2005年以来, 有一网民群体经常登录“ 就去97论坛” 、“ 幼盟网” 、“ 幼色天堂” 、“ 爱幼阁” 等淫秽色情网站、论坛, 并注册成为以上网站会员。为提高自身的会员等级, 以便能浏览和下载更多淫秽色情内容, 他们不仅将以上网站内的淫秽色情图片、视频交叉上传, 并加入以讨论淫秽色情内容为主的“ 快意人生” 聊天群, 在群聊空间内多次发布“ 我爱幼幼” 和“ 幼幼之家” 等论坛和网站的网址。因涉嫌传播淫秽物品罪, 公安机关开展专项打击行动, 其中一名犯罪嫌疑人黄某为某学校的教职员工, 涉嫌通过网络传播猥亵幼女照片等淫秽物品, 将其在居住宿舍抓获。技术民警在进行现场取证过程中, 通过现场移动硬盘中存储的涉案数码照片与生活数码照片综合分析比对, 查明了该人3年前曾经奸淫幼女的犯罪事实, 并将其绳之以法。

网络传播淫秽物品案中的证据大多数是数码图片和视频文件, 民警对现场内的4台电脑、移动硬盘、数十张淫秽光碟开展了电子物证勘查。从电脑上网记录来看, 民警发现黄某涛经常浏览一些色情网站观看色情电影及视频, 并加入了一些网上即时通讯交流群, 通过Q币等网络虚拟货币向他人“ 购买” 下载淫秽视频和图片。初步可以判断, 嫌疑人喜欢观看色情电影及视频, 并有网络上传、下载、分发等行为, 淫秽光碟也可以辅助证明这一结论。此后, 民警对移动硬盘进行了检查, 查明移动硬盘品牌为日立 H320U, 容量大小为320GB, 共有1735个文件, 大多数照片为黄某及其家人的生活照。

2.1 提取涉案照片EXIF属性

由于被搜查的计算机、移动硬盘中存储了大量的个人数据信息, 为保护当事人的隐私权, 民警以缩略图查看的方式查找涉案的数码照片。经搜索, 在移动硬盘根目录下一个名为“ 新建文件夹” 的文件夹中发现存有一张.JPEG格式的幼女下体照片, 文件名为“ L3-17” , 并立即提取了该数码图片的EXIF属性信息, 图片内容和文件属性见图1, 侦查工作取得了初步进展。

图1

	Figure Option ViewDownloadNew Window
	图1 “ L3-17” 数码照片文件的内容属性

2.2 推断涉案照片是否嫌疑人原创

为了查明“ L3-17” 是来源于网络, 还是嫌疑人原创, 民警进行了深入分析。首先, 在上千张数码照片文件中选取了一个有代表性的黄某本人生活照, 照片是在黄某居住的宿舍中拍摄, 文件名为“ 20061222” , 文件格式同为.JPEG, 照片内容和文件属性见图2。然后, “ 20061222” 与 “ L3-17” 的文件EXIF属性信息进行比对, 结果见表1。

图2

	Figure Option ViewDownloadNew Window
	图2 “ 20061222” 数码照片文件的内容属性

表1

表1

表1 两个数码照片文件的EXIF信息对照表 照片分类 文件名 拍摄器材 拍摄 参数 拍摄时间 涉案照片 L3-17 Nokia N91 一致 2006年12月26日 生活照片 20061222 Nokia N91 一致 2006年12月22日

表1 两个数码照片文件的EXIF信息对照表

图1和图2的两个数码照片文件的EXIF信息属性非常相似, 该生活照的拍摄时间为2006年12月下旬, 拍摄器材也为Nokia N91, 并且照片的像素、分辨率、曝光速度等拍摄参数均为一致, 可以推测两张照片形成条件相似。因为文件“ 20061222” 是嫌疑人原创的生活照, 并且保存在相同的文件夹内, 所以 “ L3-17” 照片是原创的可能性极大。

2.3 画面背景分析

在调查数码照片电子信息的基础上, 办案民警对照片展现的画面背景进行了传统侦查角度的对照分析。一经比对, 办案民警立刻发现照片“ L3-17” 画面背景中的床单、被子的花纹与“ 20061222” 画面背景中的床单、被子花纹非常相似。至此, 可以完全断定两张照片都是现场条件下拍摄的原创。另外, 民警在现场搜查到了照片中的床单和被子, 强有力的证明猥亵幼女的案发现场就在黄某的家中, 黄某可能直接参与了猥亵幼女的犯罪行为。

综合上述各条线索, 办案民警对案件进行了逻辑推理分析(见图3)。结合“ L3-17” 涉嫌猥亵幼女照片需要在私密的条件下拍摄, 因此, 相片极有可能是其本人拍摄的。据现场访问情况, 黄某曾经在2006年间使用过一部Nokia N91手机, 进一步印证了黄某作案的可能性。

图3

	Figure Option ViewDownloadNew Window
	图3 数码照片逻辑推理分析图

在大量证据的支持下, 犯罪嫌疑人黄某终于如实交代2006年12月26日对其邻居家幼女实施奸淫的犯罪行为。

随着信息网络的发展, 传统犯罪方式向网络空间中发生转移, 一些传统的赌博、传销、淫秽色情等犯罪行为突破了现实社会地域和空间的限制, 呈现出快速发展的趋势, 在侦办此类案件中遭遇了大量的电子证据。如何在传统犯罪中应用电子证据是公安机关侦查办案中一个重要的课题, 该案的成功侦破证明了电子证据在传统侦查办案中有广阔的应用空间, 也为电子证据在传统犯罪侦查中如何运用带来几点经验:

(1)取证人员在勘查涉及电子证据的现场时, 对案发时间和案发过程的了解十分需要, 进而对可能存在的证据类型、内容做到心中有数。对于电子设备而言, 内在的操作系统一般会保存文件和文件夹的创建、修改、访问时间以及作者、版权等信息, 这些信息对于确定搜索分析极其重要。本案中, 民警就首先确定现场中最为重要的证据是数码照片, 然后使用了“ * .jpeg” 关键词全盘搜索, 把硬盘中各个位置的所有数码照片集中在一个窗口内, 再分别查看文件详细信息和缩略图, 快速地完成了对涉案的照片发现和精确分析过程。

(2)电子数据犯罪现场的真实性和有形犯罪现场一样, 电子数据犯罪现场也会留下犯罪行为的“ 蛛丝马迹” , 取证人员可以通过犯罪分子留下的电子数据进行推理, 进而重现犯罪现场、确定犯罪嫌疑人。案例中, 民警获得的零碎信息有以下6项:①移动硬盘中发现儿童色情图片; ②计算机硬盘中发现嫌疑人生活照; ③儿童色情图片与生活照EXIF信息相似; ④生活照是原创; ⑤两种图片画面背景有相似之处; ⑥嫌疑人曾经使用过Nokia N91手机。

其中前3项涉及电子证据, 后3项为传统调查取证的内容, 办案民警把电子证据、传统证据以及侦查思路结合起来, 通过拼接上述的零碎证据和信息推导出强奸幼女的犯罪事实, 刻画出了当事人与罪犯行为之间的关系。

(3)电子证据一个突出的特征就是承载丰富案件信息, 如何解读是提升电子证据在实战应用价值的关键。本案例中, 硬盘存储了一张猥亵幼女的色情图片, 侦查员要解答这张猥亵幼女的图片是原创还是传播?是否涉嫌性犯罪?解读照片的EXIF属性信息、画面背景、像素、拍摄器材、曝光等参数, 无疑这些问题都可以解答。除了案中数码照片的文件属性信息, 一些网络上的防火墙和路由器等的配置信息、系统和数据库的日志信息, 以便展示在计算机上各种活动的情况, 诸如近期登录访问过的网站、浏览编辑过的文件等, 都可以为案件所用, 都需要深刻解读。将特定的犯罪行为与案发现场的传统证据、电子证据结合起来, 就可以推断是谁及在何时何地、采用何种方法实施了什么犯罪行为, 同时将网络行为与之关联, 还可以进一步对案件的真实情况进行细化或推理, 确定犯罪手法、犯罪动机、侦查范围等。

电子证据是一个承载信息丰富, 经常未被充分利用的资源。电子证据能进行犯罪现场重建, 推理分析技术应用适当可以挖掘出许多犯罪细节, 有助于缩小侦查范围, 锁定犯罪嫌疑人, 并对公正客观的勘查取证具有重要的意义。在当前社会信息化不断发展的情况下, 如何将大量的常见的电子数据关联在一起?如何提取与解读相关的电子数据内涵?如何与案件现实情况结合起来进行分析推理?在工作实践中能够解答这些问题, 对侦查办案人员和刑事技术人员来说, 可以把电子证据的应用推向更广阔的空间。