jù)銀行等金融機(jī)構(gòu)、第三方支付平臺(tái)等提供的材料來證明嫌疑人為物理空間中的真正作案人。

（四）動(dòng)力定型特征信息與其他證據(jù)綜合推理認(rèn)定法

這種方法，指的是利用動(dòng)力定型特征進(jìn)行的人身同一認(rèn)定。所謂動(dòng)力定型是指人的大腦皮層對(duì)刺激的定型系統(tǒng)所形成的反應(yīng)定型系統(tǒng)，一旦它形成則具有相對(duì)的穩(wěn)定性和規(guī)律性。雖然學(xué)術(shù)上沒有明確界定，但司法實(shí)務(wù)中已將動(dòng)力定型特征如利用犯罪行為人實(shí)施犯罪行為的動(dòng)作習(xí)慣、書寫習(xí)慣、個(gè)體語言特征等用于案件事實(shí)查明和司法鑒定活動(dòng)中的人身同一認(rèn)定。在網(wǎng)絡(luò)犯罪案件中，犯罪嫌疑人也會(huì)在虛擬空間留下動(dòng)力定型特征的痕跡，例如程序代碼的編寫習(xí)慣、網(wǎng)絡(luò)言語特征等，據(jù)此可進(jìn)行人身同一認(rèn)定。

利用動(dòng)力定型特征進(jìn)行人身同一認(rèn)定在某種意義上是虛擬空間向物理空間犯罪主體同一推理認(rèn)定的方法，這種方法在類似網(wǎng)絡(luò)入侵、病毒木馬、網(wǎng)絡(luò)謠言溯源、傳播網(wǎng)絡(luò)謠言等案件中運(yùn)用價(jià)值極大。例如，在網(wǎng)絡(luò)謠言溯源案件中利用網(wǎng)絡(luò)言語特征對(duì)嫌疑人生活區(qū)域、職業(yè)經(jīng)歷、年齡、性別、文化程度等個(gè)體特征的刻畫。例如，在溫州“八一”廣電案、“無花果”所開發(fā)惡意程序等案件[8]皆是通過對(duì)程序代碼編寫習(xí)慣的分析鎖定虛擬空間嫌疑人，并綜合分析兩大空間中的諸如銀行賬號(hào)、地址信息等證據(jù)，實(shí)現(xiàn)虛擬空間與物理空間犯罪主體同一認(rèn)定。目前，智能視頻監(jiān)控領(lǐng)域中的步態(tài)識(shí)別行走運(yùn)動(dòng)的動(dòng)力定型，其技術(shù)正進(jìn)一步研究中，并對(duì)未來網(wǎng)絡(luò)犯罪主體同一認(rèn)定的應(yīng)用起到推動(dòng)作用。

四、結(jié)語

在網(wǎng)絡(luò)犯罪案件中，通過證明的手段來認(rèn)定網(wǎng)絡(luò)犯罪主體身份同一此事實(shí)經(jīng)常會(huì)遇到認(rèn)定不能的無奈局面，作為事實(shí)認(rèn)定輔助手段的電子數(shù)據(jù)推理便有了用武之地，然而，推理畢竟不是證明。因此，有必要對(duì)網(wǎng)絡(luò)犯罪案件中嫌疑人身份同一認(rèn)定“瓶頸”問題進(jìn)行梳理，并在此基礎(chǔ)上構(gòu)建網(wǎng)絡(luò)犯罪主體同一認(rèn)定的電子數(shù)據(jù)推理過程，明確電子數(shù)據(jù)推理運(yùn)用原則和方法。