从“检例第67号”看——

跨境电信网络诈骗案

取证策略与证据体系构建

近年来，通信和信息网络技术的快速发展给人们的生活带来极大方便，但是，电信网络诈骗特别是跨境诈骗案件数量也呈上升之势，且犯罪手段不断更新，给司法实践带来了许多新的挑战和困难。本期“观点·案例”聚焦最高检第十八批指导性案例中“张凯闵等52人电信网络诈骗案（检例第67号）”，邀请法学专家和办案检察官围绕电子证据的审查重点、构筑证据体系等问题进行探讨，敬请关注。

最高检第十八批指导性案例

张凯闵等52人电信网络诈骗案

（检例第67号）

【要旨】跨境电信网络诈骗犯罪往往涉及大量的境外证据和庞杂的电子数据。对境外获取的证据应着重审查合法性，对电子数据应着重审查客观性。主要成员固定，其他人员有一定流动性的电信网络诈骗犯罪组织，可认定为犯罪集团。

【基本案情】2015年6月至2016年4月间，被告人张凯闵等52人先后在国外参加对中国大陆居民进行电信网络诈骗的犯罪集团。在实施诈骗过程中，各被告人分工合作，其中部分被告人负责利用电信网络技术手段对居民的电话进行语音群呼，其内容为“有快递未签收，经查询还有护照签证即将过期，将被限制出境管制，身份信息可能遭泄露”等。当被害人按照内容操作后，电话会自动接通冒充快递公司的一线话务员。一线话务员以帮助被害人报案为由，在被害人不挂断电话时，将电话转接至冒充公安局办案人员的二线话务员。二线话务员向被害人谎称“因泄露的个人信息被用于犯罪活动，需对被害人资金流向进行调查”，欺骗被害人转账、汇款至指定账户。如果被害人对二线话务员的说法仍有怀疑，就会将电话转给冒充检察官的三线话务员继续实施诈骗。至案发，张凯闵等人通过上述诈骗手段骗取被害人钱款共计人民币2300余万元。2017年4月1日，北京市检察院第二分院对张凯闵等人以诈骗罪提起公诉，2017年12月21日，北京市第二中级法院对张凯闵等人作出诈骗罪成立的有罪判决。

随着我国对电信网络诈骗犯罪（下称“电诈犯罪”）集团境外窝点的打击力度增大，一些涉案人员相继进入刑事诉讼程序，这类案件的增多给司法实践带来了新挑战。

从证据材料组成结构看，除了物证、书证和言词证据外，电子数据是电诈犯罪案件办理中的核心证据形态。这类电子数据主要有两类来源：一类是内容数据，如保存在涉案人员电脑、手机中的非公开文件、电子邮件和社交软件中的聊天记录等，这类数据一般是从涉案人员的作案设备中获取；另一类为路径数据，即通过查明涉案信息数据的传输路径以确定能够识别用户身份的“元数据”，这类数据一般是从涉案信息所经过的数据池、数据管道中获取。由于来源特殊、分布散乱且体量较大，如何对这些证据材料尤其是电子数据进行审查认定，科学构建起证据体系成为司法实践的一道难题。最高检第十八批指导性案例中“张凯闵等52人电信网络诈骗案（检例第67号）”（下称“检例第67号”）的办理，从构筑证据体系、确立审查重点和以鉴定需求为引领三个维度提供了系统性解决方案，具有普遍指导意义。

“检例第67号”中，办案人员紧紧围绕被追诉人和案件事实这两个要素建立主轴，并围绕两个主轴建立拓扑关联，构筑起全案证据体系。

第一，人的要素。迥异于传统案件办理，电诈犯罪横跨虚拟和物理两个空间，侦查取证往往沿循着“案（案件事实）→机（作案电脑或手机）→人（作案电脑或手机的使用者）”这样一个逻辑推进。在这个过程中，搭建“案→机”这个环节的证据桥梁比较容易，但“机→人”这个环节的证据桥梁却存在较大不确定性。比如，尽管在现场人机一并被查获，但并不能排除这台电脑（手机）在被查获人接手前由其他人员使用的可能性。那么，如何建立“机→人”之间的对应性？如何确定虚拟身份和现实身份的同一性？这是在证据运用层面必须解决的问题，如果仅依赖被追诉人口供来证明，那么一旦出现“零口供”或被追诉人翻供的情况，证据桥梁就将断裂。“检例第67号”较好地采用补强证据规则解决了这个问题：办案检察官在被追诉人稳定供述的前提下，综合运用“出入境记录”等书证，“返乡订票记录单”、Skype账户登录信息等电子数据，同案人员供述等证人证言，非常扎实地对被追诉人的口供进行了补强，有效解决了“机→人”的证据认定问题，从而稳固搭建起“案→机→人”的证据桥梁。

第二，事的要素。在电诈犯罪案件中，由于被害人分布散乱且人数众多，加之犯罪金额多为小额单笔，这为准确认定案件事实尤其是犯罪金额带来了较大困难。“检例第67号”中，办案人员紧紧围绕电话卡和银行卡来佐证案件事实：用电话卡证明“人员流”“信息流”；用银行卡证明“资金流”；两卡结合辅助以银行账户交易明细、银行客户通知书等证据材料证明电诈犯罪组织→被害人→犯罪事实（后果）之间的关联性，从而形成了严密的证据链条。

同时，由于电诈犯罪是一种典型的链条型犯罪，每个涉案人员在案件中所处环节和所起作用不同，在案件事实认定中，如何运用证据证明诸如被追诉人参与时间、行为方式、有无犯意联络等问题，对于准确查明案件事实具有重要作用。“检例第67号”中，办案人员以查明“行为轨迹”为主线，综合运用网络电话的通话记录、Skype聊天记录等电子数据，辅助以犯罪嫌疑人供述及证人证言等证据相佐证，准确查明了涉案人员在犯罪集团中的地位和作用，从而区别出主犯和从犯，对本案作出了公正处理。

“检例第67号”中，检察官通过对证据材料合法性和客观性的全面细致审查后及时发现问题，并通过引导补充侦查解决相关问题，从而筑牢了全案的证据基础。

第一，合法性。一般而言，谈及刑事证据的合法性问题时，往往是从取证主体、取证程序和证据形式三个角度着手，而对于境外获取的证据材料，在合法性审查上则更为复杂。“检例第67号”中，办案人员对相关证据材料的合法性审查从几个问题层面递进：首先，审查证据材料在形式上是否符合我国刑事诉讼法的规定，解决材料形式合法性问题；其次，通过审查相关条约、司法协助协议等证据材料解决境外执法人员的取证在我国的“适法性”问题；再次，对移交程序进行审查，解决证据保管链的完整性问题。此外，对于当事人及其辩护人、诉讼代理人提供的来自境外的证据材料，也对其是否按照规定经过了公正和认证等法定程序进行了审查。这种细致全面的审查，保障了境外证据在我国刑事诉讼语境中的可采性。

第二，客观性。就其属性而言，电子数据属于实物证据的一种，因此从证据客观性的形式要件看，它是客观存在的。但电子数据又是一种特殊的实物证据，它在生成、提取、流传、运用等环节都存在伪造或毁损的可能性，这种特性使得除了要从电子数据本身判断其客观性，还需要根据其与犯罪事实之间的关系、与相关证据的联系以及与全部犯罪事实的关系，多方面判断电子数据的客观性。综合域外及我国相关立法规定来看，当前对电子数据的客观性审查主要是从形式和内容两个层面进行。在形式上，主要审查以下方面：一是电子数据的生成、传输和存储的硬件及软件系统是否可靠，系统运行是否正常，传输和存储是否有加密等安全措施；二是电子数据的制作主体、制作方法以及制作方法是否可靠；三是电子数据的内容是否完整，有无人为增加、删除或篡改。在内容上，一般通过证据之间的相互印证来审查电子数据内容的客观性。“检例第67号”中，在形式客观性审查上，检察官一方面审查存储介质，另一方面以“无污损鉴定”的技术标准对电子数据的提取、保管、流转等过程进行审查。在内容客观性审查上，检察官一方面审查在案言词证据能否与电子数据相互印证、不同电子数据间能否相互印证，另一方面通过言词证据、书证、物证等证据呈现电子数据与案件事实的关联性，通过电话卡、银行卡、言词证据等建立起电子数据与被害人及犯罪嫌疑人的关联性。这种体系性解决方案极具借鉴意义。

原始性和完整性是保障电子数据客观性的前提，“检例第67号”中的“无污损鉴定”实际上就是围绕电子数据的原始性和完整性展开。可以说，正是办案检察官对鉴定工作的重视，使得本案中涉案电子数据的证据能力和证明力都得到了增强，从而保证了诉讼的顺利推进。

第一，原始性。电子数据具有易篡改、易湮灭、隐蔽性强等特点，从而导致它的原始性很容易受到损坏，因此，在利用电子数据作为证据证明某个待证事实过程中，如何证明其原始性就成为解决问题的关键。本案审查起诉阶段，办案检察官敏锐地发现电子数据“无污损鉴定意见”的起始基准时间晚于犯罪嫌疑人归案时间11个小时，不能排除此期间电子数据被污损的可能性，因此通过补充侦查实现了鉴定起始基准时间与抓获犯罪嫌疑人并起获涉案设备时间的一致性，从而保障了电子数据的原始性。

第二，完整性。电子数据的完整性，不仅是指对涉案电子数据无遗漏、无毁损的提取，还包括对电子数据进行的“全面提取”。众所周知，计算机的软件、硬件环境会影响、改变电子数据的形态。“检例第67号”中有一个细节，即检察人员会同侦查人员共赴鉴定机构向技术专家咨询，从而知悉电子数据“无污损鉴定”的具体要求，明确了提取、固定电子数据的范围、程序等问题的解决思路，从而为鉴定工作提供了合格检材，保障了鉴定工作顺利进行。这种做法极具启示意义：电子数据的完整提取作为一种对技术要求较高的取证行为，在缺乏技术专家指导的情况下，一般侦查人员很难实现对复杂电子数据的完整取证，如果能够在侦查取证阶段及时向鉴定专家咨询，了解电子数据的鉴定标准和检材需求，就能够更有针对性地制定取证预案，从而更准确、更高效地实现完整取证。

此外，电子数据的勘验和鉴定是两种不同的诉讼行为：勘验是由侦查人员依法进行的取证工作，鉴定是鉴定人运用专门工具和专门知识所进行的检验分析工作，两项工作的主体不同、目的不同，不能将二者混淆。“检例第67号”中，检察官及时纠正了将《司法鉴定书》代替《勘验笔录》的做法，从而避免了产生“以鉴代勘”的质疑，进而保障了取证程序和鉴定程序的合法性，对此值得称赞。

电信网络诈骗案件中，电子数据占据了犯罪所涉证据类型的主导地位，电子数据对于诈骗事实认定、犯罪嫌疑人身份确定以及犯罪数额计算等均起着重要作用。由于电子数据缺乏稳定性，极其容易被篡改或损坏，因此，司法实践中办案人员在审查判断电子数据时，面临最突出的问题就是证据的真实性问题。“张凯闵等52人电信网络诈骗案（检例第67号）”（下称“检例第67号”）提出，“对电子数据应重点审查真实性”，从存储介质、电子数据本体、电子数据内容三个方面分步骤、分层次对电子数据真实性进行审查，可操作性强，对司法办案具有一定的参考价值。

与刑诉法中传统的实物证据相比，电子数据的形态多样，本质上是二进制表示的“编码数据”，无法单独存在，不能被人直接感知，必须存储或者记录于计算机、手机等设备当中，但是电子数据无法通过存储介质证明案件事实，而是将以电子形态存储的数据转化之后来表达证据事实。因此，电子数据所包含的“证据事实”与其外在表现形式出现了分离，呈现出双重载体的特点。其外在载体主要是承载电子数据的存储介质，在电信网络诈骗案件中主要包括诈骗犯罪组织在实施犯罪活动过程中所使用的电脑、手机等涉案设备；内在载体则是表达电子数据的证据事实，并使电子数据能够被感知的包括文字、图片等在内的各种形式，如诈骗犯罪组织使用的网络电话拨打记录清单、犯罪分子之间以及和被害人之间的通讯工具联系或实施诈骗的记录等。

检察机关在办理“检例第67号”案时，关注到了电子数据“双重鉴真”的问题，围绕电子数据双重载体特性，分步骤、分层次分别对电子数据的外在载体、内在载体以及具体内容进行审查，确保了从境外起获设备中提取、恢复的电子数据的真实性，为案件事实的认定打下基础。

首先，对电子数据存储介质的真实性进行审查。电子数据存储介质的真实性，是指存储电子数据的载体、设备在整个刑事诉讼过程中保持原始性、同一性、完整性，不存在被替换、破坏等问题。电子数据存储介质的真实性，主要包括两个方面的要求：一是电子数据载体来源的真实性。《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》和《公安机关办理刑事案件电子数据取证规则》均规定了以扣押电子数据原始介质为原则的取证规则，因此，应当首先审查侦查机关移交的电子数据是否包括原始存储介质，存储介质的收集是否符合相关规定，通过审查电子数据鉴定意见或检验报告中记载的涉案设备信息，与侦查机关扣押涉案设备的手续中记载的信息进行比对，以确定提取恢复的电子数据来自于诈骗犯罪组织所使用的设备。二是电子数据存储介质在整个刑事诉讼过程中的真实性。在刑事诉讼的各个环节，证据会在多个主体间流转，需要审查原始存储介质在移送、流转中是否保持同一性，可以通过审查存储电子数据的电脑硬盘、手机等载体的扣押、移交等法律手续及清单、相关手续中是否记载了包括序列号以及串码等区别于其他存储介质的唯一性标识，以核实电子数据存储介质在保管、鉴定、检查等各个环节中是否保持同一性和原始性。“检例第67号”中的电子数据的存储介质均为国外警方在诈骗犯罪窝点起获，检察机关重点审查了国外警方的移交清单、侦查机关进行电子数据提取时的检验报告等手续，核实上述手续中记载的涉案设备信息是否一致，并与实物进行比对，确保了电子数据存储介质的原始性和同一性。

其次，对电子数据本体的真实性进行审查。在验证了存储介质的真实性之后，需要进一步审查电子数据本体的真实性。和审查电子数据存储介质真实性方法相同，电子数据本体的真实性审查主要也是两个方面：一是电子数据来源的原始性和同一性，二是电子数据在刑事诉讼的各个环节没有被更改或者删减。通过审查电子数据检验报告、鉴定意见中记录的电子数据的来源和收集过程，核实电子数据是否从原始存储介质中提取，以及收集的程序和方法是否符合法律及相关技术规范，如因不便封存等原因无法扣押原始存储介质的，侦查机关采用“在线提取”的方式固定电子数据时，是否对电子数据收集过程进行同步录像，以及是否采用其他保障电子数据真实性的手段，以确保电子数据来源的原始性和同一性。通过审查移交电子数据的清单、计算完整性校验值等方式，确保电子数据在整个刑事诉讼过程中保持同一性、完整性。

第三，对电子数据内容的真实性进行审查。电子数据内容的真实性是电子数据真实性的核心问题，主要审查的是电子数据所包含的和案件事实相关的信息是否真实，能否与案件中其他证据所包含的信息相互印证，从而准确证明案件事实。通过审查在案言词证据能否与电子数据相互印证、电子数据能否与实物证据相互印证、不同的电子数据之间能否相互印证等，核实电子数据所包含的案件信息能否与在案的其他证据相互印证，以证实电子数据内容的真实性。办理电信网络诈骗案件，诈骗的具体行为主要反映在通讯联络上，诈骗的犯罪结果主要反映在资金往来上，从而分别形成通讯类和资金类两类电子数据，诈骗犯罪事实的认定也主要围绕该两类证据进行。“检例第67号”中的电子数据主要包括犯罪集团使用的网络电话拨打记录、被害人转款记录等，检察机关通过印证证明规则确认了上述电子数据的真实性之后，在通过电子数据建立被害人与诈骗犯罪集团关联性的基础上，确立了通信类电子数据、资金类电子数据与在案被害人陈述、犯罪嫌疑人供述等其他证据之间严格的印证关系，从而准确认定了犯罪事实以及具体诈骗金额，也得到了法院判决的认可。

随着网络技术不断发展，以及我国对电信网络诈骗犯罪打击力度的加大，跨境电信网络诈骗犯罪不断增多，当前侦查机关主要通过委托调查、联合侦查等方式对该类犯罪进行打击。通过司法协助等方式获取境外存储介质，被请求国按照条约及请求事项依据本国法取得涉案设备后，需要经过相关审批再移交我国，在设备被外方起获后移交我国之前，存储于其中的电子数据是否有被增加、删除、修改等情形，直接影响电子数据的真实性，因此，对于其中的电子数据首先需要进行无污损鉴定，在证实数据没有增加、删除、修改等情形之后才可以作为证据使用。对于无污损鉴定的起始基准时间，“检例第67号”已经予以明确，即起获设备的时间，如被请求国在相关说明中没有记载该时间，则需要我国驻该国使领馆或侦查机关出具说明予以补正。