頡譯的實習筆記

外觀

科技犯罪偵查基礎 ​

Q 版主題圖：科技犯罪偵查基礎

本頁整合 7/06～7/08 的學習主線。記最牢的三句：線索就只是線索；技術上做得到跟法律上准不准是兩回事；證據處理和被害保護要一起想。本文不含個案、內部工具或可重現的追查方法。

這篇的幾個主要判斷 ​

一份數位資料要當證據，得說得出它從哪來、怎麼取得、有沒有被動過、跟待查事實什麼關係，還有它說明不了什麼。分析本身找不出行為人。起手式是先辨識這筆資料是什麼，之後才輪到法源、範圍、必要性和監督。碰上數位詐欺更趕，保護和查證得同時開始。

一、從數位線索到可驗證結論 ​

佐證：證據取得與證據能力可對照 《刑事訴訟法》第 158-4 條；數位證據處理的通用指引可參考 ISO/IEC 27037。

案件常留下帳號、時間、交易、設備或服務紀錄。我以為它們會直接指向答案，實際上比較像幫我問出下一個可驗證的問題。

拿到一筆資料，我現在會照四個面向問一遍。來源：它從哪裡來、依什麼程序取得。看起來像真的不等於可以直接採用。完整性：說不說得出它沒被不當增刪或改動；有檔案、有截圖不代表必然可信。關連性：它和待查事實之間是什麼合理關係，有關聯離證明因果或身分還很遠。限制：帳號或設備會不會共用、有沒有誤差與缺漏、還有沒有別的解釋。

四項裡我自己最常跳過的是限制。資料一多就很像已經講完了，實際上要交代的限制只會更多。

數位證據的五段生命週期 ​

text
釐清問題 → 依法取得 → 安全保全 → 分析驗證 → 清楚呈現與接受檢視

釐清問題是先定義要證明或排除哪個事實，不拿蒐集量取代目的。依法取得看的是資料類型與侵害程度，據此選對應的法定程序。安全保全維持資料完整，並把必要的保管與處理歷程記下來。分析驗證時，已知事實、待驗證假設、不支持的推論要分開記。最後是清楚呈現，讓第三人看得懂資料來源、限制與結論之間怎麼連起來。

五段裡我看下來比較容易被輕看的是第一段。問題沒定義好，後面四段做得再乾淨，也只是把一堆資料整理得很整齊而已。

二、程序與資料類型要一起判斷 ​

佐證：通信紀錄、通訊使用者資料與網路流量紀錄的定義及調取程序，見 《通訊保障及監察法》第 3-1、11-1 條；搜索與扣押的基本規範見 《刑事訴訟法》第 128、133 條。

不同資料能回答的問題不同，程序和結論也不能共用：

類型可理解的範圍學習上的提醒
實體載體與電磁紀錄裝置或儲存媒介中保存的資料。搜索、扣押與保全的範圍應具體且與目的相關。
通訊內容文字、聲音、影像等實際通訊內容。隱私侵害程度高，應受較嚴格的法定門檻與範圍限制。
通信紀錄與使用者資料號碼、時間、服務資料或申請資料等。能協助還原聯繫脈絡，但不等於內容或實際使用者。
網路流量紀錄設備、IP、時間、用量、網域或服務類型等未涉及內容的紀錄。可作為待驗證線索，不應直接推論行為或意圖。
特殊強制處分對位置、通訊設備或具隱私期待空間的特定科技調查。應特別檢視必要性、期間、許可、通知、刪除與救濟。

一個可重複使用的判斷順序 ​

  1. 這筆資料或調查客體是什麼？
  2. 為何與本案或待查問題有關？
  3. 是否有適當法源與相應程序？
  4. 對象、期間與範圍是否已限縮到必要程度？
  5. 取得後如何保護、使用、通知、保存或刪除？

這個順序擋掉的是把「技術上能取得」讀成「法律上可以任意使用」。對我來說最關鍵的是第 1 步：類型辨識錯，後面四步就容易全走偏，跟系統設計裡型別搞錯的下場差不多。

三、結構化事實整理：讓筆錄與分析能被檢驗 ​

佐證：相關犯罪的構成要件與具體事實仍應以現行法規與個案判斷為準，例如 《刑法》妨害電腦使用罪章。

筆錄、分析報告、事件摘要，層次都要分開記：

事件層記何時、何地、發生什麼可具體描述的事實，先把時間軸與事件範圍立起來。角色與行為記各方做了什麼、用了哪些服務或資源，讓角色、行為跟待證事項分得開。損害與風險寫財產、資料、名譽或服務可能受到的影響，對應的是保護需求與法律評價。證據與來源列出哪些資料能支持、反駁或補充事實，替之後的查證與反思留空間。

最後一層是不確定事項：哪些還待確認、哪些存在其他合理解釋。前四層漏一點還算堪用，這層一漏，推測被寫成既定結論多半是從這裡開始的。

四、多源資料整合怎麼做 ​

資料角度可以協助回答的問題不宜直接下的結論
身分、帳號或設備是否存在需要再查證的使用或管理脈絡？登記人或帳號名稱必然等於實際行為人。
時間與服務紀錄不同事件是否具有可驗證的先後或重疊關係？同一時間出現就代表必然共同參與。
位置與場域資料是否存在活動範圍或場域上的關聯？已精確證明某人在特定地點。
金流與資源紀錄是否有值得再查證的交易或資源流向？單筆交易已足以證明主觀意圖。
平台或公開資料是否能補強時間、關係或公開事實？公開資料可以取代依法取得的證據。

整合有一半工夫花在記錄「這份資料說明不了什麼」。缺口跟關聯要一起寫，不然很難判斷結論撐不撐得住。

五、數位詐欺與身分風險：以減害與保護為中心 ​

佐證：跨業防詐治理可對照 《詐欺犯罪危害防制條例》；個人資料處理應符合特定目的與必要性，見 《個人資料保護法》第 5、15、16 條。

面對詐欺、帳號冒用或身分風險，我不寫具體手法，寫了對讀的人也沒有幫助。能整理的是一條兼顧保護與查證的流程：

預防是降低民眾接觸高風險資訊與不實身分情境的機會；辨識協助當事人認出異常的聯繫、帳號或交易；保護先把還在擴大的損害壓下來，同時給出清楚的通報與支援管道；保存留下與事件有關、合法且必要的資料；查證與改善依法交叉驗證，再把風險回饋到教育、流程與系統設計。

五段裡我最不放心「保存」。其他四段都有當下的動作，保存沒有，容易被排到最後；這段一漏，後面查證就沒東西可比對。

六、證據與資料治理的共同原則 ​

  • 最小必要：只取得、處理、保存目的所需的部分。
  • 完整真實：留住來源與處理歷程，別被無授權改動。
  • 目的限制：不能因為「未來可能有用」就擴張使用。
  • 留得下痕跡：稽核、通知、刪除、救濟都留著，密行措施事後才查得動。

這篇的分層結構 ​

這篇的骨架是一筆資料從「它是什麼」走到「能不能拿出去講」，中間每一層都在替下一層設界線：

text
第 1 層  問題定義與資料辨識
         問什麼：要證明或排除哪個事實、手上這筆屬於哪一類資料
         產出：待證事項清單、資料類型判定（實體載體與電磁紀錄／通訊內容／通信紀錄與使用者資料／網路流量紀錄／特殊強制處分）
            ↓ 類型定了，才知道要走哪一條法定程序

第 2 層  法源、必要性與範圍
         問什麼：有沒有適當法源、對象與期間限縮到必要程度沒有
         產出：選定的程序、限縮後的對象與期間、關連性與必要性的說明
            ↓ 依法拿到手，接著要證明它沒被動過

第 3 層  保全與四面向檢核
         問什麼：來源、完整性、關連性、限制各答不答得出來
         產出：保管與處理歷程紀錄、四面向逐項回答，限制欄寫明誤差、共用與其他解釋
            ↓ 單筆站得住，多筆之間的關係還沒排

第 4 層  結構化事實與多源整合
         問什麼：事件、角色與行為、損害與風險、證據與來源各是什麼，哪些仍不確定
         產出：五層事實紀錄與不確定事項欄、各資料角度「說明不了什麼」的缺口清單
            ↓ 事實排好了，還得決定怎麼交出去、誰要先被保護

第 5 層  呈現、減害與治理
         問什麼：第三人看不看得懂來源與限制、還在擴大的損害壓下來沒、用完怎麼收
         產出：可被檢視的說明路徑、預防到查證的五段處置、最小必要與目的限制下的保存或刪除

第 1 層：先答「這是什麼」再答「怎麼查」。 這層要回答的是待證事實與資料類型。五段生命週期把「釐清問題」擺第一，判斷順序也把「這筆資料或調查客體是什麼」列為第 1 步，兩邊指向同一件事。實體載體、通訊內容、通信紀錄與使用者資料、網路流量紀錄、特殊強制處分能回答的問題差很遠，混著講就容易拿低侵害的程序去要高侵害的資料。類型辨識錯，後面四層跟著走偏。

第 2 層：程序跟著資料類型走。 問的是法源、關連性、必要性與範圍。判斷順序的第 3、4 步在這裡落地：先確認有沒有相應程序，再把對象、期間與範圍壓到必要。這層我自己最容易誤解的地方，是把「技術上取得得到」讀成「法律上可以任意使用」。通訊內容的隱私侵害程度高，本來就該有較嚴格的門檻與範圍限制，不會因為工具方便就往下調。限縮寫得越具體，第 3 層要保全的東西越少，也越守得住。

第 3 層：一筆資料要能自我交代。 來源、完整性、關連性、限制四個面向都得答得出來。看起來像真的不等於可以直接採用，有檔案有截圖也不代表必然可信。保全這段維持資料完整，並把必要的保管與處理歷程記下來。四項裡我最容易漏掉的還是限制：帳號或設備共不共用、有沒有誤差與缺漏、還有沒有別的解釋。資料越多，要交代的限制只會更多。少了這一欄，後面所有推論都沒有剎車。

第 4 層：把事實拆層再併起來。 這層問事件、角色與行為、損害與風險、證據與來源，最後留一格給不確定事項。多源整合是同一件事的另一面：身分帳號、時間紀錄、位置場域、金流、公開資料各能協助問出下一個可查證的問題，但登記人不等於實際行為人，同一時間出現也不等於共同參與。整合有一半工夫花在寫「這份資料說明不了什麼」。不確定那格一漏，推測很容易被寫成既定結論。

第 5 層：交得出去，也收得回來。 這層同時處理呈現與保護。呈現要讓第三人看得懂資料來源、限制與結論之間怎麼連起來；減害那條線是預防、辨識、保護、保存、查證與改善，其中保存沒有當下的動作，我覺得最容易被排到最後，一漏後面查證就沒東西可比對。治理原則收在最小必要、完整真實、目的限制與留得下痕跡。這層做完，整條鏈才回得去起點。

層與層之間的拉扯在第 2 層和第 5 層。程序那層要求限縮範圍，減害那層要求先止血，兩邊搶同一段時間：範圍寫得越保守，能立刻拿來保護當事人的資料越少；先衝保護，事後又得回頭補程序上的說明。我會讓兩條線並行起跑，保護走通報與支援管道，查證走法定程序，中間靠第 3 層的處理歷程把兩邊接起來，而不排成先後。

整條線換到的是「回得去」。任何一個結論都能沿著呈現、事實、保全、程序、問題定義倒推回最初那句待證事項。代價是慢，每一層都要留紀錄與限制說明，資料量大的時候特別吃時間。邊界也清楚：某個環節本來就只剩一份紀錄的時候，這套結構撐不出交叉驗證，只能把單點依賴標出來，不當成事實。

往下可以展開的追問：五個層次裡，哪一層失守之後最難用後面幾層補救，為什麼？「限制」這一欄要寫到什麼程度才算夠，寫太滿會不會反過來讓結論看起來不可用？保護與查證搶時間的時候，在哪一刻應該讓保護優先，並接受證據品質下降？

我的反思 ​

剛讀 《刑事訴訟法》第 158-4 條 和 《通訊保障及監察法》第 3-1、11-1 條 時，我只把它們當「哪種資料走哪種程序」的對照表。整理筆記才發現，它們逼我把一筆資料拆三層：客觀記錄了什麼、支持哪個假設、還缺哪些獨立驗證。拆完，帳號、時間、連線就很難再被我隨手寫成行為人或意圖。

《詐欺犯罪危害防制條例》 的角度不太一樣：被害保護要先止血，證據治理要把來龍去脈說清楚，兩邊互相搶時間。我現在看到新工具都會問一句，它同時改善了查證品質和被害風險嗎，還是只把資料量堆高。

還沒想清楚的是：如果某個環節本來就只剩一份紀錄，交叉驗證拿什麼做？目前只能把這種單點依賴標出來，不當成事實。

核心結論 ​

我判斷「做得成不成熟」的標準跟一開始差滿多。資料量和工具數量很有說服力，真正撐住結論的卻是目的、程序、證據、限制與權利保障連不連得成一條回得去的鏈。斷一節，前面全部不好用。

延伸閱讀 ​

頡譯的實習筆記：內容已去識別化，法規以官方來源為準。

頡譯的實習筆記