电信诈骗案件侦查中的窝点冲击

杨淇翔 王 剑

（中国刑事警察学院，辽宁 沈阳 110854）

电信诈骗是指以非法占有为目的，采用虚构事实或者隐瞒真相的手段，借助电信网络系统，骗取他人财物数额较大或者多次诈骗的行为［1］。电信诈骗犯罪多为团伙作案，整个犯罪过程中存在高度分离的多个环节且各个环节的犯罪嫌疑人分工不同，主要包括：话务人员、取款人员、卡商、网络设备及终端提供人员等。电信诈骗案件窝点通常是指负责话务工作的话务人员集中拨打诈骗电话的场所，公安机关对该场所进行的突击行动就是窝点冲击，因为在实践中窝点冲击多伴随着现场取证活动，所以在此将现场取证活动纳入窝点冲击进行讨论。由于窝点冲击在法律层面缺乏完整、统一的规定，在技术层面没有固定的行动模式，公安机关侦查人员在冲击窝点时常因缺乏经验或思路不清导致意外事件发生，给后续侦查工作的开展造成障碍。因此，正确认识电信诈骗案件窝点，明确电信诈骗案件窝点冲击的难点和重点所在，在理论和实践层面都具有重要意义。

一、电信诈骗案件窝点特征

（一）分布范围广，隐蔽性强

首先，不同于传统的接触式犯罪，当前电信诈骗犯罪，特别是跨境电信诈骗犯罪具有非接触性特征[2]。犯罪嫌疑人通过手机、电脑等网络通讯设备远程对被害人进行诈骗，犯罪嫌疑人与被害人自始至终都未有过直接接触，被害人对犯罪嫌疑人的身份以及真实所在地均不掌握。为了获取更多的赃款，电信诈骗案件犯罪团伙常常跨地区作案，更有相当一部分犯罪团伙为了逃避公安机关的打击将其窝点安置在国外，导致实务中经常出现被害人在A 地被骗，而窝点在B 地甚至C 国的情形，其窝点在全国范围内乃至国外都有广泛分布。其次，电信诈骗案件犯罪团伙在选择其窝点所在地时对窝点周边环境会有一定的考虑，多数电信诈骗案件犯罪团伙会选择隐蔽性、安全性强且方便作案的地点作为其窝点所在地，如老旧的居民区、城乡结合部甚至是农村地区等。最后，部分电信诈骗案件的犯罪嫌疑人为了掩人耳目，给其整个诈骗团伙披上“合法”的外衣，利用其从事犯罪活动获取的赃款，以注册公司的名义，将其窝点安置在写字楼内，外观上具有迷惑性，不易被察觉，以此来增强其隐蔽性。

（二）人员、环境情况复杂

人员情况复杂主要是指窝点内人数众多、人员身份情况复杂。电信诈骗犯罪各个环节高度分离，这就意味着一人难以完成整个犯罪活动，其跨地区作案、跨国作案的特点也要求犯罪嫌疑人必须结成团伙。为了增加作案的成功率，电信诈骗案件犯罪团伙需要以不特定的多数人作为诈骗对象，这要求在电信诈骗犯罪过程中负责拨打诈骗电话的话务人员需要“广撒网”。纠集更多的话务人员参加犯罪活动成为其提高其诈骗效率最直接的方法，导致电信诈案件窝点普遍具有人数众多的特征，一个电信诈骗案件窝点内可能会有几十或上百人不等。为了保障团伙中成员的生活需求和良好的作案环境，有些规模较大的犯罪团伙甚至会聘请外部人员负责窝点内的饮食、保洁工作，使得窝点人员情况变得复杂。环境情况复杂则是指窝点周边、内部环境情况复杂。为了逃避打击，方便迅速逃离，犯罪嫌疑人可能会分布在同一窝点的不同空间内，比如在不同的房间从事诈骗活动，且窝点内可能设有多个应急进出口或者藏身地。如若窝点处在居民区或城中村，则这一区域内可能会存在较多居民，往往存在多条明显或隐蔽的路线通往主干道，交通情况也是错综复杂。

（三）留存证据形式多样，数量多

我国刑事诉讼法将物证、书证、犯罪嫌疑人、被告人供述和辩解、证人证言、被害人陈述、鉴定意见、勘验检查、检查、辨认、侦查实验等笔录以及视听资料、电子数据等八种证据规定为法定的证据类型。在电信诈骗案件的窝点，存在上述证据类型中的多种证据。例如，犯罪嫌疑人用以实施拨打诈骗电话的手机和用以联系被害人的电脑等属于物证；犯罪嫌疑人记录“营业额”的账本以及打印装订的话术，以其内容或所表达思想来证明案件事实时则属于书证；犯罪嫌疑人使用社交软件与被害人沟通的聊天记录等则属于电子数据。窝点内犯罪嫌疑人需要使用不同设备从事电信诈骗活动，他们各自又针对不同的被害人进行诈骗，甚至一人同时与多名被害人联络，这就使得留存证据数量繁多。

二、电信诈骗案件窝点冲击难点

（一）窝点锁定难

在实务中，侦查人员要锁定犯罪嫌疑人的窝点，往往需要先通过被害人获取诈骗电话号码，通过诈骗电话号码一步步查出IP 协议，查明IP 协议承租人，最终确定使用人，锁定窝点所在位置[3]。但单纯依靠网络信息技术对窝点位置进行锁定，虽能划定一个较小的范围，但难以实现特别精确的定位。当下城市发展多倾向于立体化空间开发，当窝点位于多楼层的建筑之内时，依然难以锁定窝点在建筑内的具体位置。在城中村或者农村地区，特别是在交通、通讯十分不便的偏远地区的农村，部分技术手段可能难以开展或者效果大打折扣，侦查机关使用技术手段划定的位置范围精确度也会降低。因此，在划定大致范围后实现由面到点，解决窝点位置锁定“最后一公里”的问题，是窝点冲击的难点之一。

（二）窝点控制难

由上文可知，电信诈骗案件窝点具有环境、人员情况复杂等特点。首先，侦查人员开展窝点冲击行动的过程中，可能会有部分犯罪嫌疑人向窝点外逃窜或者在窝点内寻找藏身处，更有甚者在慌不择路的情况下会跳楼或者选择与侦查人员对抗，这就给现场控制工作增加了难度。其次，对于一些较大规模的电信诈骗犯罪团伙，其窝点内犯罪嫌疑人就有上百人之多，现场控制需要较多警力，实践中常常是一名侦查人员负责对数十名犯罪嫌疑人进行控制，在这种情况下，难以保证对犯罪嫌疑人的有效控制。

（三）现场取证难

近年来，电信诈骗案件成为最主要的侵财案件类型，其发案数量也在刑事案件整体发案量中位居前列。在长期的反诈斗争中，侦查人员积累了丰富的经验，但与此同时，犯罪嫌疑人也逐渐具有了一定的反侦查意识。在电信诈骗案件窝点内，存在大量不同类型的证据，在这种条件下全面、规范地收集证据，本身对侦查人员取证水平就是一种考验。再加上犯罪嫌疑人可能会采取一些阻碍取证或毁证灭迹的行为，如给所使用的电脑和社交软件设置密码、对设备进行格式化或者预先将所使用的电脑设置为关机重启即擦除使用痕迹，在侦查人员冲击窝点时趁机关闭电脑以毁灭相关证据等，大幅增加了侦查人员取证的难度，使得现场取证工作成为窝点冲击的又一难点。

三、电信诈骗案件窝点冲击要点

上述难点的存在极大影响了侦查机关的办案质量，明确窝点冲击要点、掌握窝点冲击方法成为侦查机关提升办案质量的必然要求，也是侦查机关提高侦查效率的关键一招，更是侦查机关贯彻刑事侦查方针的题中应有之义。

（一）做好准备工作

“凡事预则立不预则废。”对电信诈骗案件窝点进行冲击前，应做好准备工作，以保障窝点冲击工作的顺利开展。

1.摸清窝点情况，做好现场评估。首先，对窝点所在位置进行准确定位，应将先进技术手段与传统手段相结合。使用技术手段查找IP 协议承租人，通过IP 划定窝点所在区域范围，所划定的区域范围应尽可能缩小，后在划定的区域范围内进行筛查。在空间面积方面，电信诈骗案件窝点需要容纳数十名、上百名犯罪嫌疑人，部分窝点还需满足犯罪嫌疑人的饮食起居，其空间面积应当足够容纳一定数量的人员，且能够存放一定数量的网络设备。另外，在实践中，为了保障网络设备的运转，窝点内必须具有较好的网络环境，这对各种硬件设备也具有较高要求，犯罪团伙可能会选择架设更多的网线，其使用的网线至少为超五类线甚至会使用六类线或者超六类线，并且可能会使用防串扰设备（例如交换机）。其通讯设备使用频率也会有规律性，如从每天某一时段，频繁使用通讯设备对外拨打电话，一天通话次数远高于常规通话次数。由于窝点内犯罪嫌疑人较多，网络设备多，窝点所在建筑或场所的用电量和用水量也会呈现出异常，会大幅度高出常规用电量和用水量，生活垃圾排放量也会有一定数量的增加。此外，还可以结合场所内进出人员年龄情况、安装安保设备情况以及场所内人员活动规律等方面入手对窝点位置实现精确定位。其次，应对窝点外围情况进行评估。摸清窝点附近有何建筑、场所，外围与何处联通，有多少条路线可以通往主干道，周边人口是否密集，交通是否便利，还要重点关注窝点所在建筑内有无供藏匿的地点，有多少进出口等。最后，了解窝点内部情况，包括窝点内房屋结构、犯罪嫌疑人数量、设备数量、作案工具所在位置。

2.合理制定计划，加强沟通协作。在制定窝点冲击计划时，应确定参与人员数量并对参与人员进行合理分工，同时结合前期掌握的窝点情况制定恰当的现场抓捕计划、应急预案。确定窝点冲击参与人数时，需参考目标窝点的规模大小、人数多少。在人员分工上，可依据工作内容不同将参与人员分为外围警戒、突击抓捕、人员控制、现场取证、后勤机动五组。具体而言，外围警戒组主要负责对窝点外围以及建筑进出口的警戒，防止犯罪嫌疑人从抓捕场所中逃脱，及时发现并抓获漏网之鱼，同时要防止不知情者进出现场，负责无关人员的劝离工作；突击抓捕组主要负责对犯罪嫌疑人所在窝点和场所的突入，以及对犯罪嫌疑人的初步控制和抓捕；人员控制组及时跟进突击抓捕组，对犯罪嫌疑人行动进行全面有效控制，以保证其没有机会毁灭、隐匿罪证，同时防止犯罪嫌疑人实施对抗以及自杀行为；现场取证组负责对现场设备进行处置，包括对设备的扣押以及对设备中相关内容的提取，相关证据的固定，在必要情况下现场讯问犯罪嫌疑人；后勤机动组主要负责后勤保障工作，并根据需要对各组进行协助。现场抓捕计划则依据上述人员分工制定，应特别注意加强各分组人员之间的沟通协作，尤其是异地联合执法时，各分组成员可能来自于不同地区的公安机关，这就需要在制定计划时各分组共同研讨。此外，还应针对现场可能出现的突发情况制定应急预案，在必要情况下及时向医疗、交通等部门寻求协助。

3.做好物质准备。做好物质准备是指携带好开展窝点冲击工作所需的物品。按照物品在现场的用途进行分类，主要包括杀伤类、安全保障类、控制类、取证类等。其中，杀伤类和安全保障类主要是指武器警械以及警用防护装备，控制类则主要指戒具，取证类则包括封条、胶带、标签、警戒带、告示牌、u 盘、移动硬盘、FTK、计算机取证设备、计算机密码破解设备、摄像机、照相机、执法记录仪、手套、物证袋以及相关法律文书等。

（二）全面控制窝点

对窝点的全面控制，主要包括对窝点外围的控制以及对窝点内的控制。

1.窝点外围控制。窝点外围控制是指对窝点自身所在空间以外的场所进行控制。实现对窝点外围的控制，需先划定主要控制范围和侧重点。为增强控制效果，防止犯罪嫌疑人逃脱，在对外围进行控制时，可将窝点所在建筑整体划定为主要控制范围，对该范围以外的个别区域进行适当控制，其侧重点由内向外主要包括窝点入口、走廊、上下通道、电梯、窝点所在建筑物进出口、建筑物与外界其他联通处等，特殊情况下对窗户外围和建筑物顶层也要进行布控。在布控方法上，主要采用警戒、封锁、设立岗哨等方法，警戒、封锁区域的划定尽可能不影响建筑周边群众的正常活动，两岗哨之间的距离间隔方便联络即可，在达到良好控制效果的前提下，尽可能选择对无关人员干扰较小的方法进行布控。

2.窝点内部控制。窝点内部控制是指侦查人员进入窝点后对窝点内特定部位、犯罪嫌疑人行为、设备运行状况以及网络状态等的控制。首先，侦查人员进入窝点后应率先对窝点内出口、窗户、阳台等部位进行控制，以限制犯罪嫌疑人的活动空间，防止其逃窜、跳楼。其次，侦查人员需排除犯罪嫌疑人的对抗行为，责令犯罪嫌疑人待在其所处位置，禁止犯罪嫌疑人在窝点内随意走动，同时使犯罪嫌疑人脱离窝点内的电脑、手机等设备，做到“人机分离”。应特别注意使犯罪嫌疑人远离电源、主机、网线、路由器等。在上述过程中，应使犯罪嫌疑人的双手始终处在侦查人员可以直接观察到的位置。再次，应及时确定犯罪嫌疑人的工位，使犯罪嫌疑人与其工位以及工位上的电脑、手机、纸质话术、电话簿、账簿、银行卡、SIM 卡、U 盘、移动硬盘等一一对应。最后，应当对窝点内的设备运行状况进行检查和控制，在侦查人员冲击窝点的同时，犯罪嫌疑人可能会对设备进行格式化处理、擦除原有数据以及使用痕迹或者对原有信息、使用痕迹进行覆盖，如检查到犯罪嫌疑人使用的设备正在进行格式化或者下载大量信息，应立即停止该操作，在必要的时候可以采取关闭路由器、拔除网线等方式断开网络，以防止远程操控。

（三）及时、规范取证

电信诈骗案件窝点内存在众多不同类型的证据，取证任务繁重，在“以审判为中心”的诉讼体制改革大背景下，取证工作逐渐成为侦查工作的核心[4]，是否能及时、规范、全面地提取证据成为衡量侦查机关办案水平的重要标准，而电信诈骗案件窝点取证与传统犯罪案件现场取证不同，其取证工作具有紧迫性、立体性等特点[5]，掌握电信诈骗案件窝点内存在主要证据的取证要点，是提高窝点取证水平的关键所在。

1.电子数据提取要点。根据2016 年“两高一部”印发的《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》可知，电子数据是指案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据。其在内容上包括但不限于网络平台发布信息、网络应用服务通信信息、用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息以及文档、图片、音视频、数字证书、计算机程序等电子文件。与传统证据类型相比其具有隐蔽性、易受破坏性等特点[6]。《公安机关办理刑事案件程序规定》要求公安机关对于电子数据的提取，应优先提取电子数据原始存储介质，因客观原因无法提取的，可现场或在线提取电子数据，无法现场或在线提取时，可采取打印、拍照、录音录像方式固定证据，并在笔录中注明原因。据此，窝点内电子数据的提取工作也应按照提取数据原始存储介质、线上或现场提取电子数据、拍照或录音录像的位阶顺序开展。电子数据的产生和存储都需要载体，而电信诈骗案件窝点内的电子数据载体主要包括电脑、服务器、手机等。对电脑内电子数据的提取应先固定，后提取，特别是在相关设备加密的情况下，应谨慎操作，先进行固定。对于正在运行登录的软件，可以通过软件自带方式导出内容，也可以进行截图固定，注意设备系统时间的校对。相机拍摄应包含具体的路径、网址等。现场提取的文件应直接存储于外接硬盘之中，不得从本地转储，导出文件可以设备编号命名。遇到具有还原点、影子系统、加密分区的电脑时需谨慎操作。对于服务器内电子数据的提取应先掌握服务器所有磁盘阵列类型，注意服务器所处网络及现实环境，了解服务器具体操作系统。还要注意，如需关闭服务器取出存储硬盘固定数据，应提前记录阵列磁盘顺序。服务器如需关机要按正常流程关机，以防止后期仿真信息分析异常。对于手机内电子数据进行固定、提取时应尽量保证手机电量充足，手机开机密码可现场验证并移除，手机相机的缓存数据可以录像、截图方式固定，如手机与其他设备连接，需及时切断连接，以防止数据传输和同步覆盖。

2.书证、物证提取要点。电信诈骗案件窝点内存在的书证、物证主要包括手机、电脑主机、手机卡、银行卡、纸质话术、纸质帐薄等、员工名单等。依据《公安机关办理刑事案件程序规定》第六十四条和第六十五条，收集、调取的物证、书证应当是原物或者原件。因此，对于窝点内物证、书证的提取也应以提取原物、原件为原则，这便涉及到对涉案物品、文件的扣押。侦查人员在窝点内扣押相关物品、文件时，需将确认扣押的物品、文件向犯罪嫌疑人核实，并对核实过程进行录音录像，当场制作扣押物品清单。对所扣押物证时应注意方式方法，对台式电脑主机进行扣押，其封条的粘贴位置应保证完全覆盖主机后的电源接口并且横跨机箱两侧，以防止封存后主机被使用或被拆解。贴上封条后在主机一侧贴上标签，标签内容应包括时间、窝点地区、编号、物品原持有人信息以及用途。对笔记本电脑扣押时可移除密码持续供电扣押。对于手机封装，应使用不透明物证袋，也可在物证袋内先放入泡沫纸，再将手机放置于泡沫纸之中，以防止手机封装后被使用。对其他物证、书证进行封存后，应及时贴上标签注明时间、地点、取证人、原所有人以及能够证明其唯一性的相关信息，在必要情况下应对物证、书证的封存过程进行录音录像，拍摄时应注意对书证、物证细节的拍摄[7]，以证明证据的唯一性以及证据收集过程的合法性。

3.言词证据提取要点。结合上文内容，电信网络诈骗犯罪窝点人员众多，不仅包括该窝点的直接负责人、话务人员，还包括后勤服务人员和可能被软禁的被骗人员，也可能存在一些维修人员如电工、水工等等。因此，窝点冲击中对相关人员进行讯问和询问是极其有必要的。考虑到侦查及时性原则的要求和现场情况的复杂性，侦查人员可以采取突击式和程序式两种讯问和询问方式。突击讯问和询问的内容主要围绕快速查明现场情况如发生了什么事、如何发生的、后果怎样，兼发现、登记重要的证人、被害人的任务展开。因此，突击式讯问和询问对象不能是全部成员，而应该是有针对性的。具体而言，突击式讯问的对象应该是该窝点的直接负责人和该窝点成员中有明显反常表现的犯罪嫌疑人。突击式询问的对象应该是负责给窝点负责人和被软禁的被骗人员直接送餐的人员、保洁人员及其直接负责人，还包括现场被解救的人员。而程序式讯问和询问是为了侦查人员收集证据和确保相关证据之间的相互印证而展开的，具体而言就是查明电信诈骗窝点中的“人”与“事”、“人”与“物”之间的关系。因此，程序式讯问的对象是突击式讯问的对象以外的其他犯罪嫌疑人，程序式询问的对象是突击式询问的对象以外的其他参与人。此外，在访问程序的严格性方面，突击式讯问和询问考虑到时间关系只需要对重要情况、线索制作记录以备现场指挥员临场指挥；而程序式讯问和询问需要严格依法进行，规范讯问和询问，并制作相关笔录。

四、结语

窝点冲击工作的内容和难点会随着电信诈骗犯罪形势的不断变化而变化。近年来，我国不断加大对电信诈骗案件的预防和打击力度，且逐渐形成了全民防诈、反诈的局面，极大压缩了电信诈骗犯罪分子在国内的生存空间，使得其不得不将窝点转移至国外。环境的改变加大了电信诈骗案件侦查工作的难度，也对窝点冲击工作的开展提出了新的要求，侦查机关需不断扩展思路，制定对策，以适应新形势、新变化，满足新要求。