计算机犯罪第一季 第11篇
办案人员从现场扣走一台电脑，里面有聊天、源代码、浏览器记录和转账表格。家属会觉得电脑已经被拿走，里面的东西自然都能成为证据。真正进入法庭的过程要长得多。
电脑属于物理载体，电子数据存放在载体里。哪台电脑从哪里扣押，硬盘有没有更换，数据怎样提取，文件是否完整，账号由谁使用，每一步都需要材料连接。屏幕上能看见一份文件，只说明它此刻可以被展示，还没有回答它从何而来、有没有改变、与案件有什么关系。
2016年电子数据规定把这条路写得很细。理解它，家属才能知道律师为什么反复索要扣押清单、提取笔录和校验值。
现场先固定设备和状态
侦查人员在现场发现电脑，会先确认设备外观、连接状态、是否开机、正在运行什么程序。开机设备可能保存内存数据、网络连接和未落盘内容，直接断电会丢失。继续操作又可能改变文件和日志。
取证人员需要根据情况选择。提取内存和运行状态，或者依法关机、扣押、封存。操作应当记录，必要时录像。设备型号、序列号、硬盘编号、连接的移动存储介质和现场位置，帮助以后确认同一性。
电子数据规定要求收集提取由两名以上侦查人员进行，方法符合技术标准。能够扣押原始存储介质的，应当扣押、封存，并制作笔录，记录封存状态。封存前后拍摄照片，保证不解除封存就不能增删改数据。
电脑只是载体之一。手机、硬盘、U盘、网络设备和自动化控制设备都可能存储电子数据。每件设备应当单独编号。现场随手写电脑一台，后面出现多块硬盘，证据对应会变得困难。
原始存储介质原则上随案保存
原始硬盘保留了文件内容、目录结构、元数据、删除痕迹和系统日志。只打印几个文件，会丢掉大量可以验证来源的信息。
电子数据规定以扣押原始介质为原则。手机等具有无线通信功能的设备，封存时还应采取信号屏蔽、信号阻断或切断电源等措施，避免远程擦除和新数据写入。
无法扣押原始介质时，可以提取数据。大型服务器不能停机，云平台介质位于他人控制，内存和网络传输数据本来就不会长期存盘，都可能适用。这时笔录要说明不能扣押的原因、介质存放地点或数据来源，并计算完整性校验值。
原始介质位于境外或远程系统的数据，可以在线提取。必要时进行网络远程勘验。远程取证需要记录账户、网络地址、时间、步骤和结果，服务器时区也要确认。
镜像复制让检查尽量不碰原盘
电子数据检查通常不会在原硬盘上反复运行工具。取证人员使用写保护设备连接介质，制作镜像或备份，再对副本检查。写保护用于阻止检查设备向原盘写入数据。
镜像可以保留硬盘中的已分配和未分配空间，有机会恢复删除文件和分析文件系统。普通复制粘贴只拿走当前可见文件，无法保留全部底层信息。
规定要求审查检查是否通过写保护设备接入存储介质，有条件的是否制作备份并检查备份。无法备份且无法使用写保护时，是否附有录像。这些程序负责减少取证过程对原数据的改变。
工具运行本身也会产生记录。取证软件名称、版本、参数和错误提示应当保存。软件版本不同，解析结果可能有差异。报告只写使用专业工具，没有具体信息，不利于复核。
校验值负责确认两份数据是否一致
完整性校验值常被称为哈希值。算法对一组数据计算出固定长度结果。原数据哪怕发生细小变化，结果通常也会变化。
制作镜像前后计算校验值，可以确认复制数据与被计算的原数据是否一致。证据在侦查、鉴定、起诉和审判之间流转，再次计算也能帮助发现副本是否被改动。
校验值不能包办真实性。有人在扣押前已经修改文件，取证人员对修改后的文件计算哈希，数值仍然稳定。它证明数据从某个时间点以后是否保持一致，不证明内容最初由谁生成、是否真实反映业务。
校验范围也要看清。对整个硬盘镜像计算，与对单个导出文件计算不同。报告中的哈希值要能与提取清单对应，算法名称和计算时间最好明确。
文件提取以后还要解释它怎样形成
电脑里发现一个客户名单，文件名写着最终名单。文件名是使用者命名，不是司法结论。创建时间、修改时间、作者字段也可能被复制、同步和软件自动保存改变。
需要结合文件内容、所在目录、应用程序记录和相关聊天判断。名单是否由涉案软件下载，还是员工手工整理。表格里的账号能否与平台日志对应，是否有重复和测试数据。
源代码也一样。代码存在于硬盘，不能直接证明已经编译、发布和交付。构建记录、安装包哈希、服务器文件、发布聊天和客户设备可以说明哪段代码真正进入涉案版本。
删除文件恢复出来，恢复程度要说明。文件名存在，内容可能已被覆盖。碎片数据能够证明某些字符曾出现，不能轻易恢复成完整文档。
聊天记录需要保留上下文和账号身份
聊天是计算机案件证明需求、明知和分工的重要材料。截图只显示几句话，容易丢失前后文、发送时间和账号信息。
从手机或电脑提取的聊天数据库，可以保留账号、消息编号、时间、附件和群成员等信息。导出工具怎样解析，语音和撤回消息怎样处理，需要技术说明。
账号身份还要与现实人关联。手机号实名、登录设备、常用联系人、付款和本人供述可以相互印证。账号昵称叫某人姓名，不足以单独证明由他使用。
群聊里出现一份文件，需要确认谁发送、谁下载、谁打开。能够看到消息不代表理解全部技术含义。用群成员身份推定共同犯罪，仍然需要个人参与和共同故意证据。
上下文也会改变词义。客户说过一下风控，可能谈合法压力测试，也可能要求规避平台验证。前后需求、目标系统和实际功能决定它在案件中的意义。
浏览器和系统日志各自记录一部分
浏览器历史可以显示访问过的网址、搜索和下载。隐私模式、清理工具和多浏览器使用会留下缺口。记录没有某个网址，不能绝对证明从未访问。
操作系统日志记录登录、进程、设备连接和文件活动，保存范围取决于配置。服务器日志记录请求、账号、网络地址和响应状态。应用程序还可能有业务日志。
多类日志的时间需要统一。服务器使用协调世界时，电脑使用北京时间，手机时间曾被手动调整，直接排列会出现错位。报告应说明时区和校准方法。
日志能够证明终端或账号活动，连接到具体人还需其他证据。办公电脑多人共用，远程桌面由外部登录，网络地址经过代理，都可能影响身份判断。
云端数据要证明调取对象和字段
越来越多证据来自云服务、平台后台和第三方公司。侦查机关依法调取账号注册、登录、交易、订单和服务器数据，提供方应如实提供。
平台出具表格时，要说明查询条件、字段含义、数据时间范围和导出方式。一个设备编号代表物理设备、应用安装还是登录实例，关系到数量统计。
平台可能只保存汇总数据，原始日志已按保留周期清理。汇总表仍可作为材料，证明力取决于生成规则和其他证据印证。办案机关整理的二次表格应与原始导出分开。
跨境云服务还会遇到数据位置、调取程序和时区问题。通过嫌疑人账号登录下载，与服务商依法提供，来源路径不同，都要留痕。
电子数据检查和鉴定解决不同问题
检查可以发现、提取和展示数据。鉴定用于解决需要专门知识判断的问题。硬盘里有哪些文件，可以通过检查列出。文件是否经过特定算法加密，程序是否具备绕过安全保护功能，可能需要鉴定或检验。
2016年规定允许司法鉴定机构出具鉴定意见，也允许法定指定机构出具报告。两类材料都要审查检材、方法、过程和结论。
鉴定机构收到的镜像要与提取阶段对应。送检清单的哈希值和鉴定记录不一致，需要解释。鉴定使用的软件版本和参数也应说明。
鉴定结论属于证据之一。程序有某项功能，不等于某人实际使用。文件来自某硬盘，不等于硬盘由被告人独占。技术结论必须回到人物和行为。
网络身份与现实身份需要综合判断
电子数据规定明确，可以通过网络地址、网络活动记录、上网终端归属、证人证言和供述等综合判断网络身份与现实身份同一性。存储介质与人的关联也可以综合判断。
综合判断常被误解为有两三项材料就够。每一项材料仍需可靠。手机号实名登记在本人名下，可能长期由他人使用。电脑放在本人住处，可能是公司公用设备。
更有力的关联通常来自连续行为。账号登录时间与本人工作安排一致，设备里保存对应密钥，聊天对象以现实事件确认身份，资金流向本人控制账户。多条独立材料指向同一人，结论才稳。
行为人否认设备归属时，扣押地点、购买记录、系统用户名和日常文件可以核对。侦查人员也应收集相反材料，不能只保留支持指控的部分。
法庭展示要让人看见原始依据
电子数据可以借助多媒体设备展示。网页、聊天、代码和日志需要转化成法官、检察官和辩护人能够理解的形式。
展示方便不能牺牲完整。PPT里的几张截图应能追溯到原始数据和提取记录。统计图应附明细和计算方法。动态演示要说明使用的版本和环境。
控辩双方对技术内容有争议，可以申请鉴定人出庭，也可以申请有专门知识的人出庭。法庭调查会围绕数据来源、方法和结论提问。
经法院通知，鉴定人拒不出庭，相关鉴定意见依法不得作为定案根据。申请出庭应提出具体异议，让法院看见专业问题会怎样影响案件事实。
打印件和统计图属于派生材料
电子数据进入卷宗后，常被打印成聊天记录、表格和代码片段。打印方便阅读，却把可以搜索、跳转和查看属性的数据变成静态页面。页码、截图范围和打印顺序由制作人选择，法庭仍要能够回到原始电子数据。
聊天打印件最好带有账号、时间、消息编号和上下文，附件还要单独提取。一张只有两句对话的纸，无法看见此前的需求和此后的回应。代码打印件需要标明文件路径、版本和行号，脱离项目结构的几十行代码很难说明实际功能。
统计图更容易给人确定感。柱形图显示两千台设备上线，基础表里可能包含重复安装、模拟器和测试账号。图形负责帮助理解，数量认定仍依赖原始明细、去重规则和计算过程。办案人员使用脚本生成图表，最好保留脚本、输入文件和输出时间。
法庭可以让展示材料与原数据建立编号。点击一笔交易，能够找到平台导出记录、对应聊天和收款流水。查看一条程序日志，能够回到镜像中的文件路径和提取笔录。这样形成的可视化才是在解释证据，不是在替代证据。
辩护方制作自己的时间线或关系图，也应遵守同样要求。每个节点注明出处，对存在争议的事实作清楚标记。视觉上整齐的图不能把推断画成已经证实的事实，更不能隐去与己方观点不一致的数据。
瑕疵、补正和排除需要分层处理
电子数据取证存在瑕疵，不会一律排除。规定列出了可以补正或作合理解释的情形，也规定了严重影响真实性、合法性且无法补正解释时的处理。
清单漏签名、个别字段说明不清，可能通过补正解决。数据来源无法确认、收集程序严重违法导致真实性无法保证，问题更实质。
辩护意见要说明瑕疵影响哪项判断。没有校验值会影响完整性验证，版本不明会影响程序功能结论，账号身份不清会影响行为人关联。只列程序条文，不说明后果，法院难以判断。
补正材料也要接受审查。办案人员事后写情况说明，能解释当时客观过程，不能创造原本不存在的取证记录。说明与现场照片、录像和设备状态矛盾时，可信度需要重新评价。
一台电脑最后进入的是一条证据链
电脑从现场到法庭，会经历扣押封存、镜像复制、数据提取、检查鉴定、身份关联、移送展示和质证。每个环节都留下记录。
证据链完整，不代表里面每个文件都与犯罪有关。关联性还要逐项判断。一个开发者电脑里装着安全测试工具，可能属于工作环境。客户名单、异常脚本和服务器记录形成对应，案件意义才出现。
证据链有缺口，也不意味着整台电脑的数据全部失效。法院会看缺口影响范围，其他材料能否验证，能否补正。辩护人应把争议落到具体文件和证明目的。
电子数据最有力量的地方，在于它能留下时间、动作和关系。它最容易误导人的地方，也在于屏幕上的内容看起来太确定。把来源和过程补回来，一台电脑里的数据才真正成为可以审判的刑事证据。
参考资料
阅读提示
本文只作一般法律知识交流。电子数据的真实性、合法性和关联性应结合原始介质、提取过程、校验记录、身份关联和全案证据判断。