□蘇 雅

(中國人民公安大學(xué)，北京 100038)

微信用戶數(shù)量和規(guī)模的不斷擴(kuò)大，以及微信信息所具有的復(fù)雜性和隱蔽性，為犯罪分子實(shí)施犯罪活動(dòng)提供了新的場(chǎng)所和手段。而微信數(shù)據(jù)作為現(xiàn)代犯罪證據(jù)的來源之一，起著至關(guān)重要的作用。通過微信取證，可以全面掌握犯罪分子的犯罪動(dòng)態(tài)和犯罪手段，提高偵查破案的效率。

最高人民檢察院、最高人民法院和公安部印發(fā)的《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》把“微博客、朋友圈等網(wǎng)絡(luò)平臺(tái)發(fā)布的信息”以及“即時(shí)通信、通訊群組等網(wǎng)絡(luò)應(yīng)用服務(wù)的通信信息”列入電子數(shù)據(jù)行列，使微信取證成為電子數(shù)據(jù)取證領(lǐng)域的重要方面。

一、微信證據(jù)概述

微信證據(jù)作為證據(jù)的一種，根據(jù)微信的不同功能，有著不同的存在形式。而微信數(shù)據(jù)的多樣性和隱蔽性，也讓微信證據(jù)的類型更加多元化。

(一)微信證據(jù)類型

微信數(shù)據(jù)信息擁有文字、圖片、語音、視頻等多種存儲(chǔ)形式，關(guān)鍵、有效的數(shù)據(jù)會(huì)成為微信證據(jù)的主要來源。對(duì)于這些數(shù)據(jù)的記錄和收集的不同方法，是筆者研究的主要內(nèi)容。

1.文字。微信中記載的兩人或多人的文字聊天內(nèi)容，微信朋友圈編輯的文字消息以及公眾微信號(hào)里的文章，都是文字證據(jù)的有效來源。這是標(biāo)記雙方當(dāng)事人往來互動(dòng)最直接、最便捷的數(shù)據(jù)模式，運(yùn)用手機(jī)拍照、錄像、截圖或者備份的方法都能夠完成固定和提取。

2.圖片。作為證據(jù)的圖片包括照片、訂購或自制的表情包和動(dòng)圖，使用者在不同場(chǎng)合使用的含義不盡相同，可能毫無意義，也可能暗藏玄機(jī)，因此圖片證據(jù)需整體記錄和提取。

3.語音。微信聊天界面的語音消息、朋友圈分享的語音內(nèi)容以及微信公眾號(hào)中的語音信息，也是語音證據(jù)的存在方式。以微信語音證據(jù)為主的視聽資料應(yīng)當(dāng)具有真實(shí)性和連續(xù)性的特質(zhì)，記錄內(nèi)容必須清晰、準(zhǔn)確，才能當(dāng)做證據(jù)使用。提取語音證據(jù)的目的主要是用來進(jìn)行聲音鑒定，是微信取證過程中身份證明的有力途徑之一，能夠有效推進(jìn)偵查工作的順利進(jìn)行。

4.視頻。聊天記錄、朋友圈拍攝、轉(zhuǎn)發(fā)的小視頻，以及公眾號(hào)里發(fā)布的視頻鏈接等，都可能成為重要的視頻證據(jù)來源。需要注意的是原生視頻和經(jīng)過剪輯、處理的視頻所具有的證明效力不同。

5.其他具有證明效力的數(shù)據(jù)信息。微信用戶的個(gè)人信息一直是取證關(guān)注重點(diǎn)，注冊(cè)賬號(hào)時(shí)可能涉及的手機(jī)號(hào)、QQ號(hào)等信息是將相關(guān)犯罪嫌疑人鎖定的重要依據(jù)之一。[1]除了能以一定載體呈現(xiàn)上述四類證據(jù)，還有一些看似普通卻能在關(guān)鍵時(shí)刻達(dá)到證明效果的數(shù)據(jù)信息。如小程序、附近的人、位置共享等功能都會(huì)留下微信用戶的位置信息，[2]位置共享還具有實(shí)時(shí)定位能力，如果沒有刪除定位痕跡，即便退出該功能，依然能夠在云端收集到相關(guān)信息。

此外，交易記錄也是大部分涉微信犯罪案件都離不開的數(shù)據(jù)信息之一。微信“支付”功能里的許多服務(wù)諸如手機(jī)充值、騰訊公益、信用卡還款等，都可實(shí)現(xiàn)交易記錄的調(diào)閱。

(二)微信證據(jù)特點(diǎn)

1.時(shí)效性。由于微信數(shù)據(jù)的可刪除性和復(fù)雜性，致使微信數(shù)據(jù)提取為電子證據(jù)擁有一定的時(shí)效性。[3]犯罪分子在實(shí)施犯罪后，可能將與案件有關(guān)的信息進(jìn)行銷毀性刪除，而受害者往往不懂得如何有效鎖定并保存相關(guān)作案證據(jù)。因此，微信證據(jù)必須在一定時(shí)間內(nèi)固定、提取，否則就會(huì)失去證據(jù)效力。

2.開放性。微信的社交屬性使得在微信上傳輸、發(fā)送的各項(xiàng)數(shù)據(jù)都可能被不同范圍的群體或個(gè)人獲知、使用，這也是微信證據(jù)開放性的體現(xiàn)。

3.易損性。微信證據(jù)極易遭到篡改或刪除，取證流程的疏漏和取證技術(shù)的瑕疵等也可能給犯罪分子以可乘之機(jī)，導(dǎo)致證據(jù)損毀，失去證明效力。

二、手機(jī)微信取證方法實(shí)驗(yàn)研究

(一)實(shí)驗(yàn)設(shè)備

1.Android7.0系統(tǒng)，HUAWEI Mate 8手機(jī)一部，型號(hào)HUAWEI NXT-AL10；

2.iOS10.2.1系統(tǒng)，iPhone 6s Plus手機(jī)一部，型號(hào)ML6J2CHA；

兩款手機(jī)微信應(yīng)用均更新至微信WeChat 7.0.3版本。

3.Dell筆記本電腦一臺(tái)，win10操作系統(tǒng)，用于數(shù)據(jù)文件備份和恢復(fù)及第三方軟件安裝。

根據(jù)2018年1月2日微信官方發(fā)布的消息，微信不留存任何用戶的聊天記錄，聊天內(nèi)容只存儲(chǔ)在用戶的手機(jī)、電腦等終端設(shè)備上(1)WeChat：《用了這么久微信，這件事你還是不知道》，微信派，2018年1月2日。。因此了解不同版本手機(jī)微信數(shù)據(jù)的存儲(chǔ)路徑，是取證實(shí)驗(yàn)開展的前提。

iOS版微信數(shù)據(jù)存儲(chǔ)路徑：

iOS系統(tǒng)的微信數(shù)據(jù)主要存儲(chǔ)在iPhone的文件系統(tǒng)目錄之中，在第三方應(yīng)用授權(quán)下能夠完成訪問。[4]iTunes作為蘋果官方推出的軟件，可以實(shí)現(xiàn)手機(jī)文件及相關(guān)應(yīng)用程序的備份，Windows系統(tǒng)將備份文件默認(rèn)保存至C:UsersAdministratorAppDataRoamingApple ComputerMobileSyncBackup中，電腦端無法直接查看備份內(nèi)容，可以利用iTools軟件打開iPhone備份的內(nèi)容，瀏覽備份情況及微信數(shù)據(jù)的存儲(chǔ)路徑。iOS圖片、語音和視頻分別保存在文件夾Documents/長(zhǎng)度為32位的數(shù)字與字母混合的文件夾下的Image、Audio和Video中。微信聊天記錄有專門的軟件子目錄/private/var/mobile/Applications/com.tencent.xin.

Android版微信數(shù)據(jù)存儲(chǔ)路徑：

Android系統(tǒng)的數(shù)據(jù)信息通?？梢詮谋緳C(jī)的系統(tǒng)文件中進(jìn)行查找，就微信數(shù)據(jù)而言，本地?cái)?shù)據(jù)庫SQLite是存儲(chǔ)微信數(shù)據(jù)的主要依托，整體化加密的數(shù)據(jù)庫是數(shù)據(jù)存儲(chǔ)和保護(hù)的基石。在手機(jī)微信運(yùn)行時(shí)，SQL會(huì)將聊天記錄等相關(guān)信息存儲(chǔ)至該文件之中，Android系統(tǒng)會(huì)將手機(jī)微信中包含的所有程序文件歸置于目錄/data/data/com.tencent.mm之下，已加密的SQLite數(shù)據(jù)庫就在這個(gè)目錄之下，通常為32位長(zhǎng)度的目錄名，會(huì)根據(jù)微信賬號(hào)的改變而變化。[5]根據(jù)該數(shù)據(jù)庫的顯示，存儲(chǔ)文字聊天記錄和通訊錄信息的分別是message數(shù)據(jù)表和rcontact數(shù)據(jù)表。而圖片、語音和視頻信息均存儲(chǔ)在/storage/emulated/legacy/tencent/

MicmMsg/2643e206d0960578f50487548e9b9699內(nèi)，圖片文件保存于image和image2，語音文件保存于voice和voice2，視頻文件保存于viedo。

(二)實(shí)驗(yàn)過程

1.手機(jī)截圖

iOS系統(tǒng)手機(jī)與Android系統(tǒng)手機(jī)均可利用設(shè)備自帶的截圖按鍵對(duì)微信的聊天界面或朋友圈、公眾號(hào)發(fā)布的重要內(nèi)容進(jìn)行截圖，自截圖中捕捉關(guān)鍵的文字或圖片內(nèi)容。對(duì)于文字和語音混雜的聊天界面，主要應(yīng)用手機(jī)微信的語音轉(zhuǎn)換文字功能，將含有語音的部分轉(zhuǎn)換為文字，隨后再截圖。但語音文字轉(zhuǎn)換功能就微信使用與取證而言仍然存在局限，對(duì)于語音中含有方言和一些特殊標(biāo)記的話語也不適合轉(zhuǎn)換為文字進(jìn)行證據(jù)提取。

聊天記錄內(nèi)容繁多，需要選取特定的內(nèi)容進(jìn)行截圖時(shí)，可以進(jìn)入聊天詳情界面，選擇“查找聊天內(nèi)容”，使用日期、圖片及視頻、文件、鏈接、音樂、交易等多種渠道迅速查找聊天內(nèi)容，實(shí)現(xiàn)取證的高效化。

2.微信文件備份

利用電腦版微信中的備份功能，完成手機(jī)微信的備份，避免了因手機(jī)更換、損壞等造成的數(shù)據(jù)信息丟失，同時(shí)也解決了直接用手機(jī)微信取證面臨的無法獲取root或不能越獄等問題。

(1)在電腦上下載并安裝好微信電腦版，更新版本至2.6.7。同時(shí)打開兩版微信軟件，使用手機(jī)微信“掃一掃”功能進(jìn)行Windows微信登錄確認(rèn)。

(2)將手機(jī)和電腦連接為同一網(wǎng)絡(luò)，在電腦版微信中，點(diǎn)擊左下角的“備份與恢復(fù)”，使用“備份聊天記錄至電腦”功能，對(duì)手機(jī)微信的聊天記錄進(jìn)行備份，針對(duì)需要取證的內(nèi)容進(jìn)行全部或定向性備份。在備份過程中，需確保網(wǎng)絡(luò)通暢和微信的開啟狀態(tài)。筆者分別在兩部手機(jī)中隨機(jī)選擇了一個(gè)聊天會(huì)話進(jìn)行備份，備份流程和彈出界面相同。

(3)完成備份后，文件在目錄“C:Users系統(tǒng)用戶名DocumentsWeChatFiles微信賬號(hào)BackupFiles”中存留，如需修改備份地址，可以從電腦版微信的備份儲(chǔ)存位置中進(jìn)行相應(yīng)的設(shè)置，而修改備份儲(chǔ)存目錄將會(huì)遷移全部已儲(chǔ)存的備份。此次實(shí)驗(yàn)中，HUAWEI手機(jī)完成微信備份的文件默認(rèn)存儲(chǔ)在位置目錄C:UsersAdministratorDocumentsWeChat Fileswxid_3790807909512BackupFiles下，iPhone手機(jī)的微信備份文件則默認(rèn)存儲(chǔ)在位置目錄C:UsersAdministratorDocumentsWeChat Fileswxid_1y5lc1r4skno22Backup Files下。不同的手機(jī)微信用戶會(huì)產(chǎn)生不同的備份文件夾，名稱通常是用戶的微信號(hào)。iOS系統(tǒng)和Android系統(tǒng)的備份文件夾子目錄名稱相同，其中Backup.db存儲(chǔ)會(huì)話消息、聊天用戶的賬號(hào)與昵稱；BAK_0_MEDIA主要管理音頻、圖片等媒體文件數(shù)據(jù)的存儲(chǔ)；BAK_0_TEXT則對(duì)不同類型的消息進(jìn)行時(shí)間、內(nèi)容等多方面的存儲(chǔ)。下圖為HUAWEI手機(jī)的微信備份文件夾：

圖1 HUAWEI手機(jī)微信備份文件夾

通過微信文件備份的方式，對(duì)微信數(shù)據(jù)進(jìn)行分析，選取和案件有關(guān)的數(shù)據(jù)信息，是微信取證的有效方法。

3.微信文件刪除后恢復(fù)

出于個(gè)人數(shù)據(jù)安全和隱私保護(hù)，微信聊天記錄通常不會(huì)被服務(wù)器存留，因此尚未保存或遷移、備份的內(nèi)容，在微信好友刪除后，或者微信卸載與重裝后，很難再實(shí)現(xiàn)初始數(shù)據(jù)信息的復(fù)原操作。微信自帶的recover功能只能對(duì)近期受到損壞的部分?jǐn)?shù)據(jù)信息進(jìn)行修復(fù)，實(shí)則無法實(shí)現(xiàn)數(shù)據(jù)恢復(fù)的目標(biāo)。此外，微信群中的聊天記錄數(shù)據(jù)提取也是大多數(shù)涉微信犯罪案件關(guān)注的重點(diǎn)，當(dāng)事人在退群后只有可能查閱到屬于群成員時(shí)的歷史記錄。

對(duì)于已經(jīng)在電腦端完成備份的文件，可適用微信電腦版實(shí)現(xiàn)數(shù)據(jù)的恢復(fù)和還原。

(1)將電腦與手機(jī)連接至同一網(wǎng)絡(luò)。在微信電腦版中，點(diǎn)擊左下角“備份與恢復(fù)”，選擇右側(cè)“恢復(fù)聊天記錄至手機(jī)”，選擇需要恢復(fù)的聊天記錄，在“更多選項(xiàng)”下可進(jìn)行時(shí)間段和是否僅恢復(fù)文字消息的遴選，隨后在手機(jī)上點(diǎn)擊確認(rèn)，即可開始恢復(fù)。在恢復(fù)過程中，需確保網(wǎng)絡(luò)暢通和微信的開啟狀態(tài)。

(2)結(jié)束傳輸后需“確定”，再次打開手機(jī)版微信，即可在消息列表中查看到之前已被刪除的會(huì)話消息，點(diǎn)開會(huì)話內(nèi)容，初始的聊天內(nèi)容會(huì)重新顯現(xiàn)。

4.第三方技術(shù)軟件

微信數(shù)據(jù)本身的繁雜性和手機(jī)系統(tǒng)對(duì)于微信等各類應(yīng)用系統(tǒng)的數(shù)據(jù)保護(hù)，為手機(jī)微信取證帶來了許多難題，也催生了一些新技術(shù)軟件的成長(zhǎng)。除了簡(jiǎn)單的手機(jī)截屏和能夠進(jìn)行數(shù)據(jù)備份與恢復(fù)的電腦版微信，許多第三方技術(shù)軟件也逐漸走入公安大數(shù)據(jù)的視野。常見的有美亞柏科的手機(jī)取證大師、盤石開發(fā)的SafeAnalyzer軟件，這兩款是目前較具權(quán)威性的數(shù)據(jù)解析軟件，有較為專業(yè)的系統(tǒng)配置和相關(guān)組件。此外還有很多熱門的常用軟件，能夠解決微信數(shù)據(jù)刪除后恢復(fù)、格式轉(zhuǎn)換等問題，如iTools系列軟件、互盾科技的數(shù)據(jù)恢復(fù)軟件，以及開心盒子的手機(jī)恢復(fù)大師等多款軟件。

(1)手機(jī)數(shù)據(jù)恢復(fù)精靈

以iPhone手機(jī)為例，在App Store中查找“手機(jī)數(shù)據(jù)恢復(fù)精靈”， 獲取并安裝此應(yīng)用，在打開后的主界面中選擇“微信恢復(fù)”選項(xiàng)，應(yīng)用會(huì)轉(zhuǎn)入微信數(shù)據(jù)自動(dòng)掃描界面，掃描時(shí)長(zhǎng)與數(shù)據(jù)大小相關(guān)聯(lián)，成功掃描會(huì)顯示“恢復(fù)機(jī)率”和手機(jī)容量等數(shù)據(jù)信息，隨后根據(jù)現(xiàn)場(chǎng)需求，在彈出的微信聊天記錄中完成數(shù)據(jù)恢復(fù)環(huán)節(jié)。當(dāng)前，此軟件能夠?qū)崿F(xiàn)文字、語音、圖片及視頻等會(huì)話內(nèi)容的恢復(fù)操作。Android系統(tǒng)的實(shí)驗(yàn)流程與效果大抵相近，因此不再贅述。

(2)開心盒子系列恢復(fù)軟件

該軟件需要在電腦端進(jìn)行操作，針對(duì)iOS與Android兩種系統(tǒng)，需要下載并安裝“蘋果恢復(fù)大師”和“卓師兄”兩個(gè)軟件，先后對(duì)iPhone手機(jī)和HUAWEI手機(jī)進(jìn)行實(shí)驗(yàn)操作。

iOS系統(tǒng)操作如下：

首先，將裝置完畢的蘋果恢復(fù)大師打開，利用蘋果原裝數(shù)據(jù)線把iPhone手機(jī)接入電腦。初次接入時(shí)應(yīng)當(dāng)在手機(jī)端完成“信任”此電腦的操作，以確保電腦端后續(xù)步驟能順利開展。

采用主頁面中設(shè)備掃描恢復(fù)的方式，確認(rèn)“下一步”開始掃描主要數(shù)據(jù)。

結(jié)束掃描后會(huì)進(jìn)入恢復(fù)選擇界面，點(diǎn)擊需要恢復(fù)的內(nèi)容，應(yīng)用即可進(jìn)行針對(duì)性的深度掃描。如需恢復(fù)手機(jī)微信中的文字記錄和好友數(shù)據(jù)信息等文本數(shù)據(jù)，可選擇微信聊天記錄、微信通訊錄；恢復(fù)視頻、文件等媒體數(shù)據(jù)，則需選擇微信附件。

圖2 iPhone掃描成功界面

深度掃描之后，軟件會(huì)對(duì)需要恢復(fù)的內(nèi)容做以分析。內(nèi)容刪除與否以黑、橙兩種顏色的字體做區(qū)分，對(duì)亟待恢復(fù)、導(dǎo)出的內(nèi)容加以選擇，或者使用搜索功能，檢索重點(diǎn)詞句，隨后在右下方確認(rèn)“恢復(fù)到電腦”即可達(dá)成最初目標(biāo)。

Android系統(tǒng)操作如下：

首先，打開安裝好的卓師兄軟件，將手機(jī)與電腦用華為原裝數(shù)據(jù)線連接。首次連接需要在手機(jī)端確認(rèn)允許訪問設(shè)備數(shù)據(jù)，與iOS系統(tǒng)不同的是，Android系統(tǒng)還需要安裝驅(qū)動(dòng)，并允許USB調(diào)試。順利接入后，進(jìn)入“下一步”開始數(shù)據(jù)的深度掃描。

待電腦端應(yīng)用配置環(huán)境準(zhǔn)備完畢，則進(jìn)入恢復(fù)選擇界面。與iOS系統(tǒng)相同，圖標(biāo)的內(nèi)容與還原的數(shù)據(jù)信息相對(duì)應(yīng)。掃描完成后，運(yùn)用同樣的操作流程還原相關(guān)數(shù)據(jù)，最后點(diǎn)擊“恢復(fù)到電腦”，設(shè)置好保存路徑即可完成全部操作。

(3)格式工廠

手機(jī)微信語音或視頻等文件在導(dǎo)出或備份后有時(shí)會(huì)出現(xiàn)無法打開等情況，使用格式工廠軟件可以實(shí)現(xiàn)各類格式間的相互轉(zhuǎn)換，有效解決此類問題。

以M4A格式文件轉(zhuǎn)換為MP3格式文件為例，在電腦端下載并安裝格式工廠4.5.5，打開該軟件，在左側(cè)的工具欄中選擇音頻。

打開待轉(zhuǎn)換的M4A文件，將其用光標(biāo)拖拽至右側(cè)空白區(qū)域，在彈出的窗口左側(cè)任務(wù)框里選定欲轉(zhuǎn)換的格式，確認(rèn)輸出路徑，隨后點(diǎn)擊“確定”。

任務(wù)信息出現(xiàn)在主界面后，點(diǎn)擊“開始”按鈕，文件自動(dòng)轉(zhuǎn)換成設(shè)定的MP3格式，可在確定好的輸出文件夾進(jìn)行查看。

5.其他

與普通的微信功能不同，微信小程序以其應(yīng)用的廣泛性、程序的靈活性和使用的便捷性為大多數(shù)微信用戶所青睞。點(diǎn)開手機(jī)微信“小程序”，可以看到近期被該用戶使用過的小程序，通常以使用頻率排序。這些小程序從側(cè)面記錄了當(dāng)前用戶的使用數(shù)據(jù)，其中可能包含了地理位置、行蹤動(dòng)態(tài)等信息。通過整理這些數(shù)據(jù)，進(jìn)行簡(jiǎn)單的統(tǒng)計(jì)分析，同樣可以得出一些結(jié)論。下面分別就兩部手機(jī)的微信小程序使用情況進(jìn)行比對(duì)分析：

表1 微信小程序使用情況對(duì)比表

實(shí)驗(yàn)數(shù)據(jù)統(tǒng)計(jì)顯示，iPhone用戶有看漫畫的愛好或習(xí)慣，近期有出門的行為，可能進(jìn)行了購物活動(dòng)，并關(guān)注或參與了公益募捐。HUAWEI用戶偏愛于發(fā)現(xiàn)新型小科技，喜歡研究或接觸語言類事物。

通過同一時(shí)段兩部手機(jī)微信小程序的使用情況，對(duì)用戶的習(xí)慣特點(diǎn)與行為動(dòng)態(tài)進(jìn)行傾向性分析，為案件偵破提供線索。

(三)實(shí)驗(yàn)總結(jié)

通過嘗試不同的手機(jī)微信取證方法，發(fā)現(xiàn)電子證據(jù)固定和提取的更多可能性，為進(jìn)一步提升取證技巧開辟新思路。與此同時(shí)，微信取證方法隨著手機(jī)系統(tǒng)的更新和微信團(tuán)隊(duì)對(duì)數(shù)據(jù)管理的升級(jí)，更加具有針對(duì)性和條理性，取證軟件的開發(fā)研究也為手機(jī)微信取證提供了便利。取證的方法不止一種，但取證的目的只有一個(gè)，就是為偵查工作更好地服務(wù)，最大限度還原案件真相。

三、微信證據(jù)在偵查實(shí)踐中的應(yīng)用

探討微信證據(jù)在偵查實(shí)踐中的應(yīng)用，首先應(yīng)確保微信證據(jù)作為電子證據(jù)所具備的條件和特性，即合法性、客觀性、關(guān)聯(lián)性。在此基礎(chǔ)上，針對(duì)不同證據(jù)類型的特點(diǎn)展開深入分析，依照微信取證的方法和流程，發(fā)現(xiàn)新的問題和思路，尋找案件的突破口。

(一)微信證據(jù)的保全

因?yàn)槲⑿抛C據(jù)生成的特殊性，證據(jù)提取的復(fù)雜性，以及數(shù)據(jù)自身所具備的易泄露與易篡改性，使得微信證據(jù)的保全工作更加舉足輕重。

1.微信證據(jù)的合法性。證據(jù)的合法性是其具備客觀性和關(guān)聯(lián)性的先決條件，一方面是形式的合法性，另一方面則是取證手段的合法性。就微信證據(jù)而言，目前取證軟件魚龍混雜，取證方法推陳出新，相關(guān)的法律法規(guī)還尚未健全，很難確保每一種取證措施都是完全有效的。

2.微信證據(jù)的客觀性。作為電子證據(jù)的一種，微信證據(jù)必然面臨著客觀性、真實(shí)性的巨大考驗(yàn)。所提取的證據(jù)是否已經(jīng)被篡改，提取的內(nèi)容是否達(dá)到完整、全面，相關(guān)數(shù)據(jù)是否存在證明效力，都是取證人員應(yīng)當(dāng)思考的內(nèi)容。[6]這需要工作人員在提取微信證據(jù)時(shí)做好實(shí)時(shí)記錄，規(guī)范取證流程，對(duì)于音、視頻類證據(jù)尤其要防止音頻和視頻文件的片段性和模糊性，盡可能呈現(xiàn)清晰、完整的證據(jù)鏈條。

3.微信證據(jù)的關(guān)聯(lián)性。(1)必須確定所提取的證據(jù)來源是微信用戶本人，除了雙方當(dāng)事人的確認(rèn)和有關(guān)司法部門的認(rèn)證，[7]有時(shí)同樣需要第三方軟件或技術(shù)的支撐；(2)微信證據(jù)的內(nèi)容與案件事實(shí)是否有實(shí)質(zhì)性關(guān)聯(lián)，所取得的證據(jù)能否證明當(dāng)事人的行為動(dòng)態(tài)等內(nèi)容。

(二)犯罪主體身份確認(rèn)

無論是從已經(jīng)獲取的微信證據(jù)，還是依靠微信數(shù)據(jù)本身的開放性，都不難推斷并確認(rèn)犯罪主體的身份。在確定犯罪主體同微信用戶身份一致的前提下，可以從多種渠道進(jìn)行賬號(hào)的查詢和搜索。

1.善用微信“添加朋友”功能。如若微信用戶開放了隱私設(shè)置中“向我推薦通訊錄朋友”的權(quán)限，可以通過手機(jī)聯(lián)系人直接查找并添加通訊錄中的朋友。如果對(duì)方在隱私設(shè)置中開放了可通過手機(jī)號(hào)、微信號(hào)或者QQ號(hào)找到自己賬號(hào)的路徑，同樣可以憑借搜索相應(yīng)號(hào)碼找到目標(biāo)賬戶。[8]不僅如此，還可以通過群聊、二維碼、名片等方式添加用戶。在搜索、添加的過程中進(jìn)行拍攝記錄，以防后期出現(xiàn)犯罪嫌疑人解綁手機(jī)號(hào)、QQ號(hào)、郵箱地址等情況。

2.微信好友探信息。相較于群聊的分散性和復(fù)雜性，微信好友之間的往來數(shù)據(jù)則更具指向性。從通訊錄中可以查閱好友的詳細(xì)資料，包括微信號(hào)、昵稱、地區(qū)、朋友圈等，在“更多信息”選項(xiàng)的社交資料中還可查看彼此的共同群聊、用戶個(gè)性簽名以及來源。微信用戶的微信號(hào)和昵稱有時(shí)會(huì)暴露其姓名，地區(qū)及常住地址。由于微信好友聯(lián)系的緊密性，好友或最近聯(lián)系人的微信朋友圈中往往會(huì)有當(dāng)事人發(fā)布的圖片或小視頻等信息，借此推斷犯罪嫌疑人的身份特征。[9]

3.聊天記錄露端倪。聊天記錄中，語音聊天和視頻聊天可從一定程度上確認(rèn)賬號(hào)主體與犯罪嫌疑人的關(guān)聯(lián)。聲紋的穩(wěn)定性和唯一性讓偵查人員能夠從提取到的語音證據(jù)中更快地鑒別犯罪主體身份。通過視頻證據(jù)中的人像掃描，進(jìn)行嫌疑人身份認(rèn)定。

4.交易支付顯身份。[10]微信錢包功能存有用戶綁定銀行卡的賬戶信息，根據(jù)銀行開卡個(gè)人信息和交易轉(zhuǎn)賬記錄，深入調(diào)查并確認(rèn)犯罪嫌疑人身份。

此外，微信“支付”功能內(nèi)的火車票機(jī)票等第三方服務(wù)還可以提供微信用戶購買車票、機(jī)票等訂單信息，查詢相關(guān)票據(jù)信息即可鎖定犯罪嫌疑人。

(三)犯罪行為分析

對(duì)犯罪行為的分析主要包括犯罪預(yù)備期的表現(xiàn)、實(shí)施犯罪的情況與未知犯罪動(dòng)態(tài)分析。通過對(duì)微信證據(jù)的分析和微信數(shù)據(jù)的統(tǒng)計(jì)，讓線索更加明朗，推進(jìn)偵查工作有序進(jìn)行。

1.社交信息。通過案發(fā)前一定時(shí)間的聊天記錄、朋友圈發(fā)布的消息等文字、語音、圖片信息，分析犯罪嫌疑人在犯罪預(yù)備期的表現(xiàn)，社交情況可能暴露犯罪分子想要實(shí)施犯罪的目標(biāo)群體或個(gè)人，以及正在籌備的作案工具等。

2.交易記錄。微信用戶的交易記錄羅列了不同時(shí)期用戶的交易情況，在交易記錄未被刪除的前提下，可以直接在手機(jī)微信中選擇交易日期和類型進(jìn)行篩選。通過查看近期交易情況，分析犯罪嫌疑人的生活、消費(fèi)習(xí)慣，進(jìn)一步縮小并精確其活動(dòng)范圍。

3.小程序。小程序作為微信的新興工具，對(duì)于分析犯罪嫌疑人的行為動(dòng)態(tài)也起著不可或缺的作用。經(jīng)過實(shí)驗(yàn)比對(duì)不難發(fā)現(xiàn)，不同人物對(duì)象使用的小程序不盡相同。小程序的使用軌跡，往往能反映用戶的個(gè)體特質(zhì)、購物習(xí)慣，甚至是年齡、性別。犯罪嫌疑人在特定時(shí)期的一般表現(xiàn)，有時(shí)會(huì)給偵查人員提供新的思路和突破口。

(四)犯罪畫像

微信證據(jù)在犯罪畫像上的應(yīng)用主要從形象塑造和心理畫像兩方面展開。除朋友圈和聊天記錄中發(fā)布的能夠證明自身的照片和視頻，文字和語音證據(jù)同樣能夠?qū)崿F(xiàn)犯罪形象的再塑，聊天內(nèi)容可反映個(gè)人的興趣習(xí)慣和交流方式，聊天語氣則可看出他的性格特點(diǎn)。如語音中使用方言情況，有無特定習(xí)慣用語等。而對(duì)犯罪嫌疑人心理的刻畫，則需借助微信數(shù)據(jù)進(jìn)行多維度分析。如根據(jù)犯罪嫌疑人在作案前后加入的群聊性質(zhì)、關(guān)注的訂閱號(hào)以及收藏的文章，可分析其交往動(dòng)機(jī)和獲取信息動(dòng)機(jī)，特定階段朋友圈發(fā)布的信息一方面可展示其生活方式和人格特質(zhì)，另一方面也呈現(xiàn)出犯罪嫌疑人的心理動(dòng)態(tài)。

手機(jī)微信取證方法的實(shí)驗(yàn)研究，不只在怎樣提取到更多類型和數(shù)量的證據(jù)，怎樣實(shí)現(xiàn)證據(jù)的有效固定和保全，而是抓住當(dāng)下大數(shù)據(jù)與人工智能發(fā)展的機(jī)遇，及時(shí)發(fā)現(xiàn)并掌控犯罪形式變化新動(dòng)向，通過手機(jī)微信取證等技術(shù)不斷升級(jí)及相關(guān)法律制度與規(guī)定的進(jìn)一步完善，探尋電子證據(jù)發(fā)展新方向，全面提高偵查工作質(zhì)量和效率。