王寧 許致君

1. 湖北警官學院 2. 湖北省陽新縣公安局

引言

由于網絡的虛擬性、跨地域性等特征，網絡犯罪在空間上呈現出犯罪嫌疑人位于現實物理空間，而犯罪行為發生在虛擬網絡空間的“二元性特征”，網絡犯罪的這種特征使得確定犯罪嫌疑人身份的難度加大。司法實踐中通過尋找補強證據如口供、言詞證據來認定物理空間與虛擬空間嫌疑人身份一致性，容易在庭上受到質疑。在立法層面，最高人民法院、最高人民檢察院、公安部先后于2016年、2018年、2021年發布了《關于辦理刑事案件收集提取和審查判斷電子數據若干問題的規定》《公安機關辦理刑事案件電子數據取證規則》《人民檢察院辦理網絡犯罪案件規定》，這些部門規范增強了司法辦案的可操作性，但關于網絡犯罪主體身份同一認定的方法描述還比較簡約。在學理上，針對如何有效解決網絡犯罪案件中嫌疑人身份同一認定問題的研究也很少[1]。本文針對網絡犯罪主體身份同一認定這一問題，從電子數據推理角度探討網絡犯罪主體同一認定的步驟、原則、方法。

一、網絡犯罪主體同一認定的困境

在網絡犯罪案件中，嫌疑人身份信息的查獲和確定是案件事實查明首先需要解決的問題，也是后續刑事追訴能有效進行的保證。但在網絡犯罪案件中，犯罪嫌疑人的身份涉及物理空間和虛擬空間兩個空間，虛擬空間中的犯罪嫌疑人身份表現為涉案機器或電子賬號。涉案機器包括實體硬盤、智能手機、電腦設備、對外租賃的“云服務器”等；涉案電子賬號包括微信、QQ、Soul、四喵、陌陌、探探、Facebook、Twitter、銀行卡號、支付寶賬號等。網絡犯罪主體的同一認定，則是證明涉案機器或電子賬號的持有者、使用者就是指向物理空間的真正作案人。

由于網絡犯罪案件中犯罪嫌疑人現實身份和虛擬身份的二重性，辦案人員經常面臨著對網絡犯罪主體同一認定的困境。在此類案件中，曾一度被稱為“證據之王”的嫌疑人口供往往很難獲取，即使前期已獲取口供，也可能隨后遭遇翻供。同時，行為人會針對被指控的事實提出抗辯[2]。在司法實務中具體表現為，犯罪嫌疑人根本否認涉案機器或電子賬號為其所有，或者在如恐怖主義犯罪案件、販賣毒品等案件中由于犯罪行為的隱蔽性很強，犯罪嫌疑人零口供。犯罪嫌疑人承認涉案機器或電子賬號為其所有或共同持有，但不為其所用，如在某網絡小貸APP涉嫌套路貸案中，犯罪嫌疑人稱該APP為公司所有，但為了虛構公司業績，獲得客戶和投資人信任，后臺數據的修改以及大量虛假交易記錄的注入是其技術團隊所為，所以導致交易金額虛高。司法實務中采用嫌疑人口供或將嫌疑人口供制作為詢問筆錄并由嫌疑人簽字確認的方式，可能在庭審中出現“被告人翻供”或如“黑客”行為抗辯、“木馬”病毒抗辯、“他人”行為抗辯等，容易釀成錯案或放縱犯罪[3]。

此外，伴隨著新興互聯網業態模式發展，網絡犯罪與經濟犯罪聚合升級，近年來涉眾型經濟犯罪在一定范圍內呈現愈演愈烈的態勢。相比傳統犯罪案件，這類網絡犯罪樣態的案件具有涉案人數多、涉案資金大等特點。以筆者作為國家電子數據司法鑒定人參與的幾起投資型網絡詐騙、網絡傳銷等涉眾型犯罪案件為例[4]，在這類案件中，眾多的案件參與人僅只能被稱為“集資參與人”或“涉案人員”，犯罪嫌疑人與被害人、主犯與從犯的界限，以及參與人的界限模糊。犯罪組織通過不斷增加內部層級，發展會員并形成角色豐富的涉案人員群體，真正的犯罪嫌疑人居于幕后并遙控指揮，辦案人員通過該犯罪組織下級人員的供述通常很難發現幕后的“真正犯罪嫌疑人”。在案件事實查明中某嫌疑人為逃避打擊，隱瞞其犯罪事實，可能只承認一個會員賬號，但實質上該嫌疑人使用很多會員賬號登陸，獎金瓜分時可能用多個銀行賬號，會員賬號與銀行資金賬號可能會出現一對一、一對多、多對多的復雜關系[5]。因此在案件事實查明中，利用其工商注冊登記信息等傳統方法來證明案件參與人在犯罪組織中的角色，確定主從關系，不僅會耗費大量的司法和社會資源，而且這類信息的收集難保沒有遺漏。采用傳統司法實踐中對于犯罪主體的證明方式，如采用嫌疑人口供、被害人陳述或證人證言等證明犯罪主體同一的方式，對具這類網絡犯罪樣態的案件而言，其證明作用亦十分有限。

二、網絡犯罪主體同一認定的電子數據推理

司法實踐中，整個案件或案件客觀事實的某一部分通過證明的手段來認定事實經常會遇到無法克服的瓶頸，因此，推理是無奈但也是唯一的選擇[6]。就網絡犯罪案件而言，直接證據如口供、證人證言等言詞證據往往難以證明網絡犯罪的主要案件事實，難以證明涉案機器或電子賬號的指向就是真正的作案人。因此，網絡犯罪主體同一認定需要辦案人員以間接證據為基礎，以經驗法則為依據，推理出涉案機器或電子賬號的持有者、使用者，并推定出物理空間中真正的作案人。

（一）電子數據推理運用的步驟

網絡犯罪主體同一認定的首要任務是全面收集證據，收集虛擬空間和物理空間的證據。其次是面對大量的證據，依據具體案情和待證事實，分別在虛擬空間和物理空間分類評估證據，并形成各個獨立的得到證明的基礎事實。最后，以證明的事實為基礎，以經驗法則為依據，對嫌疑人身份的同一性進行推定，推理步驟如圖1所示。

1. 全面收集證據

在網絡犯罪案件中，對于能扣押、封存電子數據原始介質的，應當扣押、封存。對于不宜扣押、封存電子數據原始介質的如“云服務器”等，應依法收集提取涉案的音視頻、數據庫、電子郵件、社交媒體文件等內容信息數據，還應收集這些數據產生過程中的相關數據信息如注冊人信息/使用者信息、交互信息、存儲位置信息等。

2. 形成基礎事實

案件初始，從物理空間和虛擬空間收集的證據是海量的、雜亂的，辦案人員需要根據案件具體情況對證據分類及評估，選取與待證事實關聯性強的證據，保證證據的合法真實性，在物理空間和虛擬空間分別形成系列能證明的基礎事實。

3. 嫌疑人身份同一認定

辦案人員根據已證明的基礎事實，以經驗法則為依據，從虛擬空間的涉案機器或電子賬號追溯到物理空間行為人，或從物理空間真正作案人向虛擬空間對涉案機器或電子賬號的持有者和使用者展開推理等。

（二）電子數據推理運用的原則

1. 推理的基礎事實必須真實

基礎事實是推理的基礎，沒有基礎事實無法進行推理。而且基礎事實必須是被證據直接證明的事實，否則，推理虛假的可能性極大。司法實務中，基礎事實均應由相互印證證據予以直接證明，如推理嫌疑人是某涉案電子設備持有者的基礎事實由已被證明的證人證言、現場勘查工作記錄等證據組成。

2. 推理依據必須可靠

推理依據，又稱經驗法則，是人們經反復實踐認識到的現象之間有根據的、合乎邏輯的常態聯系和因果關系。這種推理依據是社會上一般人或普通大眾所感知或認同的無須證據證明的具有普適性的基本常識。例如，某涉案電子賬號是通過嫌疑人刷臉或指紋登錄的，則推理出該涉案電子賬號為犯罪嫌疑人所持有，合乎邏輯和常識的推理依據是人體生物特征唯一性。

3. 推理結論事實允許反駁

推理結論事實的真實性受基礎事實是否為真、推理依據是否可靠、推理運用是否合理等因素影響。司法實務中，存在著例外因素、經驗法則未預見的特殊因素的介入，可能因辦案人員司法經驗等的差異得出不同的結論。允許犯罪嫌疑人提出反駁，否則有可能錯誤定罪。

三、網絡犯罪主體同一認定的推理方法

（一）基于使用者唯一性的推理認定法

基于使用者唯一性的推理認定有基于人體生物特征識別數據的人身同一認定和基于密碼技術的人身同一認定。前者是利用物理空間中人的形象特征如指紋、人臉相貌、視網膜、DNA遺傳基因等的身份識別，后者是利用密碼技術認定相關主體的身份。例如，通過指紋、人臉、虹膜識別等方式登錄涉案機器的，則可推定該涉案機器為嫌疑人所持有和使用，除非嫌疑人能夠提出有效的抗辯證據；通過指紋、人臉刷臉等方式登錄進入涉案電子賬號的，則可推定該電子賬號為嫌疑人所持有和使用，除非嫌疑人能夠提出有效的抗辯證據。

利用基于密碼技術的人身同一認定包括數字簽名等。數字簽名是非對稱密鑰加密技術與數字摘要技術的應用，其可簡單地理解為對附加個人標記所作的密碼交換，達到系統上手書簽名蓋章的作用。類似傳統紙質文件上的簽字或者蓋章，數字簽名可用于人身同一認定，例如，利用網絡銀行實施轉賬行為的U盾或密碼器數字簽名。手機號碼一般采用實名制且是唯一，一些應用程序賬號如微信、支付寶等APP采用手機號注冊，設備登錄采用“密碼 + 短信驗證碼”二次交叉認證方式，在排除短信嗅探、木馬等安全威脅后，結合商家短信平臺安全評估等其他證據，可推定涉案電子賬號為嫌疑人持有和使用，除非嫌疑人能夠提出有效的抗辯證據。

（二）從物理空間向虛擬空間的犯罪主體同一推理認定法

這種方法，指的是在用證明的方法對物理空間作案人是涉案機器或電子賬號持有者的證明之后，再結合虛擬空間電子數據形成的基礎事實去推理該作案人是涉案機器或電子賬號的使用者。以某涉案電腦設備為例，例如，通過核對涉案電腦或硬盤的型號、序列號等特征與其購買的發票、資產登記等相關材料的一致性來證明該涉案電腦為物理空間犯罪嫌疑人所持有，或通過涉案電腦上所附的指紋、毛發等生物特征來證明該涉案電腦為嫌疑人所持有，或通過出具的證人證言如“這臺電腦是某某使用”、現場勘查工作記錄等來認定該涉案電腦為物理空間犯罪嫌疑人所持有。

推理出涉案機器或電子賬號為物理空間某嫌疑人所有，并不能證明被涉案機器或電子賬號該嫌疑人使用，為推定嫌疑人身份同一還需以虛擬空間電子數據形成的若干基礎事實為基礎，推理出涉案機器或電子賬號的使用者。例如，在某入侵案件中，將嫌疑人涉案電腦的系統日志、系統運行文件與網絡交換日志、服務器上應用日志等文件對比關聯分析訪問者信息、時間信息、地址信息等，如果一致且能形成相互印證的證明結構，則推理出該涉案電腦為嫌疑人所使用。

（三）從虛擬空間向物理空間的犯罪主體同一推理認定法

這種方法，指的是在用證明的方法對虛擬空間涉案機器或電子賬號持有者和使用者的證明之后，再結合物理空間若干基礎事實去推理該物理空間的真正作案人。在網絡犯罪案件中，辦案人員可依據涉案機器的IP地址、MAC地址等信息鎖定涉案機器；可依據即時聊天記錄或調取平臺交互信息等鎖定涉案電子賬號；可依據行為人在網絡空間中留下的注冊信息、交互信息如涉案機器的運行信息、內容信息等，還原出“特定人”在網絡空間從事某種違法犯罪活動的整個流程；可依據對提取的后臺數據庫中犯罪團隊及具體行為人的犯罪所得、資金去向等的分析和查明，鎖定虛擬空間嫌疑人身份等。

勾勒出虛擬空間嫌疑人身份或嫌疑人的數據畫像，并不能指向或證明其為物理空間中的真正作案人，還需以物理空間證據形成的若干基礎事實為基礎，推理出物理空間中的真正作案人。例如，在某刷單騙保案件中，辦案人員通過網站日志文件等分析出“IP地址”，結合“小額支付”的交易記錄鎖定虛擬空間嫌疑人，綜合分析兩類空間中的“收貨地址”證據，找出物理空間中的真正作案人，最終“挖掘”出騙保金額1150余萬元[7]。再如，在網絡傳銷案中，結合數據庫中會員信息表中的會員賬號、提款表中的會員賬號、銀行賬號、提款金額、提款時間等字段數據，采用迭代算法，分析嫌疑人會員號與銀行賬號的綁定關系及犯罪金額，生成“會員賬號-銀行資金賬號”的關聯分析結果，確定虛擬空間的案件參與人定性為嫌疑人抑或受害人[5]。在此基礎上，再依據銀行等金融機構、第三方支付平臺等提供的材料來證明嫌疑人為物理空間中的真正作案人。

（四）動力定型特征信息與其他證據綜合推理認定法

這種方法，指的是利用動力定型特征進行的人身同一認定。所謂動力定型是指人的大腦皮層對刺激的定型系統所形成的反應定型系統，一旦它形成則具有相對的穩定性和規律性。雖然學術上沒有明確界定，但司法實務中已將動力定型特征如利用犯罪行為人實施犯罪行為的動作習慣、書寫習慣、個體語言特征等用于案件事實查明和司法鑒定活動中的人身同一認定。在網絡犯罪案件中，犯罪嫌疑人也會在虛擬空間留下動力定型特征的痕跡，例如程序代碼的編寫習慣、網絡言語特征等，據此可進行人身同一認定。

利用動力定型特征進行人身同一認定在某種意義上是虛擬空間向物理空間犯罪主體同一推理認定的方法，這種方法在類似網絡入侵、病毒木馬、網絡謠言溯源、傳播網絡謠言等案件中運用價值極大。例如，在網絡謠言溯源案件中利用網絡言語特征對嫌疑人生活區域、職業經歷、年齡、性別、文化程度等個體特征的刻畫。例如，在溫州“八一”廣電案、“無花果”所開發惡意程序等案件[8]皆是通過對程序代碼編寫習慣的分析鎖定虛擬空間嫌疑人，并綜合分析兩大空間中的諸如銀行賬號、地址信息等證據，實現虛擬空間與物理空間犯罪主體同一認定。目前，智能視頻監控領域中的步態識別行走運動的動力定型，其技術正進一步研究中，并對未來網絡犯罪主體同一認定的應用起到推動作用。

四、結語

在網絡犯罪案件中，通過證明的手段來認定網絡犯罪主體身份同一此事實經常會遇到認定不能的無奈局面，作為事實認定輔助手段的電子數據推理便有了用武之地，然而，推理畢竟不是證明。因此，有必要對網絡犯罪案件中嫌疑人身份同一認定“瓶頸”問題進行梳理，并在此基礎上構建網絡犯罪主體同一認定的電子數據推理過程，明確電子數據推理運用原則和方法。