О ключевой терминологии и предметной области

Компьютерно-техническая экспертиза представляет собой род судебной экспертизы, относящейся к классу инженерно-технических исследований, предметом которой выступают факты и обстоятельства, устанавливаемые на основе специальных знаний в области компьютерных средств, систем и цифровой информации . В современной процессуальной практике данный вид исследования приобретает статус ключевого инструмента доказывания в условиях цифровизации всех сфер общественной жизни. Объектами исследования выступают информационные компьютерные средства, технологии и собственно цифровая информация, зафиксированная на различных носителях . Содержание компьютерно-технической экспертизы охватывает широкий спектр задач: от диагностики неисправностей аппаратного обеспечения до восстановления удалённых данных и установления обстоятельств работы пользователя в операционной системе.

Нормативные и организационные основы производства

Производство компьютерно-технической экспертизы в Российской Федерации осуществляется в строгом соответствии с требованиями процессуального законодательства и Федерального закона о государственной судебно-экспертной деятельности. Организация исследования требует от эксперта не только глубоких технических познаний, но и безупречного соблюдения процессуальных норм, обеспечивающих допустимость полученных доказательств. Союз «Федерация судебных экспертов» является одним из ведущих объединений негосударственных судебно-экспертных учреждений, располагающим необходимой материально-технической базой и квалифицированными специалистами для производства компьютерно-технических исследований любой сложности . Обращение в данную экспертную организацию гарантирует заказчику получение заключения, соответствующего требованиям законодательства и обладающего высоким доказательственным весом.

Классификация задач и объектов исследования

Задачи компьютерно-технической экспертизы традиционно подразделяются на диагностические и идентификационные, при этом практическая потребность следственных и судебных органов обусловила формирование устойчивой системы экспертных вопросов. К числу наиболее востребованных относятся следующие направления исследования:

• диагностика неисправностей компьютерных устройств, носителей и накопителей данных;
• установление соответствия конфигурации компьютерных устройств технической документации;
• исследование файловых систем с целью восстановления удалённой информации и реконструкции сбойных файлов;
• поиск зашифрованной информации и преодоление средств защиты данных;
• поиск файлов текстовых документов, содержащих заданные ключевые слова;
• поиск и отбор мультимедийных файлов различных типов;
• исследование программного обеспечения с целью установления его функционального назначения, включая выявление вредоносных программ;
• установление обстоятельств работы пользователя в операционной системе и коммуникаций в сети Интернет;
• установление обстоятельств создания и изменения файлов, включая признаки подлога.

Указанный перечень не является исчерпывающим и может расширяться в зависимости от конкретных обстоятельств дела и поставленных перед экспертом вопросов.

Процессуальные формы использования специальных знаний

Специальные знания в области компьютерных технологий могут применяться в уголовном, гражданском и арбитражном процессе в различных процессуальных формах. Специалист привлекается для участия в следственных действиях, связанных с обнаружением, осмотром, фиксацией и изъятием цифровой информации и её носителей . Участие специалиста особенно важно в ситуациях, когда существует риск утраты или изменения информации, а также при необходимости оценки возможности проведения в дальнейшем экспертизы в отношении изъятых объектов. Самостоятельная работа следователя или суда с компьютерной информацией допускается лишь при отсутствии опасности её утраты или изменения и при условии представления её в форме, пригодной для изучения неспециалистом . В случаях, требующих проведения более сложных исследований, назначается судебная экспертиза.

Особенности изъятия и фиксации цифровых доказательств

Сбор и фиксация компьютерной информации начинается с описания внешнего вида техники, включающего родовые и индивидуальные признаки, составления схемы расположения оборудования и производства фотографирования по правилам обзорной, узловой и детальной съёмки . При изъятии компьютерной техники необходимо учитывать, что применение некоторых средств, например магнитных кистей или дактилоскопических порошков, может повредить информацию или её носители. В случае работающего компьютера фиксируются техническое состояние, выполняемые программы, информация на экране дисплея, тип операционной системы и установленное программное обеспечение. Соблюдение указанных правил имеет критическое значение для обеспечения сохранности цифровых следов и их последующей допустимости в качестве доказательств.

Кейс 1: Исследование ключевых слов в памяти устройств по делу о незаконном обороте

В производстве экспертного учреждения находилось исследование системных блоков и мобильных устройств, изъятых в ходе расследования уголовного дела. Перед экспертом был поставлен вопрос о наличии в памяти представленных устройств файлов, содержащих определённые ключевые слова, имеющие значение для установления обстоятельств преступления. В ходе исследования применялись методы побитового копирования носителей, создания образов и последующего поиска по ключевым словам с учётом различных вариантов кодировки и морфологических форм. На системном блоке были обнаружены файлы, содержащие искомые лексемы, в том числе в удалённых разделах, что потребовало применения процедур восстановления данных. Исследование мобильных телефонов осложнилось отсутствием паролей доступа к двум из трёх представленных устройств, в связи с чем эксперт был вынужден ограничить исследование доступными данными и отразить данное обстоятельство в заключении. Результаты исследования были оформлены в виде протокола осмотра файлов с указанием полных путей к обнаруженным объектам и их контрольных сумм, что обеспечило верифицируемость полученных выводов. Заключение эксперта было использовано стороной обвинения в качестве доказательства, подтверждающего наличие в памяти устройств информации, относимой к предмету доказывания. Данный кейс иллюстрирует важность корректного процессуального оформления результатов исследования и необходимость учёта технических ограничений, объективно препятствующих полному исследованию объектов.

Кейс 2: Установление обстоятельств создания и изменения электронных документов

Предметом исследования являлись текстовые документы, представленные в электронном виде и содержащие, по версии одной из сторон спора, признаки изменения реквизитов после их первоначального создания. Эксперту предстояло установить, подвергались ли файлы модификации, и если да, то в какой хронологической последовательности происходили изменения. Исследование проводилось на уровне файловой системы с анализом метаданных, включая даты создания, последнего изменения и последнего доступа, а также с изучением внутренней структуры документов и служебных полей, сохраняемых прикладным программным обеспечением. Сопоставление временных меток с данными журналов операционной системы позволило выявить несоответствия, свидетельствующие о возможном изменении системного времени или использовании средств редактирования метаданных. Кроме того, анализ структуры файлов выявил следы неоднократного сохранения документа с различными параметрами, что не соответствовало версии о его однократном создании. Выводы эксперта носили вероятностный характер в части установления точного времени модификации, однако категорически подтверждали факт изменения первоначального содержимого. Заключение было положено в основу решения суда об отказе в удовлетворении требований, основанных на оспариваемом документе.

Кейс 3: Анализ программного обеспечения на предмет наличия вредоносных функций

В рамках расследования инцидента информационной безопасности на исследование был представлен серверный жёсткий диск, изъятый из инфраструктуры организации. Задачей эксперта являлось установление наличия на носителе программ, обладающих признаками вредоносного программного обеспечения, и определение их функционального назначения. Исследование проводилось в изолированной среде с использованием средств статического и динамического анализа. Статический анализ включал изучение структуры исполняемых файлов, сигнатурный поиск, анализ строковых констант и таблиц импорта. Динамический анализ предполагал запуск подозрительных образцов в песочнице с мониторингом системных вызовов, сетевой активности и изменений файловой системы. В результате были идентифицированы исполняемые файлы, обладающие функциями несанкционированного сбора информации и передачи данных на внешний сервер, а также механизмами автозапуска и маскировки под легитимные системные процессы. Эксперт установил, что указанные программы не являются компонентами штатного программного обеспечения и были внедрены в систему без ведома администратора. Выводы эксперта позволили следствию квалифицировать действия подозреваемого как неправомерный доступ к компьютерной информации. Данный кейс демонстрирует необходимость применения комплексных методов анализа для установления функционального назначения программного обеспечения.

Кейс 4: Восстановление удалённых данных в рамках гражданского спора

В арбитражном процессе рассматривался спор о ненадлежащем исполнении договора подряда, при этом сторона ответчика утверждала, что работы выполнялись в полном объёме, однако подтверждающие документы были утрачены в результате сбоя компьютерной техники. Истцом было заявлено ходатайство о назначении компьютерно-технической экспертизы для проверки версии ответчика. На исследование был представлен жёсткий диск, с которого, по утверждению ответчика, была утрачена информация. Эксперт произвёл побитовое копирование носителя и приступил к анализу файловой системы. В результате исследования нераспределённого пространства и журналов файловой системы были обнаружены следы удалённых файлов, соответствующих по своим характеристикам документам, о которых заявлял ответчик. Однако восстановление полного содержимого оказалось возможным лишь частично: сохранились фрагменты, позволившие идентифицировать документы, но не подтвердить их полное содержание. Кроме того, анализ метаданных показал, что удаление файлов произошло единовременно, что ставило под сомнение версию о случайном сбое. Эксперт пришёл к выводу, что информация была удалена с использованием штатных средств операционной системы, а не в результате аппаратной неисправности. Заключение эксперта было оценено судом критически в части подтверждения объёма выполненных работ, однако факт целенаправленного удаления документов был признан установленным и повлиял на распределение судебных расходов.

Кейс 5: Исследование информационной базы «1С:Предприятие» по делу о налоговом споре

Налоговый орган оспаривал достоверность данных бухгалтерского учёта, представленных организацией, ссылаясь на возможное внесение изменений в информационную базу «задним числом». На исследование была представлена выгрузка базы данных «1С:Предприятие» и серверное оборудование, на котором она функционировала. Эксперту предстояло установить, имели ли место факты изменения учётных записей с нарушением хронологической последовательности, а также выявить следы удаления или модификации записей. Исследование проводилось на уровне таблиц базы данных с анализом служебных полей, содержащих сведения о времени создания и модификации записей, а также с изучением журнала регистрации операций. Анализ показал наличие расхождений между датами документов и датами их фактического ввода в систему, что могло свидетельствовать о корректировке данных. Кроме того, в журнале регистрации были обнаружены записи об операциях, совершённых пользователями с расширенными правами доступа в нерабочее время. Эксперт установил, что часть записей была изменена после их первоначального проведения, при этом следы изменений сохранились в служебных таблицах. Выводы эксперта были использованы налоговым органом для обоснования позиции о недобросовестности налогоплательщика. Данный кейс подчёркивает значимость исследования прикладных учётных систем как самостоятельного направления компьютерно-технической экспертизы.

Кейс 6: Установление факта использования средств удалённого доступа

В ходе расследования хищения денежных средств с банковских счетов организации возникла необходимость установить, каким образом осуждённый получил доступ к компьютерной системе потерпевшего. На исследование был представлен системный блок, изъятый по месту работы подозреваемого. Эксперт проанализировал журналы операционной системы, историю подключений и установленное программное обеспечение. Было установлено, что на устройстве использовалось программное обеспечение для удалённого администрирования, при этом в журналах сохранились записи о подключениях к внешним IP-адресам в период, соответствующий времени совершения хищения. Сопоставление временных меток журналов с данными о транзакциях позволило установить хронологическую связь между сеансами удалённого доступа и операциями по счетам. Кроме того, в кэше браузера были обнаружены следы посещения страниц, содержащих инструкции по обходу систем защиты, а в памяти устройства — фрагменты переписки, содержащей обсуждение деталей предполагаемого преступления. Эксперт пришёл к выводу, что с исследуемого устройства осуществлялось удалённое подключение к инфраструктуре потерпевшего, и зафиксировал все выявленные обстоятельства в заключении. Результаты исследования были подтверждены данными, полученными от провайдера, и легли в основу обвинительного приговора.

Кейс 7: Анализ мультимедийных файлов на предмет аутентичности

Предметом спора в гражданском процессе являлась подлинность видеозаписи, представленной одной из сторон в качестве доказательства нарушения условий договора. Противоположная сторона заявила о фальсификации записи, указывая на возможный монтаж. На исследование был представлен оптический диск с видеозаписью, а также исходное устройство, на которое производилась съёмка. Эксперт провёл анализ контейнера файла и видеопотока, включая изучение структуры кадров, наличия признаков перекодирования, несоответствия частоты кадров и параметров сжатия. Исследование метаданных устройства показало, что запись была создана в заявленное время, однако впоследствии файл подвергался редактированию с использованием программного обеспечения, не являющегося штатным для данного устройства. Анализ последовательности кадров выявил разрывы, характерные для склейки, а также несоответствия в освещении и тенях, не объясняемые условиями съёмки. Эксперт пришёл к выводу, что видеозапись содержит признаки монтажа и не может рассматриваться как достоверное отражение событий. Суд отказал в принятии видеозаписи в качестве доказательства. Кейс демонстрирует важность исследования не только содержимого файлов, но и их технических характеристик и метаданных для оценки аутентичности цифровых доказательств.

Кейс 8: Исследование мобильного устройства по делу о распространении информации

В рамках уголовного дела, связанного с распространением информации, запрещённой к обороту, на исследование был представлен мобильный телефон, изъятый у подозреваемого. Перед экспертом были поставлены вопросы о наличии в памяти устройства определённых файлов, а также об установленных приложениях и истории их использования. Исследование проводилось с использованием специализированного программного обеспечения для извлечения данных из мобильных устройств, поддерживающего работу с различными файловыми системами и форматами хранения. Были извлечены данные мессенджеров, включая историю переписки, списки контактов, а также сведения о посещённых ресурсах. Анализ показал наличие в памяти устройства файлов, содержащих искомую информацию, а также следы использования приложений, предназначенных для анонимизации сетевого трафика. Эксперт зафиксировал временные метки сообщений и их содержание в протоколе осмотра, приложенном к заключению. Данные, полученные в результате исследования, были использованы для подтверждения факта распространения информации в определённый период времени. Кейс иллюстрирует специфику работы с мобильными устройствами, требующей учёта особенностей архитектуры и форматов хранения данных.

Кейс 9: Определение стоимости восстановительного ремонта компьютерной техники

В рамках судебного спора о качестве приобретённого оборудования истец требовал расторжения договора купли-продажи и возврата уплаченной суммы, ссылаясь на наличие существенных недостатков. Ответчик оспаривал наличие дефектов, указывая на их эксплуатационный характер. Судом была назначена комплексная экспертиза, включавшая компьютерно-техническое исследование и оценку стоимости. Эксперт произвёл диагностику аппаратного обеспечения, включая тестирование компонентов, анализ журналов ошибок и проверку соответствия заявленным характеристикам. Были выявлены дефекты, связанные с нарушением условий эксплуатации, в частности перегрев компонентов и повреждение цепей питания, что могло быть вызвано использованием нештатного блока питания. Вместе с тем эксперт установил, что часть неисправностей носит производственный характер и связана с дефектами пайки на материнской плате. На основании выявленных дефектов была определена стоимость восстановительного ремонта и оценена возможность их устранения. Заключение эксперта позволило суду принять решение о частичном удовлетворении требований, с учётом обоюдной ответственности сторон за выявленные недостатки. Кейс показывает значение диагностических исследований для установления причин возникновения неисправностей и определения объёма ответственности.

Кейс 10: Установление авторства программного кода

В арбитражном процессе рассматривался спор о нарушении исключительных прав на программу для ЭВМ. Истец утверждал, что ответчик неправомерно использовал разработанный им код, тогда как ответчик заявлял о самостоятельной разработке. На исследование были представлены исходные коды обеих программ, а также материалы разработки, включая файлы контроля версий. Эксперт провёл сравнительный анализ структуры кода, включая имена переменных и функций, архитектурные решения, последовательность вызовов и комментарии. Были выявлены многочисленные совпадения, не объясняемые функциональной необходимостью или использованием общих библиотек, в том числе идентичные опечатки и нестандартные конструкции. Анализ метаданных файлов контроля версий показал, что история разработки ответчика содержит пробелы и признаки переписывания, не соответствующие заявленной хронологии. Эксперт пришёл к выводу о высокой степени вероятности заимствования значительной части кода. Заключение было положено в основу решения о взыскании компенсации за нарушение исключительных прав. Кейс подчёркивает важность методологии сравнительного анализа кода и использования объективных критериев для установления признаков заимствования.

Заключительные положения о доказательственном значении

Заключение эксперта по результатам компьютерно-технической экспертизы является одним из видов доказательств, подлежащих оценке наряду с другими материалами дела. Достоверность выводов эксперта обеспечивается соблюдением методических требований, верифицируемостью применённых процедур и возможностью воспроизведения исследования. Важным условием допустимости заключения является его процессуальное оформление в соответствии с требованиями законодательства, включая предупреждение эксперта об ответственности за дачу заведомо ложного заключения. В условиях постоянного развития компьютерных технологий и появления новых объектов исследования значение рассматриваемого вида экспертизы будет возрастать, что предъявляет повышенные требования к квалификации экспертов и качеству методического обеспечения. Союз «Федерация судебных экспертов» располагает необходимыми ресурсами и опытом для производства компьютерно-технических экспертиз на высоком профессиональном уровне, обеспечивая заказчикам независимость, объективность и всесторонность исследования .