（一）非法获取支付账户财产
1.从资金流寻找案件线索
作为侵财类案件，资金流是案件的侦查主线，可收集的证据包括：银行转账凭证、交易流水、第三方支付交易记录以及其他关联账户交易记录等。受理案件后，侦查人员首先要厘清被害人财产流出后的资金去向，以接收资金账户展开侦查，从中审查相关银行卡信息与被害人钱款、转款等账号有无关联，资金交付支配占有过程。大多数情况下，相关资金的接收账户要么是犯罪嫌疑人掌控的账户，要么是犯罪嫌疑人购物消费的对家。部分行为人利用他人账户购物消费后，还会留有一些物流地址信息和电话信息，这也是侦查中可以重点关注的情节。
2.虚拟账户的落地，即虚拟身份与现实身份的关联
首先，可通过IP、MAC等信息解决设备关联的问题；其次，通过技术手段明确相关犯罪工具是犯罪嫌疑人使用的或所有的，调取犯罪嫌疑人、被告人的虚拟身份信息，包括网络注册信息身份认证信息、网络社区登录密码等。在认定犯罪嫌疑人、被告人网络身份与现实身份的同一性时，可通过核查相关IP地址、网络活动记录、上网终端归属、相关证人证言以及犯罪嫌疑人、被告人供述和辩解等进行综合判断。如通过证据显示被害人信息（被害人信息、出入金金额、微信账号信息等）出现在行为人处，则可基本确认相关犯罪事实与行为人有关联。
3.损失来源和账户所有人参与程度也是侦查中应当重点关注的环节
网络支付类刑事案件，财产来源多样，资金在被害人多个账户之间流转也是较为常见的，从刑事案件角度，只要相关的资金仍在被害人账户内，则不能计算为犯罪既遂。同时，账户所有人是否知情、是否主动参与，不仅是案件得以顺利侦查的要点，更决定了案件的定性，因而也是侦查的重点。另外，为了减少网络诈骗带来的损失，目前我国对于转账规定了24小时内可撤回，因此办案中应注重及时撤销转账，以便最大限度挽回损失，同时对于已经撤回的该部分财物，应认定为犯罪未遂。
（二）利用二维码非法获取财产
1.关注二维码背后的信息
二维码是一个具有可读性的特定图形的存储器，其所存储的内容存在于二维码背后的链接。程序、名片、网址、付款和收款信息等都可以通过二维码图案展现出来。二维码具有抽象性、隐蔽性等特点，我们无法通过直接观察识别其内容。因而，在案发之处，必须及时对二维码及其背后的信息进行依法提取、固定，防止相关信息被犯罪嫌疑人破坏。
2.及时开展现场勘察，调取张贴（覆盖）、取款的监控英宏程、汤艳君、斯嘉懿：《基于共享单车二维码犯罪案件的侦查取证方法与防范策略——从一起典型案件谈起》，载《公安教育》2018年第1期。
公安机关在侦办此类案件时，首先，应该对相关证据及时固定，要利用相关专用解析工具，对二维码进行解析，解析后可以得到相应的链接，并对此链接进行固定。其次，对被害人的手机进行取证，将被害人的手机微信交易记录予以提取，确定受骗方式、时间以及金额。最后，公安机关应调取案发现场附近的监控，并对有用的相关视频监控信息进行录像固定。
（三）利用网络支付账户套现
1.是否存在真实交易是此类案件的切入点
虚假交易套现类案件中，交易仅仅是噱头。但为了逃避平台监管，相关的交易因素在平台均会有体现，这其中套现组织方会填写虚假的交易物流，以实现在平台上发货的假象。侦查人员应及时调取相关的物流信息证实交易的虚假性。同时，结合言词证据，就套现返现情况开展侦查，从而形成完整的证据锁链。
2.通过询问犯罪嫌疑人掌握犯罪流程
网络支付类案件，行为人的作案方式多样，根据不同作案方式，案件的定性也会有所区别。有条件的情况下，侦查机关应当在第一次讯问犯罪嫌疑人时即让其操作演示作案经过并截图保存；由侦查人员操作的，应当将操作经过交犯罪嫌疑人核实。操作过程应同步录音录像，以确保其证据效力。
3.电子数据仍是此类案件的重点
除扣押电子证据相关的存储介质外，对扣押的犯罪嫌疑人的手机、电脑等通讯设备，应先行勘查，提取与案件相关的通话记录、即时社交软件上的聊天记录、支付宝等支付工具上的交易记录，且应注重调取IP地址、MAC地址、银行交易明细、网上支付平台的数据、上网记录、电子邮件等数据，提取上述电子数据后，应迅速将收集到的证据备份，将扣押到的证据予以封存。需要提交鉴定的证据应及时委托鉴定，避免因服务器过期等各种原因无法鉴定。
（四）利用网络支付账户虚假刷单
1.从批量性交易入手侦查
此类案件中，行为人追求的不是交易本身，不是为了购买所谓的产品或服务，而是交易的数量，以及通过交易获取的利益。因而，交易大都以批量的形式存在，部分案件中甚至利用软件批量下单，因而实现交易的便利性，相关的订单往往具有一定的规律，比如金额特定、人员集中等。侦查人员可结合相关特点开展询问、讯问等侦查工作。
2.结合交易规则开展侦查
虚假刷单薅羊毛类案件往往是利用了交易规则，因而在侦查之处应首先明确交易规则以及获取返利最大化所对应的交易金额，行为人大都会根据交易规则下单。比如针对“10000元返还50元”的交易规则，行为人选取的就是10000元的交易金额，而后将50元券变现的物品金额均设置为50.01元。
3.交易物流可作为突破点
虚假刷单与虚假交易套现类案件一样，均不存在真实的交易物流，可结合物流信息证实交易的虚假性。
（五）利用网络支付账户开展支付结算
1.从被害人资金流转锁定用于支付结算的网络支付账户
网络支付结算案件中，相关平台多被诈骗、赌博等网络违法犯罪利用，采取技术手段层层伪装，虚构交易场景规避监管。但无论如何逃避，均会存在控制、归集资金的账户。侦查机关可结合多个被害人的资金流转，寻找其中的交集账户，往往该交集账户就是用于网络支付结算的一级账户，进而由该一级账户扩展侦查范围，查明开立人、使用人等。
2.以账户开立人、使用人为中心开展侦查，明确相关人员的职责、相关公司的经营业务
为逃避金融监管，行为人往往会采取招募会员、租用账号等形式，汇聚众多的网络支付账户，而这些账户开立人，包括代理、“兼职”收佣的网络支付用户等，往往因贪图小利将网络支付账号出租、出借，与上下家均不存在真实的交易，且一般无反侦查意识，较易突破。因此，可有针对性进行询问，查明钱款来源，进而找出上线。
3.分析控制、归集资金的账户明细，确定犯罪数额
非法从事支付结算类案件行为人必定会将资金归集、汇总，而后根据需求通过自己控制的账户再次流转，表现为对个人的转账，从而躲避银行监管，往往成为洗钱的工具。因此，此类银行账户的资金流水多表现为向多人收款，而后又向多人转账、汇款，相关收款人与行为人之间基本不会存在任何的业务关联。公安机关在立案后，应及时调取用于支付结算的银行交易明细等电子数据，及时对电子数据进行梳理分析。同时，鉴于此类案件涉及资金流巨大、数据庞杂，还应及时委托专门审计机构对支付结算金额予以审计，从而快速、准确认定犯罪金额。 上海虹口网络犯罪律师事务所