Раздел 1. Правовая природа и общая характеристика компьютерно-технической экспертизы

Компьютерно-техническая экспертиза представляет собой самостоятельный класс судебных инженерно-технических исследований, предметом которых выступают информационные системы, компьютерные устройства, программное обеспечение и содержащиеся в них данные, имеющие значение для установления обстоятельств по гражданским, арбитражным, административным и уголовным делам . В условиях стремительной цифровизации всех сфер общественной жизни значение данного вида экспертизы возрастает многократно, поскольку практически любая хозяйственная или личная активность оставляет цифровые следы, которые при правильном извлечении и интерпретации приобретают силу судебных доказательств.

Компьютерно-техническая экспертиза в Москве и других регионах Российской Федерации назначается судами общей юрисдикции, арбитражными судами, органами предварительного расследования, а также проводится по инициативе частных лиц и организаций в досудебном порядке для оценки перспектив спора или фиксации доказательств. Союз «Федерация судебных экспертов» располагает необходимыми ресурсами и квалифицированными специалистами для выполнения исследований любой сложности в данной области .

Судебная компьютерно-техническая экспертиза базируется на синтезе знаний из области информатики, вычислительной техники, программирования, сетевых технологий и криминалистики. Эксперт-компьютерный техник (цифровой криминалист) должен не только владеть техническими средствами анализа, но и понимать процессуальные требования, предъявляемые к заключению как к доказательству. Именно поэтому производство данного вида исследований целесообразно поручать специализированным экспертным учреждениям, обладающим отработанными методиками и лабораторной базой.

Виды компьютерно-технических экспертиз дифференцируются в зависимости от объекта и решаемых задач. Аппаратная экспертиза направлена на исследование физического состояния компьютерной техники, ее комплектности, работоспособности и причин возникновения неисправностей. Программная экспертиза исследует программное обеспечение на предмет его функционального назначения, легальности использования, наличия вредоносных компонентов и соответствия технической документации. Информационная (данные) экспертиза занимается извлечением, восстановлением и анализом информации, хранящейся на носителях, включая удаленные файлы, историю активности, журналы событий и переписку. Сетевая экспертиза исследует сетевую активность, конфигурацию сетей, логи подключений и признаки несанкционированного доступа. Комплексные исследования объединяют перечисленные направления при решении сложных задач.

Вопросы на компьютерно-техническую экспертизу формулируются с учетом конкретных обстоятельств дела и должны быть четкими, однозначными и разрешимыми в рамках специальных познаний. Типичными вопросами являются: имеются ли на представленном носителе файлы, содержащие определенные сведения; когда и с какого устройства осуществлялся доступ к конкретному ресурсу; подвергались ли файлы модификации после указанной даты; является ли программное обеспечение лицензионным; содержит ли программный код признаки вредоносного воздействия; какова рыночная стоимость представленного оборудования на определенную дату. Постановление о назначении компьютерно-технической экспертизы должно содержать перечень объектов, подлежащих исследованию, и четко сформулированные вопросы, не выходящие за пределы компетенции эксперта.

Услуги по экспертизе технического состояния компьютерной техники востребованы в спорах о качестве товаров, при определении причин поломок, в страховых разбирательствах и при оценке ущерба. Информационно-аналитическая и техническая экспертиза компьютерных систем позволяет установить факты, связанные с обработкой данных, работой автоматизированных систем управления и информационных систем, а также выявить нарушения в их функционировании. Компьютерная экспертиза как разновидность судебной компьютерно-технической экспертизы охватывает более широкий спектр объектов, включая мобильные устройства, облачные хранилища и данные, размещенные в сети Интернет .

Раздел 2. Объекты и задачи компьютерно-технического исследования

Объектами компьютерно-технической экспертизы выступают материальные носители информации и их содержимое, а также информационные системы и ресурсы. К числу типичных объектов относятся накопители на жестких магнитных дисках, твердотельные накопители, флеш-карты, оптические диски, мобильные телефоны и смартфоны, планшетные компьютеры, серверное оборудование, сетевые устройства (маршрутизаторы, коммутаторы), а также электронная переписка, базы данных, исходный код программ для ЭВМ, сайты в сети Интернет, автоматизированные системы управления и встроенные системы .

Компьютерно-техническая экспертиза решает широкий круг диагностических и идентификационных задач. Диагностические задачи направлены на установление технического состояния объекта, причин возникновения дефектов, факта работоспособности или неработоспособности, наличия признаков вредоносного воздействия. Идентификационные задачи связаны с установлением тождества объектов, например, определением того, что конкретный файл был создан на определенном устройстве, или что доступ к ресурсу осуществлялся с конкретного IP-адреса. Ситуационные задачи предполагают реконструкцию событий по цифровым следам: установление последовательности действий пользователя, времени совершения операций, факта копирования или удаления данных.

Техническая экспертиза компьютерной техники в рамках гражданского или арбитражного процесса часто назначается для определения рыночной стоимости оборудования, что требует привлечения товароведческих познаний наряду с техническими. В таких случаях эксперт устанавливает модель, конфигурацию, степень износа и текущую рыночную цену объекта на дату оценки. В уголовном процессе компьютерно-техническая экспертиза может быть направлена на выявление следов неправомерного доступа к компьютерной информации, распространения вредоносных программ, нарушения правил эксплуатации средств хранения и обработки информации.

Постановление о назначении компьютерно-технической судебной экспертизы должно содержать указание на экспертное учреждение или конкретного эксперта, перечень материалов, предоставляемых в распоряжение эксперта, и вопросы, требующие разрешения. При назначении экспертизы в Союзе «Федерация судебных экспертов» заказчик получает гарантию того, что исследование будет проведено с соблюдением требований процессуального законодательства, а заключение будет соответствовать всем предъявляемым к нему требованиям.

Информационно-аналитическая и техническая экспертиза компьютерных систем позволяет решать задачи, связанные с оценкой производительности, надежности и безопасности информационных систем, выявлением уязвимостей, анализом инцидентов информационной безопасности. Данный вид исследования выходит за рамки классической судебной экспертизы и часто проводится в досудебном порядке для внутреннего аудита или подготовки к возможному спору.

Услуги по экспертизе технического состояния компьютерной техники включают диагностику аппаратных компонентов, проверку работоспособности периферийных устройств, определение причин сбоев и отказов. Результаты такой диагностики оформляются в виде заключения, которое может быть использовано для предъявления претензий продавцу или производителю, для обоснования страховых выплат или для принятия управленческих решений о списании оборудования.

Раздел 3. Порядок назначения и производства компьютерно-технической экспертизы

Назначение компьютерно-технической экспертизы в судебном процессе осуществляется по ходатайству стороны или по инициативе суда. Постановление о назначении компьютерно-технической экспертизы (в уголовном процессе) или определение суда (в гражданском и арбитражном процессе) является процессуальным основанием для производства исследования. В постановлении или определении указываются: основания назначения экспертизы, наименование экспертного учреждения или фамилия эксперта, вопросы, поставленные перед экспертом, перечень объектов и материалов, предоставляемых в распоряжение эксперта.

При назначении компьютерно-технической экспертизы в Москве стороны часто выбирают негосударственные экспертные учреждения, обладающие специализированным оборудованием и программным обеспечением для работы с цифровыми доказательствами. Союз «Федерация судебных экспертов» является одним из таких учреждений, предлагающих полный цикл услуг: от консультации по формулированию вопросов до производства исследования и защиты заключения в суде .

Процедура производства компьютерно-технической экспертизы начинается с изучения поступивших материалов и объектов. Эксперт оценивает достаточность представленных данных для ответа на поставленные вопросы, при необходимости заявляет ходатайство о предоставлении дополнительных материалов или о разъяснении вопросов. Важнейшим этапом является создание битовой копии (образа) носителя информации. Работа с оригиналом не допускается, за исключением случаев, когда создание копии технически невозможно или когда оригинал должен быть возвращен владельцу в неизменном виде. Битовая копия позволяет сохранить все данные, включая удаленные файлы и служебные области носителя, и обеспечивает возможность повторной проверки выводов эксперта.

Анализ файловой системы включает поиск удаленных файлов, скрытых папок, зашифрованных данных, альтернативных потоков, изучение метаданных (даты создания, изменения, доступа), исследование журналов событий операционной системы и приложений. Восстановление удаленных данных производится с использованием специализированного программного обеспечения, позволяющего сканировать нераспределенное пространство носителя и области, содержащие следы удаленных файлов. Эксперт документирует каждый шаг исследования, фиксирует использованные инструменты и их версии, создает скриншоты и контрольные суммы, обеспечивая прослеживаемость и воспроизводимость результатов.

Заключение эксперта по результатам компьютерно-технической экспертизы состоит из вводной, исследовательской части и выводов. Вводная часть содержит сведения об эксперте, основания производства экспертизы, перечень объектов и вопросов. Исследовательская часть подробно описывает состояние объектов, примененные методы и программные средства, ход исследования и полученные промежуточные результаты. Выводы формулируются в виде ответов на поставленные вопросы, при этом эксперт не вправе выходить за пределы своей компетенции или давать правовую оценку обстоятельствам дела.

Раздел 4. Практические аспекты использования результатов компьютерно-технической экспертизы

Результаты компьютерно-технической экспертизы используются сторонами и судом для установления фактических обстоятельств, имеющих значение для правильного разрешения дела. Заключение эксперта является одним из видов доказательств и подлежит оценке наряду с другими доказательствами по делу. Суд не связан выводами эксперта и может не согласиться с ними, приведя мотивы несогласия. В то же время заключение, выполненное квалифицированным экспертом с соблюдением процессуальных требований, обладает высокой доказательственной силой.

Компьютерно-техническая экспертиза в Москве часто проводится в рамках корпоративных споров, связанных с утечкой конфиденциальной информации, неправомерным использованием коммерческой тайны, нарушением условий договоров в сфере информационных технологий. В таких делах экспертиза позволяет установить факт копирования файлов, время и обстоятельства доступа к защищенным ресурсам, наличие следов использования вредоносного программного обеспечения для несанкционированного получения данных. Услуги по экспертизе технического состояния компьютерной техники также востребованы в спорах о качестве поставленного оборудования и о возмещении убытков, вызванных его отказом.

Постановление о назначении компьютерно-технической экспертизы должно быть составлено с учетом требований процессуального законодательства, однако практика показывает, что стороны часто формулируют вопросы без достаточной конкретизации, что приводит к необходимости уточнения или постановки дополнительных вопросов. В связи с этим целесообразно привлекать специалиста для консультации на стадии подготовки ходатайства о назначении экспертизы. Союз «Федерация судебных экспертов» предоставляет такие консультации, помогая сформулировать вопросы, которые будут разрешимы в рамках экспертизы и дадут максимально полезный для дела результат.

Компьютерная экспертиза как разновидность судебной компьютерно-технической экспертизы включает исследование широкого круга объектов, включая мобильные устройства и облачные сервисы. При исследовании мобильных устройств эксперты сталкиваются с дополнительными сложностями, связанными с шифрованием данных, блокировкой устройства и ограничениями на извлечение информации. Современные программно-аппаратные комплексы позволяют обходить некоторые виды защиты и извлекать данные, однако возможности эксперта не безграничны и зависят от модели устройства и версии операционной системы.

Вопросы на компьютерно-техническую экспертизу могут касаться не только технических аспектов, но и фактов, имеющих юридическое значение. Например, при рассмотрении спора о защите деловой репутации может потребоваться установление факта размещения определенных сведений на конкретном сайте и времени их публикации. При расследовании мошенничества в сфере компьютерной информации экспертиза позволяет установить способ совершения преступления, использованные инструменты и следы, оставленные на устройствах.

Раздел 5. Организационные и методические аспекты работы эксперта-компьютерного техника

Организация работы эксперта-компьютерного техника требует наличия специализированной лаборатории, оснащенной средствами создания битовых копий, программным обеспечением для анализа данных и восстановления информации, а также средствами обеспечения сохранности цифровых доказательств. Союз «Федерация судебных экспертов» располагает такой лабораторией и использует в работе лицензионное криминалистическое программное обеспечение, включая инструменты для работы с файловыми системами, анализа журналов, восстановления удаленных данных и исследования мобильных устройств .

Обеспечение сохранности цифровых доказательств (цепочка custody) является критически важным аспектом. С момента получения объекта и до подписания заключения каждое действие с носителем информации должно быть задокументировано. Вычисляются контрольные суммы (MD5, SHA-256) оригинала и созданных копий, ведется журнал обращений, фиксирующий кто, когда и какие операции производил с объектом. Нарушение цепочки сохранности может привести к признанию заключения недопустимым доказательством, поэтому данному аспекту уделяется первостепенное внимание.

Методика компьютерно-технической экспертизы не является унифицированной и зависит от типа объекта и поставленных вопросов. Однако общие принципы остаются неизменными: объективность, полнота, всесторонность исследования, использование апробированных и валидированных методов, документирование всех этапов работы. Эксперт обязан указать в заключении примененные методы и программные средства, их версии и настройки, чтобы обеспечить возможность проверки выводов.

Информационно-аналитическая и техническая экспертиза компьютерных систем может проводиться как в рамках судебного процесса, так и во внесудебном порядке. В последнем случае заказчик получает заключение специалиста, которое может быть использовано для подготовки к судебному разбирательству, для внутреннего расследования инцидента или для принятия управленческих решений. Такое заключение не является судебным доказательством в строгом смысле, но может быть представлено в суд в качестве мнения специалиста.

Услуги по экспертизе технического состояния компьютерной техники включают не только диагностику неисправностей, но и оценку соответствия оборудования заявленным характеристикам, проверку комплектности, определение следов воздействия внешних факторов (перегрев, попадание жидкости, механические повреждения). Результаты такой экспертизы могут быть использованы в претензионной работе, при обращении в суд с иском к продавцу или производителю, а также для обоснования необходимости ремонта или замены оборудования.

Раздел 6. Кейсы из практики производства компьютерно-технических экспертиз

Кейс 1. Восстановление удаленной переписки в корпоративном споре

В арбитражном суде рассматривался спор между работодателем и бывшим сотрудником, которого обвиняли в разглашении коммерческой тайны. Работодатель утверждал, что сотрудник перед увольнением скопировал базу клиентов и передал ее конкуренту. Сотрудник отрицал факт копирования и заявлял, что вся переписка велась в рабочем порядке и не содержала конфиденциальных сведений.

По ходатайству истца была назначена компьютерно-техническая экспертиза, производство которой поручено Союзу «Федерация судебных экспертов». В распоряжение эксперта поступил рабочий ноутбук сотрудника, изъятый при увольнении, и серверный жесткий диск, содержащий резервные копии корпоративной почты. Перед экспертом были поставлены вопросы: имеются ли на представленных носителях следы копирования файлов базы клиентов на внешние носители; имела ли место пересылка файлов с корпоративной почты на личные адреса; когда и с каких устройств осуществлялся доступ к файлам базы данных.

В ходе исследования эксперт создал битовые копии обоих носителей, вычислил контрольные суммы и приступил к анализу. На ноутбуке в области нераспределенного пространства были обнаружены следы удаленных файлов, соответствующих по структуре и содержанию фрагментам базы клиентов. Анализ журналов операционной системы показал, что за три дня до увольнения к ноутбуку подключалось внешнее устройство хранения данных через интерфейс USB. Идентификатор устройства был извлечен из системного реестра, что позволило установить модель и серийный номер флеш-накопителя. Сопоставление времени подключения с журналами доступа к файлам базы данных показало совпадение временных интервалов.

Анализ серверной почты выявил несколько писем, отправленных с корпоративного адреса сотрудника на внешний домен, содержащих вложения с расширениями, характерными для таблиц и баз данных. Содержимое писем было восстановлено из резервной копии почтового сервера. Эксперт установил, что вложения содержали фрагменты клиентской базы, включая контактные данные и историю взаимодействий.

По результатам исследования эксперт сформулировал выводы: на ноутбуке имеются следы копирования файлов базы клиентов на внешний носитель; с корпоративной почты осуществлялась пересылка файлов, содержащих сведения, относящиеся к коммерческой тайне, на внешние адреса; время копирования и пересылки предшествовало увольнению сотрудника. Заключение было принято судом в качестве доказательства, и требования работодателя были удовлетворены частично.

Данный кейс иллюстрирует важность комплексного анализа различных источников цифровых следов: файловой системы, журналов операционной системы, почтовых архивов и данных о подключенных устройствах. Компьютерно-техническая экспертиза позволила восстановить картину событий, несмотря на попытки удаления следов.

Кейс 2. Установление факта модификации цифрового изображения

В суде общей юрисдикции рассматривалось дело о защите чести и достоинства, основанием для которого послужила публикация в социальной сети фотографии, якобы изображающей истца в компрометирующей ситуации. Истец утверждал, что фотография является подделкой, созданной путем монтажа. Ответчик настаивал на подлинности изображения.

По ходатайству истца была назначена компьютерно-техническая экспертиза. На исследование был представлен оригинальный файл изображения, изъятый с устройства ответчика, а также скриншот публикации. Перед экспертом были поставлены вопросы: является ли представленное изображение результатом монтажа или иного редактирования; соответствует ли изображение на скриншоте файлу, представленному на исследование; имеются ли в файле метаданные, указывающие на устройство и программное обеспечение, использованные для создания или редактирования.

Эксперт начал с анализа метаданных файла. Формат EXIF содержал сведения о модели камеры, дате и времени съемки, параметрах экспозиции. Однако при сопоставлении этих данных с информацией, полученной из других источников, было установлено, что модель камеры, указанная в метаданных, не соответствует устройствам, которыми пользовался ответчик в указанный период. Кроме того, программное обеспечение, указанное в метаданных как инструмент редактирования, не было установлено на устройствах ответчика, что было проверено путем анализа журналов установки программ.

Визуальный и программный анализ изображения выявил несоответствия в освещении и тенях на различных участках фотографии, а также артефакты сжатия, характерные для областей, подвергшихся редактированию. Анализ уровней JPEG-сжатия показал неравномерность, свидетельствующую о повторном сохранении файла после внесения изменений. Сравнение с скриншотом публикации подтвердило, что опубликованное изображение соответствует исследованному файлу, однако сам файл имеет признаки редактирования.

Эксперт пришел к выводу, что представленное изображение является результатом монтажа, выполненного с использованием программного обеспечения для редактирования изображений; метаданные файла содержат сведения, не соответствующие устройствам ответчика, что указывает на возможный экспорт файла из другого источника. Выводы эксперта были положены в основу решения суда об удовлетворении иска.

Кейс демонстрирует возможности компьютерно-технической экспертизы в области исследования цифровых изображений и важность анализа не только визуального содержания, но и метаданных, а также артефактов сжатия.

Кейс 3. Диагностика неисправности серверного оборудования в споре с поставщиком

Компания приобрела серверное оборудование для развертывания корпоративной информационной системы. Через два месяца после ввода в эксплуатацию сервер вышел из строя, что привело к простою и убыткам. Поставщик отказался признать случай гарантийным, заявив, что неисправность вызвана неправильной эксплуатацией или внешним воздействием. Компания обратилась в суд.

В рамках судебного разбирательства была назначена техническая экспертиза компьютерной техники. На исследование был представлен вышедший из строя сервер, блок питания, материнская плата и накопители. Перед экспертом были поставлены вопросы: какова причина выхода из строя сервера; является ли неисправность производственной или эксплуатационной; имеются ли следы внешнего воздействия (перегрев, скачок напряжения, попадание жидкости).

Эксперт провел внешний осмотр компонентов, зафиксировав отсутствие механических повреждений и следов жидкости. Затем было проведено измерение электрических параметров блока питания, которое показало отклонение выходного напряжения от номинальных значений в пределах, не являющихся критическими. Материнская плата была подвергнута визуальному осмотру с увеличением, в ходе которого обнаружены следы перегрева в области VRM (модуля регулировки напряжения), выразившиеся в изменении цвета текстолита и вздутии конденсаторов.

Анализ журналов сервера, сохранившихся на накопителях, показал, что в течение нескольких недель перед отказом система фиксировала повышение температуры процессора и предупреждения о перегреве. Система охлаждения, установленная в сервере, не обеспечивала достаточного отвода тепла при заявленной нагрузке. Эксперт установил, что конфигурация системы охлаждения, поставляемая с сервером, не соответствует тепловыделению компонентов при работе под нагрузкой, характерной для задач, выполнявшихся на сервере. При этом нагрузка не превышала заявленных производителем пределов.

Вывод эксперта: причиной выхода из строя сервера является перегрев компонентов, обусловленный недостаточной эффективностью штатной системы охлаждения; неисправность носит производственный характер; следов внешнего воздействия не обнаружено. Заключение было использовано судом для взыскания с поставщика стоимости оборудования и убытков.

Кейс 4. Анализ следов несанкционированного доступа к информационной системе

В ходе расследования уголовного дела о неправомерном доступе к компьютерной информации, повлекшем уничтожение данных, была назначена судебная компьютерно-техническая экспертиза. Объектами исследования являлись сервер организации, с которого были утрачены данные, и компьютер подозреваемого, изъятый по месту жительства.

Перед экспертом были поставлены вопросы: имеются ли на сервере следы несанкционированного доступа; с какого устройства и в какое время был осуществлен доступ; какие действия выполнялись в системе в период, предшествовавший утрате данных; имеются ли на компьютере подозреваемого следы подключения к серверу и инструменты, использованные для доступа.

Анализ серверных журналов показал, что за несколько дней до обнаружения утраты данных в системе были зафиксированы множественные попытки аутентификации с внешнего IP-адреса, часть из которых завершилась успешно. Время успешного входа совпадало с периодом, когда, по показаниям сотрудников, никто из легальных пользователей не работал с сервером. Журналы также содержали записи о выполнении команд удаления файлов и изменения прав доступа.

Анализ компьютера подозреваемого выявил наличие программного обеспечения для удаленного доступа и утилит для сканирования сети. В журналах браузера были обнаружены записи о посещении сайтов, содержащих инструкции по взлому серверов. Кэш браузера содержал фрагменты страниц, посвященных методам обхода аутентификации. Кроме того, в области нераспределенного пространства были восстановлены фрагменты файлов, содержащих списки IP-адресов и учетных данных, в том числе совпадающих с учетными записями, существовавшими на сервере.

Сопоставление временных меток и сетевых адресов позволило эксперту сделать вывод, что доступ к серверу осуществлялся с компьютера подозреваемого в указанный период; действия, приведшие к удалению данных, были выполнены в сессии, открытой с данного устройства; на компьютере имеются инструменты, характерные для подготовки и осуществления несанкционированного доступа. Заключение эксперта было использовано для предъявления обвинения.

Кейс 5. Оценка стоимости компьютерной техники в рамках исполнительного производства

В ходе исполнительного производства по взысканию задолженности возникла необходимость оценки имущества должника, в число которого входила компьютерная техника: несколько рабочих станций, сервер и периферийные устройства. Должник оспаривал предварительную оценку, считая ее заниженной. По его ходатайству была назначена экспертиза для определения рыночной стоимости оборудования.

Перед экспертом был поставлен вопрос: какова рыночная стоимость представленного компьютерного оборудования на дату оценки с учетом его технического состояния, комплектности и конфигурации. Услуги по экспертизе технического состояния компьютерной техники в данном случае сочетались с товароведческой оценкой.

Эксперт провел идентификацию каждого объекта, установив модель, серийный номер, конфигурацию (процессор, объем оперативной памяти, тип и объем накопителей, видеокарта), год выпуска и степень износа. Для определения рыночной стоимости был использован сравнительный подход, основанный на анализе предложений о продаже аналогичного оборудования на вторичном рынке. Эксперт отобрал сопоставимые объекты, внес корректировки на конфигурацию, состояние и комплектность.

Для сервера, который на момент оценки был неработоспособен, была проведена диагностика, установившая неисправность блока питания и материнской платы. Стоимость сервера определялась с учетом затрат на восстановление или как стоимость на запчасти. Для рабочих станций, находившихся в работоспособном состоянии, была применена корректировка на износ, определенный по данным о наработке и внешнем состоянии.

Эксперт подготовил заключение, в котором определил рыночную стоимость каждого объекта и общую стоимость имущества. Заключение было принято судебным приставом-исполнителем для целей реализации имущества. Должник не оспаривал результаты экспертизы, поскольку они были обоснованы и подкреплены расчетами и ссылками на источники информации о ценах.

Кейс 6. Исследование программного обеспечения на предмет соответствия лицензионным требованиям

Правообладатель программного обеспечения обратился в суд с иском к организации о взыскании компенсации за нарушение исключительных прав. По утверждению истца, на компьютерах ответчика использовались нелицензионные копии программ. Ответчик заявлял, что все программное обеспечение приобретено легально, однако документы, подтверждающие покупку, были утеряны.

Суд назначил компьютерно-техническую экспертизу. Перед экспертом были поставлены вопросы: какое программное обеспечение установлено на представленных компьютерах; имеются ли признаки использования нелицензионных копий (отсутствие лицензионных ключей, использование генераторов ключей, следы применения «кряков»); соответствует ли установленное программное обеспечение приобретенным лицензиям, сведения о которых представлены истцом.

Эксперт провел инвентаризацию установленного программного обеспечения на каждом компьютере, зафиксировав названия, версии и наличие лицензионных ключей. Для проверки легальности были проанализированы журналы установки, реестр операционной системы, файлы лицензий и данные активации. На нескольких компьютерах были обнаружены признаки использования нелицензионных копий: отсутствие действительных лицензионных ключей, наличие в системе файлов, характерных для генераторов ключей (keygen), следы модификации исполняемых файлов, совпадающие с известными методами обхода защиты.

Эксперт также проанализировал серийные номера продуктов и сопоставил их с базой данных правообладателя, предоставленной для целей экспертизы. Было установлено, что часть серийных номеров не выдавалась правообладателем, часть соответствовала лицензиям, приобретенным другими лицами, и не была передана ответчику.

Выводы эксперта подтвердили факт использования нелицензионного программного обеспечения на части компьютеров. Размер компенсации был определен судом с учетом количества нарушений и характера использования.

Кейс 7. Установление времени создания и последнего изменения файла

В гражданском деле о взыскании задолженности по договору поставки ключевым доказательством являлся акт сверки взаиморасчетов, представленный истцом в электронном виде. Ответчик утверждал, что акт был сфальсифицирован: подпись руководителя ответчика была перенесена с другого документа, а сам файл создан значительно позже указанной в нем даты. Истец настаивал на подлинности документа.

По ходатайству ответчика была назначена компьютерно-техническая экспертиза. На исследование был представлен компьютер истца, на котором создавался акт, и электронная копия документа. Перед экспертом были поставлены вопросы: когда был создан файл акта; когда в него вносились последние изменения; соответствует ли время создания файла дате, указанной в документе; имеются ли следы редактирования, характерные для замены изображения подписи.

Эксперт проанализировал метаданные файла, которые содержали даты создания и последней модификации. Однако эти данные легко поддаются изменению, поэтому эксперт не ограничился ими. Был проведен анализ файловой системы компьютера истца: журналы операционной системы, теневые копии, историю работы приложений. В теневых копиях был обнаружен предыдущий вариант файла, не содержащий подписи ответчика, с датой создания, отличной от указанной в итоговом документе. Анализ журналов показал, что приложение для работы с документами открывало файл в даты, не совпадающие с указанными в метаданных.

Исследование самого файла выявило, что изображение подписи имеет характеристики сжатия, отличные от остального документа, что указывает на его вставку из другого источника. Анализ логов приложения, сохранившихся в кэше, позволил восстановить последовательность действий: создание документа, сохранение, затем открытие другого файла (вероятно, содержащего подпись), копирование фрагмента и вставку в акт, повторное сохранение. Временные метки этих операций, восстановленные по журналам и кэшу, соответствовали дате, значительно более поздней, чем дата, указанная в акте.