114 警察特考三等 警察資訊管理人員類別 電腦犯罪偵查 考古題詳解

核心觀念

本題考查網路犯罪偵查與傳統犯罪偵查的共同目的與差異，並要求把訪談、情資蒐集、臥底等傳統方法，轉化為適用於網路空間的偵查作為。作答宜先比較「偵查目標、證據形式、偵查方法」，再逐項說明傳統方法如何調整。

網路犯罪偵查仍以發現犯罪事實、確認行為人、蒐集及保全證據，並依法追究責任為目的；不同之處在於犯罪可能跨越地域、透過匿名或假名進行，且關鍵證據常存在於易變動、可複製或由第三方持有的數位資料中。因此，偵查除了查明人、事、時、地、物，也須釐清帳號、裝置、網路連線紀錄及數位活動之間的關聯。

涉及法規與程序者，以命題當年（民國 114 年）法規為準；偵查仍須遵守刑事訴訟法及相關規範，依法定程序搜索、扣押、調取資料並保全證據。

解題方法

可用「目的相同、標的不同；證據可相互補強、方法須因應數位環境」作為比較主軸。先指出傳統偵查與網路犯罪偵查的共通點，再依題目指定的三個面向逐一比較，最後把傳統偵查方法改寫為可在線上及線下實施的操作。

兩者的共同點是都要建立可受檢驗的證據鏈，查明犯罪事實、行為人、犯意及損害，並以合法、客觀的方法蒐證。數位證據並不取代證人、金流或實體證物；偵查上應讓不同證據互相印證。例如，登入紀錄可指出某帳號曾連線，金流資料可證明款項流向，訪談與扣得裝置資料則可能協助確認帳號實際使用者。

傳統偵查方法在網路犯罪中的應用與調整

一、訪談：從詢問現場經過，擴大為數位行為與帳號使用情形的釐清

訪談被害人、證人及嫌疑人時，除了解犯罪經過、損害及人際關係，還應詢問數位活動的具體細節，例如使用的帳號名稱、平台、聯絡時間、網址、付款方式、訊息內容，以及是否曾收到驗證碼、點擊連結或安裝程式。

訪談時宜請受訪者指出資料所在位置，並以合法方式保存相關畫面、訊息或檔案；記錄其提供資料的來源、取得時間、使用裝置及操作經過。

一、核心觀念：犯罪偵查與知識工程化

犯罪偵查是從犯罪行為留下的心理、物理及社會痕跡中，蒐集並分析資料，依據偵查技術與推理法則重建犯罪事實、辨識犯罪人，進而依法蒐集證據的過程。偵查不是依個人直覺講述案情，而是把每項推論連結到可查證的資料與證據。

「犯罪偵查知識工程化」是將個案中的資料、專業知識、偵查方法與推論程序有系統地組織起來，讓偵查工作朝向：

• 合理化：推論有事實基礎，排除無根據的懷疑。
• 科學化：運用鑑識與可重複檢驗的方法分析證據。
• 系統化：依程序保全、蒐集、整理及比對資料。
• 知識化、規則化：把個案事實與推理過程清楚表達，供查證、檢驗及後續偵辦使用。

偵查基本上是以證據處理問題的流程：先確認待查問題，再蒐集資料、形成假設、查證假設，最後提出有理由與證據支持的犯罪事實主張。運用犯罪偵查方法時，應依法定程序處理證據，並注意證據的來源、完整性、保管及移轉紀錄；涉及數位證據時，尤其要避免不當操作造成資料變動或滅失。

二、解題方法：以 ICNIV 五階段展開

本題可用 ICNIV 記憶五階段：

五階段形成「證據與推論相互檢驗」的流程：偵查資料不足時應補充蒐集；假設未獲支持時應調整方向；經查證的結果則須整理成可檢驗的犯罪事實主張。

三、犯罪偵查技術

偵查技術須配合案件性質、證據種類及法定程序運用，常見方法如下：

1. 現場處理與證據保全：保護現場，記錄現場狀況，標示、拍攝及蒐集可能與案件相關的痕跡、物品及文件，避免污染、遺失或遭到破壞。
2. 訪談與訊問：向報案人、被害人、證人及關係人了解事實；依法詢問犯罪嫌疑人，並將陳述與其他證據相互核對。
3. 查訪與情報蒐集：蒐集人、事、時、地、物等資料，查明嫌疑人身分、活動範圍、同夥關係及可能使用的工具。
4. 監視器與影像追查：調閱案發地及相關路線影像，整理時間軸、人物特徵、交通工具、移動路線及接觸關係。
5. 搜索、扣押與文件調查：依法律程序取得與案件有關的物品、文件或設備，並記錄扣押來源及保管情形。
6. 鑑識技術：依案件需要進行指紋、DNA、工具痕跡、文件、化學物質、槍彈或數位資料等鑑驗。
7. 數位犯罪偵查與數位鑑識：保全電腦、伺服器、ATM、行動裝置及網路紀錄；製作鑑識映像、分析系統紀錄與惡意程式、比對時間戳記及網路連線資料，以重建入侵、控制及資料處理過程。
8. 資料分析與交叉比對：比對通聯、帳務、位置、影像、出入境、交通及數位紀錄，尋找時間、地點、人物及行為之間的關聯。
9. 犯罪情境重建：把不同證據放在同一時間軸或路線圖中，檢驗犯罪流程、犯案分工、交通方式、逃逸路線及贓款流向是否符合客觀資料。

四、五階段舉例：第一銀行 ATM 跨國盜領案

以下以第一銀行 ATM 跨國盜領案說明。該案中，犯罪集團利用惡意程式及遠端控制方式，使 ATM 吐鈔，再由車手取走現金。偵查時須同時處理 ATM 與銀行系統的數位跡證、現場影像、車手行動及跨國分工等線索。

（一）鑑定化階段：確認問題並蒐集資料

發現 ATM 出現非正常吐鈔或現金短少後，先確認事件範圍及待查問題：哪些 ATM 遭到影響、吐鈔發生於何時、是否有人操作提款、現金由誰取走，以及是否存在系統遭入侵的情形。

蒐集資料包括 ATM 及相關系統紀錄、設備與儲存媒體、銀行通報資料、監視器影像、現場跡證、交易紀錄及車手可能使用的交通工具資料。數位設備與紀錄須依法保全，並維持來源及保管過程可供追溯。

（二）概念化階段：整理證據並找出資料價值

將不同來源的資料分類、比對及鑑識，找出彼此關聯。例如：

核心觀念

本題考查數位鑑識如何把分散的數位證據，轉化為可說明犯罪經過的證據脈絡。三種分析技術各自回答不同問題：

• 時間軸分析：證據在何時產生、變更或被使用？事件先後順序為何？
• 關聯分析：不同證據、帳號、裝置、人物與事件之間有何連結？
• 功能分析：裝置、程式、檔案或帳號實際具備什麼功能？該功能如何支援或呈現犯罪行為？

三者須相互驗證，才能從證據推論「人、事、時、地、物、原因」。數位鑑識重視證據來源、取得程序、完整性、可重現性與脈絡；分析結果是依證據支持程度建立的犯罪事件圖景，不能只憑單一時間戳記或單一關聯就認定犯罪事實。

解題方法

作答可依「先整理事件、再串聯證據、最後解釋作用」的順序：先建立標準化時間軸，再以關聯分析找出人與物、事件與位置的連結，接著用功能分析判斷相關設備或資料如何被運用，最後逐項對應案件要素並交叉檢驗。

一、時間軸分析（Timeline Analysis）

時間軸分析是蒐集並整理數位證據中的時間資訊，依事件時間先後排列，藉此重建資料與使用者活動的歷程。來源可包括檔案系統的建立、修改、存取時間，作業系統與應用程式紀錄，電子郵件、通訊軟體、瀏覽紀錄、登入紀錄、網路連線紀錄及監視影像等。

分析時，先保存原始證據並記錄取得方式，再擷取各來源的時間戳記，統一時區、日期格式與時間基準，整理成「時間、事件、來源、可信度或限制」等欄位。接著比對同一事件在不同紀錄中的時間，找出行為順序、活動間隔與異常空檔。例如，登入紀錄、檔案存取紀錄及網路連線紀錄若在時間上相互吻合，可支持某帳號或裝置於特定期間執行特定活動。

時間軸主要協助回答：

• 時：行為發生時間、持續期間、先後順序。
• 事：某一時間點或期間發生的操作、通訊、傳輸或資料異動。
• 人、物：某人或某裝置是否在相關時間出現於紀錄中。

解讀時須注意時鐘偏差、時區設定、夏令時間、時間格式轉換、系統時間遭修改、紀錄延遲寫入，以及不同系統採用不同時間來源等問題。檔案時間戳記也不必然等同於實際行為時間，可能受複製、還原、同步或人工修改影響，因此應以多個獨立來源交叉比對。

二、關聯分析（Relational Analysis）

關聯分析是辨識數位證據之間的關係，將個別資料點組成可檢驗的證據網絡。分析對象包括人物、帳號、裝置、IP 位址、電話號碼、檔案、網域、交易、通訊內容及地點等；關係則可包括「由誰操作」、「與何裝置連線」、「傳送給誰」、「存放於何處」、「何時共同出現」等。

實務上可把證據項目視為節點，把其間有證據支持的連結視為關係，建立關係表、事件矩陣或關係圖。例如，通訊紀錄顯示帳號甲曾與帳號乙聯絡，登入紀錄顯示該帳號從特定裝置登入，檔案紀錄又顯示該裝置曾存取涉案檔案；將這些線索按時間及來源交叉比對，可檢視帳號、裝置、通訊與檔案活動是否形成一致脈絡。

關聯分析主要協助回答：

• 人：帳號、裝置或活動與特定使用者之間的關係。
• 事：不同活動是否屬於同一事件或具有共同脈絡。
• 地：IP、基地臺、GPS、Wi-Fi 或服務紀錄所指示的位置線索。
• 物：涉案裝置、檔案、帳號、網路資源或其他工具之間的連結。

核心觀念

本題考查 ISO/IEC 27043:2015 所建構的數位事件偵查流程：如何從事件發生前的偵查準備，逐步進入現場應變、數位證據取得，再完成證據分析與調查結案。標準提供的是可依案件情境調整的流程指引，核心要求是讓偵查方法適當、過程可重複、證據處理可追溯，並能清楚說明調查結論如何形成。

題目所列四階段，對應標準中的準備（readiness）、啟始（initialization）、獲取（acquisitive）及調查（investigative）程序。標準另有數項貫穿全程的程序，例如取得授權、完整紀錄、維持證物保管鏈，以及保存數位證據。

解題方法

依「事件前整備 → 事件發生後應變 → 證據取得保全 → 分析報告結案」說明各階段；每一階段交代目的、主要活動及成果。以「機關遭受未授權登入，疑有資料外洩」為例，串起四階段，並特別區分「辨識、蒐集、獲取」與後續「檢查、分析、解釋」。

四大階段程序

一、準備程序（Preparation／Readiness）

此階段在事件發生前建立組織偵查能力，讓事件發生時能迅速應變，並保留可供調查的資料。準備內容包括：

• 界定可能發生的事件情境與調查需求，例如帳號遭盜用、伺服器遭入侵或機敏資料外洩。
• 辨識可能的數位證據來源，例如防火牆、伺服器、端點、郵件系統及雲端服務紀錄。
• 規劃潛在證據資料的蒐集、保存、存取權限、保管方式及分析方法。
• 建置並評估事件偵測及紀錄架構，例如集中式日誌管理、時間同步、備份與保存期限。
• 預先安排人員、設備、權限、通報流程及與其他單位的合作方式。

**階段成果：**具備可啟動的調查計畫、證據來源清單、紀錄與保存機制，以及明確的應變分工。

二、開始程序（Initiation／Initialization）

事件被發現或通報後，正式啟動調查。此階段包含事件偵測、第一線應變、調查規劃及調查準備：

• **事件偵測：**確認異常活動是否構成需調查的資安事件，初步界定事件範圍與影響。
• **第一線應變：**控制現場並保護可能證據。記錄系統狀態、設備位置、時間及處置人員；針對易變資料，例如記憶體內容或連線狀態，評估是否須優先保存。
• **調查規劃：**設定調查目標、範圍、執行順序、人力與工具，並確認必要授權及適用規範。
• **調查準備：**備妥採證設備、儲存媒體、表單及安全保存環境，並安排現場與後續分析工作。

**階段成果：**形成已獲授權、範圍明確、可執行的調查安排，並完成初期現場保全。

三、獲取程序（Acquisitive）

此階段著重辨識、蒐集、複製及保存可能的數位證據，使資料能安全進入後續調查：

1. **辨識（identification）：**搜尋並記錄可能含有證據的資料或設備，例如伺服器、硬碟、日誌、網路設備及行動裝置。
2. **蒐集（collection）：**收取或集中保存承載潛在證據的實體設備、媒體或資料。
3. **獲取（acquisition）：**在界定範圍內製作資料副本，例如對硬碟進行鑑識映像；盡量維持原始資料完整，並記錄工具、時間、操作人員及處理方式。
4. **運送、儲存與保存：**安全運送及存放證據，限制存取並持續維護保管鏈；必要時以雜湊值等方式協助確認資料完整性。