我国电信网络诈骗犯罪的态势特征及打击思路探析

李亚可

(广东警官学院,广东 广州 510440)

犯罪是随着社会发展而不断衍变发展的一种客观存在的社会现象。从违法犯罪案件的构成及基本过程来看,犯罪的发生必然有潜在犯罪人、潜在被害人、环境空间及领域,而这个环境空间领域既可以是物理世界,也可以是网络空间、生活领域、金融领域等。[1]基于网络空间和生活领域、金融领域发生的犯罪,被统称为新型犯罪。所谓“新型犯罪”,可以定义为在当前网络社会与物理社会一体化的新型社会环境空间中发生的具有犯罪实施方式新、表现形式新的各种违法犯罪。[2]电信网络诈骗犯罪是近年来多发高发的一类新型犯罪,此类犯罪在新的存在空间中,从实施方式到侵害结果都发生了一定的变化。因此,对当下高发的电信网络诈骗犯罪进行侦查打击时,侦查机关在考虑犯罪活动本身演变的基础上,要更加重视犯罪活动赖以生存的空间和遗留信息。

科技的进步在给人们的生活带来极大便利的同时,也为诈骗分子带来更有利的条件,犯罪形式和手段不断翻新,高科技犯罪日渐凸显。[3]第四次工业革命的到来和人们用网广度及水平的不断提高,为电信网络诈骗犯罪的演化升级提供了有利的外部条件,电信网络诈骗犯罪的侵害面也随之不断扩大。以网络诈骗类案件为例,全国的网络诈骗案件占所有案件比例的30%以上,经济发达地区甚至达到60%。任何人在诈骗犯罪高发、频发的当下都有被骗的可能。在互联网高速发展的信息化时代,个体一方面在单位时间内接收到庞大的信息量,另一方面又处在电信网络诈骗信息占有不对等、受诈骗话术心理控制的相对弱势境地,从而难以在短时间内依靠理性判断和认知评估做出合理选择,在缺少防骗经验的情况下容易被侵害。公安机关作为打击治理电信网络诈骗犯罪的中坚力量,重拳出击电信网络诈骗犯罪的同时,始终坚持多措并举,对其上下游犯罪和伴生犯罪向常态化治理推进。截至2021年9月,全国共紧急止付电信网络诈骗涉案资金2770亿元。截至2021年11月,全国共破获电信网络诈骗案件37万起,抓获犯罪嫌疑人54.9万名。2021年6月至11月,电信网络诈骗犯罪发案数连续6个月实现同比下降,在遏制电信网络诈骗犯罪的发展态势上卓有成效。[4]

一、我国电信网络诈骗犯罪的态势特征

现阶段,电信网络诈骗犯罪的形态和特征都呈现出多维度的变化。多种犯罪类型相互交织,更多窝点及其幕后人员向境外转移,窝点与被害人之间的黑灰产业链条日益庞大复杂,犯罪嫌疑人的反侦查技能不断提升,群呼设备更新换代,以及地下钱庄、第四方支付、数字货币的洗钱渠道等,都给公安机关的侦查打击带来巨大挑战,不仅侦查难度加大,取证和追赃更是困难重重。

(一)犯罪成因复杂多样,仍处在势能集中释放期

犯罪作为一种社会现象,其发生、存在和变化及危害后果无不具有社会性和综合性。因此,从某种意义上来说,犯罪的发生是一种社会综合症。[5]电信、金融及其相关行业在快速发展过程中,管理滞后所造成的漏洞为电信网络诈骗犯罪的实施提供了平台和机遇。电信行业的“实名不实人”,使得电话卡沦为诈骗团伙的犯罪工具,虚拟运营商成为黑卡聚集的洼地,企业400电话及9520电话乱象丛生、来电号码被任意篡改;银行机构的对公账户被乱用、银行卡被乱发,以及第三方支付的管理漏洞等为诈骗组织提供了资金接口。互联网具有开放性,为公民个人获取信息提供巨大的便利;同时,互联网管控体系的法律制度不完善,社会主体责任落实不到位,使得新型犯罪的防控难度加大,犯罪原因呈现出综合性和复杂性。

电信网络诈骗犯罪的产生,既有社会环境的原因,也有犯罪行为人的原因,需将两者结合起来进行系统性、结构性的分析和考量。电信网络诈骗犯罪因成本低回报高、风险低隐蔽性强等特点,受到诈骗分子青睐。在电信网络诈骗犯罪的初始阶段,犯罪的智能化水平不高,诈骗形式也比较单一,但随着以互联网为代表的信息技术迭代升级,金融业、电信业迅猛发展,出现了更多新的犯罪手段和犯罪场景。诈骗分子借助互联网平台拓展更多的犯罪渠道,通过侵害公民个人信息,非法生产、销售和使用伪基站、手机恶意程序、无线屏蔽器、“黑广播”等形式,严重危害人民群众的财产安全,扰乱正常的生产、生活秩序,甚至使被害人不堪忍受经济和精神的双重打击,结束自己的生命,成为影响社会稳定的突出问题。当前,电信网络诈骗犯罪呈现传播的广域性和持续性,仍处于势能的集中释放期。

(二)犯罪技术转型升级,主体智能化手段突出

近年来,电信网络诈骗犯罪数量呈几何级增长,而且犯罪方式的隐蔽性在增强,上下游犯罪在蔓延,伴生犯罪不断产生,公安机关的侦查打击难度加剧。信息技术的高速发展和数字金融的蓬勃兴起,为电信网络诈骗组织创造了极其有利的犯罪环境。同时,借助人工智能、大数据分析等新技术手段,电信网络诈骗犯罪与其他违法犯罪活动交织融合,出现作案手段迅速翻新、诈骗类型快速增多等特点。其中,借助公开渠道爬取公民个人信息是诈骗分子常用却容易被公众忽视的一种手法。互联网的开放性和普及性,让网络公开渠道的信息成为犯罪分子关注的重点,他们通过“爬虫”“嗅探”等技术手段从网络公开渠道爬取大量的公开信息,以此获取企事业单位和公民个人的重要信息。例如,诈骗分子利用企业信息查询平台爬取企业名称、领导名字、公司员工社交账号等信息后,假冒某企业领导,主动添加公司员工的微信好友,以急需支付款项为由要求员工转账。

(三)犯罪链条庞大分散,黑灰产专业化程度提升

电信网络诈骗犯罪所涉及的黑灰产业链通常涉及盗取和贩卖公民个人信息,贩卖银行卡,制作木马病毒,提供通讯设备及其运维,利用伪基站发送信息,以及钓鱼网站、码商码队、网络改号系统、多元化金融结算业务、黑客等方面。电信网络诈骗犯罪链条的每一个环节之间都是单线联系,犯罪分子之间相互隐藏真实身份、互不认识,他们通过通讯和网络渠道完成沟通和联络,即便公安机关抓获了某一层级的犯罪分子,也无法直接发现全部的犯罪组织成员。同时,由诈骗链条的分散性造成证据的分散性,也给取证工作带来较大困难。在诈骗链条的形成和发展阶段,犯罪手段按需升级,逐步衍生出诸如买卖公民个人信息、开贩手机卡和银行卡、平台洗钱、POS机套现、伪基站、黑广播等独立的犯罪行为。因此,电信网络诈骗犯罪链条仍存在庞大的市场需求和强大的生存力。随着通信技术的日益发达,上述特征还将更加突出。[6]如今,电信网络诈骗犯罪已形成分工明确的包含上游、中游、下游、底层用户的黑色高能产业链。其中,上游犯罪包括技术供应商和服务需求者,负责定制个性化的数据以满足不同平台的需要,依靠“拖库—洗库—撞库”和钓鱼攻击获取网银“四件套”(个人身份证件、银行卡、手机卡、U盾)等信息;中游犯罪包括软件开发商和数据传递平台,负责提供各类“嗅探”设备和卡池、“猫池”,提供长期的个人隐私查询;下游犯罪包括广告投放商和盗号、盗刷、洗钱团伙,精准实现金融诈骗、电话诈骗和短信诈骗。随着互联网的加速发展和新技术的不断应用,该链条也在不断地扩展,例如涉及个人信息的网银“四件套”已逐渐扩展到指纹、面容、声音、虹膜等生物信息领域。

(四)诈骗平台引流加剧,治理难度加大

随着公安机关和各大互联网企业对平台的打击和清理力度的加大,黑灰产从业人员不断更新交互场景,通过平台引流的方式,对抗公安机关的打击和治理。他们不再局限于某个单一的平台,而是采用多平台引流的方式来分散犯罪证据。在平台的使用和拓展方面,诈骗分子利用新媒体拓宽诈骗信息的发布渠道,利用抖音和快手等短视频平台、闲鱼网站等二手交易平台、百度等贴吧平台、SOUL等社交工具平台,实现跨平台引流实施犯罪;在平台的分流上也呈现出链条化的特征,使得引流、推广和交易等关键性环节相互割裂。在信息技术高度发达的今天,手机已经由单纯的通联工具转变为兼具通联属性和金融属性的工具,移动支付的覆盖面日益扩大,犯罪分子实施侵财类犯罪活动的空间也在不断扩大。在资金支付环节,诈骗分子利用不同平台风险控制能力不一的漏洞,实现跨平台的资金流转。网络本身是物理链路,将各个主机连接在一起组成数据链路,从而达到资源共享和信息互通的目的。网络空间的客体虚拟性和行为虚拟性,在一定程度上掩盖了网络诈骗犯罪人的犯罪动机、犯罪行为和犯罪过程,降低了其违法犯罪的风险。同时,网络的开放性也使得潜在受害人的精准信息更容易暴露,个人信息被随意采集和利用,为电信网络诈骗犯罪的蔓延提供了更多可能。在技术手段上,出现了利用VPN翻墙的工具,将境内外平台打通互联,犯罪手法隐匿多变,给网络治理带来巨大的挑战。

二、我国电信网络诈骗犯罪的打击思路

传统接触式犯罪的侦查模式难以满足电信网络诈骗犯罪的侦查工作需求,在电信网络诈骗犯罪的侦查中,由于加入了“网络”和“信息”两个要素,在受理案件、记录涉案信息时,需要将证据的获取拓展到网络空间。刑事案件的侦查工作是多要素联合的系统工程,既要考虑犯罪活动的规律和特点,又要考虑侦查活动的规律和特点,还需考虑信息活动的规律和特点。

(一)情报主导,全景式侦查控制

在信息技术深入社会每一个角落的背景下,侦查人员在应对电信网络诈骗犯罪活动时,需要采用情报主导的全景式侦查模式,借助现实和网络社会中所蕴藏的情报信息开展工作,顺应信息化时代犯罪侦查的需求。由于电信网络诈骗犯罪的信息化特征较为突出,传统的信息化侦查模式不能满足此类犯罪侦查的需要,必须在信息化侦查模式的基础上融合情报思维,实现侦查模式的优化升级。

互联网时代情报信息的搜集无处不在,除传统情报搜集方式外,开源情报因其具有高效性、便利性和海量性等特点,业已成为公安机关侦查破案的一种新渠道。一些专业的情报分析人员,通过对个体公开数据的采集和分析,挖掘侦查人员所需要的情报线索,以达到更多的积极效果。任何案件侦破的关键都在于犯罪线索的挖掘和犯罪证据的收集,在电信网络诈骗犯罪侦查中,可以通过对诈骗使用的群呼设备进行调查取证,获取通话记录、短信、IMEI等关联信息,与受害人手机采集的信息形成对应,印证电信诈骗犯罪行为;如果该群呼设备的应用场景是移动式的诈骗窝点,开源情报分析方法可以侦查扩线到对该移动窝点例如交通工具进行侦查取证,依据车辆轨迹进行分析追踪,找到群呼设备的固定窝点,查找后台服务器及其所在位置,进而通过IP反查找到支持群呼设备运行的服务器,并通过群呼设备服务器的IP和账户密码等信息,关联到更多的受害人,实现串案侦查;也可以通过受害人所使用的终端设备中所记录的短信、IME值等相关数据,以及通话信息和群呼设备中对应的信息等进行相互印证,最终实现证据链的闭环。

(二)数据整合,建模预警

“物的数据化”释放了大数据的巨大能量。[7]随着国内相关产业体系日臻完善,各类行业融合应用逐步深入,国家大数据战略开始走向深化。中共中央、国务院发布的《关于构建更加完善的要素市场化配置体制机制的意见》,将数据与土地、劳动力、资本、技术并称为五种生产要素,将数据要素市场化配置上升为国家战略,对发展数字经济、完善现代化治理体系产生深远影响。[8]从技术角度来看,任何一个组织要抓住大数据的机遇,首先要开发特定的工具,来管理大规模并行服务器产生的结构化和非结构化数据,这些数据可能是个体专有的,也可能来源于“云”;其次要选定分析软件,用来挖掘数据的意义。但可能最重要的是,任何组织都需要人才来管理和分析大数据。[9]电信网络诈骗犯罪所依赖的现代网络技术高度发达,所使用的犯罪工具科技含量高,使得发现、固定和提取犯罪证据成为办理此类案件的难点所在。发现和收集犯罪线索是侦查工作的首要环节,犯罪线索收集的渠道具有广泛性,可以依托公安机关的各大数据平台,同时整合社会数据资源平台,结合上级业务指导部门的信息推送,充分做好人、事、物的线索和信息收集。应该注意的是,涉及案件中的人员信息,既包括人的身份信息,也包括虚拟账号和网络空间的身份信息。涉及物的线索和信息,是广义的物的信息,既包括实体空间的工具和场所的信息,也包括网络空间中信息流、资金流的线索和信息。在侦查工作中做好取证环节,广泛收集网络犯罪线索是侦查破案的关键。

大数据应用于侦查工作可以优化侦查决策和侦查方法,要推动大数据、云计算、人工智能、区块链等现代科技与电信网络诈骗犯罪侦查的深度融合。对数据的有效挖掘,可以满足非定制化的要求,对犯罪手法日益翻新的电信网络诈骗案件办理来说,契合度极高。通过科学的数学模型解决现实中的问题,即在对业务数据的理解和分析基础上,针对反诈目标,借助于一定的算法,最终分析出有价值的信息,做到精准打击和有效预防。用大数据的建模形式,摸排出潜在的受害者,做到精准反诈。目前,全国各地都构建了大数据平台,通过大数据建模的形式,可以充分利用和汇集技侦、网安、经侦、刑侦等数据资源,发挥民警的主观能动性,依托个性化的算子模型,做到精准反诈。对于潜在的受害者,侦查机关应在建模预警的指引下,开展预警和诈骗阻断工作。通过对分门别类的贷款、求职类网站的监管,依据诈骗行为所涉及的主要流程和环节,进行分类建模,从而针对诈骗链条中的各个技术环节进行分类打击。人工智能帮助识别诈骗网址和诈骗信息,利用数据检测技术,基于机器学习算法和大数据平台,在不同的应用场景下,选定准确率较高的机器学习模型,达到较高的识别率;可以针对诈骗剧本、诈骗图片、诈骗视频音频等内容,识别出涉及诈骗的信息,结合发送反诈预警短信和拨打拦截电话,实现从源头遏制诈骗发生的目的。在具体实践中,多数经济发达地区的公安机关转向主动型侦查打击模式,结合多维预防,在技术反制和诈骗阻断上施力。例如,广东省公安厅立足于智慧侦查工作,于2018年启动“智慧新警务”战略,利用大数据打造智慧新警务模式,“反诈先锋”就是其中一例。广州市公安局创建的“反诈平台”将反诈模式向“预止宣劝治”一体的智能精准化模式转变,加快了“互联网+”的创新应用,实现了预警、劝阻、宣传“三维一体”的反诈新模式。

(三)联合作战,精准打击

刑事侦查工作始终坚持推进制度创新和侦查方法创新,不断提升打击犯罪的总体水平。在打击电信网络诈骗犯罪的过程中,公安机关应结合此类犯罪活动的态势特点,坚持条块结合、专案攻坚和联合作战,共同收集和核查涉案线索。在侦查打击过程中,将情报反馈、案件复盘、取证核查、抓捕收网等环节统筹协调。刑侦部门要充分发挥专业化打击的端口作用,制定详细而精准的打击方案,将蹲守、搜查和扣押、调取证据、案件串并、抓捕等侦查措施落到实处;刑事技术部门要及时进行现场勘查和取证,既要关注实体物理现场的勘查,又要关注网络虚拟现场的勘查;技侦和网安部门要利用专业技术方法识别和确认犯罪嫌疑人的轨迹信息、犯罪团伙的组织架构;情报合成作战中心要对犯罪团伙的落脚点和活动规律进行研判和评断,为后续的侦查工作提供更多的依据和导向。

我国刑法更多的是属于“打击刑法”或者“惩罚刑法”,而不是“预防刑法”,是打击对策在刑法上的集中反映。[10]要实现精准打击,就要突出侦查的价值目标导向,从打击和惩治犯罪的角度强调此类案件的证据收集问题,聚焦于“断卡”行动中的法律适用和明确境外电信网络诈骗案件办理的法律适用,强化对电信网络诈骗上下游关联犯罪的刑事规制。比如,将用于电信网络诈骗犯罪的手机卡、信用卡的开立地、转移地、藏匿地,即时通讯信息的发送地、到达地,以及硬件设备的销售地、入网地、藏匿地均应认定为电信网络诈骗犯罪地。又比如,在取证中加强对银行账户交易记录、第三方支付结算账户交易记录、通话记录、电子数据等证据关联性的证明,加强对犯罪行为及其后果的预判,及时、完整地勘验犯罪现场,提取电子证据。必要时侦查部门应加强与检法部门的沟通协作,提请其提前介入侦查活动,以联动之合力实现有效遏制和精准打击。

(四)重视对网络虚拟现场的勘查

侦查工作具有证明的属性,其根本任务就是收集证据,通过收集证据证明犯罪事实,同时要在正确的侦查理念和原则指引下,遵循侦查工作的内在逻辑,做好基础工作。现场勘查是一项重要的侦查措施,勘查前要对电子数据的安全性和硬件设备的可还原性进行全面评估,必要时可以成立包括专业技术人员在内的专门现场勘查队伍,由现场勘查指挥员制定现场勘查工作方案,按照现场勘查工作的流程,做好专门工具型、存储型设备的配备,确保各类电子设备在外部形态上的静止性、设备上存储各类电子数据的原始性,及时、全面、细致、客观、合法、安全地完成现场勘验。(见图1)

图1 现场勘验流程图

对于窝点在境外的犯罪现场,要组织实施远程勘验。首先要查看电脑的SN码,在全程录屏下进行远程勘验。打开杀毒软件进行全盘杀毒,并清除DSN的缓存记录,检查Hosts记录,检查Tracert路由,并清除浏览器的缓存。用IE浏览器访问国家授时中心,登录远程勘验的目标地址,并计算文件的哈希值(Hash),连同相关证据的截图等一起保存。同时,按照实地勘验流程制作相关的勘查笔录,具体包括《远程勘验工作记录》《远程勘验笔录》《固定电子证据清单》《勘验检查照片记录表》《远程勘验记录签名》。(见图2)

图2 远程勘验流程图

(五)打击黑灰产业链及其伴生犯罪

电信网络诈骗犯罪发案数不断攀升的原因,是以互联网技术为代表的信息技术的迅猛发展为电信网络诈骗犯罪提供了长期生存和演化的土壤,同时也助长了网络黑灰产及其伴生犯罪的不断产生和演化。随着电信网络诈骗犯罪的演化,在运作模式上呈现出更加专业化、公司化和智能化的特点,在犯罪链条上逐渐形成全链条诈骗模式,形成融合注册、引流、诈骗、洗钱等为一体的完整产业链。网络黑灰产是由分工明确的上下游关联犯罪组成的环环相扣的产业链,对电信网络诈骗犯罪进行精准打击的前提是对上下游关联犯罪进行类型化区分,并针对实施主体、技术特性、获利方式制定个性化的反制策略。电信网络诈骗犯罪窝点和事主之间的中间层,即属于黑灰产业链的问题。传统接触式犯罪的侦查关注受害人和犯罪人双方。从传统刑事活动的分析角度,难以理清电信网络诈骗犯罪过程的脉络,而电信网络诈骗犯罪侦查的重点和难点在于庞大的黑灰产业链条中。应当基于公安大数据战略和智慧警务的深度推进,采用综合治理的模式,做到全警参与、全社会共同防范,同时充分应用物联网、大数据、人工智能、云计算等新技术,推动数据资源的有机融合,并做强情报研判的载体,强化实战应用,实现精准化一体化打击、单兵作战与合成作战相融合的全链条打击模式,完成侦查工作的转型升级。例如,2020年,在“断卡”行动开展过程中,中国人民银行、公安部联合发布的《对买卖银行卡或账户的个人实施惩戒的通知》规定,凡是经公安机关认定的出租、出借、出售、购买银行卡或企业账户的个人,除了承担相应的法律责任之外,银行和支付机构对相关个人实施5年内暂停其银行账户非柜面业务、支付账户的所有业务,同时不得开立新账户。在警银互通的基础上,建立金融风险信息警银共享平台。加强涉企信息的共享,为银行提供翔实、权威的涉企综合信息,提升银行对客户身份的识别能力。公安机关、不动产登记局、海关等政府部门适度开放地址信息,供经授权的市场监督管理部门及银行在必要时进行联网核查。

(六)专群结合,多方位打击治理

专门工作与群众路线相结合的原则是刑事侦查工作的优良传统和根本特色。[11]侦查工作只有相信群众、发动群众、依靠群众,才能有效发现、控制、揭露、证实和预防犯罪。专群结合的内涵要求在工作中必须依靠群众,但不能动摇和改变侦查机关在专门工作中的主导地位,而应使两者有机结合起来。侦查机关依靠群众获取充分的线索,经由专门人员收集、查证和识别。随着国内不断加强对电信网络诈骗犯罪的打击力度,电信运营商、银行等部门加强监管,民众的警惕性不断提高,电信网络诈骗犯罪团伙逐渐将犯罪窝点往境外转移,犯罪团伙的松散化程度不断提高。为了逃避司法机关的打击处理,电信网络诈骗的幕后组织者通常会人为地分离犯罪环节,即将开户办卡、搭建网络诈骗平台、接拨诈骗电话、转账取款等环节设置在不同的地点,这些不同的环节再由幕后指挥者异地单线联系,从而使电信网络诈骗犯罪日益呈现出跨地域(包括跨区域、跨境、跨国)作案的特征。在专群结合方针指导下实现多方位的打击治理,强化源头防控以提升风险防范的能力,强化过程把控以提升风险动态把控的能力,强化应急管控以提升应急处置的能力,强化全社会全生态系统防控以提升有机治理的能力。

三、余论

鉴于侦查打击是应对形态多变的电信网络诈骗犯罪的最后一道防线,在有效应对治理电信网络诈骗犯罪态势中,公安机关要做到“打防结合、预防为主”,依托现代智慧警务建设,将预防预警关口前移,统筹推进犯罪侦查和犯罪治理工作。信息警务和智慧公安主要发生在信息化时代物质和信息双重维度相互作用的现实世界,因而它与以往单一物质世界的公安、警务之形态全然不同。信息科学技术开掘建构的信息世界将信息警务和智慧公安本身的复杂性进一步非线性放大,使公安、警务领域的创新无不紧密围绕信息、信息科学技术而展开,并通过警械武器装备、警务作战样式、警务人员组织结构、警务管理方式等的信息化升级外显出来。这可以视为表面层次的信息化创新。[12]而个性化的智慧警务建设应当聚焦本地警务实战的需求,以云计算、大数据、人工智能、物联网、移动互联网等信息技术手段为支撑,汇聚整合多源信息资源,以构建全维感知、全能运算、全域运用的智慧警务信息化体系,从而促进警务流程再造,实现主动预警型的风险防控、数据驱动型的指挥决策、精准打击型的侦查破案,增强公安机关打、防、管、控的能力,最终实现对各类犯罪态势的精准预测,体现智慧警务建设的实效。同时,智慧警务建设的有效途径是推进协同治理和综合治理。当代社会,人们对网络空间和网络平台的依赖性越来越大,电信网络诈骗犯罪更多体现为一种与网络密切关联的犯罪,而电信网络诈骗犯罪的治理又是一项长期的、系统的工程。因此,在电信网络诈骗犯罪治理模式的选择过程中,必定要从战略上认清新型犯罪治理的核心和要义,重构传统的“打—防—管—控—宣”的打击和治理模式,推动构建以大数据智能应用为核心,以智慧警务建设为基础的社会综合治理模式,才能彻底有效地控制此类犯罪的蔓延和升级。