◆潘統(tǒng)芬

電子數據建模取證案例實踐與建議

◆潘統(tǒng)芬

（溫州市鹿城公安分局網警大隊 浙江 325000）

一談到電子數據取證，馬上就聯(lián)想到專業(yè)技術知識問題，本文在專業(yè)技術取證的基礎上，結合偵查思維，對電子數據取證提出新的思路——電子數據建模取證，目的是讓數據說話，并以實戰(zhàn)案件為例，談談對海量電子數據建模取證實踐與建議；本案電子數據取證人員就電子數據的真實性、合法性、關聯(lián)性出庭應訴，接受審判人員及律師的質詢，事后檢察院的工作人員對本案電子數據建模取證提了較好的意見與建議；建模取證對涉眾性海量數據案件有一定的參考價值，對網安電子數據取證能力培養(yǎng)提供了新的方向。

海量；建模；勘驗；電子數據

1 簡要案情

“書畫寶”平臺網址為www.shb365.com，是溫州甌派文化藝術有限公司所屬的書畫藝術品線上平交易的平臺。2016年9月起該公司將書畫藝術品拆分為以平尺為單位在“書畫寶”平臺上進行交易，并將一名或多名藝術家作品打造成一個藝術包，如“秦風奇緣”作品，由10名藝術家的書法作品打包而成，以統(tǒng)一價格對外“銷售”。截止到案發(fā)，共有40個藝術包發(fā)到網上進行交易，每個藝術包發(fā)行時總價3000萬到5000萬人民幣，到案發(fā)時總價漲了幾倍甚至10多倍，藝術包的作品預設數量從6000到20萬平尺不等。公司操控藝術包使其價格不斷上漲，公司為了誘導公眾投資購買：一是在網站上虛構夸大藝術家名頭，多數藝術家冠以“中國藝術研究院”、“中華書畫家協(xié)會”、“中國古體詩詞學家”等中國或中華帶頭的山寨機構或協(xié)會組織；二是在發(fā)行時利用重金獎勵提成模式，金字塔式發(fā)展會員；三是通過電視、網絡等平臺，大量宣傳藝術包購買具有“零風險”、“保增值”以及許諾公司具有“回購”且“高效變現”能力?！皶媽殹逼脚_以非法集資被立案偵查，平臺注冊并充值交易的用戶近6萬人，涉及實際投資資金13.4億元人民幣，受害人主要分布在浙江、廣東等地。

2 電子數據建模取證具體思路

2.1 電子數據建模取證背景

2017年5月份，在該公司資金難以為繼之時，公司負責人對涉案的賬單進行銷毀，關鍵人員如財務出納等經常變更，甚至指令技術人員對服務器的交易的數據進行修改、刪除。該公司經營表面上看是一家正常的互聯(lián)網文化創(chuàng)新經營企業(yè)，案發(fā)后，先期由文化部門介入后移交公安部門，案件偵辦了三個多月，主要犯罪嫌疑人史某還在做無罪供述，公司其他副總等核心人員有的逃往國外，后來陸續(xù)抓獲了公司大多數核心人員，他們的年薪從幾十萬元人民幣到一千多萬，早已制定攻守同盟，在關鍵地方要么不交代、要么交代了還會翻供，案件到了舉步維艱的程度，該公司如何利用藝術品來非法吸收公眾存款過程還是個謎，因此非常需要客觀的電子數據來還原情況的真相。

該公司有5臺服務器，主要數據在2臺網站服務器與1臺數據庫服務器上，數據庫有112張表2000多萬的數據記錄，最大的表有120多萬條記錄，如何提取海量數據庫的關鍵電子證據，即提供更精準的結論性數據證據，還原該公司線上藝術品交易過程中的非法行為，挖掘出隱含在數據中的反映犯罪嫌疑人主觀故意關鍵證據。

2.2 電子數據建模取證思路

電子數據建模取證的做法，勘驗人員改變傳統(tǒng)取證思想，利用嚴密的偵查思維，在跨平臺（網站及數據庫）海量數據中，組合篩選不同維度的數據，對40個藝術包進行建模取證，每個維度需要的數據，從相應數據庫對應的表（或多表）中通過查詢、分析與統(tǒng)計（附數據庫操作的SQL語句）操作得到相應的數據；為了電子數據取證模型優(yōu)化，對模型用歸納演繹法進行多次修改，從公司操控個別藝術包特征再推廣到其線上發(fā)行的所有藝術包共性，再根據模型逐個對藝術包進行電子數據取證，目的是挖掘出淹沒在大數據中犯罪嫌疑人主觀故意的證據，達到讓數據說話，即提取相應的數據固定印證犯罪嫌疑人集資詐騙的主觀故意。這與平常電子數據取證恢復提取、固定分析過程完全不同，勘驗人員也是在對前期數據刪除恢復的基礎上，重構網站和數據庫服務器，以每個藝術包為單位，電子數據取證人員對40個藝術包逐一電子數據取證，每個藝術包的電子數據取證內容跨越網頁服務器與數據庫服務器。

本模型分五個維度14個小項，即從藝術包發(fā)行相關宣傳、原始藝術包銷售模式、公司涉嫌操控藝術包、線上交易數據、金字塔式發(fā)展會員及分紅等項目進行皰丁解牛式電子數據取證，適用于藝術包發(fā)行的早、中、后期的取證，對每個藝術包逐項分析，提取相應的數據固定犯罪嫌疑人集資詐騙主觀故意。即固定了平臺上涉嫌詐騙的詳細內容、還原了詐騙是如何操控的，以及線上線下沒有互動、公司參與藝術包操控買賣等，對主要犯罪嫌疑人自認為是藝術作品交易的創(chuàng)新，電子數據取證結論起到關鍵客觀證據的作用，真正體現電子數據證據之王的威力。

2.3 電子數據建模取證部分內容列舉

對藝術包的電子數據取證建模，從藝術包發(fā)行相關宣傳、原始藝術包銷售模式、公司涉嫌操控藝術包、線上交易數據、金字塔式發(fā)展會員及分紅等五個維度14個小項組成，本文對“原始藝術包銷售模式”維度列舉，其由3個小項組成，即藝術包從認購、搶購、直購三個階段：哪些人認購了原始藝術包，大多數是公司自己擁有的賬號，公司自己擁有占比多少；哪些人搶購到原始藝術包，占比多少；直購贈送的原始藝術包有多少，哪些人得到利益輸送等。以“秦風奇緣”藝術包為例，結合公告、網站數據庫數據，對“秦風奇緣”藝術包進行分析，該藝術包于2017年03月21日完成內部認購、公開認購（搶購）、直接購買等過程，該藝術包公告公示藝術包總量為145000平尺，經數據庫查詢實際發(fā)行量為200002.5平尺，藝術包銷售價格為每平尺200元人民幣。公告顯示2017年3月13日到3月19日18：00期間完成內部認購，經數據查詢實際上是到3月19日19：00前完成內部認購，該藝術包有1527個賬號參與認購，共認購125728.5平尺；公告顯示2017年3月21日19：00-22：00之間為公開認購時間，經數據查詢事實上是3月21日19：00-19：03完成公開認購，共有107個賬號參與認購，共購得4440平尺，與公告上公開認購數據為25000平尺相差較大；該藝術包在經過內部認購、公開認購后，剩余的大量藝術包被直接分配，這里稱為直接購買，直接購買公告上沒有公開顯示，該藝術包共有3條直購記錄，共購得藝術包69834平尺，其中公司內部賬號“書畫寶”直購數量為69612尺，占整個藝術包34.8%。該藝術包上線流通時間為2017年03月22日。藝術包的電子數據取證報告，給專案偵查、審訊起到了揭開謎團、統(tǒng)一方向的作用。

3 電子數據建模取證理論依據

隨著涉網案件占比越來越高，涉案的服務器越來越多，如何提取海量數據中的涉網線索與證據，以及什么是電子數據取證偵查思維引起了人們的討論。

關于電子取證，我國學術界存在廣狹義兩種觀點。狹義說將電子取證與“ComputerForensics”等同起來。如有人認為電子取證，是“將計算機系統(tǒng)視為犯罪現場，運用先進的技術工具，按照規(guī)程全面檢查計算機系統(tǒng)，提取、保護并分析與計算機犯罪相關的證據，以期據此發(fā)起訴訟”。取證的過程主要包括勘查現場、獲取數據、分析數據、追蹤源頭、提交結果等。也有人認為，電子取證“也稱計算機法醫(yī)學，它是指運用計算機辨析技術，對計算機犯罪行為進行分析以確認罪犯及計算機證據，并據此提起訴訟。也就是針對計算機入侵與犯罪，進行證據獲取、保存、分析和出示。廣義說則認為電子取證包括但不限于特殊的技術手段。

事實上，電子取證廣狹義兩種觀點都有分析偵查思維的過程，而且公安部門的電子數據取證分析實驗室有別于社會的鑒定機構，主要工作是發(fā)現有罪與無罪的證據，而不是鑒定。“電子數據取證”是從事網絡安全保衛(wèi)部門網絡犯罪偵查和電子數據檢驗分析工作的基本技能，也是配合其他警種進行案件查破提供相應技術支持的基礎條件。從能力需求的角度看，網安勘驗人員身份是公安民警，業(yè)務領域是打擊犯罪服務，所以“電子數據取證”工作不同于社會司法鑒定機構的獨立第三方鑒定行為，而是趨同于傳統(tǒng)刑事技術民警的“協(xié)同配合偵查破案”，建模取證是對電子數據取證人員在偵察思路基礎上更上一層的能力要求。

4 建模取證實踐以及檢法建議

本案電子數據取證人員作為勘驗人員，在法庭上出庭應訴，接受審判人員以及30多名律師就電子數據真實性、合法性、關聯(lián)性的犀利質詢，得益于電子數據取證思路嚴密，電子數據筆錄環(huán)環(huán)相扣，經得起律師的質詢考驗，該筆錄的質量受到檢察院、法院辦案同志高度認可。

4.1 電子數據取證筆錄可讀性好

對藝術包建模取證，建模提綱設置非常關鍵。本案藝術包上線交易分早、中、晚期三個階段，特別是晚期上線的藝術包，非法吸收公共資金存款形式越來越隱蔽，因此本建模提綱著重從藝術包發(fā)行相關宣傳、原始藝術包銷售模式、公司涉嫌操控藝術包、線上交易數據、金字塔式發(fā)展會員及分紅等五個維度14個小項進行取證，每一小項內容用公司網站發(fā)布的信息及數據庫記錄的信息來印證，統(tǒng)一性強，查看40個藝術包電子數據取證筆錄與查看1個藝術包電子數據取證筆錄相似，可讀性強。大型專案涉案材料多、材料堆積比樓層還高，材料可讀性強，關鍵證據容易被檢法辦案人員吸收，證據效率會極大提高，得到檢法辦案同志充分肯定。

4.2 提煉挖掘海量數據信息齊全

海量數據因信息量大，價值密度相對低下，挖掘數據信息是否齊全是建模成敗的一個標志。對于跨網站、跨數據庫多平臺的取證，平常電子數據取證工作是恢復、固定提取數據，再搭建服務器環(huán)境，供經辦單位試用，但數據量越大，經辦單位往往以沒有專業(yè)人員，對數據有效時使用能力相對不足為由，要求電子數據取證人員來做專業(yè)分析，因此勘驗人員面臨海量電子數據取證分析的業(yè)務需要。另一方面，大型的案件往往是專案，主要局領導是專案的負責人，網安也是專案的成員，網安人員能力好壞，直接影響到局領導對網安警種的認可，因此網安勘驗人員面臨專案貢獻的業(yè)務需求。海量數據取證分析能力，是今后網安必備的能力之一，本專案的電子數據取證工作，海量數據挖掘的信息齊全，得到檢察院辦案同志充分肯定，他們稱其起訴書犯罪事實部分是以建模的電子數據取證筆錄為模板。

4.3 數據分析與統(tǒng)計可回溯性強

所有的分析與統(tǒng)計的數據，都標明來自那張數據庫的表（或那幾張表），并將結果導出到相應的表格，并附相應的SQL查詢語句，可回溯性強。如藝術包“秦風奇緣”內部認購，內部認購在數據庫的來源是op_member_wallet_log表，該記錄了用戶的充值、交易、提現等所有資金相關，標題為'藝術創(chuàng)客買入'，op_id字段中包含“32”代表了秦風奇緣藝術包；op_member表保存用戶的注冊信息。根據公告日期將時間設置為2017-3-21 19:00之前。語句實現如下：

select p2.`username`，p2.`realname`，p1.member_id，p1.pay，p1.balance，p1.content， FROM_UNIXTIME（p1.create_time） FROM `op_member_wallet_log` p1 LEFT JOIN op_member p2 ON p1.`member_id`=p2.id WHERE p1.title='藝術創(chuàng)客買入' AND SUBSTRING_INDEX（p1.op_id，'_'，1）=32 AND p1.create_time < UNIX_TIMESTAMP（'2017-3-21 19：00'）

查詢得到相應數據并導出到“2.1秦風奇緣直購情況.xlsx”，檢法人員不需要太多的專業(yè)知識就可對數據進行簡單的回溯。

4.4 內容表述盡量中性客觀

標題里用到“涉嫌”兩字，如“公司涉嫌操控藝術包”能不能去掉涉嫌二字，這也是檢察院辦案同時提出的唯一“批評”意見。要求維度與小項標題用詞盡量中性，他們對內容描述來自查詢、分析、統(tǒng)計等嚴謹操作產生的數據結論，表述也是非常認可?？彬灩P錄內容特別多，需要有大小標題來表述時，經與檢法辦案同志探討，可以用“存在什么情況”來替換，如“公司涉嫌操控藝術包”，可用“公司發(fā)行藝術包方面的情況”?？彬灩P錄內容表述，也會是電子數據勘驗人員出庭應訴面臨的另一項內容。

[1]周新. 刑事電子證據認證規(guī)范之研究[J]. 法學評論，2017（6））：158-166.

[2]李玲俐.網絡犯罪下電子取證技術研究與探索[J].智能計算機與應用，2020，10（02）：151-153.

[3]丁麗萍，劉雪花. 云環(huán)境下的電子數據取證技術研究[J]. 中國信息安全，2019（5）：61-62.

[4]蒲泓全，郭艷芬，衛(wèi)邦國. 電子取證應用研究綜述[J]. 計算機系統(tǒng)應用，2019，28（1）：10-16.

[5]劉品新.電子取證的法律規(guī)制[J].法學家，2010（03）：73-82+178.