·劉 政/文

檢察辦案中的電子數(shù)據(jù)及其取證實(shí)務(wù)*

·劉 政**/文

劉 政，北京市東城區(qū)人民檢察院檢察技術(shù)部干警。北京市先進(jìn)工作者，北京市檢察機(jī)關(guān)偵查人才庫人才，2014年參加高檢院全國電子數(shù)據(jù)取證大練兵活動，獲得“取證能手”稱號。2014年12月受邀在國家檢察官學(xué)院授課。2015年8月被國家檢察官學(xué)院聘為檢察教官。

2010年以來，參與辦理涉及電子證據(jù)檢驗(yàn)和鑒定的案件近300件。曾經(jīng)協(xié)助紀(jì)委、反貪、反瀆、監(jiān)所、軍隊(duì)等部門和條線，在鐵道部、國家審計(jì)署、華潤集團(tuán)、北大方正、部隊(duì)系列案件等大要案中開展電子數(shù)據(jù)取證，積累了一定得實(shí)踐經(jīng)驗(yàn)和教訓(xùn)。

信息技術(shù)的飛速發(fā)展及計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的應(yīng)用,豐富了我們的生活,也影響了社會的政治、經(jīng)濟(jì)和文化的發(fā)展。伴隨著這些便利,電子數(shù)據(jù)也越來越多的出現(xiàn)在了當(dāng)今的檢察工作中、出現(xiàn)在法律監(jiān)督工作中。與傳統(tǒng)證據(jù)不同,信息技術(shù)與網(wǎng)絡(luò)技術(shù)的普遍應(yīng)用,使得電子數(shù)據(jù)變得隱蔽與智能化。檢察機(jī)關(guān)在辦案過程中，遇到電子數(shù)據(jù)取證以及檢驗(yàn)鑒定的案件越來越多。筆者2009年開始從事電子數(shù)據(jù)取證及檢驗(yàn)鑒定工作，歷案數(shù)百余，對電子數(shù)據(jù)現(xiàn)場勘驗(yàn)、介質(zhì)扣押以及實(shí)驗(yàn)室檢驗(yàn)有些心得。下面將就電子數(shù)據(jù)的定義、種類、屬性以及檢察機(jī)關(guān)辦案中電子取證實(shí)務(wù)等方面做以介紹。

一、電子數(shù)據(jù)與電子數(shù)據(jù)取證的定義

（一）電子數(shù)據(jù)的定義

2013年之前，在我國電子數(shù)據(jù)不論從學(xué)理上還是法律上都沒有統(tǒng)一的定義。其中檢察機(jī)關(guān)對電子證據(jù)的定義見于2009年4月3日最高人民檢察院下發(fā)的《人民檢察院電子證據(jù)鑒定程序規(guī)則（試行）》。其中給出了如下定義：“電子證據(jù)是指由電子信息技術(shù)應(yīng)用而出現(xiàn)的各種能夠證明案件真實(shí)情況的材料及其派生物?！币欢螘r(shí)間之內(nèi)，檢察機(jī)關(guān)辦案過程中遇到由信息技術(shù)應(yīng)用而產(chǎn)生的證據(jù)被定義為電子證據(jù)。

2013年正式實(shí)施的《刑事訴訟法》第48條將“電子數(shù)據(jù)”首次納入法定證據(jù)，與視聽資料同列為第八種刑事訴訟證據(jù)。從此之后電子數(shù)據(jù)作為證據(jù)種類之一具備了它的法律地位。2016年10月1日最高人民法院、最高人民檢察院、公安部（以下簡稱“兩高一部”）共同頒布施行的《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》（以下簡稱《規(guī)定》）第1條中對電子數(shù)據(jù)進(jìn)行了明確的定義，即電子數(shù)據(jù)是案件發(fā)生過程中形成的，以數(shù)字化形式存儲、處理、傳輸?shù)模軌蜃C明案件事實(shí)的數(shù)據(jù)。

（二）電子數(shù)據(jù)的種類

電子數(shù)據(jù)的種類非常多，分類標(biāo)準(zhǔn)也非常多，如果從辦案取證工作角度來分，我們感興趣的是用戶個(gè)人行為生成的各類數(shù)據(jù)?！皟筛咭徊俊钡摹兑?guī)定》第1條中對電子數(shù)據(jù)進(jìn)行了以下的分類：

一是網(wǎng)絡(luò)平臺發(fā)布的信息：包括網(wǎng)頁、博客、微博客、朋友圈、貼吧、網(wǎng)盤等；二是網(wǎng)絡(luò)應(yīng)用服務(wù)的通信信息：包括手機(jī)短信、電子郵件、即時(shí)通信、通訊群組等；三是用戶注冊信息、身份認(rèn)證信息、電子交易記錄、通信記錄、登錄日志等信息；四是電子文件：包括文檔、圖片、音視頻、數(shù)字證書、計(jì)算機(jī)程序等。其中第三類《規(guī)定》中并沒有給予概括性描述，個(gè)人認(rèn)為可以歸為用戶行為痕跡信息。當(dāng)然，《規(guī)定》中也明確提到了電子數(shù)據(jù)包括但不限于這些信息、電子文件，在實(shí)際取證中，我們還經(jīng)常要提取USB設(shè)備痕跡、信息設(shè)備IP地址、上網(wǎng)記錄、數(shù)據(jù)庫系統(tǒng)中數(shù)據(jù)、手機(jī)APP數(shù)據(jù)等。

電子數(shù)據(jù)有其特點(diǎn)，筆者在這里對電子數(shù)據(jù)的特點(diǎn)進(jìn)行了以下的歸納和概括：1.底層單一，即所產(chǎn)生的數(shù)據(jù)從底層來看，就是0和1的序列；2.表現(xiàn)多樣，如文字、圖像、聲音等等；3.精確復(fù)制；4.重建再現(xiàn)；5.客觀真實(shí)；6.極易修改；7.量大低密，即海量數(shù)據(jù)中有價(jià)值的密度低；8.設(shè)備依賴，即電子數(shù)據(jù)必須依賴載體而存在。

（三）電子數(shù)據(jù)取證的定義

本次討論的是檢察辦案中的電子數(shù)據(jù)取證，可以對電子數(shù)據(jù)取證做如下定義：電子數(shù)據(jù)取證是指根據(jù)案件偵查、調(diào)查的需要，通過搜查、查封、扣押、現(xiàn)場勘驗(yàn)、遠(yuǎn)程勘驗(yàn)、實(shí)驗(yàn)室檢驗(yàn)，發(fā)現(xiàn)、提取與犯罪有關(guān)的電子數(shù)據(jù)，記錄計(jì)算機(jī)信息系統(tǒng)狀態(tài)，判斷案件性質(zhì)，分析犯罪過程，確定偵查方向和范圍，為偵查破案、刑事訴訟提供線索和證據(jù)的偵查活動。對電子數(shù)據(jù)的收集和提取我們往往可以采用電子數(shù)據(jù)載體的扣押、現(xiàn)場及遠(yuǎn)程勘驗(yàn)、實(shí)驗(yàn)室檢驗(yàn)等手段來實(shí)現(xiàn)。以下分別做介紹。

二、電子數(shù)據(jù)載體扣押及勘驗(yàn)

（一）電子數(shù)據(jù)的載體扣押及勘驗(yàn)原則

《規(guī)定》第8條要求“收集、提取電子數(shù)據(jù)，能夠扣押電子數(shù)據(jù)原始存儲介質(zhì)的，應(yīng)當(dāng)扣押、封存原始存儲介質(zhì)，并制作筆錄，記錄原始存儲介質(zhì)的封存狀態(tài)?！薄？梢娒鎸﹄娮訑?shù)據(jù)的收集和提取首先考慮的是載體的扣押。當(dāng)載體不具備扣押條件時(shí)，《規(guī)定》第9條對電子數(shù)據(jù)的現(xiàn)場及勘驗(yàn)做了明確規(guī)定。我們在進(jìn)行電子數(shù)據(jù)載體扣押及勘驗(yàn)時(shí)應(yīng)當(dāng)嚴(yán)格遵守遵循以下原則：1.及時(shí)性原則。由于電子數(shù)據(jù)極易篡改等特性，電子數(shù)據(jù)被損壞的可能性非常大，因此對于電子數(shù)據(jù)的收集和提取一定要做到及時(shí)性；2.針對性原則。包括三方面：一是歸屬的針對性，是否涉案嫌疑人或者其關(guān)系人的載體。二是時(shí)間的針對性。三是范圍的針對性，主要是劃定取證的范圍；3.全面性原則。電子數(shù)據(jù)取證其實(shí)是還原基于虛擬環(huán)境的多維度犯罪場，因此，一定要做到全面；4．規(guī)范性原則。收集、提取電子數(shù)據(jù)，應(yīng)當(dāng)制作筆錄，記錄案由、對象、內(nèi)容、收集、提取電子數(shù)據(jù)的時(shí)間、地點(diǎn)、方法、過程，并附電子數(shù)據(jù)清單，注明類別、文件格式、完整性校驗(yàn)值等，由偵查人員、電子數(shù)據(jù)持有人（提供人）簽名或者蓋章；電子數(shù)據(jù)持有人（提供人）無法簽名或者拒絕簽名的，應(yīng)當(dāng)在筆錄中注明，由見證人簽名或者蓋章。有條件的，應(yīng)當(dāng)對相關(guān)活動進(jìn)行錄像。

此外應(yīng)當(dāng)根據(jù)《刑事訴訟法》的規(guī)定，由符合條件的人員擔(dān)任見證人。由于客觀原因無法由符合條件的人員擔(dān)任見證人的，應(yīng)當(dāng)在筆錄中注明情況，并對相關(guān)活動進(jìn)行錄像。針對同一現(xiàn)場多個(gè)計(jì)算機(jī)信息系統(tǒng)收集、提取電子數(shù)據(jù)的，可以由一名見證人見證。

（二）計(jì)算機(jī)及服務(wù)器的扣押與勘驗(yàn)

電子數(shù)據(jù)的現(xiàn)場調(diào)取，主要包括以下三種設(shè)備的調(diào)取，分別是個(gè)人電腦、存儲介質(zhì)、通信設(shè)備。

在針對計(jì)算機(jī)及服務(wù)器的時(shí)候我們往往要根據(jù)不同條件來分別對待。

1.取證對象具備扣押條件且現(xiàn)場電腦處于開機(jī)狀態(tài)。此時(shí)，如果必須現(xiàn)場查看電腦中正在運(yùn)行的程序或者正在編輯的文檔，建議此時(shí)交由取證技術(shù)人員進(jìn)行查看，偵查人員負(fù)責(zé)指揮；如果沒有技術(shù)人員在場，偵查人員需要查看電腦，此時(shí)要遵循一個(gè)原則，不要發(fā)生寫的操作?？梢詤⒖家韵虏襟E：第一步查看電腦中正在運(yùn)行的程序和正在編輯的文件（文檔、表格、圖片等），如發(fā)現(xiàn)有價(jià)值的數(shù)據(jù)，建議采取相機(jī)拍攝屏幕的方式固定，不建議截圖、打印等操作；第二步在屏幕右下角查看電腦系統(tǒng)時(shí)間，建議采取相機(jī)拍攝屏幕的方式固定，不建議截圖等操作。第三步可以使用在線取證工具，對開機(jī)狀態(tài)下的電腦中關(guān)鍵數(shù)據(jù)進(jìn)行提取，這樣的工具有很多，可以定制不同提取策略對計(jì)算機(jī)中的數(shù)據(jù)進(jìn)行收集提取。第四步做關(guān)機(jī)，關(guān)機(jī)建議直接拔掉電源，而不是正常關(guān)機(jī)，這樣可以在內(nèi)存中保留電腦正在運(yùn)行的一些進(jìn)程。然后扣押進(jìn)行后續(xù)實(shí)驗(yàn)室檢驗(yàn)。

這里有幾種操作是絕對不能夠出現(xiàn)的：一是使用取證對象上網(wǎng)，登陸網(wǎng)頁郵箱；二是登陸、執(zhí)行電腦中的應(yīng)用程序（qq、郵箱工具、office、專有程序等等。）；三是刪除、修改文件；四是創(chuàng)建、復(fù)制、本地拷貝文件夾、文件。

2.取證對象具備扣押條件且現(xiàn)場電腦處于關(guān)機(jī)狀態(tài)。此種情形現(xiàn)場處理相對簡單，建議直接對取證對象進(jìn)行扣押并進(jìn)行后續(xù)實(shí)驗(yàn)室檢驗(yàn)。

3.個(gè)人電腦不具備扣押條件且現(xiàn)場電腦處于開機(jī)狀態(tài)。此種情形相對復(fù)雜，可采用以下方式和步驟進(jìn)行處理：此時(shí)，如果必須現(xiàn)場查看電腦中正在運(yùn)行的程序或者正在編輯的文檔，可以考慮按照上述第一種情況的步驟查看固定證據(jù)。之后，做關(guān)機(jī)處理。接下來需要做一項(xiàng)工作就是現(xiàn)場復(fù)制硬盤。并計(jì)算硬盤完整性校驗(yàn)值進(jìn)行固定。

4.個(gè)人電腦不具備扣押條件且現(xiàn)場電腦處于關(guān)機(jī)狀態(tài)。此時(shí)直接進(jìn)行硬盤復(fù)制并計(jì)算硬盤完整性校驗(yàn)值進(jìn)行固定。除此之外，在對計(jì)算機(jī)及服務(wù)器的扣押與勘驗(yàn)時(shí)還應(yīng)當(dāng)注意以下細(xì)節(jié)：一是關(guān)注個(gè)人電腦周邊的一些紙條、記錄、便箋紙等，這上面很有可能記錄了一些密碼、口令等重要信息；二是關(guān)注周邊的小型存儲設(shè)備，U盤、移動硬盤、存儲卡等；三是關(guān)注周邊的其他設(shè)備，掃描儀、打印機(jī)等等，最好記錄下其品牌、型號，這在后續(xù)的實(shí)驗(yàn)室檢驗(yàn)中可能會有用。

（三）移動存儲介質(zhì)的扣押與勘驗(yàn)

移動存儲介質(zhì)與硬盤相比是純粹的存儲設(shè)備，它不包含太多的無用數(shù)據(jù)，而更多存儲的是個(gè)人數(shù)據(jù)，因此其取證價(jià)值更大。移動存儲介質(zhì)主要包括移動硬盤、U盤、存儲卡等種類，因其體積較小，易于隱藏，因此在現(xiàn)場可以按照搜索銀行卡、小件貴重物品的方法，仔細(xì)查找，建議移動存儲介質(zhì)的處理建議采用直接扣押的方式。

如果現(xiàn)場必須查看移動存儲介質(zhì)中的數(shù)據(jù)，需要將移動存儲介質(zhì)與電腦通過只讀設(shè)備連接，然后再查看其中的內(nèi)容。

（四）手機(jī)的扣押與勘驗(yàn)

涉及手機(jī)數(shù)據(jù)的收集和提取，主要包括SIM卡、手機(jī)機(jī)身、存儲卡三部分?！兑?guī)定》第8條對手機(jī)的處理也做了明確規(guī)定，“封存手機(jī)等具有無線通信功能的存儲介質(zhì)，應(yīng)當(dāng)采取信號屏蔽、信號阻斷或者切斷電源等措施?！薄Ｖ砸扇⌒盘柶帘魏妥钄嗟拇胧?，主要是為了防止手機(jī)在扣押或者勘驗(yàn)時(shí)由于信號的影響，給手機(jī)的數(shù)據(jù)狀態(tài)造成改變，影響電子數(shù)據(jù)的收集和提取工作。

對手機(jī)的現(xiàn)場處理主要分為兩種情況，如果手機(jī)處于關(guān)機(jī)狀態(tài)，建議不要現(xiàn)場開機(jī)，而是帶回實(shí)驗(yàn)室進(jìn)行后續(xù)取證工作。

如果手機(jī)處于開機(jī)狀態(tài)可以考慮以下的處理步驟：第一步如果手機(jī)具備飛行模式狀態(tài)，先將手機(jī)調(diào)制飛行模式再進(jìn)行查看，避免外界信號的干擾，如果手機(jī)不具備飛行模式，要將手機(jī)置入屏蔽箱或屏蔽袋中阻斷信號；第二步扣押手機(jī)；第三步盡可能從嫌疑人或者嫌疑人家屬處獲得鎖屏密碼，因?yàn)樵诤罄m(xù)檢驗(yàn)中需要破解繞過鎖屏密碼，而不是所有手機(jī)都能夠進(jìn)行鎖屏密碼破解或繞過。

三、電子數(shù)據(jù)實(shí)驗(yàn)室檢驗(yàn)

（一）電子數(shù)據(jù)實(shí)驗(yàn)室檢驗(yàn)原則

1．無損性原則?！兑?guī)定》第16條第2項(xiàng)有如下規(guī)定：“電子數(shù)據(jù)檢查，應(yīng)當(dāng)對電子數(shù)據(jù)存儲介質(zhì)拆封過程進(jìn)行錄像，并將電子數(shù)據(jù)存儲介質(zhì)通過寫保護(hù)設(shè)備接入到檢查設(shè)備進(jìn)行檢查；有條件的，應(yīng)當(dāng)制作電子數(shù)據(jù)備份，對備份進(jìn)行檢查；無法使用寫保護(hù)設(shè)備且無法制作備份的，應(yīng)當(dāng)注明原因，并對相關(guān)活動進(jìn)行錄像?！?，該項(xiàng)規(guī)定保證在取證過程中對檢材的原始性、無損性的保護(hù)，在實(shí)際取證過程中，取證人員嚴(yán)格按照上述規(guī)定進(jìn)行取證。

2.客觀性原則。電子數(shù)據(jù)實(shí)驗(yàn)室檢驗(yàn)取得的證據(jù)都是是客觀真實(shí)的，絕對不能對取得的結(jié)果有任何主觀的修改和推斷。例如，辦案部門扣押一臺電腦委托進(jìn)行電子取證，電子取證人員經(jīng)過檢驗(yàn)，發(fā)現(xiàn)此臺電腦曾經(jīng)連接過U盤、移動硬盤、手機(jī)等設(shè)備，可以根據(jù)usb記錄向辦案人員呈現(xiàn)這樣的結(jié)果：該臺電腦曾經(jīng)接入過什么品牌、多大容量的usb設(shè)備；但是不能給出這樣的結(jié)論：此臺電腦的所有者還有什么usb設(shè)備的結(jié)論。

3.規(guī)范性原則。電子數(shù)據(jù)的實(shí)驗(yàn)室檢驗(yàn)整個(gè)取證過程必須按照嚴(yán)格的規(guī)范進(jìn)行操作，技術(shù)人員的取證工作都應(yīng)嚴(yán)格遵守《規(guī)定》以及《人民檢察院電子證據(jù)鑒定程序規(guī)則（試行）》來開展。

（二）電子數(shù)據(jù)實(shí)驗(yàn)室檢驗(yàn)方法

2009年，最高人民檢察院司法鑒定中心頒布的技術(shù)文件，對電子取證實(shí)驗(yàn)室檢驗(yàn)定義了八種方法。分別是數(shù)據(jù)擦除、復(fù)制件制作（以上兩種方法稱為技術(shù)方法，主要是為實(shí)驗(yàn)室檢驗(yàn)用到的復(fù)制件做日常維護(hù)）、數(shù)據(jù)恢復(fù)、條件搜索、一致性認(rèn)定、文件解密、手機(jī)SIM卡檢驗(yàn)、手機(jī)機(jī)身檢驗(yàn)。但這八種方法出臺時(shí)間較早，且針對的是可扣押復(fù)制的檢材進(jìn)行常規(guī)檢驗(yàn)的方法。但隨著信息技術(shù)的告訴發(fā)展以及各種技術(shù)在各行業(yè)中的深度應(yīng)用，相應(yīng)的電子數(shù)據(jù)取證的實(shí)驗(yàn)室檢驗(yàn)工作也不僅僅限于以上八種方法了。更為專業(yè)性強(qiáng)的檢驗(yàn)方法隨之出現(xiàn)，例如針對監(jiān)控錄像的取證、代碼分析、數(shù)據(jù)庫取證、偽基站取證、互聯(lián)網(wǎng)取證以及服務(wù)器遠(yuǎn)程勘驗(yàn)等。具體方法描述在這里就不做贅述了。在實(shí)際取證過程中，往往不是單一使用一種方法，而是要將多種方法進(jìn)行結(jié)合，才能完成取證工作。

例如在辦理犯罪嫌疑人宋某利用職務(wù)便利泄露國家研究生考試試題案件中，檢察機(jī)關(guān)立案后扣押了相關(guān)的辦公用電腦。委托技術(shù)部門對電腦進(jìn)行取證。技術(shù)人員通過分析和模擬犯罪嫌疑人作案的過程，對試卷內(nèi)容進(jìn)行了文本拆分，設(shè)計(jì)組成了100余個(gè)搜索關(guān)鍵字在檢材中進(jìn)行搜索，在搜索結(jié)果中，并未發(fā)現(xiàn)目標(biāo)試卷的相關(guān)內(nèi)容，更沒有發(fā)現(xiàn)整理制作好的試卷文檔，這里就用到了條件搜索檢驗(yàn)方法。這也表明，目標(biāo)試卷以文檔形式（WORD、WPS、PDF等）存在的可能性基本排除。但在搜索結(jié)果中，還是找到了與案件相關(guān)的殘留文本數(shù)據(jù)。結(jié)果從內(nèi)容上看，殘留文本描述了QQ用戶之間通過互聯(lián)網(wǎng)傳輸文件的過程，并夾雜著關(guān)于研究生考試試題、以及相互鼓勵(lì)和調(diào)侃的語句。此外，在虛擬內(nèi)存區(qū)域更是發(fā)現(xiàn)了大段的政治試卷答案片段，這一發(fā)現(xiàn)更為偵查工作帶來了新的思路和方向。取證人員在所有檢材硬盤中搜索和恢復(fù)圖片文件，在獲取到所有圖片文件后，根據(jù)文件的屬性（時(shí)間、大小、文件格式類型等）進(jìn)行過濾，最終得到31個(gè)圖片文件。經(jīng)確認(rèn)，系2010年研究生考試政治、英語1、數(shù)學(xué)1全部試卷的電子掃描文件。這里就用到了數(shù)據(jù)恢復(fù)、條件搜索、文件解密等分析方法。

隨著《規(guī)定》的實(shí)施，隨著大數(shù)據(jù)、人工智能、區(qū)塊鏈等新興信息技術(shù)在各個(gè)行業(yè)中的深入應(yīng)用，電子數(shù)據(jù)取證、檢驗(yàn)鑒定以及審查判斷工作都將面臨新的挑戰(zhàn)，如何有條不紊面對出現(xiàn)的新情況，掌握不同的取證方法，都是需要我們技術(shù)人員共同努力的。

*本文系國家檢察官學(xué)院2015年度檢察實(shí)務(wù)類精品課程精簡版。

**北京市東城區(qū)人民檢察院［100007］