網絡犯罪間接證據的印證證明

林勝超 葉曉蓮

一、基本案情

被告人謝某某，男，1990年6月21日出生，漢族，初中文化程度，務工，戶籍所在地福建省龍巖市。曾因犯非法獲取公民個人信息罪，于2015年2月27日被杭州市西湖區人民法院判處有期徒刑8個月，并處罰金5000元。

2017年4月23日18時，被告人謝某某使用阿里旺旺通訊軟件向“75童鞋旗艦店”淘寶網店的客服柴某（另案處理）發送收購買家訂單信息的廣告，柴某根據廣告內容添加QQ用戶后，向該QQ用戶出售少量買家訂單信息。后在該QQ用戶誘騙下，柴某向其提供買家訂單頁面的網頁源碼。24日至25日期間，“75童鞋旗艦店”的買家訂單信息被異常IP地址的用戶非法訪問31580次。其間，被告人謝某某向柴某支付寶賬戶陸續匯款共390元。

同年5月10日19時，被告人謝某某使用阿里旺旺通訊軟件誘騙“三只熊801225”等五家淘寶網店的客服唐某某提供買家訂單頁面的網頁源碼，并將網頁源碼通過QQ發送給同伙。同日20時至次日11時期間，“三只熊801225”等五家淘寶網店的買家訂單信息被異常IP地址的用戶非法訪問14964次。

二、分歧意見

第一種意見認為，謝某某構成侵犯公民個人信息罪，情節嚴重。理由如下：一方面，網店管理員向謝某某提供了買家訂單頁面的網頁源碼，之后買家訂單信息遭到身份不明的用戶非法訪問，但無法排除系謝某某或其同伙以外的人所為。因此，謝某某非法獲取公民個人信息的具體數量不明，其行為系犯罪未遂。另一方面，謝某某曾因侵犯公民個人信息受過刑事處罰，又購買公民個人信息，屬于侵犯公民個人信息情節嚴重，構成侵犯公民個人信息罪。

第二種意見認為，謝某某構成侵犯公民個人信息罪，情節特別嚴重。理由如下：雖然本案無法查清非法訪問網店后臺訂單信息的用戶身份，也無法明確謝某某上家的身份，但謝某某伙同他人騙取網店買家訂單網頁源碼與訂單數據泄露具有因果關系，足以證實系謝某某或其同伙非法訪問淘寶網店后臺訂單數據。因此，謝某某竊取公民個人信息46544條以上，構成侵犯公民個人信息罪，且系情節特別嚴重。

三、評析意見

筆者傾向第二種意見。

本案謝某某向網店管理員直接購買少量公民個人信息的事實清楚，結合其侵犯公民個人信息的前科，其構成侵犯公民個人信息犯罪并無爭議。本案爭議焦點在于淘寶網店后臺被非法訪問的46544條買家訂單信息能否認定為被謝某某或其同伙非法獲取，其犯罪情節是否屬于情節特別嚴重。認定該問題的關鍵在于明確謝某某或其同伙騙取網頁源碼的行為與訂單信息的泄露結果之間的因果關系，以及網絡犯罪案件如何把握間接證據的印證問題。

首先，Python、C++或其他代碼技術可以利用淘寶網店具有cookies的網頁源碼信息模擬登錄淘寶網店。其一，淘寶網的密碼運用了AES和UA加密算法，是用以加密、保護登錄參數，從而防止非法訪問，但該UA碼和加密密碼是可以從網頁源碼中獲取。其二，從網頁源碼中可以直接提取淘寶客服登錄網店的cookies。Cookies是網站為了辨別用戶身份、進行session跟蹤而儲存在用戶本地終端上的數據，行為人在獲取了加密碼和cookies以后，利用cookies向訂單頁面發出請求，即可獲得響應，提取訂單詳情。因此，行為人在獲取了淘寶網店訂單網頁源碼以后，不需要管理員賬號密碼進行身份驗證，即具備了訪問網店后臺訂單信息的技術權限。

其次，網絡非法訪問的行為包括未經身份驗證進行瀏覽、復制等行為，其符合非法獲取的特征。由于電子數據具有可復制性的特點，行為人可以通過截圖、復制，以及通過批量抓取、導出，也可以通過瀏覽、拍照、摘錄等方式在不留下復制痕跡的情況下獲取信息。上述所有行為的基礎都在于對訂單信息進行訪問。因此，未經身份驗證通過網絡對公民個人信息進行訪問，無論以何種方式進行可復制性操作，都應當認定為非法獲取，且屬于秘密竊取的方式。此外，淘寶公司證實每一次非法訪問最多可訪問15條訂單信息。根據有利于被告人原則，就低認定每次非法訪問獲取1條信息，故認定至少有46544條買家訂單信息被非法獲取。

再者，從匯款行為與騙取網頁源碼的時間特征分析，可以認定行為人系非法訪問訂單信息的共犯或正犯。由于網絡犯罪具有地域性、隱蔽性的特點，難以完全查清參與犯罪活動的行為人身份，更難以查獲涉案電子設備從而獲取直接證據。本案中，非法訪問訂單信息的行為人將誘騙、竊取、轉賬等完整的犯罪行為分派多人完成，意圖切斷證據鏈。但綜合分析本案事實，謝某某分次轉賬給受騙人的時間與身份不明行為人分次騙取網頁源碼的時間完全契合，足以證實其對騙取網頁源碼的行為系主觀明知。

最后，從非法訪問的情況看，可以排除其他人非法訪問的可能性。在本案中，受騙人向謝某某提供的聯絡人出售了網頁源碼的1至2分鐘內，其淘寶網店訂單信息當即遭到非法訪問，且隨后立即結束，其他時間、其余淘寶網店均沒有遭到非法訪問。此外，在案發期間，淘寶公司后臺并未發現其余店鋪被他人非法網絡攻擊的情況，受騙人也未向他人提供網頁源碼，故淘寶網店訂單信息被非法訪問的結果應歸責于謝某某及其同伙的騙取網頁源碼行為。

綜上，謝某某以批量發送買家訂單信息為由，誘騙淘寶網店管理員提供網頁源碼，其主觀上明知獲取的網頁源碼與淘寶網店買家訂單信息直接關聯，具備侵犯公民個人信息的主觀故意，其非法獲取行為與網店信息的泄露結果具有因果關系。故認定謝某某伙同他人非法獲取可能影響人身、財產安全的公民個人信息46544條以上，構成侵犯公民個人信息罪，情節特別嚴重。

2018年3月15日，瑞安市人民檢察院以被告人謝某某犯侵犯公民個人信息罪向瑞安市人民法院提起公訴。2018年6月8日，瑞安市人民法院作出判決，認定被告人謝某某構成侵犯公民個人信息罪，情節特別嚴重，故判處其有期徒刑5年，并處罰金100000元。一審宣判后，被告人謝某某提出上訴。溫州市中級人民法院二審裁定駁回上訴，維持原判。判決已生效。