109 警察特考三等 警察資訊管理人員 電腦犯罪偵查 考古題詳解

核心觀念

本題考刑法第三十六章「妨害電腦使用罪」，重點是分辨各罪的行為類型、成立要件與告訴乃論範圍，再判斷刑法第361條的公務機關加重規定適用於哪些罪。

以下以命題當年（民國109年）法規為準。刑法第358條至第363條相關規定與本題所涉要點相同，沒有影響本題答案的後續重要修正。

解題方法

依序整理刑法第358條至第362條的行為，再依第363條確認告訴乃論範圍。最後依第361條「犯前三條之罪」的文字，確認加重適用於第358條至第360條，而非第361條至第362條。

(一) 妨害電腦使用罪之行為及告訴乃論

1. 無故入侵他人電腦或相關設備（刑法第358條） 無故輸入他人帳號密碼、破解電腦保護措施，或利用電腦系統漏洞，入侵他人電腦或相關設備。 告訴乃論。

2. 無故取得、刪除或變更電磁紀錄（刑法第359條） 無故取得、刪除或變更他人電腦或相關設備中的電磁紀錄，並且因此損害公眾或他人。 **告訴乃論。**本罪除有取得、刪除或變更行為外，還要求「致生損害」。

3. 無故干擾他人電腦或相關設備（刑法第360條） 無故以電腦程式或其他電磁方式干擾他人電腦或相關設備，並且因此損害公眾或他人。 **告訴乃論。**同樣要求「致生損害」。

4. 製作供犯罪使用的電腦程式（刑法第362條） 製作專供犯本章之罪使用的電腦程式，並供自己或他人犯罪，且因此損害公眾或他人。 **非告訴乃論。**單純製作程式並不足夠，還須有供自己或他人犯本章之罪及致生損害等要件。

刑法第363條明定，第358條至第360條之罪須告訴乃論；第362條不在該條列舉範圍內，因此不屬告訴乃論。

核心觀念

本題考《個人資料保護法》第 15 條與第 16 條，須區分公務機關處理個人資料的兩個階段：

• 蒐集或處理：須有特定目的，並具備法定事由之一。
• 利用：原則上須在執行法定職務的必要範圍內，且符合蒐集時的特定目的；符合法定例外時，才可作特定目的外利用。

以下以命題當年（民國 109 年）法規為準。個資法其後已有修正；本題所涉第 15 條、第 16 條列舉要件並未變動。

解題方法

依題目兩小題分別對應第 15 條與第 16 條，先寫原則，再完整列出法定事由。第 15 條考「蒐集、處理的合法事由」；第 16 條考「目的外利用的七種例外」，兩者不能混為一談。

（一）公務機關蒐集或處理個人資料的事由

依個資法第 15 條，公務機關對個人資料之蒐集或處理，應有特定目的，並符合下列情形之一：

1. 執行法定職務必要範圍內。
2. 經當事人同意。
3. 對當事人權益無侵害。

上列為三項擇一要件；具備特定目的並符合其中一項，始符合本題所問的蒐集或處理條件。

（二）特定目的外利用的例外

依個資法第 16 條，公務機關利用個人資料，原則上應在執行法定職務必要範圍內，並與蒐集之特定目的相符。但有下列情形之一，得為特定目的外之利用：

核心觀念

本題考查政府機關（構）完成數位證據蒐集後，如何以適當的包裝、標示、封緘及紀錄，維持證據的完整性、可識別性與保管鏈（Chain of Custody），避免證據在移交、運送及保管期間遭到未授權開啟、替換或污染。

本題依據《政府機關（構）資安事件數位證據保全標準作業程序》作答；涉及程序規範，應以命題當年（民國 109 年）適用版本為準。封緘的重點不只是把證物包起來，而是讓任何人都能辨認證物內容、封緘狀態及每次交接情形。

解題方法：依「包裝、標示、封緘、紀錄、保管」說明

作答時可按實際作業順序展開，並點出每一步保障的證據價值：

一、選擇適當包裝並妥善放置證物

依證物種類及特性選用適當的證物袋、封套或容器，將證物妥善放入，避免運送或保管期間受到碰撞、潮濕、靜電或其他環境因素影響。包裝時應避免讓證物受到不必要的操作或變動。

二、在包裝外標示證物資料

包裝外應有足以識別證物的標示，至少包括證物名稱或內容、證物編號，以及案件或事件識別資料；並記錄採證人員及採證時間等資訊。標示應清楚、完整，且與證物清冊及相關紀錄相符，以避免證物混淆或錯置。

三、完成封緘並確保封口可辨識

核心觀念

本題考查網站常見弱點的成因、攻擊方式與防護原則。題目中的五個名稱曾列於 OWASP Top 10；作答時應分別交代「弱點在哪裡、攻擊者如何利用、會造成什麼影響、如何降低風險」。

解題方法

依序從系統設定、瀏覽器端輸出、資料反序列化、輸入資料處理，以及身分驗證機制切入。各小題使用「定義 → 攻擊與影響 → 防護」的順序說明，即能完整呈現網站安全弱點。

（一）Security Misconfiguration（安全設定錯誤）

定義： 系統、伺服器、框架、資料庫或應用程式的安全設定不當，或未依需求妥善設定。例如保留預設帳密、啟用不必要的服務、錯誤設定雲端儲存權限、暴露管理介面，或在正式環境開啟詳細錯誤訊息。

攻擊與影響： 攻擊者可利用錯誤設定取得未授權存取、讀取敏感資料，或藉由已知弱點進一步控制主機。詳細錯誤訊息也可能洩漏路徑、版本、資料庫結構等資訊，協助後續攻擊。

防護： 建立並套用安全設定基準；移除預設帳號與不必要功能；正式環境關閉除錯及詳細錯誤訊息；定期修補軟體、盤點設定，並以自動化工具檢查設定差異與暴露服務。

（二）Cross-Site Scripting（跨站腳本攻擊，XSS）

定義： 網站未妥善處理不可信輸入，將其以可執行內容輸出給其他使用者的瀏覽器，導致瀏覽器在網站可信的來源脈絡下執行攻擊者提供的腳本。常見類型包括反射型、儲存型及 DOM 型 XSS。

攻擊與影響： 攻擊者可藉由惡意連結、留言或網頁內容執行腳本，竊取或冒用使用者可被腳本存取的資料、冒用使用者操作，或將使用者導向仿冒頁面。若工作階段 Cookie 未設妥保護屬性，遭竊風險會增加。

防護： 依輸出脈絡進行適當編碼，例如 HTML、屬性、JavaScript 或 URL 脈絡各自採用相應的輸出編碼；避免以不安全方式拼接 HTML；必要時使用可信賴的 HTML 清理機制。內容安全政策（CSP）可作為縱深防禦，但不能取代輸入處理與輸出編碼。

（三）Insecure Deserialization（不安全反序列化）

定義： 反序列化是將序列化資料還原為程式物件的過程。不安全反序列化指應用程式接受未受信任或未驗證的序列化資料並直接還原，讓攻擊者可操控物件內容或還原時觸發的程式行為。

攻擊與影響： 若程式或所用函式庫在物件還原時會呼叫特定方法，攻擊者可能構造惡意資料，造成權限繞過、拒絕服務，甚至遠端程式碼執行；也可能藉修改序列化欄位竄改權限或交易內容。