网络犯罪事实认定问题研究

刑事犯罪的行为方式随着信息技术的发展不断变化，网络犯罪在犯罪对象规模、手段和后果堆积化程度、证据分布情况等方面已与传统犯罪有着较大差异，给司法实践带来了极大挑战。鉴于此，刑法修正案和司法解释不断为网络犯罪追诉提供着规范指引。其中，网络犯罪的证据审查判断与事实认定是困扰司法实践的主要问题。直接证据匮乏、大数据证据印证难等直接影响着事实认定的准确性，并造成裁判者诉累和心理负担。为此，司法实践立足于电信网络犯罪的证据和证明特点，不断探索解决事实认定难题的新证明路径和证据审查方法，并将司法经验由下至上地形成了系列司法解释等法律规范性文件。其中一些内容在学理上也不无争议，但仍是实践中共识性的经验之谈，尤其是印证证明的宽松化要求和综合形成心证的导向具有极强的指导意义。正如2022年《关于“断卡行动”中有关法律适用问题的会议纪要》指出的，犯罪形势依旧复杂严峻，犯罪类型多样且不断发展，需要进一步统一认识，明确依据，既实现治理，也要防止矫枉过正。

一、网络犯罪事实认定难的类型化表征

当下，网络犯罪的链条性、跨地域性、涉众性特征十分突出，在事实认定核心内容不变的情况下，网络犯罪事实认定面临新的技术性难题。结合刑事证明的内外部要求来看，网络犯罪案件的证据资料出现了碎片化、数据化、海量化等特点，存在证据事实的指向性弱、证据链条衔接粗犷、司法认定习惯亟须转变等问题，同时其事实认定对主观推理判断也提出了更高要求。

（一）网络犯罪主客观方面的新情况

网络犯罪行为方式的转变引起了犯罪主客观方面的新情况。其多环节、多层次、上下游结合的链条型结构使得犯罪主观联系不再紧密，主观内容难以展示全貌，上游行为“明知”的证明难度加大。一方面“明知”成为主观故意的认定重点。目前，对网络犯罪始终保持全链条打击的态势。对于多数上游行为，刑事司法逐渐扩张至共犯独立化予以规制，但链条或节点行为的认定仍需考虑共犯行为。以帮助信息网络犯罪活动罪为例，犯罪链条之间主观联系弱，无法单独依靠共犯客观行为来进行主观追责。在此情况下，司法解释普遍以“知道或者应当知道”来解决主观要件证明难题，主观认定的重心成为对“明知”的认定，如此在共犯未到案或者没有直接联系的情况下，也能完成对犯罪的追诉。另一方面主观方面的证明要求增多。在传统犯罪中，犯罪主客观与主体往往是交互性认定，在案客观性证据与陈述证言等的印证较为明显，事实指向较为固定。而网络犯罪大多为人机交互性犯罪，案件证据存在于虚拟空间和现实物理空间之中，侦查取证逻辑是以危害结果等事实为出发点，进而确定行为、电子设备，最终锁定行为人。相应地，身份同一性认定成为主观归责的出发点，且以电子数据为主的证据分布也让交互性事实的证明成为重点。但从实际情况来看，不少案件中共犯行为人的主观意思并不彰显，影响着完整稳定的证据体系构建。

另外，网络犯罪案件中不同笔的犯罪事实较多，存在较多大数据证据材料，如侵犯公民个人信息案件中的海量个人信息、侵权案件中的大量复制品、电信诈骗案中数以万计的被害人和相应犯罪数额、网络赌博案件中关于赌资的批量资金流水或银行转账记录、DDOS攻击案件中被批量控制的电脑及其操作日志，等等。对于此类情况，显然无法一一查明每笔事实，完成主要事实的认定便需转换证明的思路。同时，单独的大数据证据也难以从整体上进行精细证明，而其本身蕴含着丰富的证据信息，需要结合客观证据和证明的特点完成对特定指向的犯罪事实的认定。

（二）证据审查判断难题

基于司法成本的考虑，网络犯罪的取证工作存在范围限制。侦查机关可能因涉案人员分布广且数量多、涉案财物流向复杂、数据资料多等难以一一查证。如《北京市公安局办理电信诈骗案件指导意见》明确说明，由于当前电信诈骗案件的特殊性，在侦办该类案件时，确实存在因客观条件不能固化闭合整个证据链条的情况，公安机关只能尽最大努力去获取证据。同时，由于网络犯罪的非接触性和链条化，案件侦查难以做到全部查明整个链条各个环节，证据材料之间的统合性远不如传统犯罪。例如，利用“杀猪盘”进行电信诈骗的案件，查清网站设立、信息发布的事实容易，但实际诈骗事实查清较难，甚至于只能查处上下游犯罪的部分行为事实，难以直接反映案件全貌。另外，取证工作还涉及电子数据取证程序、技术侦查与跨境协作等系列问题，更使得网络犯罪的证据状况并不能尽如人意。

目前，普遍情况是证据所承载的案件事实更加分散。言词证据的作用下降，较多情况下供述、证言等无法直接描绘出主要事实，以直接证据为中心构建验证式证据体系较为不易。同时，证据类型也较为固定，电子数据等客观证据的作用越来越大，但以电子数据为主要分布的证据生态对证据本身的“三性”审查提出了独特要求和标准。从衔接的角度来看，证据之间的普遍联系是事实认定的必然前提，网络犯罪的证据之间则难以具有较为明显的关联性与衔接性，需更注重体系化、融贯式的理解。因而，从证据收集便难以做到“确实充分”，且以电子数据为主的案件证据材料的真实性和关联性都容易让人产生疑问，具有证明价值的证据材料也多会以整体性的面貌呈现，不易判断，这些都容易使得案件事实认定的基础面临不牢靠的风险。

（三）证明标准的把握难

刑事司法的严肃性和刑罚的严厉性都要求事实认定准确，其前提是对大量证据材料的占有，在此基础上规范主观判断，以一种主客观证据事实相互印证的方式，来合乎经验逻辑地描绘出最终事实。显然，这要求基础证据材料的丰富度、证据链形成的统合性（证据反映的事实应该具有共同指向或者相互衔接）、主观论断的合理性（从证据到待证事实要合乎经验法则）。相应地，证明活动既要有证据基础，又要准确进行主观认知。然而，“网络犯罪具有去中心化特征，同一犯罪被切割成若干环节，区分为不同层级，各环节和层级协同共生，打破了传统犯罪的单一性和完整性”。这种碎片化使得事实认定不仅要考虑各个“碎片”自身的证明问题，还要将碎片予以串联以对完整犯罪过程形成证据链条。有时犯罪嫌疑人自己都无法描绘犯罪全貌，以电子数据为代表的间接证据之间的印证也并不能明显契合。此时，面对多数量、多环节的待证事实，在证据数量与同源证据指向等方面都不尽如人意。定罪证明的指向力分散，在逻辑上不能直接从证据到待证事实，无法在“行为人一犯罪行为一犯罪后果”之间形成稳定、可靠的因果逻辑式证据和证明关系。①此外，即使各环节能有效衔接，海量待证事实要素也必然导致案件定量评价不精细，案件情节难以准确把握。同时，从司法实践来看，网络犯罪事实认定在一定程度上还要依赖于辩方反向辩护的程度。辩护意见往往会对以整体融贯式认定的案件事实形成挑战，相关辩护意见可能因缺乏证据材料支撑而未被采纳，但却会对习惯于精准印证的心证形成产生影响，从而使得司法实务中对如何实现“排除合理怀疑”的标准产生困惑。

二、司法实践的应对路径

从前述可以看出，网络犯罪的行为状况与证据生态决定了刑事证明需要有更符合司法实践的实然方案。以“两高”为代表的实务部门不断以司法解释、指导性案例和其他内部文件等方式提炼实务中可行的法律适用规则，包括证明方法更新、证明对象简化、证明责任分配、推定推理运用等。其中，出现了以综合证明原则为主的司法能动新方法，并以规范性文件和判例等为司法裁判提供方法指引和要求。目前来看，其已不仅是对综合全案证据以认定事实的重申，更是释放出转变精准印证证明方法和注重心证形成的信号。

（一）类型化指导：综合认定原则的提出

“综合认定”是司法裁判中常见的认知方法。在网络犯罪中，该思路最初由犯罪罪量确定问题延伸开来，主要是指不依赖口供，对于数量庞大的证据材料或待证事实要素改变以往点对点式的证据审查判断或严丝合缝的印证证明方法，而以宏观视角处理，以整体印证、印证方向一致或评估的思路形成心证。该思路在司法解释及法律规范性文件中多有体现。如《关于办理电信网络诈骗等刑事案件适用法律若干问题的意见》（以下简称《电信诈骗意见》）第二部分中“（四）”第4款、第六部分“（一）”的规定；《关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（二）》（以下简称《电信诈骗意见（二）》）第8条中关于明知的认定指出，行为人明知他人利用信息网络实施犯罪，应结合系列证据予以综合认定；《人民检察院办理网络犯罪案件规定》第7、18、21条之规定等；《检察机关办理侵犯公民个人信息案件指引》第二部分中的规定；《检察机关办理电信网络诈骗案件指引》第二部分中“（三）”有关诈骗数额及发送信息、拨打电话次数认定的规定；《关于办理非法集资刑事案件适用法律若干问题的意见》中有关集资规模的认定。此外，有关证明思路在其他内部文件中也有体现。如浙江省高级人民法院、浙江省人民检察院和浙江省公安厅联合制定的《电信网络诈骗案件证据收集审查判断工作指引》，广东省高级人民法院、广东省人民检察院和广东省公安厅联合制定的《关于办理电信网络诈骗等刑事案件的工作指引》，重庆市高级人民法院、重庆市人民检察院和重庆市公安局联合发布的《关于办理电信网络诈骗及其关联犯罪案件法律适用问题的会议纪要》，“两高一部”《关于深入推进“断卡”行动有关问题的会议纪要》等。其中，《电信诈骗意见（二）》进一步补充完善帮助信息网络犯罪活动罪的主观明知规定，确定了综合判断标准，以方便司法操作。

上述文件及解读中，多用“综合”这样的字眼，强调从部分犯罪事实或证据中反映出的犯罪行为的时间、地点、方式等一系列细节，结合电子数据、勘验笔录、书证等证据，形成一整套犯罪轨迹，进而考察绝大多数的案件事实能否认定。从相关情况来看，“综合认定”有以下几方面特征：（1）缺少直接证据，印证证据范围扩大。网络犯罪中存在另一种形式的验证式证明，如电信诈骗犯罪中相当一部分受害者是无法对受骗过程提供证据的，行为人也难以针对某一起犯罪事实进行具体供述。完整的犯罪事实经过是从部分犯罪情况中归纳出来的，进而用行为事实的高度相似性去判断其他犯罪事实是否在行为要素的各个方面与之契合，从而认定整体事实，与相似证据规则类似，但并非径直认定，而是帮助心证的形成。（2）印证契合度降低，但证据信息内容的指向一致。一般叙事型认知是主观认识的主要形态。从侦查取证开始，办案人员会对犯罪本身及相关事实要素进行完整细致的侦查取证，到提起公诉，案件至少经过两次叙事型事实构建。凡是无法消除的疑点要素，都会引起重视。而能够打消疑虑的自然是证据之间高度一致的印证，进而产生事实认定符合客观真实的内心感受。但网络犯罪的证据事实之间的印证多表现为方向一致，不追求叙事上的完全周密。（3）强调经验法则和推理的运用。印证仅是实现“综合认定”原则的一种重要方法，而证据内容发掘和证据之间逻辑联系需要更多主观判断。以帮助信息网络犯罪活动罪为例，一般即使在上游犯罪事实尚未固定，上下游犯意联络未查清的情况下，仍可根据被告人认知能力、既往经历、交易对象、行为合理性、上下游行为人联系情况等综合判断行为人具有帮助犯罪的故意。③此类情况中很少存在证据信息内容直接反映案件待证事实，而是更考量主观心证的塑造。（4）注重辩解的合理性。几乎所有强调综合认定的场合均要求重视辩方意见，一方面基于正当程序的要求，在司法证明方案有所调整更兼顾效率的同时，应进一步落实被告人辩护权行使等刑事程序保障机制；另一方面是为防止粗糙运用司法解释规则，避免主观擅断。规则制定者需要考虑到实务中改变严格印证证明后，事实认定可能存在误差，而重视辩解也是对事实精准认定的一种保障。尤其是综合认定涉及推定或事实推理，只要辩方意见能引起疑点，都需针对性说理回应，从而完成整体叙事的融贯性。（5）具有可验证性。可验证性既体现在从证据到事实或事实之间的串联关系应具有高度盖然性，符合逻辑推理和经验法则，也表现为能够反向地进行检验。如《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》中的同类证据选取规则；实践中对巨量个人信息或犯罪金额的认定，采取抽样验证或技术鉴定等对其中部分数额予以去除，以及获取代表性被害人，获取其陈述，以对部分或整体事实进行佐证。换言之，网络犯罪事实认定需要达成一种平衡，必须有足够的方式去防止印证粗犷化所带来的可能错误。

对于事实认定而言，“综合证明原则否定了一直以来侧重单向线性推论而忽视事实推理的论证结构，以“自然生活历程事实＇为证明对象，依据司法推理过程所确立的、综合运用融合核心证据与补助证据并容许运用或然性法则的司法证明方法”。结合网络犯罪具体情形，可从定性与罪量两方面进一步看清其内涵。在定性方面，其表现出一种“结果主义”，即以存在犯罪行为、实害结果与身份的锁定来认定相应犯罪行为必然发生过和行为逻辑内容如何，不纠缠于每一笔犯罪事实的具体经过。这在网络犯罪司法逐渐由以人证、物证为中心转向以数据为中心的情况下，是对“客观真相”还原的一种良性选择。可以说，多数网络犯罪只要针对当时具体的证明对象，灵活运用各类型证据把犯罪定性所需的主客观要素、各环节的衔接点做到齐备精细即可，且对全部事实的认定遵循“部分一整体”的进路③。在这个过程中，证据选取、印证、推理推定、证明责任分配等方法均可能被运用。而对主要的印证方法来说，更关注其适用的灵活化和宽松化，既不苛求印证完全严丝合缝，也考虑到案件碎片化的特征，印证方向大致相同成为判断的重点。而在用印证以及其他方法判断单一证据的真实性之后，便并不需要再利用严格印证审查判断全案证据。因为审查判断全案证据的直接目的在于衡量所有证据的证明力，进而作出事实认定。这时，要求由裁判者自主判断证据的证明力，并利用常识、理性、经验法则、法律推理等综合机制认定事实。

罪量是以概括化面貌呈现的，对其综合认定采取了“整体印证＋推理”的思路。“只要客观存在的计量对象在整体上得到了行为人供述、被害人陈述、证人证言或书证等相关证据的印证，就可将计量对象所涉数额皆认定为犯罪数额。”在上述文件中几乎都反映着这种方法，在指导性案例中也普遍得以体现，目前司法解释更是将这种方法上升为推定。有论者进一步从指导案例出发，“总结出了实践中的网络犯罪罪量证明的三个环节：公诉方基于综合认定得出推定数量；辩护方针对推定数量承担证明责任；公诉方对反驳进一步承担证明责任”。总而言之，传统犯罪的事实认定中，通常以点对点、原子化的证据模块化处理模式进行主体事实要素的还原，而对于网络犯罪，则无须每一要素的证明均要满足证据间的一一印证。这是面对网络犯罪行为虚化与事实要素海量化的务实选择，但该方式相较于传统犯罪的证明更加注重证明工作的精密性，容错率更低，需要合理运用证据来避免用事实推导的可能性替代“案件事实清楚”。

（二）司法能动的强调：自由心证的本质

长期以来，印证证明在我国司法实践中发挥了重要作用，并得到了相关解释性文件的确认。其作为一种证明方法并未存在太多争议，但有研究指出，“印证证明模式“外部性＇特征显著，即当两个以上的证据在形式上相互重合和交叉，整体上呈现排除合理怀疑和不矛盾之态，结果上可以接受反复考察和检验，那么真实即已经到达”。以此逻辑出发，排除合理怀疑也逐渐体现为证明标准的客观化，从而产生了对印证证明的极致化追求，使得司法实践中出现偏重印证事实而忽略对案件的“综观式验证”，违背证明规律而忽略心证功能等情况。相应地，在实践中便存在以高度一致性印证为追求的证明方法，有学者将之总结为严格印证证明。然而，严格印证证明在网络犯罪案件中的使用存在限制。一是犯罪事实多，证据材料无法直接反映每一笔犯罪事实。证据是来自于同一类案件的证据，对行为人主观故意、犯罪行为模式、犯罪数额的认定无法用来自于同一笔犯罪事实的证据。二是证明事实之间的矛盾性冲突增多。一般而言，事实认定要实现准确性和完整性两方面要求，完整性主要体现在全面和自然，要将动机、如何案发、过程时间地点以及事后行为全面涉及并串联。此类事实要素不一定是犯罪构成要件，但是却影响着法官对经验法则和逻辑推理的运用。而网络犯罪中此类事实要素在具体内容上无法形成良好对应，需要解释说明的冲突性事实增多。三是证据内容的同一性印证弱。大数据证据常直接独立承载着部分案件事实，在信息指向上，证据材料之间的对向性差，细节表达不够，模糊性更大了，有可能让裁判者产生事实认定未必准确的感觉。因此，严格印证证明与网络犯罪证据生态之间不适应，影响了犯罪的追诉效率，甚至出现裁判者心证确信却降格裁决、司法裁判尺度不一的情形。

为适应新形势，实务中已注意到严格印证有些偏离自由心证制度，会进一步放大网络犯罪的事实认定难题。实际上，已有学者指出印证模式改革的方向是坚持印证主导，加强心证功能，注重追证作用，发挥验证功能。而实践已开始对严格印证证明进行松绑，以避免证明方法和证明标准的完全混同，强调通过宽松印证与心证融合完成事实认定。“综合认定”所强调的正是综合评判形成内心确信，允许证据事实之间的联系或指向存在差别。这本质上是自由心证的体现，印证不再被强调是达到证明标准的一种外部要求，而是作为审查判断证据的通用方法和对自由心证的适当规范。一般而言，自由心证制度是法官进行裁判时，基于经过审理的全部资料以及各种情况，依其知识经验和良心自由判断所形成的心证而认定主要事实的采证方法。其中的重点在于法官可以自由评判证据的证明价值，依据是经验规则、逻辑法则和自身知识，同时法官可以在全案证据调查的基础上依靠自由心证来判断事实真伪。综合认定原则对此有着明显体现。例如，司法解释确定了一种证据选取方法，即可以按照一定比例或者数量选取证据材料，被选取证据本身是无法对一类事实完成证明的，但通过对同一类犯罪事实行为过程的反映，再结合辩解意见的合理性，最后综合形成对整体犯罪事实的心证。这是办案人员按照经验规则和逻辑法则形成内心确信的司法判断过程。再如，大数据证据的证明价值逐渐凸显，但其承载的信息内容无法进行客观印证，对其不存在任何证明力规则，而是运用事实推定，立足经验常识、已证事实、相邻事实、职业思维以及专业研判等对案件作出最符合真相的判断。故这种所谓的新型证明方法，实际上是在调动司法主观能动性，灵活宽松适用印证方法去确定案件主要事实，通过“代表性”证据收集等方法来辅助心证形成，用同类证据来减少严格印证证明实现难。总而言之，从现实考量来说，“综合”是希望转变证明方法，转变以高度一致性印证为追求和达到证明标准判断依据的传统方法，用整体式、融贯式的心证动态分析的方式来完成事实认定。

三、网络犯罪事实认定的规则展开

作为司法实践的经验之谈，综合证明的作用发挥依赖于对其核心要义和关键内容的理解，应注意类型化区分与精细化适用，需要回归司法解释和代表性案例，本文结合司法解释和网络犯罪的特点阐明其应用重点。当然，“综合”本身就意味着要考虑各种情况的异同，也并非固定程式化的事物。

（一）以电子数据为核心

电子数据承载着网络犯罪发生、经过与结果的痕迹，构成了“综合全部在案证据”的主要部分。在涉及网络犯罪的规范性文件中几乎都强调了电子数据的审查判断与运用，“两高一部”更是专门发布了《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》。同样，对电子数据证据的审查判断和采信也是主要难题。一方面，“相较于传统证据，电子证据基于其虚拟化的本体特性更具隐蔽性、巨量性、弱关联性，延伸到诉讼实践，这些特征使得电子数据证据的运用存在获取难、固定难、认定难的实践特点”。同时，部分电子数据以大数据形式表现出来，对其分析论证所形成的结果不一定能完全真实准确地反映出待证事实。另一方面，电子数据多表现为间接证据，要以其为中枢来综合其他物证、书证，甚至修正补足言词证据，从而形成完整的证据链条。整个过程较复杂，特别是证据之间的弥散性强，一些关键节点不易形成紧密对应的印证关系，共同指向力薄弱影响着认定事实的力度。从审查规则看，现行证据制度将电子数据的真实性审查作为核心，并注重电子数据的多元关联证明作用。

电子数据证据的核心作用发挥，一是着重审查真实性。在某种意义上，电子数据真实性能得到认定，其内容的完整性、合法性、关联性都需要得到确定。从《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》等文件来看，“电子数据的真实性具有三个层次，分别是载体、数据和内容的真实性”。司法解释以最佳证据规则确定了真实性的具体审查内容，主要为数据完整性的保障，并涉及证据能力与证明力两方面的事项。在形式上，突出原始证据的证明力，要求储存介质原始、提取过程可重现、保管链条同一、数据完整的可视化等完成鉴真工作。验证达到上述要求需考察的证据类型主要有搜查扣押笔录、取证说明、各式勘验检查提取笔录、见证笔录、录像资料、鉴定意见等，审查时则可结合扣押、收集、提取电子数据的方式具体展开。

在证据内容上，首要关注的仍是电子数据本体完整真实和数据全貌展示。具体来说，电子数据内容包含了事实内容与属性内容两大部分，“法庭对电子证据的采信一定建立在目标数据、衍生数据和关联数据形成合力的基础上”。因为“孤立的电子证据不存在，属性数据或关联数据中蕴含大量隐蔽性信息”，可影响着目标数据的实质关联性与真实性。一般要通过完整性校验、可信时间戳、数字签名、区块链存证等技术鉴定或专家辅助人与庭审展示等方式恢复、确定或展示相关内容的全貌。例如，在查验文档、图片、音频、视频、数字证书、数据库文件等电子文件及其创建时间、访问时间、修改时间、大小等文件附属信息时，往往能判断电子数据的增删改情况；在审查涉案恶意程序、工具软件时，可结合系统日志、应用程序日志、安全日志、数据库日志等系统运行信息来与案件事实相对应。而当数据外观真实得以确保时，若电子数据本身是证明所需，如拨打电话次数、短信数量、资金额度等，相应待证事实便可初步证实。即便对于记载案件部分事实的电文数据，如电子邮件、电子数据交换、网络聊天记录等，也可以暂时确定存在相应记载内容。其次是信息指向的确定。在电子数据介质及本体完成鉴真的情况下，需要考虑数据内容的指向性，也即要将电子数据承载的案件事实信息与行为人、犯罪经过或结果等联系起来。司法解释中对此强调要充分借助数据与案件事实之间的多元关联。这种关联，多通过IP地址、言词证据、数据存储流通修改运行的“痕迹”去确定电子数据及其存储介质与案件当事人之间的关联性。“进而通过电子数据的事实信息在不同节点的印证，来衔接进入案件事实的发生过程。”这种所谓多元关联、综合判断本质上是采信证据的推断，也是发挥电子数据证明作用最为重要的一环。

二是综合分析，强化间接证据的运用。目前，许多涉众型网络犯罪出现了类似“零口供”的情形，以电子数据为主的间接证据的重要性开始凸显。经由间接证明形成证据链以完成案件的证明已成为多个网络犯罪法律规范性文件的共识。其综合运用涉及司法经验、常识推理、刑事推定等系列主观论证活动。司法解释已经释放出对间接证据证明力和定案的认可，打消严格印证证明下对间接证据认定全案的疑虑。“同时，改变长期青睐于围绕直接证据进行一系列补强的证明习惯，防止可能出现的规则虚置：或是唯一确定追求理念下的须以口供为基础的有限综合认定；或是在“法律规则＋案件事实≥法律结论＇的形式法律逻辑的运思中，成为类似于“打包量刑＇的超自由心证”。出于上述考虑，司法解释强调了电子数据与物证、书证、口供补强的综合运用，来将间接证据承载的多环节案件信息串联起来，在证据事实的衔接点上做好指向的衔接或强化以形成整体事实。此外，司法解释等还用主客观方面的审查重点为办案提供指引，为不同事实要素确定了系列的审查要点和证据名目，对此不再赘述。

（二）犯罪历程的认定重点

犯罪历程完整是案件事实清楚的基本要求，而实行行为是还原犯罪发展历程的核心，围绕实行行为完成刑事证明涉及主体、主观、客观等一系列待证要素。网络犯罪的“去中心化”使得犯罪实行行为的隐蔽性、分散度较高，但网络犯罪事实或上下游链条犯罪经过的证明仍有一些共性问题可以把握。司法解释等文件着重强调了以下几个方面的审查重点：

1．身份的同一性认定

传统犯罪并不过多涉及同一性的认定，但实践表明，犯罪嫌疑人能否与虚拟空间的身份、行为、时间地址、介质等联系起来已成为案件证明的起点。尤其是涉案人员直接以“没有干、不是我”为辩解理由的情况下，应有充分证据证明虚拟空间的“痕迹”是行为人留下的。例如，在陈某盗窃案中，陈某从郑某等人处先后购买3000余张尚未充值的不记名城市通卡，利用程序破解城市通卡密钥进行非法充值，而后由郑某购买或出售。在上诉意见中，陈某辩称电子物证检验报告、计算机司法鉴定报告及手机通信录只能证明陈某存储卡和电脑中有相关软件，但两者之间无直接因果关系。同时，陈某供述其向一名叫“仓凯”的人购买有金额的城市通卡，而郑某否认向其出售交通卡的人系陈某。这使得明确犯罪嫌疑人，排除他人作案的可能性成为案件争议点。

从司法解释来看，网络犯罪身份确定审查要点主要有：（1）技术性锁定。通过网络空间坐标锁定行为人，可确认域名、IP地址、终端MAC地址、通信基站信息等追踪电子设备是否为犯罪嫌疑人所持有使用；对于涉案数据储存介质等实物，证明是在犯罪嫌疑人处所搜查扣押。（2）言词证据佐证。犯罪嫌疑人供述与辩解、被害人陈述、证人证言等的具体内容是否涉及行为人身份信息，能否联系确定行为主体。（3）验证人机交互信息。通过社交、支付结算、网络游戏、电子商务、物流等平台可以查找账户信息、身份认证信息、数字签名、面部指纹生物识别信息等，借助人机交互产生的数据信息判断使用者与案件的身份关联。（4）数据内容的对应。类似于书证的证明方式，判断聊天记录、短信、语音视频、图片文档等的具体内容能否反映犯罪嫌疑人的具体身份。在该起案件中，法庭正是通过违法软件持有、网购交易、证人证言、短信及微信聊天记录、本人供述等证据证明郑某身份，且证据内容反映出被告人的车辆车型、车牌、手机号码、微信昵称等，最终认定当事人的身份信息与在案证据事实相吻合。所以，网络犯罪行为人虽然看似隐匿于虚拟世界，难有指纹、DNA、辨认、物理痕迹以及其他生理特征等信息，但通过对实体工具、数据及其内容的关联等多方面的审查，完全可以判别出现实中的犯罪嫌疑人。

2．被害人的关联性

现有研究和文件一般承认网络犯罪的事实认定不需要被害人供述的全部收集，有论者也主张电子数据就是案件事实，无须查清被害人。“但实践中完全依靠间接证据的证据链形成案件主要事实是一种纯然假设的情况，绝对的孤证案件现实中是不存在的，案件主要事实或多或少总是有一些直接的证据。”对此，《电信诈骗意见》第六部分“（一）”和《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》第20、21条明确了态度：确因客观限制无法逐一收集被害人陈述的。这反映出网络犯罪事实认定中被害人仍具有相当地位，是还原案件事实的信息来源。只是追诉采取综合证明原则后，不再简单追求被害人供述的数量而是转向了“质量”，即要选取案件中数额大或典型代表的被害人进行取证。这种审慎做法值得肯定。在司法成本可承受范围内，取得代表性被害人陈述可对案件关键事实证据链条进行补足，还可减轻司法人员心证形成的思维成本与心理负担。因此，对于存在被害人的网络犯罪案件，在取证上应存在一定量的被害人的陈述。其能够准确反映出犯罪经过，对犯罪工具、犯罪手法、作案方式、受害经历的描述承载着大量细节，为司法人员判断证据印证和事实细节吻合度提供指引与辅助。

被害人陈述在采信上还具有特殊关联要求，即要证明被害人财产等损失确因犯罪行为引起，指向了哪个犯罪组织或个人。这涉及犯罪集团罪责确定，因为在团伙化的网络犯罪中，层级、人员、行为模式复杂，甚至有犯罪团伙相互交叉、手法类似、窝点统一、账户共用的情况存在。因此对于被害人陈述，要通过证据来强化关联性，将被害人与犯罪行为对应起来。通常，双向通话聊天记录、言词证据、账户资金交易明细等可明确受害事实。如在最高检指导性案例中，检方发现被害人与诈骗犯罪组织间的关联性证据调取不完整后，将案件退回公安机关补充侦查，建议补充调取犯罪嫌疑人与被害人的通话记录、被害人转账汇款记录、涉案收款账户交易明细等证据，以准确认定本案被害人。还有张某某、王某某等诈骗案中，张某某等人开设钓鱼网站进行刷单诈骗。张某某上诉称案件被害人关联性存疑，无法证明全部受害事实为真。

3．重视主观认定中的“明知”

一般来说，“客观事实可以反映主观事实，只要客观事实得以认定，主观事实往往会不证自明”。而网络犯罪从客观事实到主观故意之间，还需要客观事实还原与行为人身份、主观内容的确定。鉴于犯罪纵向分工精细，“不同层级的行为人意思联络模糊，主观故意的内容不明显，使得网络犯罪主观方面认定难成为治理的症结之一”。为了有效审查行为人“不知情”的辩解，前述系列文件或者强调了综合全案主客观证据予以认定的思路，或者将特定情形解释为行为人知道或应当知道。具体来说：

一是坚持主客观因素综合分析。其是指结合在案证据，根据具体的事实内容运用常识经验判断行为人的主观内容。例如，认定主观内容，要结合犯罪嫌疑人的认知能力、专业水平、既往经历、人员关系、行为次数、获利情况等，坚持主客观综合认定的思路。这种方式与传统犯罪主观要件的证明并无二致，多是运用高度盖然性联系来形成推论。司法人员从客观证据出发，运用经验规则与逻辑规则形成自己的主观判断。从《人民检察院办理网络犯罪案件规定》《检察机关办理电信网络诈骗案件指引》来看，主要审查能反映主观故意的记录内容；行为是否明显违背系统提示要求、正常操作流程；软件程序是否主要用于违法犯罪活动；支付结算的对象、频次、数额等是否明显违反正常交易习惯；行为人是否有使用虚假身份、频繁隐蔽上网、加密通信、销毁数据等异常情况。在证据上主要体现为是否有犯罪嫌疑人的供述和辩解、证人证言、同案犯指证；即时通信工具聊天记录；反映犯罪行为的物证、书证，如诈骗脚本、分工手册、诈骗账目记录、提成记录、工作环境等。

二是明确“明知”认定的事实推定情形。如《关于办理利用互联网、移动通讯终端、声讯台制作、复制、出版、贩卖、传播淫秽电子信息刑事案件具体应用法律若干问题的解释（二）》第8条、《关于办理网络赌博犯罪案件适用法律若干问题的意见》第2条第3款、《关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》第11条、《电信诈骗意见（二）》第8条第2款、《关于审理洗钱等刑事案件具体应用法律若干问题的解释》第1条等。整体上，可以或应当认定为明知的情形集中在行为方式、交易价格、时间地点等反常，基本上都属于即使不规定，仍会引起司法人员怀疑的情形。而之所以出现了大量的“推定”，根本原因在于电子数据证据一旦被确定为真实，那么内容信息几乎就是案件事实。当行为人明知时，那么案件的具体经过在某种程度上已不再重要。换句话说，在网络犯罪中，由电子数据信息内容反映实行行为弱化了推导的色彩，不同节点的联系更为重要，证据印证证明的方向一致更为重要。

需要说明的是，实务中运用这些情形，应清楚其性质与运用思路。前述列举的情形中，《电信诈骗意见（二）》第8条第2款应为刑事推定，因为规定表述是“应当认定”，且行为人作为行业从业人员或单位账户管理人员负有审查管理的注意义务，违反义务的行为仍然实施则要认定“明知”。对这两种情形，一旦基础事实得以成立，原则上即可宣告推定事实成立，只是防止证明的绝对化与僵化，才设置了例外兜底规定。除此之外，其他的规范属于事实推定或提示性规定，即规范仅将基础事实与结论之间的高度盖然性联系阐释出来。其实质是事实推论，“应采取“事实推定＋间接证据证明＇的模式，即主要依靠列举情形高度盖然性地推断出行为人明知，再用其他间接证据佐证来支持推断或反驳辩解”。当然，多种情形相互叠加则证明力更高。司法实践需要防止的是将“应当认定”简单理解为法律推定，进而直接进行适用。实践中存在类似情况，当被告人对“推定结论”没有异议或异议不成立时，那么该问题几乎就会得到法庭认可。而用被告方能否反驳或有无证据反驳来判断“规范情形”的证明力和证明标准并不科学。

此外，对于犯罪的整个历程而言，犯罪客观行为是通过电子数据客观性的推理反映出来的。一般来说，前述论证的几个方面在案件中不存在问题，则犯罪嫌疑人客观行为的认定不存在障碍。例如，通过关联被害人或自侦线索，能明确发生了犯罪结果；锁定身份意味着行为人利用的程序工具、技术手段的功能及其实现方式能与犯罪行为联系起来。因此，犯罪实行行为轨迹的还原适应了网络犯罪碎片化的特征。实行行为内容的认定多是间接性通过其他事实要素的证明而自然拼凑出来的。

（三）罪量认定：整体确定

网络犯罪的涉案数值庞大到超出传统方法的极限，司法实践开始进行综合式认定。如最高法第87号指导案例裁判要点指出，对非法经营数额、违法所得数额的认定，应综合被告人供述、证人证言、被害人陈述、网络销售电子数据、被告人银行账户往来记录、送货单、快递公司电脑系统记录、被告人等所作记账等证据，整体上确定被告人共销售假冒手机2万余部，金额2000余万元，非法获利200余万元。再如邓某侵犯公民个人信息罪案③中，经鉴定，在邓某的电脑手机内提取到公民个人信息691958条，去除重复记录后406189条。但上诉人称其实际只贩卖了4万条手机号码，有一些信息是来源于源代码网、淘宝网站测试、维护及其做微商时下载软件自动生成号码的数据，不能计入犯罪数量；辩护人称408115条还需排除重复计算、不真实、已停用等情况。法庭认定40多万条个人信息不能保证完全真实。最终以去重后的数量仍有40万条，上诉人曾供述出售约20万条个人信息，综合情节远超特别严重，认定罪名成立。

从案例中不难发现，整体分析认定有两种不同情形：一是直接认定＋验证，“即以案件中直接查获的计量对象数量或通常能反映计量对象的事实要素的数量进行认定，只有例外排除的证据存在时才从中予以扣减”。如《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第11条第3款、《关于办理网络赌博犯罪案件适用法律若干问题的意见》第3条第1、4款等。总结来看，当计量对象是信息数据，难以逐一验证其客观真实情况时，才采取形式认定和反驳检验的方式。但个案中确实存在数据真实性控辩双方均无法证明，且排重排假司法鉴定技术也无法判别真伪的情形。那么，这种直接认定确有降低证明标准之嫌。对此，实践中采取增强证明力度的应对办法。一方面，要求控方提出数量指控应建立在穷尽技术手段的前提下，事前通过司法鉴定机构、公安数据系统等进行信息数据对比。另一方面，“有证据证明不真实”未被理解为证明责任转移，并不因被告人一方无法证明数据为假，而认定数量为真。最后，法庭采取审慎态度，被告人只要提出合理疑问，就会当作事实疑点，确实无法验证的会结合法定刑幅度，在保证达到基准的基础上，对犯罪时间、行为方式、涉及面、等约数量等进行综合性社会危害程度的保守考量。总之，对于无法逐一验真的信息数据，认定强调技术手段运用、在案证据检验、反驳疑点能否消除，实践不应误解为辩护方承担反驳证明责任。所以，这些规定也均不具有“刑事推定＋辩方反驳不能”的认定效力。

二是整体推断。不一一审查庞大的数额事实要素，而是根据在案证据一体式认定全部涉案数额。例如，在电信诈骗案中，可以根据少量被害人陈述、与资金流转有关的电子数据、书证等证据材料，在审查被告人所提辩解的基础上，对涉及全部被害人的数额作出认定。此时，以电子数据内部信息真实性为基础，电子数据的属性信息或证据本身可与在案其他证据相互连接，形成一个大致印证且完整的体系。仔细考察，就整体推断数额来说，存在少量被害人陈述、被告人供述等直接证据，可以与电子数据证据等相互印证；缺乏直接证据的，综合一系列间接证据，用符合经验常识的推理运用与对辩方反驳的消除来完成证明。例如，2016年最高检、公安部联合督办，由浙江省诸暨市司法部门查办的“4·19”特大系列钓鱼软件远程刷单诈骗案中，200多名犯罪嫌疑人用钓鱼软件，刷单诱骗。该案最终通过少量被害人陈述、被告人供述、账户资金流水、软件日志与合法来源排除等确定整体金额。此外，整体推断还表现为合乎逻辑的评估，如在最高检检例第33号指导性案例李某某破坏计算机信息系统案中，案件的争点为如何认定遭受破坏的计算机信息系统服务用户数，但独立IP用户数无法确定。最高检认为，认定遭受破坏的计算机信息系统服务用户数，可以根据计算机信息系统的功能和使用特点，结合网站注册用户、浏览用户等具体情况，作出客观判断。最终以一段时期内的日访问量的平均值来推断出系统被破坏期间减少的访问量。类似的综合评估并不少见，如快播案、张四毛盗窃案等。

（四）辅助性检验：抽样验证

所谓抽样取证，“是指办案人员依据科学的方法，从较大数量的物品中提取具有代表性的一定量的物品作为样本证据，并据此证明全体物品属性的证明方法”。其因能够纾解海量事实要素的证明困境，而逐渐进入刑事诉讼的视野。目前，在网络犯罪中，不仅“综合认定数额”已具有抽样取证的部分内涵，而且《人民检察院办理网络犯罪案件规定》第22条明确：对于数量众多的同类证据材料，在证明是否具有同样的性质、特征或者功能时，因客观条件限制不能全部验证的，可以进行抽样验证。自此，抽样取证在事实认定中转变为“抽样验证”的证明方法。例如，在一起非法获取公民个人信息案中，争议点为被告人贩卖的个人信息是否真实。法庭判决认为，8个涉案文档经整理统计共有有效公民个人信息4578条，经对8个电子文档分别随机抽样核实，共抽样74条核实，其中62条真实有效。所以，总量认定应按照相应比例予以扣除。另外，实践中还存在从同类型证据中取得部分证据来与其他在案证据综合形成证据体系的做法。

从规范与实践来看，对于抽样验证的使用应持积极态度。综合认定之下，抽样验证是检验案件细节、保障数量精准的最佳选择。虽然从部分推理全部并不具有严格证据基础，但其仍可与其他证据相互印证，形成证据体系，发挥相似事实证据规则的证明价值。当然，“其证明效果应限定为补强或检验，随着分析进展不断修正结论，经过验证的最终结论会是在现有证据情形下能够对证据提供最多理解的结论”。在实务中，抽样验证更多用来对同一性质证据材料的鉴真或对被告人反驳的检验。此外，由于这一方法的可靠性支撑在于科学抽样统计原理，即样本的代表性，故最高检在第26批指导性案例中专门强调，应注意审查所抽取的样本是否具有代表性、抽样范围与其他在案证据是否相符、抽样是否具备随机性等影响抽样客观性的因素。在保证科学性的前提下，抽样验证能进一步探寻被告人权利保障与海量事实要素认定的最优解，不失为现实之举。

四、综合认定的审查标准：排除合理怀疑

在证明上，定罪与不利量刑都要达到“排除合理怀疑”的证明程度。在网络犯罪事实认定中，出现一种“内心已确信”但宁愿作出保守认定的情形。这多是因为在传统犯罪中，可用证据材料的数量、质量达到事实认定的可重复性、结论唯一性，但多要素整体式认定增大了结论或然性。需要说明的是，综合式认定并未降低证明标准，宽松印证的方法也是达到证明标准的一种过程。对网络犯罪的事实认定来说，“排除合理怀疑”应具有两个层次的内涵：

一是强调了司法能动的重要性，认可综合证明原则，引导实践积极地运用经验逻辑的推理推论。换言之，“综合”是对证明标准主观要素的强调，即网络犯罪应“从注重外在的、客观化的证明要求走向重视裁判者内心确信程度的重要转变”。以往的证明过程中，尤以口供为代表的外部证据能够较明显地反映出事实的主线条，需要解决的疑点突出、明晰，且往往存在相应的证据材料，司法人员主观活动的负担并不重。但在网络犯罪中，系列间接证据的综合运用便对司法人员主观上建构事实、排除疑点与说理提出较高要求。故“综合”代表了网络犯罪下司法证明主观认知习惯的转变，仍需将排除合理怀疑作为规范心证活动的尺度。

二是消除“合理怀疑”是对综合定案的具体要求。网络犯罪的事实认定“着眼于解构，主要体现为一个消极和否定的标准，即在证明过程中寻求其薄弱环节，进行疑点发现及其消除性检验”。这种间接证据为主的事实建构是在多种可能中不断排除其他存在怀疑的可能。个案中要在“确认每一个间接证据真实性、关联性、合法性的基础上，使用间接证据证明案件主要事实的片段，并将间接证据相互印证，进行逻辑推理，形成完整的证明体系”。在整个过程中，排除合理怀疑既是整体事实的评判标准，也是审查单个证据或局部事实的重要依据，防止有选择地解释证据事实、拼凑案件事实。达到此证明程度尤为重视两点：（1）通过局部事实真实与节点衔接还原犯罪主要历程，保障证据事实与全案主体事实的排他性。消除对间接证据的误解，运用电子数据的载体关联性、内容关联性和真实性一般便能够反映网络犯罪的主要事实。相应内容上文已提到，不再赘述。（2）不能滥用推定，要主动排除疑点。合理怀疑的排除依赖公诉方对证明责任的完成而非被告人的反驳程度。在实践中，虽控方承担证明有罪的证明责任，但举证责任可能会发生转移。因为对部分事实，被告人更具有证明的便利性，也具有证明动力，而“反驳不能”无疑会促成法官内心的确信。考虑到网络犯罪中的反驳困难，在实践中应强调被告人一方反证的权利，“理性的证明模式应是辩方自由证明模式以及“合情确信＇标准”。一般只要提出证据（线索）或质疑，能够动摇法官内心的确信即可。司法解释等文件中的“有证据证明”并非对辩方反驳程度的要求，需要仔细辨别所谓推定的性质。当然，合理怀疑也不是凭想象、轻率地怀疑或基于同情或偏见的怀疑，而是基于推理和常识。

值得一提的是，有研究指出网络犯罪罪量无法达到“排除合理怀疑”的程度。反映在具体案件中，确实存在无法对海量数据或事实进行真实性检验或具体证明的情况，辩方提出反驳，或使得相应数量扣除，或因为无法举证而未被采纳。司法解释是以“排除合理怀疑”作为坚持的底线，留给司法实践较大的探索空间。例如，遵循科学抽样法规则，依比例扣除的方式确定最终的数额。对此，无论是实践中积极适用，还是宁愿降格处理的审慎，都在解释允许范围之内，都应让司法人员就具象处境判断能否形成内心确信。

五、结语

网络犯罪的刑事法应对成为信息时代司法的重要课题。鲜活的司法实践既揭示了问题之所在，也通过适应求变给出了应对之策。以司法解释为中心，我们可以梳理出网络犯罪事实认定或审查运用证据的一些关键内容，如综合证明原则和整体证明的方式方法。其中一些内容正在成为共识性的做法。面对时代难题，这些经验事实构成了学理研究与实践发展的基础。本文的主要内容集中在对网络犯罪中事实认定现状和实践应对方案的说明。实践是理论研究的基础，网络犯罪的证明难题终究要从问题中来，回归问题中去。除此之外，本文还引申出了司法实践对以往证明模式和认知习惯的反思与转变。这些潜在的深层因素更将进一步推动网络犯罪刑事证明难题的化解。