107 警察特考三等 警察資訊管理人員 電腦犯罪偵查 考古題詳解

核心觀念

本題為警察特考「電腦犯罪偵查」與「數位鑑識」領域之基礎必考題，測驗考生對於數位證據基本法理、技術特性、分類架構及實務偵查應用之整體掌握能力。

1. 數位證據定義與權威標準： 依據國際數位證據科學工作小組（SWGDE）及 ISO/IEC 27037 鑑識標準，數位證據（Digital Evidence）係指「以二進位或數位形式儲存、處理或傳輸，具有證明待證事實能力之資料或資訊」。
2. 證據能力要件： 數位證據於刑事訴訟中欲具備證據能力，必須滿足「合法性」（合乎令狀原則與法定程序）、「真實性／同一性」（透過雜湊值 SHA-256/MD5 與監管鏈 Chain of Custody 確保未遭竄改）及「關聯性」（與待證事實具實質關聯）。
3. 相關法源依據（以命題當年民國 107 年法規為準）：

• 《刑事訴訟法》第 122 條、第 128 條（搜索與扣押）、第 155 條第 2 項（證據能力法定原則）、第 159 條（傳聞法則）。
• 《通訊保障及監察法》（民國 107 年版）第 3 條之 1（通信紀錄與通訊使用者資料之定義）、第 11 條之 1（調取票規範）。
• （現行法提醒：現行法已於民國 113 年修正《刑事訴訟法》增訂科技偵查專章，並大幅翻修《通訊保障及監察法》，納入網路流量與科技偵查手段，但本題仍以民國 107 年法制為核心架構解題。）

---

解題方法

本題配分共 25 分，採三段式結構切入，配分比率與架構規劃如下：

1. 第一子題（5 分）：定義簡明扼要，直接破題點出「二進位形式」與「待證事實關聯」；特性部分條列 4 至 5 項關鍵特徵（無形性、脆弱性、易複製性、技術依賴性、動態跨界性），精準扣合鑑識實務。
2. 第二子題（10 分）：題目明確要求「請繪圖說明」。作答須兼顧「生成性質」（電腦儲存 vs. 電腦生成）與「儲存狀態」（揮發性 vs. 非揮發性）雙重維度，並以結構化樹狀圖或架構圖直觀呈現，搭配文字說明各類別之內涵與傳聞法則適用差異。
3. 第三子題（10 分）：不可單純雜亂列舉證據項目，應以「偵查待證事實」（犯罪實體構成要件）為導向進行分類歸納：

• 身分識別與在場證明（Who & Where）
• 犯意聯絡與通訊內容（Why & Agreement）
• 行為軌跡與作案手法（How & Action）
• 犯罪金流與利益流向（Gain & Profit）
• 系統攻擊與入侵跡證（Cyber Intrusion Artifacts） 並分別舉出傳統犯罪與電腦犯罪之具體數位證據實例，展現實務應用深度。

---

選項分析（申論題關鍵觀念與法理辨析）

本題為申論題，非選擇題。考生在申論各子題時，常見以下關鍵法律與技術觀念盲點，須精確辨析：

1. 「電腦儲存紀錄」與「電腦生成紀錄」之傳聞法則區別：

• 電腦儲存紀錄（Computer-Stored Records）：本質為「人類思維與供述內容」透過電腦儲存（如 E-mail、Word 記事本、LINE 對話紀錄），在證據法上屬於《刑事訴訟法》第 159 條第 1 項之「供述證據」，原則上有傳聞法則之適用，須具備傳聞例外（如第 159 條之 4 業務登載文書）始具證據能力。
• 電腦生成紀錄（Computer-Generated Records）：本質為系統軟硬體自動運作輸出之客觀紀錄（如防火牆 Log、系統事件日誌、自動感應門禁紀錄、GPS 軌跡），非人類思想之陳述，屬於「非供述證據」（物證或衍生證據），不適用傳聞法則，重點在於驗證系統硬體運作正常度與資料完整性。

2. 數位證據之「易脆弱性」與「完美複製性」的辯證關係： 數位資料極易遭到竄改且不留痕跡（脆弱性）；但透過位元串流映像（Bit-stream Image）與加密雜湊演算法（Hash Function），可複製出與原始磁區完全一致之副本，使法庭能藉由檢驗雜湊值一致性（如原始證物與鑑識副本 Hash 相同）來擔保證據同一性。
3. 傳統犯罪與電腦網路犯罪在數位證據呈現上的差異： 傳統犯罪中，數位證據多作為輔助性之間接證據（如監視器錄影確認行蹤、手機通訊確認毒品交易買賣）；電腦網路犯罪中，數位證據本身即為犯罪核心行為與直接證據（如滲透指令、惡意程式碼、封包攻擊流）。

---

解題技巧

1. 圖表排版策略：第二小題指明「繪圖說明」，切記勿僅寫純文字。圖形須具備層級架構，清楚區分主要維度與具體實例，圖後緊接著列點定義，閱卷委員可一目了然。
2. 黃金比例配分原則：

• 第一小題（5 分）：約 8～10 行。
• 第二小題（10 分）：圖形佔約 1/3 頁，搭配文字說明 10～12 行。
• 第三小題（10 分）：分大項歸納待證事實，列點列項，篇幅約 1 頁。

3. 實務專業術語堆疊：適度帶入專業鑑識術語（如：位元串流映像 Bit-stream Copy、雜湊值 Hash Value、監管鏈 Chain of Custody、非揮發性儲存媒體、暫存揮發記憶體 RAM），強化資深資訊警官之專業形象。

---

【答案】

一、數位證據之意義與特性（5 分）

(一) 數位證據之意義 數位證據（Digital Evidence），依國際數位證據科學工作小組（SWGDE）及 ISO/IEC 27037 鑑識標準之定義，指任何以二進位（Binary）或數位型態儲存、處理或傳輸，於訴訟上足以用來證明待證事實之一切資料或資訊。其範圍涵蓋終端設備儲存之檔案、網路傳輸封包、記憶體暫存資訊及系統自動生成之各類日誌（Logs）。

(二) 數位證據之特性

1. 無形性與脆弱性（Intangible & Fragile）：數位資料僅由「0 與 1」編碼構成，不具可觸及之實體外貌；其極易因開關機、人為誤觸、外在磁場或惡意指令遭到覆寫、竄改或刪除，且竄改後外觀不易留下物理痕跡。
2. 複製精確性（Accurate Duplicability）：透過位元對位元之映像技術（Bit-stream Image）及密碼學雜湊演算法（如 MD5、SHA-256）比對，可產製出與原始證據在物理結構與內容上完全相同之鑑識副本，具備完美可複製性。
3. 載體獨立性與技術依賴性（Media Independence & Tech-Dependency）：數位證據可脫離原始硬體而在不同媒介間流轉傳輸；惟其無法直接以人類肉眼檢視，必須透過特定的軟硬體設備、解碼工具及專業鑑識平台方能讀取、還原與呈現。
4. 隱蔽性與潛在性（Latent & Hidden）：大量關鍵跡證隱藏於作業系統之非分配空間（Unallocated Space）、交換檔（Swap File）、暫存記憶體（RAM）或未指派之磁區中，需仰賴鑑識專業技術萃取。
5. 時空動態與跨國界性（Dynamic & Transnational）：數位資料能以光速在跨國網際網路或雲端伺服器（Cloud）之間傳播與分散儲存，管轄權與偵查取證具高度動態性。

---

二、數位證據之分類及說明架構圖（10 分）

核心觀念

本題的核心在於「資通安全之全面風險管理架構」與「數位犯罪偵查生命週期」的整合。主要測驗考生是否理解現代資安防禦已從早期的「被動邊界防堵」，演進為涵蓋事前、事中、事後的「4P's 模型（Prevention, Protection, Preservation, Presentation）」。

涉及的重要觀念、標準與法規依據：

1. 風險管理循環（Risk Management Cycle）：依據 ISO/IEC 27001 ISMS 規範與 PDCA（Plan-Do-Check-Act）精神，資安並非單一技術產品，而是動態評估風險衝擊、承受度並配置控制機制的持續過程。
2. 數位證據處理原則（Digital Evidence Principles）：依據 ISO/IEC 27037 數位證據處理標準及刑事訴訟法證據能力要求（特別是嚴格證明法則），強調數位證據之「同一性」、「不可否認性」與「監管鏈（Chain of Custody）」。
3. 相關法規依據：本題以命題當年（民國 107 年）法規為準。立法院於民國 107 年 6 月 6 日制定公布《資通安全管理法》（於民國 108 年 1 月 1 日正式施行），該法確立公務機關與關鍵基礎設施之資安維護計畫應落實預防、通報與應變機制；涉及犯罪偵查部分，則依刑事訴訟法第 122 條至第 153 條之搜索扣押規定與科技偵查法理為依據。

---

解題方法

本題為典型的「申論型理論架構題」，作答切入點應分為三層次推進：

1. 破題與定位：先將 4P's 置於「時間軸（事前 $\rightarrow$ 事中 $\rightarrow$ 事後）」與「防禦層次（策略管制作業 $\rightarrow$ 實體技術防堵 $\rightarrow$ 司法證據固定 $\rightarrow$ 法律訴訟呈現）」的雙維度架構中。
2. 分項核心剖析（四大構面）：對每一個「P」，標準架構為「意涵與目標」＋「控制機制（區分管理面、技術面、實體/程序面）」，條列分明，展現警察資訊專業的深度。
3. 架構圖繪製：透過系統關係圖呈現 4P 之間的推進關聯、風險管理核心及事後反饋至事前的閉環（Closed Loop），滿足題目「並繪圖說明之」的明確要求。

---

選項分析

本題為申論題，非選擇題。就四個構面之邊界與常見作答混淆點進行辨析：

• 預防（Prevention） vs. 防護（Protection）：
• 預防 著重於「危害未發生前之風險評估、體系建立與弱點消除」（偏管理制度、弱點檢測、修補）；
• 防護 著重於「威脅接觸系統時的即時攔截、阻斷與縱深防禦」（偏邊界防火牆、入侵防禦、存取控管）。兩者若混為一談將大幅失分。
• 證據保全（Preservation） vs. 專業鑑識（Presentation）：
• 保全 著重於「現場跡證完整扣押、原樣封存、防止揮發與監管鏈」（目標是確保未被竄改）；
• 鑑識／呈現 著重於「科學化萃取、分析、因果重構，並轉化為司法可採納之鑑識報告與法庭攻防」（目標是證明待證事實）。

---

解題技巧

1. 繪圖技巧：申論卷上的圖表切忌雜亂無章。應繪製「以風險管理為核心的循環架構圖」或「事件時間序列圖」，標註各構面在「事前、事中、事後」的定位與回饋箭頭（Feed-forward & Feedback）。
2. 關鍵字精準植入：閱卷委員評分時高度依賴關鍵詞，作答務必涵蓋：弱點掃描、縱深防禦（Defense-in-Depth）、最小特權原則、監管鏈（Chain of Custody）、雜湊值比對（SHA-256）、映像檔製作（Bit-stream Image）、ISO/IEC 27037、專家證人。
3. 扣合「警察資訊管理」角色：4P 中的後兩項（Preservation 與 Presentation）是警察犯罪偵查與資安科技人員的核心專業，內容比重應與前兩項並駕齊驅，不可草草帶過。

---

【答案】

一、4P's 模型與風險管理架構圖

資通安全之 4P's 模型係以「風險評估與管理」為核心中樞，貫穿資安事件之生命週期（事前準備、事中對抗、事後偵查與司法審判），並藉由鑑識分析之根因回饋，形成動態防禦閉環：

flowchart TD
 subgraph Core ["風險管理核心 (Risk Management Core)"]
 RM["威脅評估 / 弱點辨識 / 衝擊分析 / 控制措施優化"]
 end

 subgraph Timeline ["資安防禦與犯罪偵查生命週期"]
 P1["1. 資安預防 (Prevention)<br>【事前防範】降低發生機率"]
 P2["2. 資安防護 (Protection)<br>【事中對抗】降低損害衝擊"]
 P3["3. 證據保全 (Preservation)<br>【即時扣押】確保證據能力"]
 P4["4. 專業鑑識 (Presentation)<br>【事後分析】法庭訴訟呈現"]
 end

 RM -.->|指導安全政策| P1
 P1 -->|落實安全基線| P2
 P2 -->|事件觸發通報| P3
 P3 -->|提供原始映像| P4
 P4 -->|根因分析與威脅情資反饋| RM
 RM -.->|持續改善 (PDCA)| P1

---

二、四大構面之詳細內容與控制機制

（一）資安預防（Prevention）

1. 構面內容： 屬於「事前（Pre-incident）」預警與準備機制。旨在威脅發生之前，透過主動辨識系統架構弱點與評估潛在資安風險，採取控制措施以消弭安全漏洞，將資安事件發生的機率降至組織可接受之風險胃納（Risk Appetite）範圍內。
2. 具體控制機制：

• 管理面控制：
• 建置符合國際標準（如 ISO/IEC 27001）之資通安全管理體系（ISMS）。
• 定期實施全員資安教育訓練與社交工程社交釣魚演練，提升人員資安素養。
• 建立資產盤點清冊與威脅風險評估作業機制。
• 技術面控制：
• 弱點掃描與修補管理：定期執行系統、網路及資料庫弱點掃描，落實漏洞更新（Patch Management）。

核心觀念

本題為民國 107 年警察特考三等「電腦犯罪偵查」之名詞解釋題，合計 25 分（每小題 5 分），主要評量考生對數位鑑識法律程序、惡意程式演化、現代網路威脅形態、犯罪型態學以及網路攻擊手法的基本認知。

相關核心概念與規範架構包含：

1. Legal Hold（訴訟保留）：涉及英美法系民事訴訟之電子證據開示（Electronic Discovery, e-Discovery）程序，以及我國《刑事訴訟法》第 219 條之 1 關於「保全證據」之精神。要求在知悉訴訟可能發生時，立即凍結組織內部電子儲存資訊（Electronically Stored Information, ESI），防止證據滅失或偽造。
2. Ransomware Worm（勒索蠕蟲）：結合「勒索軟體（Ransomware）」之強密碼學加密受害主機檔案以勒索贖金之酬載（Payload），與「電腦蠕蟲（Worm）」利用網路協定漏洞自我複製且無須人為介入即可自動橫向感染（Lateral Movement）之複合式惡意程式（以民國 106 年全球爆發之 WannaCry、NotPetya 為典型代表）。
3. APT（進階持續性威脅）：由國家級黑客或具龐大資源之後援組織發起，結合網路殺傷鏈（Cyber Kill Chain）模型，透過高度客製化惡意程式、社交工程（如魚叉式網路釣魚）、零日漏洞（Zero-day Exploit），長期潛伏於特定高價值目標內部進行情報竊取或關鍵基礎設施破壞。
4. Cybercrime（網路犯罪／電腦犯罪）：依歐洲理事會《布達佩斯網路犯罪公約》（Convention on Cybercrime）分類架構，分為「以電腦為侵害目標之純粹電腦犯罪（Cyber-dependent crimes）」與「以電腦網路為犯案工具之傳統犯罪網路化（Cyber-enabled crimes）」。以命題當年（民國 107 年）法規為準，我國《刑法》第 36 章「妨害電腦使用罪」（第 358 條至第 362 條）為其處罰核心規範（現行法於民國 112 年增訂加重妨害電腦使用罪等條文，解題仍以當年度法制體系為基準）。
5. Distributed Denial of Service Attack（分散式阻斷服務攻擊）：攻擊者利用指揮控制伺服器（C2）操縱受感染之大量殭屍網路主機（Botnet），同時向單一目標伺服器或網路鏈路發動海量流量或協定缺陷請求，耗盡其頻寬、運算資源或連線表，致合法使用者無法取得服務，破壞資訊安全之可用性（Availability）。

---

解題方法

面對每小題配分 5 分的名詞解釋，應採取「三段式定義法」作答，篇幅控制在 100 至 150 字之間，切忌單句敷衍或長篇偏離主軸：

1. 本質定義：以專業術語精確指出該名詞的本質、全稱與概念歸屬。
2. 運作特徵與機制：說明其核心機制、技術手法或法定執行流程。
3. 實務關聯與實例：點出其在偵查實務、鑑識保全、刑事法規適用或知名代表案例上的關聯，展示警察資訊人員的實務視野。

---

解題技巧

1. 掌握名詞拆解法：如「Ransomware Worm」，必須明確區分出「勒索加密目的（Ransomware）」與「蠕蟲自動擴散（Worm）」兩個面向，若只寫勒索軟體或只寫蠕蟲，將被扣除一半分數。
2. 避開常見概念陷阱：

• 勿將「Legal Hold」誤解為單純的公司內部常態性檔案備份（Archiving）；其本質是因應「特定訴訟/調查」而暫停日常刪除週期的法律防衛機制。
• 說明「APT」時，切勿僅強調「技術高超」，必須凸顯「特定目標攻擊（Targeted）」、「長期潛伏（Persistent）」與「人為操控而非單一自動化病毒」的特質。
• 說明「Cybercrime」不可僅侷限於入侵電腦（純粹電腦犯罪），必須提及利用網路犯罪之其他刑事案件（如網路詐欺、恐嚇）。
• 「DDoS」必須強調「分散式（Distributed）」與「殭屍網路（Botnet）」，若僅描述單機 DoS 攻擊則無法取得完整分數。

---

【答案】

核心觀念

本題主要評量「警察資訊管理」人員在面對高度組織化、跨國化與技術化之網路詐欺時，是否具備結合犯罪學理論、資通訊科技、法律規範與實務偵查之綜合統整能力。核心觀念涵蓋：

1. 犯罪模式與偵查模式：

• 犯罪模式：分析詐欺集團之組織架構（話務機房、洗錢水房、車手團、技術後勤）、運作流程（接觸引誘、洗腦話術、金流移轉）與犯罪特性（匿名性、跨國界性、虛擬性、低成本高獲利）。
• 偵查模式：打破傳統單一地域管轄與被動受理之思維，採取「資訊流（數位足跡/通信歷程）」、「金流（金融帳戶/虛擬通貨）」及「人流（實體監視/現場查緝）」之「三流合一」主動溯源打擊模式。

2. 法規依據（以命題當年民國 107 年法規為準）：

• 《中華民國刑法》第 339 條之 4（加重詐欺罪）：三人以上共同犯之、冒用政府機關或公務員名義、以廣播電視、電子通訊、網際網路或其他媒體等傳播工具向公眾散布而犯之。
• 《洗錢防制法》第 14 條（洗錢罪）：洗錢防制法於民國 106 年大幅修法後，明定提供帳戶或擔任車手提領贓款掩飾隱匿犯罪所得者，均適用洗錢罪追訴。
• 《通訊保障及監察法》第 3 條之 1、第 5 條、第 11 條之 1：調取通訊使用者資料、通信紀錄之法律要件與限制。
• (現行法已陸續增訂《詐欺犯罪危害防制條例》（打詐專法）、修正刑法增訂電腦合成深偽（Deepfake）詐欺，並於洗錢防制法增訂人頭帳戶處罰專條。)

3. 科技與跨域防制機制：公私協力（金融端、電信端、網路平臺端）、跨部會聯防、情資共享與大數據關聯分析。

---

解題方法

本題為標準的 25 分四子題申論題，配分比重為 5 分、5 分、5 分、10 分，解題切入點應精準切合各小題核心：

1. 第一小題（5 分）：以對比與呼應方式，分別精簡界定「網路詐欺犯罪模式」之結構（組織化、層級化、虛實交錯）與「偵查模式」之核心（三流合一、跨域溯源、巨量資料分析）。
2. 第二小題（5 分）：依警政署統計實務，挑選最具代表性之 5 大犯罪型態（假網拍、解除分期付款、假投資/博弈、假交友/殺豬盤、假冒公務機構/親友），分別點明其犯罪手法與欺瞞機制。
3. 第三小題（5 分）：按偵查標準作業程序（SOP）開展，依「受理報案與即時止損」、「金流追查與斷絕」、「資訊流與數位鑑識」、「人流查緝與溯源瓦解」四階段條列實務作為。
4. 第四小題（10 分）：此為全題配分最重之核心題，須提出具體之架構機制，涵蓋「情資整合大數據平臺」、「跨部會與公私協力聯防機制」、「境外與虛擬金流阻斷機制」，並輔以「假投資結合虛擬通貨詐欺」之完整偵查實例，最後依題意繪製系統架構/偵查流程圖（Mermaid 格式），展現體系化邏輯。

---

解題技巧

1. 關鍵字精準投放：申論評分標準看重專業術語，務必置入「三流合一」、「圈存止扣」、「警示帳戶」、「數位鑑識（Forensics）」、「車手/水房/機房」、「關聯分析」等關鍵詞。
2. 階層明確：每一子題均依標號（一）、（二）、1.、(1) 逐層分點列出，避免長篇大論未見重點。
3. 實務與法規並重：說明偵查手段時帶入法定程序（如調閱通聯須符通監法規範、聲請搜索票依刑訴法），彰顯合法蒐證之資管專業素養。

---

【答案】

一、網路詐欺犯罪模式及偵查模式之意涵（5 分）

(一) 網路詐欺犯罪模式 網路詐欺犯罪模式係指犯罪集團利用網際網路具備之「匿名性、跨國界性、傳播即時性與虛擬性」，透過縝密之組織分工與社會工程學話術，誘使被害人陷於錯誤而移轉財產之結構化運作方式。其核心組織架構通常分為：

1. 核心幕後與技術維運組（機房）：架設架設釣魚網站、假投資APP、申請跳板伺服器（VPN/Proxy）、購買個資並執行發話話術。
2. 金融帳戶與水房組：收購或詐取人頭金融帳戶（人頭簿），透過多層次轉帳、地下匯兌或虛擬通貨進行洗錢，隱匿贓款去向。
3. 實體提領組（車手團）：調派一線車手及車手頭至實體自動櫃員機（ATM）密集提領現金，再交由收水人員。

(二) 網路詐欺偵查模式 網路詐欺偵查模式係指司法警察面對碎片化、跨域化之犯罪事證，打破傳統單一地域管轄與靜態筆錄思維，所採取之​「人流、金流、資訊流——三流合一」​之科技偵查打擊模式。偵查機關運用巨量資料分析與數位鑑識技術，從虛擬之網路軌跡與多層金融轉帳紀錄中反向勾稽，實施跨部會、跨轄區之關聯分析，最終逆向溯源並瓦解境外話務機房、洗錢水房及幕後集團主嫌。

---

二、常見網路詐欺型態及手法（5 分）

實務上常見之網路詐欺型態與手法可歸納為以下五類：

1. 假網路拍賣與購物詐欺：

• 手法：詐騙集團於社群平臺（如 Facebook、LINE）架設一頁式廣告或盜用合法賣家帳號，以遠低於市價之商品誘騙買家匯款，收款後隨即封鎖斷訊（不出貨）；或利用「第三方詐騙」手法，同時欺騙買家與另一合法賣家，使合法賣家帳戶成為警示帳戶。

2. 解除分期付款詐欺（ATM 詐騙）：

• 手法：駭客攻破電子商務業者資料庫竊取客戶交易訂單個資，再由話務機房假冒電商客服人員致電，謊稱「工作人員設定錯誤導致重複扣款/升級VIP」，進而誘騙被害人前往 ATM 操作或開啟網路銀行 APP 進行「身分驗證/解除設定」，實質將款項轉出。

3. 假投資與博弈詐欺：

• 手法：利用社群平臺投放「保證獲利、穩賺不賠」廣告，引誘被害人加入群組（暗樁造勢），指示登入偽造之境外投資網站或虛擬貨幣交易所。初期給予微薄出金回饋以建立信任，待被害人投入大額資金後，便以「繳納保證金、稅金、洗碼量不足」等理由凍結提領，隨即關閉網站失聯。

4. 假交友（戀愛）詐欺（殺豬盤）：

• 手法：歹徒在交友軟體盜用帥哥美女照片建立人設，長期對被害人噓寒問暖博取感情信任，待時機成熟便稱「掌握海外投資漏洞」或「遭遇重大急難（如海關扣押包裹、醫療費）」，誘騙被害人匯款資助。

5. 假冒公務機構（檢警）詐欺：

• 手法：話務人員利用竄改來電顯示號碼，假冒戶政、健保局或中華電信，謊稱被害人個資遭冒用申辦門號涉案，隨後將電話轉接假檢察官或警察，以「涉及洗錢重罪、偵查不公開、財產監管」為由恐嚇被害人，要求將存款匯入指定安全帳戶，或指派假書記官面交提領存摺與現金。

---