与看不见的“数字幽灵”交锋

郭弘

我从2000年入行，一转眼二十六年了。电子数据鉴定，听起来是技术活，说到底，是法治活。技术找的是痕迹，法治要的是公正。有人问我，你们这行到底做什么？简单说，就是跟看不见的“数字幽灵”交锋——手机里的半条聊天记录、硬盘上几毫秒的电流波动、服务器角落里一串残缺的代码，到了法庭上，可能就是决定一个人罪与非罪、此罪与彼罪的“铁证”。可这东西看不见摸不着，还会自己消失。

有一年除夕，外地近千户居民遇上怪事：智能电表余额充足，却集体断了电。电力线路、硬件设备查了个遍，都正常；抢修多日，才慢慢恢复。可到底哪儿出了故障，谁也说不清，只能先记作“系统异常”。

我们把云端后台、设备之间往来的数据、账户操作记录，完整固定下来。然后，在几十万条正常记录里，一条条比对时间、核对字段、还原设备之间的“对话”，终于筛出一批不该出现的控制指令。

顺着数据往回追，关键事实清楚了：有人利用权限漏洞，绕过安全校验，批量发出强制断电指令，导致近千台智能电表瘫痪。这份鉴定意见，成了定罪的关键证据。最终，司法机关以破坏计算机信息系统罪对犯罪嫌疑人定罪处罚。这起案子后来成为典型判例，也为同类物联网设备异常故障怎么鉴定、怎么取证，立下了规矩。

前段时间，有家车企后台发现一桩怪事：同一个动力电池ID，竟在同一时间，出现在北京、江苏、上海、福建等地的后台上。按规定，每块新能源车电池都有唯一身份ID，不可能异地复用、多车共用。

我们介入后确认，这不是数据出错，而是有人克隆、篡改电池后台数据，是新型物联网犯罪。这类篡改痕迹极为隐蔽，光看表面日志，很难发现端倪。我们把车企后台、电池管理系统和读写日志完整固定，在海量数据里理出一条篡改链。这套鉴定证据链，成了定罪的核心支撑。四名嫌疑人因涉嫌破坏计算机信息系统罪，被依法处理。

2010年前后，电子数据鉴定领域有一个尴尬：没有统一标准。同样是比对两个软件的相似程度，上海一个做法，广东一个做法。到了法庭上，辩护律师一句话就能把鉴定意见问住——你们的依据是什么？没人答得上来。这不是技术上的难堪，是法治上的缺口。我心想，这事儿必须有人干。

那几年，我把自己关在办公室里，一个字一个字地抠。前后磨了三年多，我们拿出了国内第一批电子数据鉴定技术标准。如今，全行业八成以上的技术标准，我都主持或参与制定。7个国家标准、40多项行业标准，把过去“无依据、无标准、无信心”的难题，一点点翻了过去。

这些年，我和团队办过的案子加起来上万件。全国最大的非法获取公民个人信息案，30亿条个人信息被批量贩卖，后来在央视“3·15”晚会上曝光，全国震惊。我们从数以亿计的数据碎片中，一笔一笔还原出链条——从最初的入侵点，到中间倒手的“中间商”，再到最后贩卖的“下家”。铁证如山，一个也跑不了。

2022年，我获得了“上海工匠”的称号。说实话，我理解的“工匠精神”，不是手艺有多巧，而是对真相的执念。我们这一行，面对的是看不见的战场，手里攥着的是别人的人生。我不能保证每一次都能找到答案，但我能保证——每一次，我都把能挖的地方，全部挖一遍。因为司法的公正，就藏在这些最细微的数字里。而我的使命，就是把它们找出来，摆在阳光底下。