计算机犯罪第一季 第7篇
计算机案件的卷宗里，经常能看到几种名字相近的技术材料。司法鉴定意见书、电子数据检验报告、勘验检查笔录、侦查实验笔录，还有办案机关内部形成的技术协助材料。家属拿到其中一页，容易把所有盖着技术机构公章的文件都叫鉴定报告。
名称混在一起，审查思路也会跟着混。鉴定意见和检验报告可以处理相似的技术问题，法律依据、出具主体和质证方式却不完全相同。对一款程序有没有侵入功能、硬盘里的文件是否删除过、服务器日志能否对应某台设备，先弄清卷宗里是哪类材料，后面的异议才能落到正确位置。
刑事诉讼法把鉴定意见列为法定证据
刑事诉讼法规定了物证、书证、证人证言、被害人陈述、犯罪嫌疑人和被告人供述、鉴定意见、勘验检查辨认侦查实验笔录、视听资料和电子数据等证据种类。鉴定意见在法律上有明确位置。
它处理案件中的专门性问题。司法机关委托或指派具有专门知识和相应资格的鉴定人，鉴定人依据检材、技术标准和专业方法检验材料、辨别特征并分析结果，给出专业判断。
电子数据案件里，常见问题包括存储介质数据恢复、文件同一性、程序功能、日志关联和数据完整性。并非每个技术问题都必须鉴定。侦查人员可以依法勘验、检查和提取电子数据，平台也可以提供业务记录和情况说明。问题超出一般调查能力、需要专门知识作判断时，鉴定意见才更有意义。
鉴定意见不能替代法官对法律问题的判断。程序是否具有某项技术功能可以鉴定，行为人是否明知、是否构成犯罪、属于主犯还是从犯，属于司法机关根据全案证据作出的法律评价。鉴定书直接写构成某罪，已经越过专业判断边界。
检验报告有自己的法律入口
2016年电子数据规定第十七条写得很具体。电子数据涉及的专门性问题难以确定，可以由司法鉴定机构出具鉴定意见，也可以由公安部指定的机构出具报告。检察院直接受理的案件，还可以由最高人民检察院指定的机构出具报告。
这意味着报告不一定是鉴定意见，也不因此失去证据作用。它可能由法定指定的技术机构出具，用于解决电子数据中的专门问题。
2021年最高人民法院刑事诉讼法解释进一步明确，对案件中的专门性问题需要鉴定，但没有法定司法鉴定机构，或者法律、司法解释规定可以进行检验的，可以指派、聘请有专门知识的人进行检验，检验报告可以作为证据使用。
最高检办理网络犯罪案件规定也要求审查鉴定机构以外机构出具的检验、检测报告，并可参照鉴定意见的审查内容。实践已经不再把报告简单放在定罪量刑参考的位置，符合规范的报告能够进入证据体系。
文件标题不能决定证据属性
一份文件写着司法鉴定意见书，仍要看机构、人员、委托程序和内容是否符合鉴定规范。一份叫技术报告的材料，也可能依据专门规定由指定机构出具，具备证据资格。
审查时可以先找委托手续。谁委托，委托解决什么问题，送检材料有哪些，检材怎样封存和流转。再看出具主体。机构是否具有相应业务资格，鉴定人或检验人员能否承担该专业事项，资格在出具时是否有效。
随后看文件实际做了什么。它只是客观提取文件、列出哈希值和目录，还是运行程序后判断功能。前者更接近过程记录或检验结果，后者含有专业分析和判断。证据属性需要结合规范来源和实质内容，不能只看封面。
有些卷宗把数据恢复报告、病毒扫描结果和程序功能意见装订在同一册。三个结论使用的方法可能不同。辩护人最好逐项拆开，不要对整份材料笼统写不认可。
鉴定意见的审查从检材开始
技术结论再专业，也不能修复错误检材。鉴定机构收到的安装包应当能够追溯到涉案电脑，文件哈希值要与提取清单一致，版本也要对应指控期间。检材审查是第一步。
程序会不断更新。案发时销售的是二点一版本，扣押电脑里只剩三点零版本，鉴定人运行新版本后发现有绕过验证功能，不能直接推定旧版本也有。代码仓库可以帮助还原版本，提交时间、编译记录和发给客户的安装包需要相互对应。
硬盘和手机鉴定也要看原始存储介质。电子数据规定要求能够扣押的原则上扣押、封存，无法扣押时说明原因和数据来源，计算完整性校验值。鉴定人拿到一份来源不明的复制文件，后面计算再精确，仍然存在基础缺口。
检材还要充分。鉴定程序需要特定服务器和配置才能运行，委托人没有提供配置，鉴定人自行搭建了模拟环境，报告应当说明。模拟环境与真实系统的差异，会影响功能结论可以推广到什么范围。
方法和标准需要能够复核
鉴定意见应当说明采用什么方法，依据什么标准，使用哪些软件及版本，分析过程怎样通向结论。只写经检验发现具有侵入性，控辩双方很难质证。
程序功能鉴定可以结合静态分析和动态运行。静态分析看代码、配置、接口和权限声明。动态运行看程序在特定环境下发出哪些请求、收到什么返回、生成什么文件。两种方法能够相互验证，也各有局限。
反编译得到的代码不一定完整，混淆和加壳会影响阅读。动态测试只能看到本次条件下触发的功能，没有触发不等于不存在。鉴定人需要说明限制，不能把一次测试写成程序在所有场景的必然表现。
哈希算法、数据恢复和日志分析也有技术标准。完整性校验值只能说明两个数据副本在计算时是否一致，不能单独证明原始数据形成过程真实。文件恢复出来，文件内容与谁有关，还要结合设备归属和使用记录。
检验报告也要接受实质审查
有人认为检验报告不是鉴定意见，质证只能看形式。最高检办理网络犯罪案件规定提供了更实用的路径。对鉴定意见，应审查机构和人员资格、鉴定材料客观性、方法科学性、意见完整性以及能否与其他证据印证。鉴定机构以外的机构出具检验检测报告，可以参照审查。
这套思路意味着报告不能凭指定机构几个字免于审查。检验人员拿到什么材料，怎样操作，设备和软件是否可靠，结果有没有超出检验范围，都应当说明。
指定机构的法律依据也要查。电子数据规定提到公安部指定机构，不是任何公安技术部门出具的文件都当然符合。报告应能看出机构身份、任务来源和人员签名。
平台技术部门提交的说明更要区分。平台最了解自身系统，可以解释字段、日志和损失，仍然是案件相关单位提供的材料。它与法定指定机构的检验报告不同，需要结合原始数据和其他证据判断。
勘验检查笔录记录办案过程
电子数据勘验检查由侦查机关依法进行，重点记录怎样发现、提取和检查数据。谁参加，设备是什么状态，使用什么工具，操作步骤和结果如何，通常会形成笔录、清单、录像和导出数据。
笔录可以记载屏幕显示和操作结果，也可能附技术人员说明。它的证据属性与鉴定意见不同。勘验人员亲自进行的取证活动，需要遵守人数、见证、录像、写保护和封存等程序要求。
辩护审查可以把笔录中的设备序列号与扣押清单比对，把提取时间与校验值记录比对。笔录写从某电脑提取，扣押清单中的电脑型号和硬盘编号却不同，数据来源需要解释。
远程勘验还要看目标系统、网络路径和批准手续。网页随时变化，在线提取时应记录时间、网络地址和访问方式。只有打印页面，没有提取过程，真实性审查会遇到困难。
侦查实验解决能否重现的问题
侦查实验可以验证程序在一定条件下怎样运行。办案人员安装涉案软件，输入参数，记录是否绕过验证码、取得数据或控制设备。对有运行条件的涉案程序，最高检指导案例要求重视侦查实验。
实验结论依赖条件。使用谁的账号，服务器是否真实，网络环境怎样，程序是否经过修改，每一步由谁操作，都要记录。实验使用测试人员事先提供的管理员账号，不能证明程序具有破解权限功能。
侦查实验笔录属于法定证据种类中的笔录。技术专家参与并作说明，不会自动把笔录变成鉴定意见。专家超出实验观察，对程序整体性质作出专业判断时，需要看是否另有规范依据和相应材料。
程序运行视频很直观，剪辑会影响完整性。原始录像、操作日志和生成文件应当一并保存，法庭展示的短片不能替代完整过程。
鉴定人出庭和有专门知识的人出庭
当事人、辩护人对鉴定意见有异议，可以依法申请鉴定人出庭。法院认为有必要，鉴定人应当出庭作证。经法院通知，鉴定人拒不出庭，鉴定意见不得作为定案根据。
申请时要提出具体异议。检材版本不对应，鉴定方法不能复现，结论超出委托范围，报告数据前后矛盾，这些理由比技术问题很复杂更容易让法院判断出庭必要性。
控辩双方还可以申请有专门知识的人出庭，就鉴定意见提出意见。此类人员帮助法庭理解专业问题，其意见与司法鉴定意见的性质不同。法院会结合专业资历、分析依据和全案证据判断。
网络犯罪案件里，技术问题容易淹没法律争点。有专门知识的人最有价值的工作，是把程序怎样运行、报告哪里跳步讲清，不是在法庭上替一方宣布有罪无罪。
补充鉴定和重新鉴定各有条件
鉴定意见遗漏问题、表达不清，可以通过补充说明或补充鉴定处理。鉴定程序严重违法、机构或人员不具备资格、结论明显依据不足等情形，可能涉及重新鉴定。
提出重新鉴定不能只因为结论不利。需要指向程序、资格、检材或方法上的实质问题。对一项计算结果有疑问，先要求提供基础数据和计算过程，常常比立即申请重鉴更有效。
补充材料也要注意程序。鉴定机构收到新的日志或安装包后改变结论，应当说明新增检材来源和分析过程。原意见与补充意见怎样衔接，不能留下两个互相冲突的版本。
法院最终可以采纳鉴定意见，也可以结合其他证据不予采纳。鉴定意见没有预设高于其他证据的地位。程序运行与客观日志明显矛盾时，司法机关需要解释采信理由。
报告结论写到哪里需要看委托边界
技术文件常见的问题是结论走得太远。委托事项要求判断一款软件能否批量登录，报告在成功运行一次后写成该软件已经侵入若干万账户。前一句属于功能判断，后一句还需要真实运行日志、成功账户清单和人员使用证据支持。
损失认定也容易跨界。检验人员可以说明服务器何时停止响应、数据是否能够恢复、修复采取了哪些技术步骤。停业损失怎样计算，全部费用是否由涉案行为造成，还涉及财务凭证、经营数据和因果关系。技术人员给出的金额可以提供线索，法院仍要审查计算基础。
报告使用非法、恶意、攻击等词时，也要看它们是技术分类还是法律评价。安全软件把未经签名、修改浏览器设置的程序标记为恶意程序，说明产品的风险识别结果。刑法上的专门用于侵入、非法控制的程序工具，需要按照功能、设计目的和使用场景继续判断。两个概念不能仅凭同一个形容词连接起来。
委托机关还应避免把答案写进问题。例如询问涉案犯罪软件如何非法侵入目标系统，已经预设软件属性和侵入事实。较为中性的问法，是要求检验程序具备哪些功能、在给定环境中产生什么网络请求、能否绕过何种认证措施。问题越准确，报告越容易在法庭上接受检验。
辩护人阅读结论部分时，可以给每句话标出证据层次。哪些是仪器直接观察，哪些是检验人员推断，哪些需要其他证据补足，哪些已经进入法律评价。拆开后，真正需要争议的地方通常不会很多，质证意见也会更集中。
技术协助材料不能在卷宗里隐身
办案机关提取海量数据时，常请网安人员、平台工程师或外部技术人员协助筛选。协助者写脚本去重、解释字段、恢复文件，都会影响最后呈现给法庭的结果。这些工作如果只在口头进行，统计表看起来像凭空产生。
比较完整的卷宗应当说明谁提供协助，使用什么数据，做了哪些转换，输出文件怎样校验。平台工程师解释某个状态码代表登录成功，也应保留字段文档、系统规则或可复核的查询结果。协助者没有出具鉴定意见，不意味着其处理过程无需记录。
技术协助可以提高效率，不能取代取证主体的责任。原始数据要保留，筛选规则要能够回溯，办案人员应当理解并核对关键结果。控辩双方只有拿到足够的过程信息，才可能复算数量、发现重复或解释异常。
一份技术材料可以按八个问题阅读
拿到鉴定意见或检验报告，可以先确认它要解决什么。委托问题写的是恢复文件，结论却评价软件性质，可能超出范围。
接着查主体和人员，查检材来源、版本和封存，再看方法、标准、设备和软件。随后核对分析过程是否完整，结论是否回应委托问题，有没有保留条件。
最后把技术结论放回案卷。报告说程序能获取数据，服务器日志有没有成功返回，查获设备里有没有结果文件，行为人是否实际使用。功能存在、行为发生和个人责任属于不同层次。
这八个问题走完，文件标题已经没有那么神秘。鉴定意见和检验报告都可能成为重要证据，也都需要经得起来源、程序、方法和全案印证的审查。
参考资料
阅读提示
本文只作一般法律知识交流。鉴定意见、检验报告和勘验检查笔录的证据属性与审查方式，应结合具体法律依据、出具主体和文件内容判断。