网络诈骗案件的电子证据分析研究*

刘志军

1.湖北警官学院 2.湖北三真司法鉴定中心

引言

2020年1月7日由360企业安全集团等发布的《2019年网络诈骗趋势研究报告》指出，2019年举报量最高的三大网络诈骗类型是金融诈骗、游戏诈骗、兼职诈骗，人均损失最高的三类诈骗是网络赌博诈骗、交友诈骗和金融诈骗，QQ、微信、电话、社交平台APP则是诈骗者实施网络诈骗利用最多的工具或路径。俗称杀猪盘的交友诈骗、打着“区块链”等旗号的虚拟货币诈骗和采用刷单诈骗的兼职诈骗等案件高发频发[1]。由于网络诈骗案件的犯罪主要行为、环节发生在互联网上，电子证据成为该类案件的重要证据来源之一，若对电子证据分析处理不妥当，会给案件的侦查取证及案件定性带来障碍。

一、网络诈骗案件电子证据技术分析依据

我国立法中尚未有针对网络诈骗犯罪的定罪量刑规定，目前司法机关普遍采取有关诈骗犯罪的刑法条文并结合《刑法》第287条对网络诈骗进行定罪及处罚[2]。根据刑法对诈骗犯罪规定和相应的司法解释，网络诈骗案件其法律特征表现为，一是网络诈骗的完成过程是否借助于互联网平台；二是是否存在诈骗欺诈行为，是否存在利用网络采用虚拟事实或者隐瞒事实真相的行为；三是是否存在骗取数额较大的公私财物，骗取财物的数额和严重程度如何。

（1）网络平台分析：涉案网站的内容通常也作为判断涉案人员是否进行网络诈骗活动的依据。网络平台分析包括该网站平台的性质和特点分析，网站平台的信息流程和资金流程的分析。

（2）欺诈行为分析：不是所有的欺诈行为都构成网络诈骗犯罪，若该网站夸张性出卖的商品或服务没有超出社会容忍范围的，不是欺诈行为。欺诈行为指的是存在虚构的事实或隐瞒真相的行为，使得受害人产生错误认识。

（3）骗取公私财物的分析：小型网络诈骗案件涉案金额统计可通过微信的转账记录或支付宝转账记录与查证属实的银行账户交易记录认定。有网站平台的网络诈骗案件其涉案人数、涉案金额等这些电子证据存储在网站的数据库中，需要对数据库表中的字段及其数据进行统计分析。

二、网络诈骗案件电子证据分析框架

（一）网络诈骗案件电子证据源

在网络诈骗案件的初查及立案侦查阶段，公安机关收集的证据既有物理空间中的证据也有虚拟空间中的电子证据。物理空间中调查收集的证据包括但不限于，纸质的公司网站宣传资料、网站备案证明、对公及个人银行账户交易明细、核心人员询问笔录以及书面形式记录的受害人陈述等。

网络诈骗案件虚拟空间中的电子证据包括实施网络诈骗行为的各类行为主体即“人”的电子证据、实施网络诈骗行为的各种物质条件即“物”的电子证据、网络诈骗资金情况即“资金”的电子证据、网络诈骗及其衍生违法经营行为信息即“行为”的电子证据、网络诈骗实施过程信息如虚假广告发放过程和方式等即“运作信息”的电子证据。

网络诈骗案件的电子证据来源和形式包括网络平台发布的电子数据信息，如侦查期间截屏保存的涉嫌网络诈骗虚假信息、微信、QQ、社交网站等发布的信息；提取的涉案人即时通讯客户端软件信息，如手机中的微信转账及支付记录、支付宝转账记录、聊天信息等；远程勘验提取的信息；提取的涉案人电脑硬盘、移动存储介质存储的信息，如与网络诈骗案件相关的PPT文档、Word文档、Excel文档、图片等；以及网站服务器的日志记录、后台数据库、网站源代码计算机程序等电子文件。

（二）网络诈骗案件电子证据内容分析

电子证据分析指的是运用科学的分析方法对公安机关在侦查过程中收集到的多源、分散的电子数据信息进行分析，用于揭示犯罪行为发生时间、发生地点、犯罪手段和方法，以及犯罪结果等[3]。电子证据分析结果可以证实犯罪事实的发生，揭示犯罪结果或危害程度，关联犯罪构成要素之间的联系等。

在网络诈骗案件中，将案件初查和立案侦查期间收集的大量、众多和关系复杂的电子证据，根据关联性、真实性、合法性的证据要求进行电子证据的筛选和分类后，进行网络平台分析、欺诈行为分析和涉案金额等的分析。例如，在网络平台分析中，选取网站的域名信息、备案信息、案件侦查期间采用截图方式获取的网站网页图、本地运行网站网页显示信息等电子证据，用来分析和判断该网站平台的性质和特点。图1给出了网络诈骗案件电子证据分析的框架。

图6a所示，叶片的最大应力为3.79 MPa，叶片材质为304不锈钢，因此叶片的安全系数约为54.13。图6b所示其最大应力为23.65 MPa。框架材质为Q235钢，其安全性系数约为9.93。叶片结构其安全系数过大，造成加工成本的浪费，因此需要对叶片结构进行结构优化[19]，减轻自身质量。

三、案例应用——网络诈骗案件电子证据分析方法

（一）案情简介

2017年以来，嫌疑人郑某等制作期刊投稿网站，以杂志社的名义组稿，赚取投稿人员的“审稿费”、“版面费”。某日，湖北某县公安局接到报警后对该案立案侦查，其后该局民警对两个窝点进行搜查，抓获郑某等11人，查扣保存涉案资料的U盘2个，电脑、银行卡、作案手机及相关纸质资料若干。在案件侦查结束后公安机关向检察院提交起诉意见书并将收集的被害人陈述、经查证属实的银行账户交易记录、第三方支付结算账户交易记录、通话记录、U盘内涉案电子证据等案卷资料移送至检察院，检察院审查起诉退回补充侦查，缘由是起诉书中对案件的定性认定等方面缺乏足够的支撑材料说明。根据案件需要，委托湖北某鉴定中心进行电子证据的司法鉴定，并提供检材U盘2个，其中1个U盘存储着大量的Excel表格数据、Word文档的系列稿件、系列汇款及退款凭证jpg等数据，1个为网站的php源码文件和.sql数据库文件。

（二）证据分析

1.数据提取及分析环境搭建

使用 FL-800 取证塔只读环境对涉案移动存储介质数据U盘进行FTK镜像文件提取。对提取的镜像文件在虚拟机环境中搭建模拟运行网站（php+mysql，以下简称本地运行网站），使用Webmatrix工具分析php源码，Navicat工具分析后台mysql数据库。

2.网站平台分析

通过本地运行网站首页认证标识的指向链接，查找网站的网站域名/IP地址及域名注册信息、工信部备案系统备案信息、全国互联网安全管理服务平台上的联网备案信息等，用以分析网站的正规合法性。通过对php源码文件中的超链接或文件链接的逐级分析，从代码功能角度分析网站的信息流向。其次在本地运行网站的网页输入数据，检查数据在网页的流向，并通过后台数据库相应表中数据的变化来印证网站的数据流动，构建出该诈骗网站平台的信息流和资金流的流程图。

3.欺诈行为分析

一是网页虚假广告信息分析。本案中本地运行网站网页及网页漂浮窗口中存在着投稿后承诺发表的文字信息，网页存在着几百种期刊的封面图片及网址链接。二是网址链接指向分析。点击运行网站网页期刊网址链接，均指向该网站的投稿缴费运行页面；php源码href中<"index.php"id= 某个值&page=某个值>的传值取值分析，均指向网站的投稿缴费php模板网页。三是通过网址链接和投稿缴费php文件中嵌入式sql查证到数据库中对应的关系表，分析表中拟投稿期刊名、退稿标识、审稿费等字段和字段数据，用以揭示网站的诈骗行为，其电子证据分析过程如图2所示。

4.骗取公私财物的分析

首先是通过运行网站网页文本框、php源码中文本框获取值及后台数据库表中的字段三者的一致性来确定数据库表中字段含义。其次对投稿信息表统计分析中使用select distinct消除重复的一人多次录入同一投稿稿件信息，再使用select count(*)统计。本案中涉及到投稿人缴费投稿某期刊但刊发它刊（涉嫌非法经营）、投稿人缴费投稿某期刊但稿件退稿而收400元～1000元不等的审稿费（涉嫌诈骗）等情形，从数据库多表中提取原投稿期刊名、已缴费标识、版面费、审稿费、退款、发表刊名等字段及数据，通过select查询语句的where条件不同设置，统计不同情形涉案金额。

（三）鉴定分析结论和启示

在传统证据难以界定案件为非法经营行为和网络诈骗行为的情形下，电子证据对网络诈骗案件的定性及涉案金额分析有着至关重要的作用。本案中，该网站是互联网上可查的正规合法经营网站，包括域名注册信息、工信部备案系统备案、ICP备案和许可、360webscan网站安全检测、鄂公网安备等皆可查。但php源码及后台数据库的电子证据也揭示该网站存在向特定群体发布虚假的“官网”杂志社网页和投稿系统等，实则退稿而骗取“审稿费”数额为400元～1000元不等的欺诈行为。

不同类型的网络诈骗案件其表现特征不一样，在网络诈骗案件证据分析中，欺诈行为分析和涉案金额的统计分析是重点。基于网站平台的网络诈骗案件中，网站后台数据库是其核心电子证据来源。

电子证据是网络诈骗案件证据体系重要组成部分，单一的电子证据分析结果是弱证据，在侦查阶段应尽可能地多收集电子证据，有利于在电子证据分析阶段多维度地分析多源、分散的电子证据，其电子证据分析结果也易与公安机关在物理现实中掌握的调查情况比对和印证。

四、结语

与传统面对面诈骗骗取财物的方式不同，非接触性网络诈骗的欺诈行为及涉案金额分析更具有复杂性。如何开展网络诈骗案件电子证据分析，当前也缺乏统一的科学分析方法指导和司法实践操作指南。以案件的技术分析依据、技术特征入手开展网络诈骗类案件的电子证据分析，有利于用科学的方法分析电子证据，构建完整证据链，获得有证明力的证据，将对网络诈骗行为的定性化判断和定罪量刑的定量化分析起到关键作用。