手机取证在经济犯罪案件侦查中的应用与建议

郑 莹 ，郭丽莉，姚辉勇

（1.广东警官学院 侦查系，广东 广州 510440；2.汕头市公安局 经侦支队，广东 汕头 515000；3.公安部物证鉴定中心电子物证检验技术处，北京 100038；4.汕头市公安局 网监支队，广东 汕头 515000）

移动互联网浪潮带来了智能手机的发展和普及，其中iPhone 和Android 手机已经占据了智能手机的主流市场，它们为人们的工作生活带来巨大便利的同时，也为犯罪嫌疑人实施经济犯罪提供了便捷的条件，使其犯罪成本大为降低。这令许多需要在线下通过大量人员合作才能完成的传统经济犯罪，如虚开发票类犯罪、地下钱庄犯罪等，通过智能手机操控后，在云端即可完成整个犯罪过程。而人们随身携带的手机，正以电子数据的形式记录见证了整个犯罪过程。手机改变了经济犯罪的基本模式，同样地，手机也将影响侦查取证方案的设计和执行。因此，对于经济犯罪案件侦查中手机取证的应用进行深入研究与探讨，以便更好地指导侦查实践工作，显得非常必要。

一、手机取证的现状

近几年来，手机取证作为电子物证检验的一个重要领域日益受到重视。根据中国互联网络信息中心日前发布的第四十九次《中国互联网络发展状况统计报告》数据显示，截止到2021年12月，全国网络用户、手机网络用户、手机即时通讯用户分别达到10.32亿人、10.29亿人、10.06亿人。其中全国范围内使用手机上网的用户比例竟然高达99.7%。由此可见，使用手机上网浏览、进行即时通讯已然进入人们生活的各个重要领地。微信、QQ等成为绝大多数人选择的即时通讯软件，它们既方便了人们的生活，也在提供服务的同时记录下各种用户信息痕迹。

在经济犯罪案件侦查中，涉案手机及其储存的数据已经成为每位犯罪嫌疑人到案时必须采集的重要证据。公安机关经侦部门从涉案手机恢复、提取、固定电子数据，进而分析、获取案件线索和证据，已经成为经济犯罪案件侦破的重要渠道。可见，在经济犯罪案件侦查中对智能手机的电子数据进行取证变得越来越重要。而智能手机软硬件不断的升级换代也让各国从事电子物证检验的机构和厂商不得不全力应对，电子物证检验分析工具除了被国际上普遍认可和采用的Encase和FTK两个老牌软件外，最近几年，许多国家先后推出了一系列电子物证检验分析工具，如德国X-ways公司的X-Ways Forensics，韩国FinalData公司推出的FINALForensics，澳大利亚的Nuix ForensicDesktop等。[1]与此同时，亚洲地区各国研发了多个手机专用取证工具，能够针对不同手机型号进行取证，其中包括我国的美亚柏科、云帆嬴通等厂商研发的专用取证分析工具，这些研究成果不在欧美国家之下。

二、经济犯罪案件侦查中手机取证的重要作用

（一）手机取证能够提供有价值的侦查线索

随着大数据时代的到来，信息数字技术在极大提高社会福祉的同时，也为许多经济犯罪提供了便捷的途径。许多新型经济犯罪正是传统经济犯罪结合信息数字技术后产生的崭新形式。现阶段经济犯罪案件涉及的资金交易、企业股权结构复杂，经济犯罪行为数据化，犯罪手段智能化，这令经济犯罪侦查部门需要面对海量、繁复多变的信息数据。所幸，经济犯罪案件侦查中手机取证获取的电子数据一经固定、分析、研判，往往能为案件的侦破带来有价值的线索，比如经过恢复、提取、分析手机中被删除的数据，很可能得到关键性资金划转数据、证明犯罪嫌疑人主观要件的线索等等。通过对这些手机取证数据的条分缕析、抽丝剥茧，可以对案件的定性和预判起到重要作用。而各种手机取证线索所指向的证据为经济犯罪案件侦查员拟定下一阶段工作思路和工作预案奠定了基础，许多错综复杂的经济犯罪案件往往就是从一条小小的手机取证线索中展开的，这要求经侦技术人员更加重视手机取证的合法性、及时性、完整性和客观性。

（二）手机取证为经济犯罪案件定罪量刑提供依据

在经济犯罪案件侦查中，手机作为犯罪嫌疑人最贴身、最私密的通讯工具，大量记录了经济犯罪案件涉案人员的工作、生活、学习痕迹，其中大量的私人即时通讯软件上留有的文字联系、语音记录，甚至在手机支付系统上留有的账户信息、资金划转信息，在购物平台上留有的收货地址、支付账户、货流信息，在门户网站上的浏览记录和使用习惯等无不完整地记录了涉案人员的思想和行动。这些信息通过手机取证，规范地固定下来后，再通过有资质的警务技术人员出具电子数据检验鉴定文书或现场勘查笔录，辅以书证等传统证据，就可以为经济犯罪案件定罪量刑提供关键依据。

（三）手机取证能够节约经济犯罪案件的办案成本

经济犯罪案件传统的关键性证据是财务审计报告，这是由会计师事务所等第三方机构出具的关于资金流向、涉案财物以及公司经营情况等的财务鉴定意见，这往往也是经济案件赖以定罪量刑的重要依据。然而，财务审计报告是由第三方出具的，按照涉案价值的标的收取相应比例的会计审计鉴定费用。由于现阶段的经济犯罪案件往往涉案金额巨大，以致会计审计鉴定费用也是一笔不菲的办案支出，这已经成为掣肘三、四线城市尤其是经济不发达地区经济犯罪侦查部门办理重大疑难经济犯罪案件的重要难题。而现阶段，警务人员在经济犯罪侦查中规模化应用手机取证，可以大大降低办案的成本。在经济犯罪案件侦查中，电子数据检验鉴定文书已经成为财务审计报告的重要辅助证据，由于电子数据在经济犯罪案件中的出现频率越来越高，电子数据检验鉴定文书在整个经济犯罪案件证据体系中，其地位已经有与财务审计报告并驾齐驱之势。况且对智能手机的电子数据进行取证，其检验鉴定人员主要是警务技术人员，意味着只需要具有电子取证方向相应职称资质的警务技术员出具的手机取证检验鉴定文书就可以作为证据使用，而这并不需要额外的费用，不增加办案成本，因此手机取证能够为经济犯罪案件侦查节省大量办案成本。

三、经济犯罪案件侦查中手机取证的立法现状及应用原则

（一）经济犯罪案件侦查中手机取证的立法现状

手机以有形之“物”承载电子数据的无形证据价值。由于大数据时代的到来，手机中的电子数据无时不刻都在记录人们工作、生活的种种轨迹，经济犯罪案件侦查中的手机取证更为侦查破案和定罪量刑提供了重要线索和关键证据。2010年，最高人民法院等部门印发的《关于办理死刑案件审查判断证据若干问题的规定》中，首次对电子数据的种类及其审查认定进行了规范；2012年，修订后《中华人民共和国刑事诉讼法》（以下简称《刑诉法》）增列“电子数据”作为新的证据种类之一，电子数据的证据地位终于在法律上获得了认可。在经济犯罪案件侦查中，手机取证根据不同的取证环节和取证依据一般分为两个阶段：一是对经济犯罪案件现场或犯罪嫌疑人进行搜查、检查并且对手机这一电子物证设备进行扣押；二是对手机内的电子数据进行恢复、提取、固定、分析等操作。

手机取证第一阶段的取证依据适用侦查措施中关于搜查、检查或扣押涉案物品的相关法律依据。依据《刑诉法》第一百二十八条、第一百三十六条、第一百三十七条等条文规定，阐明了在执行搜查、检查或扣押等刑事措施的过程中，如何对手机等物品进行处置，当然这也包括了经济犯罪案件中搜查、检查或者扣押涉案手机的场景。其中，第一百二十八条，是对于勘验、检查范围的规定，本法条规定了侦查人员对于与犯罪有关的场所、物品、人身、尸体应当进行勘验或者检查。上述条文中的“物品”就包括了与经济犯罪案件相关的涉案手机。并进一步规定了必要的时候，可以指派或者聘请具有专门知识的人，在侦查人员的主持下进行勘验、检查。这里的“具有专门知识的人”，可以是侦查机关的技术员，也可以是第三方鉴定机构的技术员。第一百三十六条，是对于搜查对象的规定。特别指出了，为了收集犯罪证据、查获犯罪嫌疑人，侦查人员可以对犯罪嫌疑人以及可能隐藏罪犯或者犯罪证据的人的身体、物品、住处和其他有关的地方进行搜查。此处的“物品”，细化到经济犯罪案件往往就是涉案手机等，它在很大程度上能为侦查取证工作提供重要线索或者关键证据。第一百三十七条，是关于协助义务的规定，指出任何单位和个人，有义务按照人民检察院和公安机关的要求，交出可以证明犯罪嫌疑人有罪或者无罪的物证、书证、视听资料等证据。本法条对于涉案的犯罪嫌疑人、证人有义务配合侦查机关的要求提交涉案证据作出了具体规定，其中的“物证、书证、视听资料等证据”也同时包括了电子数据这一证据类型，自然也包括了经济犯罪案件中涉案手机存储的电子数据。

手机取证的第二阶段适用电子数据的取证依据。2016年9月，最高人民法院、最高人民检察院、公安部联合下发了《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（以下简称法发22号文），对电子数据的收集、提取和审查、判断进行了进一步的规范；2019年2月1日施行的《公安机关办理刑事案件电子证据取证规则》（以下简称公通字41号文）系统详尽地规定了公安机关办理刑事案件过程中电子证据取证具体步骤和注意事项，进一步规范公安机关办理刑事案件电子数据取证工作，这也是公安经侦部门办理经济犯罪案件手机取证过程中的重要取证依据和规范。法发22号文主要着眼于整个刑事诉讼过程，涉及公检法三个部门在刑事案件电子数据的收集提取、移送展示和审查判断；而公通字41号文主要着眼于公安机关在其刑事案件办理过程中电子数据的收集提取、检查和侦查实验、委托鉴定。

（二）经济犯罪案件侦查中手机取证的应用原则

1.取证的合法性

在经济犯罪案件侦查中，取证各个环节是否合法将决定所取证据的证据力，因而合法性在经济犯罪案件中的手机取证环节主要涵盖了两个方面的意义，首先是涉案手机取证实体上的合法性。这里的实体，是指手机取证的技术规范和行业标准。只有按照公开合规的技术规范和行业标准所进行的手机取证提取出的电子数据才会被广泛认可并经得起反复推敲；其次是涉案手机取证程序上的合法性。依据《刑诉法》、电子数据取证的相关程序要求严格操作，进行手机取证，实现手机电子数据的恢复、收集、提取、固定、分析、移送、审查整个过程合法合规。具体来说，每一步检验操作都必须记录并计算哈希值，从而能够说明证据从最初的获取状态到在法庭上出现的状态之间的任何变化及其原因，以增强手机取证的证据力。

2.取证的及时性

显而易见，电子数据具有容易被修改、被删除的特点，况且手机系统、应用程序在运行过程中新生成的数据会重复覆盖底层存储空间，从而导致已经被删除的数据无法通过手机取证软件进行恢复，因此手机取证的及时性显得十分必要。在经济犯罪案件办理过程中，一旦涉及电子数据的线索，侦查人员或者技术员应尽快赶赴现场，及时采取保护措施，并立即着手处置现场，一旦错过时机，电子数据就可能不复存在。[2]及时性原则按照上述经济犯罪手机取证的两个不同阶段，可划分为两个方面的及时性要求：一是及时扣押、封存涉案手机。手机的电子数据依赖于以物形式存在的手机，应当尽可能地在第一时间及时地扣押、封存涉案手机检材，同时应当采取信号屏蔽、信号阻断甚至切断电源等措施阻断该手机检材电子数据的增加、删除和修改。二是及时对涉案手机进行取证操作。根据具体案情，第一时间采取合适的手机取证方法，严格遵照《公安机关办理刑事案件电子证据取证规则》和相关行业规范、技术标准进行操作。

3.取证的完整性

手机取证的完整性包括两个方面的要求：一是要求提取手机电子数据范围完整。在经济犯罪案件办理中，手机取证应当尽可能对所有有数据痕迹的空间范围执行扫描分析。二是要求提取手机电子数据内容完整。提取的内容包括但不限于电子交易记录、手机内通讯信息、音视频文档、应用软件使用情况等电子数据。既收集存在于计算机软硬件上的电子数据，也收集其他相关外围设备中的电子数据；既收集文本，也收集图形、图像、动画、音频、视频等各种信息。[3]

4.取证的客观性

客观性是证据的基本属性之一。相较于传统证据，电子数据更易于被修改、被删除，其特性使得在经济犯罪侦查实践中手机取证对客观性有着更为严格的要求。比如，将手机卡通过只读设备连接到手机专用检验设备，避免介质损坏或被修改，取证后封存。由于电子数据可能被不留痕迹地修改或破坏，应用适当的存储介质进行原始介质的保全备份。[4]为了保证手机取证的客观性，提高电子数据的证明力，在收集电子数据时应使用专门的技术工具，而且这种技术常常是尖端的科学技术。对收集的电子数据应妥善保管、远离磁场、高温环境，避免静电，潮湿，灰尘和试剂的腐蚀。

四、经济犯罪案件侦查中手机取证的应用情景

本文选取两个经侦实战案例中手机取证的应用情景作为分析样本。这两个案例虽然共同遵循经济犯罪案件手机取证的应用原则和一般流程，但是又分别具有不同的特色。针对上文中手机取证流程的两个阶段，经济犯罪案件侦查员对案件现场或犯罪嫌疑人进行搜查检查并且对其私人手机进行扣押，同时立即设立飞行模式将涉案手机收入物证袋保管。侦查员第一时间向犯罪嫌疑人问清手机密码，并在物证袋上标注清楚，同时执法全程录音录像；经济犯罪案件侦查员和技术员利用专业手机取证设备和软件，对涉案手机内的电子数据进行恢复、提取、固定、分析等取证操作。

在适用手机取证一般流程的基础上，这两个案例由于具体案情和手机环境的不同，其利用手机取证提供经济犯罪案件证据的技术难点和特色均有所不同，为今后办理具体案件提供了一些有益的启示和思考。

（一）利用手机取证中的数据恢复技术取得案件关键线索

近年来，手机取证逐渐在经济犯罪案件的侦破中扮演重要角色，这令部分经济犯罪嫌疑人升起防范之意。他们利用软件在云端远程操控，删除销毁数据。这虽然为手机取证带来了困难，但是随着手机取证技术的不断优化，已经可以恢复犯罪嫌疑人手机中的被删除数据，这为经济犯罪案件侦查发现重要线索和关键性证据带来了新通道。

以“汕头沈某等人串通投标行受贿案系列案件”为例，本案涉及罪名多，但突破口少，尤其主观要件的证据难以获取，且要配合监委深挖取证，故此困难重重。然而，手机取证中的数据恢复技术却展现了本案的一大亮点。本案中，技术员根据委托要求，通过IOS逻辑备份、物理备份方式，分别提取到犯罪嫌疑人手机、笔记本电脑中的有关数据，其中包括恢复被删除的数以万计的数据，这些数据为案件的成功办理提供了侦查方向和直接证据。

通过专业检验设备和软件恢复、提取、分析犯罪嫌疑人手机数据获取案件的重要线索，如通过恢复徐某手机中被删除数据，发现其划转给主要犯罪嫌疑人的款项标注“茶水费”，从而以此为突破口，进而证明了犯罪嫌疑人具有主观上明知、故意。在经济犯罪案件所涉及的众多罪名中，大多数犯罪构成都需要具有主观上的明知、故意这一主观要件，在传统的案件侦查中，常通过犯罪嫌疑人供述以笔录或者辨认材料等证据形式出现以证明犯罪嫌疑人的主观要件。然而犯罪嫌疑人即使在公安侦查环节供述了其主观上具有明知、故意，也容易在法庭上翻供。本案的犯罪嫌疑人即使已经订立“攻守同盟”，仍可利用手机取证技术恢复了被删除数据，证明主观要件，在强大的事实证据面前犯罪嫌疑人如实供述了犯罪的全过程。另外，通过恢复、提取、分析沈某笔记本电脑的物理镜像，发现其中已恢复数据部分有黄某开具给沈某的收据图片，进而侦破了一宗金额达32万元的黄某敲诈勒索沈某案。

（二）手机取证辅以数据穿透分析技术为案件定罪量刑提供重要依据

利用手机取证取得原始电子数据后，按照案件分析、特征提炼，数据清洗，再利用专业平台软件建立相应的模型、算法对电子数据实现挖掘重组、数据比对、深入研判。要注意的是，不同的经济犯罪行为涉及不同领域的数据，需要根据不同犯罪特点归纳不同的规律特征，并建立相关数据模型。在经济犯罪案件侦查中，以“提炼、整合、升华”为目标，按照业务领域、经济实体等不同方向进行分类，提炼模型的共性特征，将同类模型进行融合，使模型与实战应用密切联系，为提高经侦实战效率、发挥经侦电子取证效果提供了保障。在此基础上，再与其他部门所提供的电子证据（如通过调证法律手续到银行税务部门取得的电子数据）实现综合分析、综合研判，达到迅速锁定目标，理清经济犯罪资金链条的效果。有鉴于此，手机取证辅以数据穿透分析技术为经侦工作提供有力的技术支撑。提高发现数据、固定数据、分析数据的能力在经济犯罪侦查实践中显得尤为重要。在增强手机取证软硬件实力的基础上，进一步提升数据穿透分析能力，赋能经侦民警的数据研判能力，精准服务实战。

以“汕头市澄海区沈某、吕某等人职务侵占、非国家工作人员受贿案”为例，犯罪嫌疑人多数是企业的经营者、管理者，活动区域广，串供可能性大，证据难以固定，非常不利于直接接触开展调查。另外，本案涉及的犯罪地横跨国内外，特别是立案审查需要调取的重要证据都在国外，调查取证难度极大。

汕头市公安局经侦部门巧用手机取证辅以数据穿透分析技术，节省办案经费、迅速追赃挽损。该市经侦部门利用沈某到汕头澄海总部述职汇报之机，展开抓捕，在其来不及删除随身电子设备信息的情况下，扣押沈某随身携带的手机、笔记本电脑等随身电子设备，由该局技术人员依托电子物证实验室提取、固定电子物证。技术人员对涉案手机数据进行恢复和提取，共恢复各项手机数据数以百万条计，并出具了检验鉴定文书。在此基础上，利用专业系统和平台，建立相应的模型、算法对提取出的账户交易数据信息进行数据穿透分析。这种数据穿透分析对象包含了银行帐户交易、银联跨行交易以及支付宝、财付通第三方交易等数据。通过数据穿透分析，对涉案资金的来源和去向进行溯源追踪、判断资金账户在案件中的角色、结合其它涉案数据还原犯罪行为。进而，通过电子证据客观见证了本案犯罪嫌疑人的犯罪事实，和公安机关掌握的其他传统证据形成互补，构成了完整的电子证据链条。当办案民警亮出这些电子物证，尤其是手机上取得的电子证据时，犯罪嫌疑人的心理防线瞬间被击溃，承认所犯罪行，并主动提出全额退赃。本案成功侦破，所有犯罪嫌疑人全部认罪伏法，追回赃款1.2亿元。本案正是基于手机取证辅以数据穿透分析技术取得证据，为该案的最终定罪量刑提供了重要依据。

五、手机取证在经济犯罪案件侦查中的应用建议

（一）及时高效，第一时间对涉案手机采取相关措施

由于人们日常工作生活中涉及的许多信息存储在手机内，经济犯罪案件侦查员应当高度重视涉案手机的证据价值，树立手机之于经济犯罪侦查实践是非常值得深挖扩线的重要电子物证这一理念。及时扣押、封存涉案手机，为案件的侦查破案第一时间提供线索和证据，防止因为对手机处置不及时致使部分证据灭失。

（二）权衡利弊，选取适宜的手机取证方案

首先，对于那些依赖于手机客户端存储的数据信息，如短信、微信或其他即时通讯的聊天记录、网络搜索记录等，应当首选委托有资质的鉴定机构、技术部门借助专业取证设备对手机中的电子数据实现恢复、收集、提取、固定、分析；其次，对于那些涉及第三方应用软件的注册及使用信息，因后台数据服务端较手机客户端保存的信息更具有全面性、客观性，应当首选向软件的开发运营商调取后台数据进行分析研判；其三，如果出现特别的情形，无法扣押原始存储介质。必要的时候，可以选择打印、拍照或者录像的方法提取电子数据，以期降低时间成本和经济成本。

（三）应时而动，健全经济犯罪案件手机取证的技术标准、行业规范

手机取证在经济犯罪案件侦查中的作用日趋明显。科技发展日新月异，手机取证软件的开发与创新就永不停步。然而，手机取证技术标准和行业规范的拟定与认定却注定是一个追赶创新的过程。由于手机厂商永远是主动创新，而手机取证权威技术机构和技术标准认定机构却是被动的研究与应对，甚至从拟定技术标准、行业规范到认定需要间隔一段相当长的时间。这需要手机取证技术标准的制定者和认定者，争分夺秒，应时而动，根据近年来手机取证面临的新问题不断完善技术标准、行业规范，让手机取证在经济犯罪案件侦查中更大程度地发挥助推器的作用。

（四）优化通道，大数据技术为手机取证提供升级契机

大数据技术不断革新，也不断产生海量的经济活动数据，同时经济犯罪迅速迭代，为手机取证升级带来契机。经济、人文、法制、技术等经济犯罪相关性因素数据日趋庞大，行业结构、经济形势、经济政策、人口结构、贫富差距、法律法规、技术进步的变化所带来的区域经济犯罪形势变化日益显著，传统的案件、人口、轨迹等数据已经无法满足不断增长且形式复杂多样的经济犯罪的防控需求。鉴于金融与技术的深度融合，经济犯罪具有极强的隐匿性，这使得经济犯罪活动也不可避免地涉及到智能化手段、数据留痕及其搜集固定、整理分析。随着互联网及大数据技术的发展，经济犯罪行为在经济活动中留下大量的数据痕迹。这些痕迹的可收集、可计量性不断提升，这促使传统的手机取证技术不断升级换代，呈现为电子取证技术与大数据技术叠加而成的新型手机取证技术，通过对手机取证技术不断改良，优化数据取证通道，使其更加符合新时期公安经济犯罪侦查实践，为公安机关经侦部门开展持续高效的宏观研判、侦查取证提供了有力的技术支持，响应经济犯罪侦查的大数据时代。

（五）依托模型，精确把握经济犯罪发展趋势

强化资金查控手段，做深数据穿透分析方法。通过对大数据技术和手机取证的研究，依托模型算法，集成研判多维度经济犯罪相关性因素数据，精确把握经济犯罪发展趋势，为高层决策提供科学精准的分析过程和研判依据；依托模型算法，对多维经济专业数据进行快速的整理分析，形成对区域经济犯罪发展趋势的准确判断，对于形成领导高层决策思路、强化经侦综合实战能力、提升经侦专业服务水平有至关重要的作用。

（六）技术支撑，持续加大对经侦电子物证人才的培养

要全面提升经侦部门数据化实战能力，重视经侦电子物证人才持续的培训发展和软硬件的更新换代。对于已经浸润经济犯罪行为方方面面的数据化趋势而言，进一步提高经侦电子物证人才的素质能力，以技术因素为核心对经济犯罪的影响因素进行研究、探索、监测、规制显得刻不容缓。尤其是提高经侦电子物证人才发现数据、固定数据，分析数据的能力显得非常重要。在此基础上，对核心算法和关键技术的研究，进一步提升数据穿透分析能力，精准快速地从海量多维的经济活动数据中发现隐含的经济犯罪行为，实现经济犯罪侦查部门能力、实战、服务等水平的有效提升是当前一项非常迫切而且必要的工作。