伪基站取证数据库

2019年夏天，伪基深圳龙岗区一处出租屋里，站取证数警方查获了一套伪基站设备。据库主机巴掌大，伪基连着根天线，站取证数旁边扔着三台旧手机。据库取证人员到场后干的伪基第一件事，不是站取证数拍照封箱，而是据库把设备接上屏蔽箱，防止它继续发信号。伪基然后打开笔记本，站取证数运行专用软件，据库把设备里的伪基IMSI号码、短信记录、站取证数发射日志全部导出来。据库整个过程像给嫌疑人做胃镜，得先麻醉，再插管，最后取组织样本。

这套流程背后，是一个多数人没听说过的数据库在支撑。它不存姓名、不存身份证号，专门存伪基站设备的“指纹”——设备序列号、主板信息、固件版本、射频参数。全国打掉的伪基站，设备信息最后都汇入这个库。下次再抓到一台，比对一下，就能知道是不是同一批货、同一伙人改装的。

为什么非要建这个库

伪基站案子有个麻烦：设备便宜。一套成本几百块，抓了人，设备没收，判个缓刑，出来再买一套接着干。2014年到2017年，全国伪基站案件数量翻了近三倍，但重复作案的占比一直下不来。基层民警抱怨：今天抓张三，明天李四用同款设备，连发短信的模板都没换。

数据库要解决的就是这个。设备序列号改不了，射频指纹改不了。哪怕外壳换了、天线换了，主板一通电，特征频率漂移曲线还是老样子。广州天河区2018年抓过一个案子，嫌疑人坚称设备是“捡来的”，结果入库一比对，三年前同型号设备在东莞被查过，连焊接点上的松香残留都一致。最后交代了：同一个作坊出的货，换了层皮。

取证不是拷文件那么简单

伪基站取证有个坑：设备里往往有自毁程序。强行读取，短信记录会瞬间清空。所以得先做“活体取证”——让设备以为自己在正常工作，实际信号被引导到屏蔽箱里的假基站上。这招是从手机取证那边借来的，但伪基站更麻烦，因为它本身就在发信号，你得骗过它。

数据库里现在存了超过四万台设备的信息。每台设备入库时，除了常规参数，还会记录“行为特征”：比如发短信的间隔规律、切换频点的偏好、甚至开机后第一分钟的信号强度曲线。这些数据单看没意义，积累多了就能做关联。福建泉州2020年打掉一个跨省团伙，就是靠数据库发现：三台不同地点查获的设备，每次开机后第47秒都会出现一个异常脉冲。拆开一看，同一批次的改装模块。

库里的数据怎么用

一线民警其实很少直接查这个库。他们更常用的是“伪基站实时监测平台”，那个是前端。数据库是后端，主要给三类人用：一是做串并案分析的侦查员，二是做设备溯源的技术员，三是法庭上的质证环节。辩护律师有时候会质疑：你怎么证明这台设备就是发诈骗短信的那台？这时候数据库的比对报告就派上用场了——射频指纹匹配度超过99.7%，法官一般会认。

不过也有尴尬的时候。2021年有个案子，设备入库时参数录错了，把频点范围写成了另一个型号。结果串并案串错了，差点冤枉人。后来加了校验规则：同一台设备必须由两名取证人员独立录入，数据不一致就报警。技术再先进，还是得靠人盯着。

这库现在还在长。每年新增几千台设备信息，旧数据偶尔要清洗。有次我发现2016年的一批记录里，有十几台设备的“发射功率”字段全是0。查了半天，原来是当年那批取证软件有bug，读不出功率值就默认写0。后来补了注释，但数据没法改了。这种事儿在数据库运维里很常见，你以为是技术问题，其实是历史遗留的人为疏忽。

说到底，伪基站取证数据库就是个工具。它不能阻止有人买设备，也不能自动抓人。但它能让重复作案的成本变高——以前换个壳就能重来，现在得换主板、换射频模块、改固件，成本翻好几倍。犯罪也是算账的，不划算的买卖，干的人就少了。