職務犯罪偵查中電子數據的收集、固定和使用

職務犯罪偵查中電子數據的收集、固定和使用

【本期主講】

匡凌，現任湖南省長沙市人民檢察院檢察員、法律政策研究室副主任、長沙市檢察學會副秘書長。1994年至2007年在湖北省石首市人民法院工作，歷任審判員、副庭長、研究室主任；2007年選調至湖南省長沙市人民檢察院工作。主要研究方向為證據法、網絡法。著作：《證據失權制度質疑》、《非法證據排除規則在公訴環節的準確適用》等;與人合著、編著有《中華人民共和國婚姻法釋義與適用》、《道路交通維權妙計》、《企業電子商務中的法律風險及防范》等書。

核心提示：電子數據作為一種新的證據類型，在刑事訴訟中日益顯現出其作為證據打擊犯罪的重要作用。職務犯罪偵查中如何收集、固定和使用電子數據，是每一個檢察機關偵查人員值得關注的問題。本文從職務犯罪偵查實戰出發，探討電子數據的定義、類型、適用的法律以及如何收集、固定和使用電子數據，以期對檢察機關偵查人員辦理涉及電子數據類型的案件有所裨益。

20 12年修改的《中華人民共和國刑事訴訟法》第48條將電子數據列為一種新的證據種類。如何在職務犯罪偵查環節獲取和運用好電子數據，準確、有效地查辦職務犯罪，是當前檢察機關職務犯罪偵查部門和偵查人員面臨的新任務和亟待解決的新問題。

一、電子數據的概念及分類

何為電子數據？《人民檢察院電子證據鑒定程序規則》所稱的電子證據是指電子信息技術應用而出現的各種能夠證明案件真實情況的材料及派生物。《公安機關電子數據鑒定規則》所稱的電子數據是指以數字化形式存儲、處理、傳輸的數據。《計算機犯罪現場勘驗與電子證據檢查規則》所稱的電子證據包括電子數據、存儲媒介和電子設備。《電子數據司法鑒定操作規范》所稱的電子數據指基于計算機應用和通信等電子技術手段形成的客觀資料，用以表示文字、圖形符號、數字、字母等信息，包括以電子形式存儲或傳輸的靜態數據和動態數據。

電子數據表現為電子形式的各種數據，它無法被人直接感知，必須要通過固定轉化才能具體運用。當它轉化為文字和視聽性的資料的時候，就容易與書證、視聽資料混淆。電子數據只能存儲在相關媒介和電子設備之中，電子數據是否包括存儲的媒介和電子設備呢？筆者認為，從電子數據轉化的書證，只能作為電子數據證據使用。而與視聽資料相比，電子數據的范圍更大，視聽資料只是電子數據的一部分，即電子數據包含視聽資料。由于修改后的刑事訴訟法將視聽資料與電子數據一起列為一個證據種類，因此，法律規定的電子數據，應該是指除視聽資料外的其他電子數據。電子數據雖然只能存儲在相關媒介和電子設備之中，但不應包括存儲的媒介和電子設備，存儲的媒介和電子設備如果符合物證的特征，在刑事訴訟中應作為物證使用。

綜上，電子數據應專指電子化技術手段形成的客觀數據資料。

通過梳理近年來涉及電子數據方面的形態，大概有如下幾種表現形式：一是文檔數據和程序類；二是圖片類；三是聊天語音視頻類；四是網上交易、支付類；五是網站、電子郵箱類；六是手機信息類。隨著網絡、手機上各類軟件功能越來越強大，電子數據的分類逐步有交叉、融合之勢。

二、電子數據在偵查中的收集、固定和使用

隨著信息化的發展和智能手機的普及，收集、固定和使用電子數據成為職務犯罪偵查人員必須掌握的辦案手段。電子數據作為證據的一種類型，應該遵循證據收集、審查、判斷中的一般規則，要符合證據的合法性、真實性、關聯性。但由于電子數據必須存在于一定的載體中，具有數據的海量性、高速流轉性、自動生成性和脆弱性，偵查人員在收集、固定和使用電子數據時應特別注意電子證據取證的程序規范化、過程的標準化和工具專業化等因素。從某些方面來說，電子數據取證程序是否合法往往比電子數據的內容真實性顯得更為重要。

（一）根據案情確定取證方案

1．了解犯罪嫌疑人的作案手段。在辦案中要根據案情了解犯罪嫌疑人的犯罪手段，初步判斷電子數據的存放方式、地點，然后準備相應的人員和軟硬件，全面獲取相關電子數據證據。

2．注重現場保護。到達現場后，首先，應立即阻止嫌疑人使用計算機，需切斷計算機網絡連接（拔除網線或者關閉無線網卡），防止計算機被遠程控制導致檢材損壞。其次，要觀察電腦狀態，察看是否有破壞性程序在運行，如刪除操作、磁盤整理、運行殺毒程序等，如有則立即切斷電源；筆記本可通過移除電池達到切斷電源目的。再次，對現場拍照并描繪現場草圖，需要對計算機接線狀態、連接外設進行拍照和記錄，有條件的應全程攝像。

3．做好人員和器材上的準備。根據最高人民法院、最高人民檢察院、公安部《關于辦理網絡犯罪案件適用刑事訴訟程序若干問題的意見》第5條規定，收集、提取電子數據，應當由兩名以上具備相關專業知識的偵查人員進行。同時，還應當邀請與案件無關的公民作為見證人。提取器材和工具一般應包括硬件和軟件。常用的硬件：現場勘查箱、筆記本電腦、移動硬盤、硬盤克隆機、取證U盤（或光盤）、空白刻錄光盤；軟件：OFFICE系統，圖片查看軟件，手機信息備份、查看、提取軟件等。

如，某檢察院偵查的中國電信李某等人受賄系列案。該案涉案人員內外勾結，通過網絡和信息聯系，利用相關技術占用電信部門的資源，以低于公司定價的價格私攬短信群發業務，收取回扣。破案后為中國電信集團挽回直接經濟損失3000余萬元，追繳犯罪所得200余萬元。該案電子數據方面主要涉及兩大系統：一是超級信使系統，通過這個系統發送短信；二是支付寶系統，通過支付寶收、付款。他們還利用騰訊QQ，作案分工、共同分贓。該檢察院在當地公安部門的配合下，施行三地布控，統一指揮，同時抓捕，將李某等四名主要犯罪嫌疑人抓獲，并同時對四人的辦公場所、住所依法進行搜查，扣押了電腦等涉案物品，有效提取了電子數據，確保證據不遭到人為的破壞、滅失。

（二）電子數據的勘驗檢查

電子數據的勘驗檢查主要包括現場勘驗檢查、遠程勘驗檢查。

現場勘驗檢查中對存儲有電子數據的原始存儲介質和電子設備進行扣押的，應當開具扣押清單，制作扣押筆錄。扣押筆錄一般應包括扣押的時間、地點、扣押人的姓名和單位、扣押物品持有人身份、扣押對象、扣押的目的、扣押原始存儲介質和電子設備的數量和特征等，對扣押的原始存在介質和電子設備的來源，存儲的電子數據有無修改、刪除、增加以及備份情況都應予以注明。

在遠程勘驗檢查時，要向操作人員詳細了解數據產生的過程，查看產生數據的應用軟件，了解數據格式，根據不同情況，向操作人員提出要求，從應用系統中檢索出符合要求的數據，并制作遠程勘驗筆錄和提取電子數據筆錄。需要注意的是：一是對簡單的數據可以直接拍照或打印到紙上固定；二是對復雜的數據必須用一次性寫入光盤的形式保存，方便統計、匯總和展示，光盤數據應計算其完整性校驗值（MD5），在筆錄中予以體現。三是有些通過軟件查詢精準獲取的電子證據可以轉換為方便查看的方式。

對無法扣押的原始存儲介質和電子設備應當交由有關部門保管，偵查人員應采用足以反映電子數據內容的視頻、照片以及其他轉化方式對電子數據予以固定。

（三）電子數據提取的規則

要用科學的、符合刑事訴訟規則的方法提取，才能在訴訟中作為證據使用。提取的時候一般要達到“三化”的要求。

1．程序規范化。提取任何電子數據要以庭審證據的標準和要求來慎重對待，要符合相關的操作規范。以常用的電子數據載體電腦和手機為例：在現場搜查時，如果電腦處于開機狀態，應使用取證工具進行現場保存數據。如果無法現場取證的，應當直接拔掉電源，這樣可以防止丟失易失性數據，確保電腦中臨時文件和內存中數據的完整性。對手機的電子數據取證，如果是開機狀態，應將手機放入屏蔽袋（箱）或屏蔽室中，以攝像方式記錄調閱手機中的短信、彩信、聯系人記錄、電話簿、錄音、錄像、照片、即時聊天信息、電子郵件等內容；或者將其接入取證工具，獲取手機中的信息，恢復手機中刪除的信息。對處于關機狀態的手機進行的取證：首先，是對手機身份卡（目前有SIM卡、USIM卡和RUIM卡三種類型）和存儲卡的取證，還要查看機身上的標識獲得機身碼（IMEI或ESN）；隨后，在屏蔽室中按照開機取證的程序獲取手機中的電子數據。

2．過程的標準化。要符合相關技術規范要求，收集、提取電子數據應當制作筆錄，記錄案由、對象、內容，收集、提取電子數據的時間、地點、方法、過程，電子數據的清單、規格、類別、文件格式、完整性校驗值等，并由收集、提取電子數據的偵查人員以及電子數據持有人、見證人簽名。在遠程提取電子數據時，特別要注意操作人員的級別和權限問題。操作人員的級別和權限不同，提取的數據就不相同。如提取銀行賬號信息、手機通訊信息等，要特別予以注意，并在提取筆錄中注明操作人的權限。

3．工具專業化。當今電腦、手機技術一日千里，對檢察技術的要求日益提高，必須要加強與檢察技術部門的配合力度，只有技術力量和工具軟件保持先進性，才能確保提取電子數據的真實、有效。當前，一般的工具對該系統電子數據提取還無法做到100%完整，因此，對此類手機數據的提取應保持慎重，不斷更新相關軟件，力求做到無損提取的電子數據。

如某檢察院在查處陳某某涉嫌行賄犯罪一案時，該行賄人是娛樂城的負責人，其負責財務工作的筆記本電腦使用量很大，且對檢察機關偵查行為有所察覺，已經采取了相應的防范措施。為防止涉及行賄的電子數據被完全破壞，檢察機關依照技術規范程序，及時查封該筆記本電腦，之后，技術人員按照技術規范，無損備份筆記本電腦上的數據，對備份的數據采用數據恢復工具軟件WinHex對已刪除資料進行了數據恢復。共恢復出各類文檔、表格、幻燈片共計282個；其中可以直接打開利用的文件260個，加密文件22個（通過解密軟件Passware Kit enterprise軟件對22個文件全部進行了解密）。技術人員對以上恢復出的所有282個文件以及解密的22個文件已刻錄成光盤進行保存。通過分析搜索這些恢復的電子數據，發現了犯罪嫌疑人行賄的證據。

（四）電子數據的轉化和使用

對于傳統的書證與物證來說，電子數據證據表現為電子形式的各種數據，它無法被人直接感知。要作為證據使用，電子數據必須要轉化、固定為可以被認知的東西。偵查人員在提取電子證據后，應及時將存有電子證據的存儲設備以及扣押、提取的數據文件交由專門的技術部門進行固定轉化。以幾種常用電子數據的轉化為例：

1.文檔、圖片和手機信息類的固定轉化。在控制了涉案對象的電腦、手機等電子設備后，通過技術手段登錄電腦和手機后，導出相關的文字及圖案記錄，經過偵查人員的分析，挑選出與案件有關的內容截屏打印，隨后交對象確認無誤后簽字，證明系對象電腦或手機中的內容。如某檢察院在偵查馬某某涉嫌受賄一案中，偵查部門在提取其手機后，采取技術手段并運用專業軟件從馬某某手機中恢復了刪除的受賄短信，并到移動通信部門調取行賄方與其的短信記錄，通過轉化固定，確保了電子數據內容的真實性。

2．網上交易、銀行類的固定轉化。對網上交易信息，除了登陸網上交易系統對有關內容截屏打印，還應到提供網上交易的服務商或銀行取證，確認所打印的內容與其服務器上的內容一致。

3．電子郵件的固定轉化。在選定與案件相關的電子郵件后，交由技術部門統一復制備份，隨后對備份的電子郵件進行截屏打印，經對象確認為其所提供文件后可作為電子數據證據使用。有必要的，也需要找電子郵件的服務商出具相關的證明。

如郭某某受賄一案。郭某某系湖南某上市公司財務總監、董事會秘書、副總裁，其利用職務便利，共收受兩筆賄賂。一是為某證券公司獲得其所在的上市公司相關信息提供幫助，事后收受某證券公司副總黃某某賄賂共計人民幣11萬元。二是郭某某利用負責增資擴股工作的職務便利，為溫州某公司在股權認購中獲得2000萬股份額提供幫助，收受溫州某公司賄賂共計人民幣369萬元。據郭某某交代，兩筆受賄行為在其與行賄人的電子郵件中有所反映。為提取、固定該證據，檢察機關依法調取了郭某某電子郵箱中的相關郵件作為證據使用。該案電子數據調取過程如下：

調取人的主體身份：按照取證規范，由二名以上的的具備相關專業知識的偵查和技術人員實施調取，并邀請了一名與案件無關的公民作見證人。

調取數據的環境：在互聯網的環境下。

數據存在形式：電子郵箱類。

調取證據的程序：犯罪嫌疑人郭某某在聯網的電腦上當場輸入其郵箱地址及密碼后，由技術人員在郵箱中將相關郵件打印，并由偵查員、技術人員、見證人及犯罪嫌疑人本人簽字確認。

調取數據的存儲方式及存儲介質種類：打印電子郵箱中電子郵件的內容，并將電子數據提取后存儲于保密硬盤中。

電子數據的完整性和真實性：該證據系犯罪嫌疑人郭某某主動交代，且其郵箱系vip實名郵箱，郵件的內容經過其本人辨認后準確完整并簽字確認。

該案還制作了現場勘驗、檢查筆錄，提取、固定電子證據清單，并履行了相關簽字、證明手續。

4．對需要鑒定的電子數據的轉化。應當在鑒定前將原始電子數據備份后委托有鑒定資質的機構進行鑒定，并由鑒定機構中具有鑒定資格的鑒定人以鑒定機構名義出具鑒定報告。

三、需要注意的問題

第一，要合法合規。要嚴格依照相關法律的規定和技術操作流程，以程序的合法性保障電子數據作為證據的合法性。當前，對電子數據的提取、固定和鑒定，除了要遵循刑事訴訟法和相關司法解釋的規定，還要參照和依據《人民檢察院電子證據鑒定程序規則》、《計算機犯罪現場勘驗與電子證據檢查規則》、《公安機關電子數據鑒定規則》、《電子數據司法鑒定操作規范》、GA/ T976-2012《電子數據法庭科學鑒定通用方法》等規定的程序和要求。

第二，要全面及時。注意提取該電子數據周邊的設備和相關物證。收集證據必須抓緊進行，力求及時主動，不要錯過任何有利時機，防止情況發生變化。如網絡郵箱具有自動刪除郵件的功能，超過一定的時間、容量之后，早期收件箱、發件箱里的電子郵件就會被自動刪除。而網絡服務提供者保存數據亦有一定保留期，超過保留期的數據就無法提取到了。在現場搜查時，應當同時提取該計算機、手機的外圍硬件。如打印機、掃描儀、U盤、光盤、移動硬盤、存儲卡等。同時也要提取周邊的非電子數據物證，如打印的文字、記錄在紙上的用戶名、密碼等，這些物證都可能對電子數據檢驗起到重要的輔助作用。

第三，要無損提取。保管好電子數據的原始存儲介質和電子設備。由于電子數據的脆弱性，對搜查到的電子數據存儲介質和電子設備，要注意防火、防水、防濕、防震、防高溫、防高磁場和防盜，確保電子數據的安全。

鏈接一：

克隆（Ghost）方面的小知識

在電子數據的提取和鑒定中，要遵循對存儲有電子數據的介質進行無損提取，即不能對存儲介質進行任何改變，因此一定要對存儲有電子數據的介質進行“克隆”，即復制一個與原來一模一樣的電子數據以被檢驗和鑒定。

Q:克隆和拷貝的區別

A:克隆指位對位的物理鏡像，拷貝指操作系統能夠管理的數據的復制。通俗的說克隆就是看的見的和看不見的數據一起復制，而拷貝只是復制看的見的數據。

Q:硬盤有哪幾種

A：按照接口種類：IDE、SATA、SAS、SCSI（50針，68針，80針）。按照尺寸：臺式機硬盤（3.5英寸）和筆記本計算機的硬盤（2.5英寸）。按照內部結構分：機械硬盤和固態硬盤（SSD）

Q:智能手機常用的系統有哪幾種

A:iOS（蘋果）、Android（谷歌安卓）、Blackberry（黑莓）、Windowsmobile（微軟）等

Q：哪些介質可以克隆

A：主要是對硬盤進行克隆檢驗（手機SIM卡也可以）。其他的存儲介質如U盤、存儲卡等，主要通過只讀接口結合鏡像制作工具進行證據固定，后期對獲取的檢材鏡像進行檢驗分析。

Q：什么數據需要校驗，一定要進行校驗嗎？

A1:對所有電子數據都應校驗，校驗是指電子數據所有數據位按照特定的算法（非常復雜的散列函數，有MD5，SHA，CRC等算法）進行計算，得到特定的結果，該結果即為校驗值（哈希值）。如果該數據區內的任何一位數據發生了變化，那么經過同樣的算法得到的校驗值一定是和原始數據的校驗值不一樣的，從而表明數據發生了變化。

A2:數據校驗的作用：數據校驗就是比較兩塊數據是否是完全一致的。兩塊數據只要有一位不同，兩塊數據就是有差別的。

A3:校驗的意義：只有被克隆的復制件和原始證據的數據是完全一致的，檢驗和鑒定才是具有證據價值。如果數據在克隆的過程中發生了變化，那檢驗的結果自然也就是有差別的的。

Q:這么多校驗算法該如何選擇？

A:常見的校驗算法有CRC、MD5和SHA。它們之間的區別從本質上講是采用了完全不同的算法，同時校驗值的位數也不相同，CRC是32位，MD5是128位，SHA是256位。可靠性、安全性的級別CRC最低，MD5居中，SHA最高。但是，校驗級別的提高是要以耗時增加為代價的，越高級別的校驗，運算量越大，耗時就越長。

鏈接二：

電腦中電子數據的現場勘查操作細則

（一）關機狀態下的電子證據固定

方法一，通過使用免拆機克隆工具，進行目標計算機硬盤的整個物理磁盤或邏輯磁盤的克隆鏡像制作，要求采用E01、DD等符合司法取證規范的鏡像格式，同時需要對鏡像計算哈希（hash）值。記錄信息包括操作人、操作時間、操作地點、檢材電腦狀況描述（品牌、型號、序列號、硬盤大小、硬盤序列號）。

方法二，將目標計算機硬盤拆下后使用符合司法取證要求的硬盤克隆機進行目標硬盤的克隆，要求保存為E01、DD等符合司法取證規范的鏡像，計算檢材鏡像的哈希值，同時克隆機應保存檢材克隆的日志信息：包括操作人、操作時間、操作地點、目標硬盤型號和序列號。

方法三，通過使用取證U盤或光盤啟動目標計算機，并對進行指定數據文件獲取，主要用于現場檢材無法提取或證據固定時間較短的情況。

（二）開機狀態下的電子證據固定

方法一，將取證光盤插入光驅，在開機狀態下進行目標計算機硬盤的克隆鏡像制作，要求采用E01、DD等符合司法取證規范的鏡像格式，同時計算鏡像哈希值、記錄操作人、操作時間、操作地點等信息。取證光盤要求含有能實現上述功能的取證工具

方法二，將取證U盤插入目標計算機USB接口，取證方法同方法一，但需要額外記錄取證優盤序列號信息。

方法三，通過使用光盤或U盤上的取證工具在開機下進行指定數據獲取，根據案情不同，獲取文件類型要注意側重點，如文檔文件、圖片文件、注冊表文件等。

注意事項：在開機狀態下進行電子證據固定，需注意內存數據的獲取以及檢驗前的屏幕截屏。

鏈接三：

手機中電子數據的現場勘查操作細則

1.進行手機類檢材扣押或提取時，建議先將手機切換到飛行模式，如不能切換飛行模式則需要使用屏蔽設備。

2.進行手機相關狀態的記錄和拍照，主要包括如下幾部分：

【常規信息】：手機品牌、型號、IMEI號碼、電池電量、手機正反外觀。

【關于密碼】是否有鎖屏密碼，如知道密碼建議取消密碼，并做相關記錄；如不知道密碼則不建議輕易嘗試解鎖，尤其是智能手機。如嘗試輸入密碼出現密碼錯誤的提示，需記錄嘗試的次數（避免輸錯次數過多導致手機鎖定，蘋果手機最多嘗試不能超過9次）。

3.盡量避免在手機上直接翻看短信、通話記錄和電話簿等信息數據，避免誤操作刪除相關數據。

4.如案情需要在現場查看手機中信息的，或需要進行相關數據查看的，需使用符合手機取證規范的檢驗工具設備對其進行數據提取，提取時首先對手機機身進行數據提取，提取順序遵循先邏輯再物理的方式，其次在對手機SIM卡進行提取，提取過程需保留相關日志信息。

5.如現場進行檢材固定并移交檢驗鑒定部門進行檢驗分析的，在移交過程中需使用屏蔽袋進行封存，在送檢時需要一同提交相關記錄信息，包括但不限于：

【案件相關信息】：檢材提取人（單位）、提取時間、提取地點、送檢人員。

【檢材相關信息】：檢材品牌、型號、手機提取時狀態（是否有密碼）、正反面照片、手機號碼（如有）。

【檢材封存及使用記錄】：檢材從扣押之時起到送檢過程中，如對檢材手機進行的啟封和查驗，都需要進行記錄，如使用XX方法對檢材進行了XX操作得到了XX結果。

【案情簡述】：由于不同的案情對于手機檢驗的關注點會有所不同，所以送檢人員盡量詳細描述案情以及檢驗要求。

6.如需對檢材手機進行傳統證據固定的，如手印、DNA檢材等，在手機確保屏蔽的狀態下先進行提取固定后在進行電子證據的提取和檢驗分析。