2024年12月27日《檢察日?qǐng)?bào)·先鋒周刊》

檢察技術(shù)40年先進(jìn)人物特別報(bào)道

用電子取證“砸實(shí)”案件

本報(bào)記者 吳貽伙 整理

▲錢長(zhǎng)遠(yuǎn)在研究電腦數(shù)據(jù)。

作為一名電子證據(jù)鑒定人，這些年來(lái)，我參與辦理了很多案件，其中不乏疑難復(fù)雜案件，下面這兩起案件讓我最難忘。

在辦理一起公職人員幫助犯罪分子逃避處罰案時(shí)，犯罪嫌疑人在自己的辦公電腦上以被害人的口吻編造了一份“情況說(shuō)明”，編輯完成后直接打印，并沒(méi)有保存文檔。由于此案中被害人陳述、犯罪嫌疑人供述及辯解等言詞證據(jù)的證明力都比較單薄，能否成功獲取犯罪嫌疑人電腦上錄入的文檔數(shù)據(jù)，就成了“砸實(shí)”案件的關(guān)鍵。

按照常規(guī)，恢復(fù)電腦數(shù)據(jù)是對(duì)電腦中已被刪除的曾經(jīng)存儲(chǔ)過(guò)的數(shù)據(jù)進(jìn)行還原處理。而本臺(tái)電腦中涉案文檔提交打印后并未保存，也就不存在存儲(chǔ)后被刪除的過(guò)程，所以無(wú)從恢復(fù)。面對(duì)這一挑戰(zhàn)，我決定從底層數(shù)據(jù)入手，嘗試尋找恢復(fù)文檔相關(guān)的臨時(shí)文件內(nèi)容，但是沒(méi)有取得突破。接著我又嘗試在打印涉案文檔的打印機(jī)上“做文章”，但該打印機(jī)存儲(chǔ)量極小，存儲(chǔ)數(shù)據(jù)早已被覆蓋。

經(jīng)過(guò)反復(fù)研究，我利用專業(yè)取證軟件，輔之以手動(dòng)分析，終于從犯罪嫌疑人電腦中獲取到關(guān)鍵信息，再現(xiàn)了犯罪嫌疑人對(duì)文檔進(jìn)行編輯等作案過(guò)程。上述關(guān)鍵信息證明了該公職人員與犯罪分子之間的聯(lián)系，為案件的偵破提供了重要證據(jù)。后來(lái)，我的這一電子取證方法在全省范圍內(nèi)得到推廣應(yīng)用，對(duì)提升全省檢察機(jī)關(guān)電子取證水平起到了積極作用。

在辦理另一起磁盤陣列數(shù)據(jù)恢復(fù)案件過(guò)程中，辦案人員提供了數(shù)十塊服務(wù)器硬盤。由于辦案人員沒(méi)有記錄硬盤編號(hào)，硬盤間的順序已經(jīng)被打亂，需要找到正確的組合才能正確讀取。我首先對(duì)所有硬盤做了鏡像備份，確保原始數(shù)據(jù)不被破壞。隨后，根據(jù)分析和計(jì)算，推斷出硬盤的分組情況，將硬盤按多個(gè)分組重新組合起來(lái)，再通過(guò)對(duì)所要尋找數(shù)據(jù)的底層編碼格式進(jìn)行研究和反復(fù)提取驗(yàn)證，逐步找到了恢復(fù)數(shù)據(jù)的關(guān)鍵線索。

在此基礎(chǔ)上，我根據(jù)找到的數(shù)據(jù)存放及編碼規(guī)律，嘗試手動(dòng)將散亂的文件殘片重新拼湊起來(lái)。經(jīng)過(guò)數(shù)天的不懈努力，我成功恢復(fù)了幾乎全部數(shù)據(jù)！這些數(shù)據(jù)完整地重現(xiàn)了犯罪嫌疑人在特定時(shí)間段的行動(dòng)軌跡，為案件后來(lái)的偵破提供了關(guān)鍵證據(jù)。

案件的成功辦理，不僅將犯罪分子繩之以法，也鍛煉了我的技術(shù)能力，更讓我在電子證據(jù)專業(yè)領(lǐng)域內(nèi)不斷成長(zhǎng)，并于2018年被最高人民檢察院榮記個(gè)人一等功。