网络犯罪中的印证证明

王祺国 王晓霞 周迪

审查认定证据的一种方法，最高人民法院、最高人民检察院、公安部、国家安全部、司法部于2010年颁行的《关于办理死刑案件审查判断证据若干问题的规定》中多处提出“据以定案的间接证据之间相互印证”“与其他证明犯罪事实发生的证据互相印证”“有其他证据印证的，可以采信”等印证证明运用规则。司法实践中，司法人员也主要运用印证证明方法进行单个证据的证明力判断和全案证据的综合判断。但是，在以电子数据为主要证据类型的网络犯罪中，由于电子数据的独特属性，其印证证明与传统证据相比存在较大差异，主要体现在印证规则、印证证明的运用等方面。

一网络犯罪证据的印证规则

印证规则主要是通过两个以上不同来源的证据内容相互证实或者指向同一证明方向来实现的。网络犯罪中，其印证规则主要体现在以下几个方面。

电子数据的自我证成

电子数据具有系统性特点，电子数据自身与相关的痕迹数据、独立存在的属性信息共同构成一个电子数据体系。基于电子数据自身、痕迹数据、属性信息构成的体系，电子数据能够进行自我证成，证明自身真实性。

电子数据的自我证成可以分为两个层次：第一个层次是电子数据自身信息的自我证成。传统证据的印证强调“证据不能出自同一来源”，单一的证据无法证明自身的真实性，更谈不上印证。但是，电子数据与传统证据的不同之处在于其部分属性信息与电子数据内容信息具有不同的信息来源且存储在不同位置，两者之间虽有一定的关联但是相互独立存在。因此，电子数据与非同源的属性信息之间可以进行相互印证。举例来说，一份Office Word文档的诸多时间属性中，内容创建时间、最后一次保存时间、最后一次打印时间等时间属性信息保存在文档自身信息之中，文档创建时间则保存在文件目录表中。文档创建时间和其他时间属性相互独立，两者之间应该符合正常的时间逻辑，可以进行相互印证。第二个层次是根据电子数据的痕迹数据进行自我证成。电子数据在生成和操作过程中，会留下大量与其生成和操作过程密切相关但又独立存在的痕迹数据。这些痕迹数据往往是操作系统基于安全、稳定的系统策略自动生成的，一般不被用户所熟知。同样地，电子数据与痕迹数据之间可以相互印证。比如学生A在电脑上使用Office word写毕业论文，3万字的毕业论文写作时间跨度有三个月之久，最终形成了定稿毕业论文。写作过程中，学生A每保存一次毕业论文，系统都可能为其保留一份备份文档。虽然最终形成的是一篇定稿毕业论文，但系统可能为其保留了上百份毕业论文过程稿。诸多过程稿论文和定稿论文之间内容连续、时间连贯，可以进行相互印证。

不同节点电子数据之间的相互印证

网络犯罪的犯罪行为发生在互联网中，虽然看似行为人只是在一台或者几台终端中实施犯罪行为，但实际上其行为的实施、结果的发生涉及互联网络的众多服务器和终端。在这些服务器和终端中也保留行为人实施犯罪行为的相关电子数据和操作痕迹。上述节点中的电子数据与行为人使用的终端中的电子数据如果能够相互印证，那就满足了印证的基本要求。

电子邮件诈骗是不同节点电子数据之间印证的一个很好例子。行为人Male在计算机A上制作了用于诈骗文档“双11优惠大酬宾.docx”，并通过邮箱male@sina.com将文档以附件的形式发到被害人Female的邮箱female@126.com，Female则在计算机B上接收邮件并下载了文档“双11优惠大酬宾.docx”，后因误信该邮件内容被骗人民币1万元。侦查人员在扣押计算机A并进行取证分析后，发现行为人Male已经对计算机进行过格式化，只能恢复“双11优惠大酬宾.docx”文档和部分邮件内容。“双11优惠大酬宾.docx”文档看似从计算机A直接发送到了计算机B，实际上文档通过互联网传输的真实路径为：计算机A→新浪邮件服务器→网易邮件服务器→计算机B，电子邮件及附件文档在计算机A、新浪邮件服务器、网易邮件服务器、计算机B都留下了相应的电子数据内容。经分析，侦查人员发现从行为人计算机A中恢复的文档和邮件内容与另外三个节点调取的相应电子数据内容一致、逻辑连贯，相互之间能够相互印证。这不仅证明从计算机A中恢复的电子数据的真实性，更是以印证的方式补全了因行为人格式化计算机A而造成的相关电子数据内容的缺失。

虚拟空间证据与物理空间证据的基本印证

以言词证据为主的物理空间证据和以电子数据为主的虚拟空间证据共同构成了网络犯罪的证据体系。为了实现单个证据证明力判断和全案证据综合判断的目的，必须对虚拟空间证据和物理空间证据进行印证分析。两个空间之间的印证可以从两个方面入手：

一是校准虚拟空间与物理空间之间的差异。网络犯罪是横跨虚拟空间和物理空间的犯罪，其行为从物理空间延伸到虚拟空间，又从虚拟空间延伸到物理空间。对犯罪行为在物理空间和虚拟空间留下的证据进行印证分析，必须校准两个空间之间存在的差异。这个差异主要体现在时钟差异和表示差异两方面。时钟差异是指虚拟空间的时钟是相对独立的，一般情况下与物理空间保持同步，但有时会存在异步运行的情况。如计算机中在设置初始时钟比物理空间早了两天，那么计算机中所有操作的时间看起来都要比现实空间早两天。假设行为人交待他在2017年10月15日通过木马程序盗窃了被害人支付宝账户1万元，但计算机中的电子数据则显示该盗窃行为发生在2017年10月17日。表示差异是指因为虚拟空间特殊的运行规则，使得虚拟空间显示的情况与实际情况存在一定差异。

二是确保虚拟空间证据与物理空间证据内容基本一致。由于虚拟空间与物理空间在证据留存方式、证据展现方式等方面存在差别，两个空间之间的印证无法实现完全印证。实践中，能够达到证据内容基本一致就算是符合印证的要求。证据内容基本一致包括两层含义：其一，虚拟空间证据与物理空间证据不存在实质性矛盾。如行为人交待自己通过网上购买他人的支付宝账户和密码信息来盗窃他人支付宝账户内的财物，但行为人使用的计算机中并没有他人支付宝账户和密码的相关内容，且侦查人员发现了用于盗窃的木马小程序。行为人的口供与电子数据之间存在实质性矛盾时，印证无法达成。其二，虚拟空间证据与物理空间证据的主要内容应当一致。主要内容一般包括实施犯罪行为的时间、使用的工具软件、用户名和密码、实施犯罪行为的基本操作方法等。

二网络犯罪证据印证的运用

关联性认定的运用

证据的关联性是某一证据容许被采纳的一项资格标准，它指的是证据必须与需要证明的案件事实或其他争议事实具有一定的联系，而且对待证事实具有实质性的证明意义。电子数据的关联性有两个层次：一是内容关联性，指电子数据蕴含的信息同案件事实之间的关联性；二是载体关联性，指电子数据的信息载体同当事人或其他诉讼参与人之间的关联性。前者影响案件事实是否存在，后者影响电子数据所反映的内容与当事人之间是否有联系。电子数据的关联性认定必须同时包含上述两层内容，缺一不可。

内容关联性可以通过确认相互印证的电子数据体系所反映的犯罪事实与待证事实之间的一致性来实现。网络犯罪的主要犯罪行为发生在互联网中，主要的证据也以电子数据的形式保存在互联网络中。因此经过充分的证据收集和分析，相互印证的电子数据体系基本上能够反映网络犯罪的主要事实。以网络诈骗案件为例，行为人发送诈骗邮件、行为人与被害人的聊天内容、被害人向行为人进行网络支付等主要行为均发生在互联网络中，通过收集和分析诈骗邮件、聊天内容、网络支付记录等电子数据，就能够还原和证实网络诈骗的主要犯罪事实。以该方式进行内容关联性确认应当符合两个标准：一是电子数据之间要相互印证形成逻辑连贯、内容一致的证据体系，且该证据体系所反映的犯罪事实与待证事实基本一致；二是单个电子数据所反映的犯罪事实情节与相关待证事实情节基本一致。

载体关联性可以通过虚拟空间证据与物理空间证据之间的印证来实现。虚拟空间中电子数据体现的犯罪行为与物理空间中言词证据、实物证据体现的行为人的犯罪事实进行印证，实现对两者关联性的确认。例如行为人在口供中如实供述了自己通过网络进行诈骗所使用的软件工具、用户名和密码、具体操作方法等内容，与相关电子数据内容均能相互印证，从而确定该犯罪行为是行为人所为。同时，数量庞大的电子数据和痕迹数据不仅包含与犯罪行为相关的信息，也能够反映行为人在虚拟空间进行各项操作的习惯和特点，这些习惯和特点就像行为人在物理空间走路时留下的脚印、步幅、鞋底印纹等运动特征，能够强化行为人与行为之间的关联性。如果反应行为人习惯和特征的电子数据足够多，甚至可以直接确认行为人与犯罪行为之间的关联性。

真实性认定的运用

证据的真实性是指证据的真实可靠程度，是证据证明力审查评断的重要内容。传统证据主要通过证据来源的可靠性和证据内容的可信度来审查评断证据的真实可靠性，其中独特性确认是把握证据内容可信度的重要方式。独特性确认的鉴真方式主要适用于特定物，若某一实物证据具有显著特征，由证人当庭陈述该证据特征，对该物证与其曾经所见的物品的同一性作出证明。但是电子数据是非直观的，电子数据的特征无法像传统实物证据一样通过辨认去记录和证明。在电子数据真实性认定中，印证是实现其独特性确认的重要方式之一。

证据的独特性确认主要通过特征符合点的同一性认定进行。进行独特性确认所需的特征符合点的数量取决于特征符合点的独有性，特征符合点具有高度独有性时只要一个就能进行独特性确认，但其独有性较弱时则需要多个特征符合点共同组成一个具有高度独有性的特征符合点体系才能进行。换言之，进行独特性确认所需的特征符合点数量与其独有性质量成反相关。以指纹鉴定为例，1914年法国法庭科学家埃德蒙·洛卡德提出著名的“指纹认定的特征符合点一般不能低于12个”的标准。中国人民大学教授何家弘也指出，就审判而言，只要指纹鉴定意见所依据的细节特征价值之和最终达到了“12”以上，法院就应该采信；若低于“12”，法院应不予采信。在指纹鉴定时往往还要就细节特征的差异点进行评价，如果能够确认该差异点是本质的差异，即两个不同手指留下的指纹印之间的差异，可以否定同一。

网络犯罪证据的印证证明过程就是通过独特性确认进行真实性认定的过程，体现在两个方面：一是通过电子数据的自我证成实现真实性认定。电子数据在生成和操作过程中产生的痕迹数据和独立存在的属性信息就是其特征符合点，痕迹数据和属性信息的数量就是特征符合点的数量、痕迹数据和属性信息的独有性就是特征符合点的独有性。电子数据与痕迹数据、属性信息能够相互印证时，意味着电子数据的自身特征与痕迹数据、属性数据构成的特征符合点系统相一致，电子数据的真实性认定得以实现。二是通过证据之间的相互印证实现真实性认定。不同证据之间相互印证能够提高单个证据的可靠性，特别是可靠性较高的证据与可靠性较低的证据相互印证时，可以使可靠性较低的证据的真实性得到较大的提升。例如言词证据与电子数据相互印证时，不仅能够同时提高两者的可靠性，而且言词证据的可靠性会得到质的提升。更进一步说，多个证据之间相互印证时，单个证据的可靠性可以得到叠加式提升。而且多个证据相互印证并形成逻辑连贯、内容一致的证据体系时，体系中的每个证据就是一个特征符合点。证据体系中的特征符合点与犯罪事实中的相关情节一致时，证据体系整体的真实性得以验证，体系中的单个证据的真实性亦得以验证。

来源：《人民检察》2018年第3期；“电子物证”公众号，2018年3月30日。