Настоящая монография посвящена теоретическим и прикладным вопросам экспертизы скриншотов экрана как самостоятельного объекта судебно-экспертного исследования. Центральное внимание уделено методам проверки подлинности снимков экрана, включая анализ метатегов, служебных заголовков файлов, артефактов сжатия и иных цифровых следов, позволяющих подтвердить или опровергнуть факт монтажа. Работа адресована экспертам, специалистам в области цифровой криминалистики, а также практикующим юристам, сталкивающимся с необходимостью оценки достоверности скриншотов как доказательственного материала.

Приглашаем к сотрудничеству в области экспертизы скриншотов экрана и смежных направлений цифрового исследования. Союз «Федерация судебных экспертов» располагает необходимой методической базой и практическим опытом для проведения подобных исследований на высоком профессиональном уровне.

Раздел 1. Скриншот экрана как объект экспертного исследования

1.1. Правовая и техническая природа скриншота

Скриншот экрана представляет собой цифровое изображение, полученное путем фиксации видимого содержимого дисплея электронного устройства в определенный момент времени. В отличие от фотографии, создаваемой оптическим сенсором, скриншот формируется программными средствами операционной системы или приложения и по своей природе является вторичным цифровым объектом. Это фундаментальное различие определяет как возможности, так и ограничения экспертизы скриншотов экрана.

С технической точки зрения скриншот сохраняется в одном из растровых форматов, чаще всего PNG или JPEG. Формат PNG, типичный для операционных систем семейства Android и многих десктопных сред, предполагает сжатие без потерь и сохраняет служебные блоки iTXt и tEXt, которые могут содержать сведения о программе-источнике и времени создания . Формат JPEG, нередко используемый при последующей пересылке или пересохранении снимка экрана, применяет сжатие с потерями и опирается на метаданные стандарта EXIF, хотя при скриншоте эти данные формируются не камерой, а программной средой.

Для судебно-экспертной практики существенно, что скриншот всегда является производным объектом. Он не содержит «первичного» оптического сигнала, а фиксирует результат работы программного обеспечения по отрисовке интерфейса. Соответственно, экспертиза скриншотов экрана не может ответить на вопрос о том, что происходило в реальности за пределами экрана, но способна установить, подвергался ли сам файл скриншота изменениям после его создания, сохранились ли служебные признаки среды создания и согласуются ли визуальные элементы с техническими характеристиками файла.

В правовом отношении скриншот рассматривается как электронное доказательство, допустимость и достоверность которого оцениваются судом наряду с другими материалами. Практика показывает, что сам по себе снимок экрана не приобретает автоматической доказательственной силы; его ценность определяется возможностью проверки происхождения, целостности и контекста фиксации . Именно поэтому экспертиза скриншотов экрана приобретает значение инструмента, позволяющего отделить технически достоверный снимок от изображения, подвергнутого редактированию или сфабрикованного.

1.2. Отличие скриншота от фотографии и копии документа

Ключевое отличие скриншота от фотографии состоит в отсутствии оптического пути формирования изображения. Фотография несет в себе шум сенсора, характеристики объектива, экспозиционные параметры и, как правило, богатый набор EXIF-данных, включая модель устройства, диафрагму, выдержку и фокусное расстояние. Скриншот же формируется программно и не обладает сенсорным шумом в том же смысле; его пиксельная структура отражает результат рендеринга интерфейса, а не физического захвата света.

Вместе с тем современные средства создания скриншотов могут внедрять собственные метаданные. Исследования показывают, что метаданные скриншотов мобильных устройств содержат сведения о разрешении экрана, модели устройства и цветовом профиле, которые могут быть использованы для идентификации источника . Однако эти данные существенно беднее фотографических EXIF и легче поддаются удалению или подмене при пересохранении файла.

От копии документа скриншот отличается тем, что фиксирует не содержание документа как такового, а его отображение в конкретном программном интерфейсе. Это означает, что скриншот включает элементы, не относящиеся к документу: строки состояния, панели навигации, системные часы, индикаторы уведомлений. Для экспертизы скриншотов экрана эти элементы представляют двоякий интерес. С одной стороны, они являются потенциальными носителями признаков монтажа, поскольку их несоответствие друг другу или контексту может указывать на вмешательство. С другой стороны, именно эти элементы создают дополнительные возможности для проверки согласованности изображения с заявленными обстоятельствами его создания.

1.3. Постановка задачи проверки подлинности

Задача проверки подлинности скриншота экрана формулируется как установление факта отсутствия или наличия изменений, внесенных в файл после его первичного создания. При этом следует различать несколько уровней возможных изменений. Первый уровень касается редактирования пиксельного содержимого: удаления, добавления или замены фрагментов изображения. Второй уровень относится к модификации служебных данных: метатегов, цветовых профилей, структуры файла. Третий уровень связан с пересохранением или конвертацией, которые могут как непреднамеренно уничтожать следы исходного файла, так и использоваться для сокрытия признаков редактирования.

Экспертиза скриншотов экрана исходит из того, что категорический вывод о подлинности возможен лишь при наличии достаточной совокупности сохранившихся признаков. Если файл прошел многократное пересохранение, отправку через мессенджеры или сжатие, часть служебных данных утрачивается безвозвратно, и эксперт обязан указать на ограничения исследования . Это не означает невозможности экспертизы, но требует корректной формулировки выводов: от категорического утверждения до вероятностного суждения или констатации недостаточности данных для ответа на поставленный вопрос.

Существенно, что отсутствие видимых признаков монтажа не является доказательством подлинности. Современные методы редактирования позволяют достигать высокой степени визуальной безупречности, тогда как технические следы вмешательства могут быть устранены намеренно. Поэтому методология экспертизы скриншотов экрана строится на комплексном анализе, в котором метаданные, пиксельные артефакты и логическая согласованность изображения рассматриваются в совокупности, а не изолированно.

Раздел 2. Метатеги и служебные данные скриншотов

2.1. Структура метаданных PNG и JPEG применительно к скриншотам

Скриншоты, сохраняемые в формате PNG, содержат блоки служебной информации, обозначаемые как iTXt, tEXt и zTXt. Эти блоки могут включать сведения о программном обеспечении, создавшем изображение, времени создания, а в некоторых случаях — и пользовательские комментарии. Для экспертизы скриншотов экрана наличие или отсутствие таких блоков само по себе не является доказательством монтажа, поскольку различные операционные системы и приложения ведут себя по-разному: одни сохраняют расширенные метаданные, другие формируют минимальный набор служебных полей.

В формате JPEG, который часто становится результатом пересылки скриншота через мессенджеры или социальные сети, метаданные организованы в виде сегментов APP1, содержащих EXIF-теги. Для скриншота типично отсутствие полей, связанных с фотосъемкой (выдержка, диафрагма, ISO), но могут присутствовать поля, указывающие на программное обеспечение обработки, цветовое пространство и ориентацию. При экспертизе скриншотов экрана важно учитывать, что платформы обмена сообщениями нередко удаляют EXIF-данные полностью или частично, что делает невозможным установление исходных параметров файла по полученной копии .

Отдельного внимания заслуживает вопрос о цветовых профилях. Скриншоты, созданные на устройствах с расширенным цветовым охватом, могут содержать профиль Display P3 или аналогичный, тогда как последующая обработка в редакторе способна привести к конвертации в sRGB или полному удалению профиля. Несоответствие цветового профиля заявленному устройству создания является одним из признаков, которые экспертиза скриншотов экрана учитывает при формировании вывода.

2.2. Программные теги и их диагностическое значение

Наиболее информативными для проверки подлинности являются теги, содержащие наименование программного обеспечения. Поле Software в EXIF или соответствующий текстовый блок в PNG может указывать на программу, использованную для создания или редактирования файла. Если скриншот, представленный как снимок экрана мобильного устройства, содержит тег Software со значением графического редактора, это является прямым указанием на постобработку. Однако и здесь необходима осторожность: некоторые операционные системы включают в метаданные скриншота наименование системной утилиты, и такая запись не свидетельствует о монтаже.

Более тонким признаком является несоответствие между заявленным устройством и техническими характеристиками файла. Например, разрешение изображения может не соответствовать типичному разрешению экрана указанной модели устройства, или соотношение сторон может отклоняться от стандартного для данной платформы. Исследования показывают, что скриншоты сохраняют устойчивую связь с разрешением экрана устройства, и эта связь может использоваться для проверки происхождения изображения . Экспертиза скриншотов экрана рассматривает такие несоответствия как диагностический признак, требующий объяснения.

2.3. Временные метки и их согласованность

Временные метки в метаданных скриншота представлены, как правило, полями DateTime, DateTimeOriginal и DateTimeDigitized. Для скриншота, созданного программными средствами, эти поля могут отражать системное время устройства на момент захвата. Проверка согласованности временных меток включает несколько аспектов. Во-первых, сопоставление времени создания файла с временем, отображаемым на самом скриншоте (например, в строке состояния). Во-вторых, проверку внутренней согласованности различных временных полей: расхождение между DateTime и DateTimeDigitized может указывать на пересохранение или редактирование.

Следует учитывать, что временные метки легко поддаются изменению как средствами операционной системы, так и специализированными утилитами. Поэтому экспертиза скриншотов экрана не полагается исключительно на временные метки как на доказательство подлинности; они рассматриваются в контексте других признаков. Тем не менее существенное расхождение между временем, зафиксированным на изображении, и метаданными файла является основанием для углубленного анализа.

2.4. Геолокационные и идентификационные данные

Скриншоты, созданные на мобильных устройствах, в редких случаях могут содержать геолокационные метки, если соответствующая функция была активна и приложение-источник передало эти данные. Для фотографий наличие GPS-координат является обычным, но для скриншотов это скорее исключение. Наличие GPS-тегов в файле, представленном как скриншот, может свидетельствовать либо о том, что файл не является скриншотом в строгом смысле, либо о том, что метаданные были заимствованы из другого источника.

Идентификационные данные устройства, такие как модель, серийный номер или уникальный идентификатор, также могут присутствовать в метаданных скриншота, хотя их состав зависит от платформы и приложения. Экспертиза скриншотов экрана использует эти данные для проверки соответствия между заявленным устройством и техническими характеристиками файла, а также для выявления аномалий, которые могут указывать на фабрикацию или редактирование.

2.5. Ограничения метаданных как доказательства

Центральный методологический принцип экспертизы скриншотов экрана состоит в том, что метаданные являются свидетельством, но не доказательством в абсолютном смысле. Метаданные могут быть удалены, изменены или сфабрикованы. Отсутствие метаданных не означает, что файл подделан; оно может быть следствием законной обработки, пересылки или настроек конфиденциальности. Наличие метаданных, согласующихся с заявленным происхождением, повышает доверие к файлу, но не гарантирует неизменности пиксельного содержимого.

Практика экспертных исследований подтверждает, что сжатие, повторное сохранение и скриншотирование могут удалить метаданные и создать собственные артефакты, поэтому найденная неоднородность не всегда связана с монтажом, а отсутствие признаков не подтверждает неизменность исходника . Соответственно, вывод эксперта должен формулироваться с учетом совокупности всех доступных данных и с явным указанием на ограничения, обусловленные состоянием представленного файла.

Приглашаем заинтересованных лиц к сотрудничеству с Союзом «Федерация судебных экспертов» для проведения экспертизы скриншотов экрана с использованием всего доступного арсенала методов метаданных и пиксельного анализа.

Раздел 3. Пиксельные признаки монтажа и артефакты сжатия

3.1. Анализ уровня ошибок (Error Level Analysis)

Метод анализа уровня ошибок (ELA) основан на оценке различий в степени сжатия между отдельными участками изображения. Изображение сохраняется с известным качеством, после чего вычисляется разница между исходным и повторно сжатым вариантом. Участки, подвергшиеся редактированию, часто демонстрируют иной уровень ошибок по сравнению с остальной площадью изображения, поскольку они были вставлены из другого источника или сохранены с другими параметрами.

Для экспертизы скриншотов экрана ELA представляет ценность, но требует осторожной интерпретации. Интерфейсные элементы, такие как однородные фоны, градиенты и текст, могут давать естественные различия в уровне ошибок, не связанные с монтажом. Кроме того, если скриншот был сохранен в формате PNG без потерь, метод ELA в его классической форме неприменим или требует предварительной конвертации в JPEG, что само по себе вносит искажения. Тем не менее при работе с JPEG-скриншотами, особенно полученными после пересылки, ELA может выявить аномалии, указывающие на вставку или замену фрагментов .

3.2. Анализ шумовых характеристик

Цифровые изображения, созданные программно, не обладают сенсорным шумом в том смысле, в каком им обладают фотографии. Однако скриншоты могут содержать шум, внесенный сжатием, масштабированием или последующей обработкой. Если фрагмент изображения был вставлен из другого источника, его шумовые характеристики могут отличаться от характеристик остальной площади. Экспертиза скриншотов экрана использует анализ шумовой составляющей для выявления таких неоднородностей.

Следует подчеркнуть, что для скриншотов, прошедших через мессенджеры, шумовые характеристики могут быть унифицированы агрессивным сжатием, что снижает диагностическую ценность метода. В таких случаях экспертиза скриншотов экрана ориентируется на другие признаки, включая геометрические несоответствия и логическую согласованность.

3.3. Геометрические и перспективные несоответствия

Одним из наиболее доступных для визуального и инструментального анализа признаков монтажа является нарушение геометрии интерфейсных элементов. Скриншот экрана формируется в строгом соответствии с пиксельной сеткой дисплея, и все элементы интерфейса — границы окон, линии, текст — подчиняются этой сетке. Вставка, масштабирование или деформация фрагмента приводят к появлению несоответствий: размытые края там, где должны быть четкие, нарушение параллельности линий, несовпадение толщины штрихов.

Экспертиза скриншотов экрана уделяет особое внимание областям, в которых могут быть скрыты следы редактирования: границам полей ввода, краям диалоговых окон, участкам вокруг текста. Методы повышения резкости и увеличения масштаба позволяют выявить артефакты интерполяции, характерные для вставленных фрагментов. Однако необходимо учитывать, что само по себе размытие или нерезкость не является доказательством монтажа: они могут быть следствием масштабирования всего изображения или сжатия.

3.4. Цветовые и тональные аномалии

Цветовая согласованность является важным индикатором целостности скриншота. Интерфейсные элементы, созданные одной программной средой, обычно используют согласованную цветовую палитру. Вставка фрагмента из другого источника может привести к появлению оттенков, не соответствующих общей гамме, или к нарушению градиентов. Анализ гистограмм и цветовых каналов позволяет выявить такие аномалии.

Для экспертизы скриншотов экрана существенно, что цветовые искажения могут быть внесены и без монтажа: например, при конвертации между цветовыми пространствами или при сжатии. Поэтому цветовые аномалии рассматриваются как диагностический признак, требующий подтверждения другими методами.

3.5. Структурные артефакты JPEG

Формат JPEG использует блочное сжатие с размером блока 8×8 пикселей. При редактировании изображения и повторном сохранении структура блоков может изменяться, особенно в областях, подвергшихся модификации. Анализ границ блоков, их согласованности и распределения позволяет выявить участки, которые были вставлены или изменены после первичного сжатия. Экспертиза скриншотов экрана применяет этот метод при работе с JPEG-файлами, учитывая, что многократное сжатие может маскировать исходные артефакты.

Существенным ограничением является то, что скриншоты, сохраненные в PNG, не имеют блочной структуры JPEG, и для их анализа требуются иные подходы. Кроме того, современные редакторы способны сохранять изображение с параметрами, имитирующими исходное сжатие, что затрудняет выявление монтажа только на основании структурных артефактов.

3.6. Комплексная оценка пиксельных признаков

Ни один из перечисленных методов не является достаточным для категорического вывода о монтаже или его отсутствии. Экспертиза скриншотов экрана строится на комплексной оценке, в которой пиксельные признаки рассматриваются в совокупности с метаданными и логической согласованностью изображения. Наличие одного признака может быть объяснено естественными причинами; совокупность признаков, не находящих такого объяснения, формирует основание для вывода о вмешательстве.

Приглашаем к сотрудничеству в области экспертизы скриншотов экрана: Союз «Федерация судебных экспертов» обеспечивает комплексный подход, сочетающий методы метаданных и пиксельного анализа.

Раздел 4. Логическая согласованность и контекстуальные признаки

4.1. Согласованность системных элементов

Скриншот экрана, созданный в реальной программной среде, содержит множество системных элементов, которые находятся в закономерных отношениях друг с другом. К ним относятся строка состояния с индикаторами заряда батареи, уровня сигнала, времени; панель уведомлений; элементы навигации. Подделка скриншота часто приводит к нарушению этих отношений: время в строке состояния может не соответствовать времени в метаданных файла, индикатор заряда может быть несовместим с моделью устройства, расположение элементов может отклоняться от стандартного для данной версии операционной системы.

Экспертиза скриншотов экрана рассматривает такие несоответствия как контекстуальные признаки, которые в совокупности с техническими данными могут указывать на фабрикацию. Однако необходимо учитывать разнообразие версий операционных систем и тем оформления, а также возможность изменения системного времени пользователем.

4.2. Соответствие содержимого заявленному источнику

Если скриншот представлен как снимок определенного приложения или веб-страницы, экспертиза скриншотов экрана может проверить соответствие визуальных элементов типичному оформлению этого источника. Шрифты, отступы, цвета, расположение кнопок и полей — все эти детали образуют паттерн, отклонение от которого является диагностическим признаком. Например, скриншот страницы социальной сети, содержащий элементы, не встречающиеся в актуальной версии интерфейса, или использующий шрифт, не применяемый данной платформой, вызывает обоснованные сомнения.

Следует, однако, учитывать, что интерфейсы обновляются, региональные версии могут различаться, а пользовательские настройки способны изменять отображение. Поэтому вывод о несоответствии должен основываться на устойчивых признаках, а не на единичных деталях.

4.3. Внутренняя непротиворечивость текста и графики

Монтаж скриншота нередко преследует цель изменить текст сообщения, сумму транзакции, дату или имя отправителя. В таких случаях экспертиза скриншотов экрана обращает внимание на согласованность измененного фрагмента с окружающим контекстом. Признаками редактирования могут служить: несоответствие шрифта или его размера, нарушение межстрочного интервала, смещение базовой линии текста, различия в сглаживании, неоднородность фона вокруг измененного участка.

Современные инструменты редактирования позволяют достигать высокой точности, поэтому визуальный осмотр должен дополняться инструментальными методами. Тем не менее логическая непротиворечивость остается важным уровнем проверки, особенно когда технические метаданные недоступны или недостаточны.

4.4. Контекст создания и передачи файла

Экспертиза скриншотов экрана не ограничивается анализом самого файла; она учитывает и обстоятельства его получения. Если скриншот был получен путем пересылки через мессенджер, файл мог быть автоматически сжат, лишен метаданных и перекодирован. В таких случаях отсутствие исходных метаданных является ожидаемым и не может рассматриваться как признак подделки. Напротив, наличие в пересланном файле метаданных, которые должны были быть удалены при пересылке, может указывать на то, что файл был сформирован или обработан после получения.

Понимание цепочки передачи файла имеет решающее значение для корректной интерпретации технических признаков. Экспертиза скриншотов экрана в идеале должна располагать сведениями о том, каким образом файл попал к заинтересованной стороне, чтобы отличить артефакты естественной обработки от следов намеренного редактирования.

Раздел 5. Кейсы из экспертной практики

Кейс 1. Скриншот банковского перевода с измененной суммой

В производство поступил скриншот экрана мобильного банковского приложения, представленный истцом в обоснование факта перечисления денежных средств. Ответчик оспаривал получение платежа, ссылаясь на то, что фактическая сумма перевода была иной. На скриншоте отображалась сумма, превышающая ту, которая, по утверждению ответчика, была зачислена.

Первичный визуальный осмотр выявил незначительное несоответствие в области отображения суммы: цифры выглядели слегка размытыми по сравнению с соседними элементами интерфейса. Однако это наблюдение не могло служить достаточным основанием для вывода, поскольку сжатие изображения могло дать аналогичный эффект. Было принято решение о проведении инструментального анализа.

Исследование метаданных показало, что файл имеет формат PNG и содержит минимальный набор служебных блоков. Тег Software отсутствовал, временные метки также не сохранились. Это было ожидаемо, поскольку скриншот был получен через мессенджер, однако отсутствие метаданных лишало эксперта возможности проверить соответствие времени создания файла и времени, отображаемого на экране.

Анализ уровня ошибок (ELA) выявил отчетливую аномалию в области расположения суммы перевода: данный участок демонстрировал значительно более высокий уровень ошибок по сравнению с окружающими элементами интерфейса. Аналогичная аномалия была обнаружена в области, где отображалась дата операции. Остальная часть скриншота, включая фон, логотип приложения и элементы навигации, не проявляла подобных отклонений.

Дальнейший анализ с увеличением показал, что края символов в измененных областях имеют признаки интерполяции, не характерной для рендеринга шрифтов операционной системой. Цвет фона непосредственно вокруг измененных цифр незначительно отличался по тону от прилегающих участков, что было зафиксировано при построении разностного изображения.

Совокупность признаков — аномалия ELA, признаки интерполяции, цветовая неоднородность — позволила сделать вывод о том, что области, содержащие сумму и дату, были подвергнуты редактированию после создания скриншота. Категоричность вывода подкреплялась тем, что аномалии были локализованы именно в смысловых центрах, изменение которых соответствовало интересам представившей стороны.

Экспертиза скриншотов экрана в данном случае продемонстрировала, что даже при утрате метаданных пиксельные методы способны выявить признаки монтажа, если изменения затрагивают относительно небольшие участки и выполнены без полной реконструкции фона. В заключении было отмечено, что скриншот не может рассматриваться как достоверное отображение фактически совершенной операции.

Кейс 2. Скриншот переписки с удаленным сообщением

Предметом исследования стал скриншот экрана мессенджера, на котором отображалась переписка между двумя пользователями. Сторона обвинения утверждала, что скриншот подтверждает факт угрозы, поступившей в адрес потерпевшего. Защита настаивала на том, что сообщение было добавлено в переписку искусственно.

Скриншот был представлен в формате JPEG, что давало возможность анализа EXIF-данных. Метаданные содержали тег Software со значением, соответствующим встроенному редактору изображений операционной системы. Это не являлось прямым доказательством монтажа, поскольку скриншот мог быть отредактирован с целью обрезки или изменения размера. Однако сам факт обработки файла в редакторе требовал более внимательного изучения.

Анализ структуры JPEG выявил неоднородность блочной структуры. В области расположения allegedly добавленного сообщения границы блоков 8×8 не совпадали с общей сеткой сжатия, что указывало на вставку фрагмента после первичного сохранения. Визуальный осмотр с увеличением подтвердил, что пузырь сообщения имеет слегка иные скругления углов по сравнению с другими сообщениями в переписке, а тень, отбрасываемая пузырем, имеет другую интенсивность.

Дополнительным признаком стало несоответствие временных меток внутри изображения. Время, отображаемое над allegedly добавленным сообщением, не согласовывалось с последовательностью времени других сообщений: оно нарушало хронологический порядок, который должен был соблюдаться в интерфейсе мессенджера.

Экспертиза скриншотов экрана в данном кейсе столкнулась с попыткой имитировать естественный вид переписки. Однако совокупность структурных артефактов JPEG и логических несоответствий позволила сделать вывод о том, что скриншот был подвергнут редактированию, и allegedly добавленное сообщение не является частью исходной переписки. Вывод был сформулирован как категорический в отношении факта редактирования, но вероятностный в отношении конкретного способа, поскольку файл прошел пересохранение, уничтожившее часть исходных следов.

Кейс 3. Скриншот веб-страницы с измененной датой публикации

В арбитражном споре сторона представила скриншот страницы коммерческого сайта, содержащий информацию о ценах и условиях поставки. Противоположная сторона заявила, что скриншот был сделан позже указанной даты и содержит цены, введенные в заблуждение. Задача экспертизы скриншотов экрана состояла в проверке соответствия скриншота заявленному времени создания.

Файл был представлен в формате PNG с полным набором служебных блоков. Метаданные содержали тег Creation Time, который соответствовал заявленной дате. Однако при проверке согласованности было обнаружено, что версия браузера, указанная в User-Agent (отраженном в служебных данных скриншота, поскольку некоторые расширения сохраняют эту информацию), не существовала на заявленную дату. Данное обстоятельство указывало на то, что либо временная метка была изменена, либо скриншот был создан позже, а метаданные были сфабрикованы.

Дальнейший анализ показал, что элементы интерфейса браузера, отображенные на скриншоте, включают функцию, которая появилась в более поздней версии программного обеспечения. Иконка расширения в панели инструментов также относилась к версии, выпущенной после заявленной даты. Эти контекстуальные признаки в совокупности с несоответствием User-Agent создали картину, несовместимую с заявленным происхождением скриншота.

Пиксельный анализ не выявил признаков прямой вставки или замены фрагментов: изображение выглядело целостным с точки зрения рендеринга. Однако экспертиза скриншотов экрана в данном случае показала, что подлинность файла может быть опровергнута и без обнаружения следов редактирования, если внутренняя логика изображения противоречит заявленным обстоятельствам. Вывод был сформулирован как устанавливающий несоответствие скриншота заявленной дате создания.

Кейс 4. Скриншот уведомления о задолженности

Гражданин обратился с заявлением о неправомерных действиях коллекторского агентства, представив скриншот уведомления, содержащего угрозы. Агентство отрицало отправку подобного уведомления. На скриншоте отображалось push-уведомление, якобы полученное от приложения кредитной организации.

Исследование началось с проверки метаданных. Файл имел формат PNG, служебные блоки содержали тег Software со значением, соответствующим программе для создания скриншотов, отличной от стандартной утилиты операционной системы. Данное обстоятельство само по себе не свидетельствовало о подделке, поскольку пользователь мог использовать стороннее приложение для захвата экрана. Однако это объясняло отсутствие некоторых системных метаданных, которые обычно присутствуют в скриншотах, созданных штатными средствами.

Анализ области уведомления выявил признаки неоднородности фона. В месте расположения уведомления фон имел незначительные отклонения по яркости, не соответствующие градиенту, типичному для обоев рабочего стола. При построении карты шумов было обнаружено, что шумовая составляющая в области уведомления отличается от шума на остальной части изображения, что указывало на возможную вставку.

Однако дальнейшее изучение показало, что аналогичная неоднородность присутствует и в других участках экрана, не связанных с уведомлением. Это могло быть следствием сжатия или особенностей рендеринга. Экспертиза скриншотов экрана столкнулась с ситуацией, когда признаки не были однозначными.

Дополнительный анализ контекстуальных элементов выявил более существенное несоответствие: иконка приложения, отображаемая в уведомлении, не совпадала с актуальной иконкой приложения кредитной организации, известной на момент предполагаемой отправки. Кроме того, формат уведомления не соответствовал операционной системе, указанной в заявлении.

Совокупность контекстуальных несоответствий при неубедительности пиксельных признаков привела к выводу о вероятностном характере монтажа. Категорический вывод был бы необоснованным, поскольку пиксельные аномалии имели альтернативные объяснения, а метаданные не сохранили достаточной информации. Тем не менее эксперт отметил, что скриншот не может рассматриваться как достоверное подтверждение получения уведомления в указанном виде.

Кейс 5. Скриншот личной переписки с измененным именем отправителя

В ходе семейного спора одна из сторон представила скриншот переписки в мессенджере, где allegedly содержались оскорбления в адрес заявителя. Другая сторона утверждала, что имя отправителя было изменено путем редактирования скриншота.

Скриншот был представлен в формате JPEG после пересылки через электронную почту. Метаданные EXIF присутствовали, но содержали только базовые поля: разрешение, цветовое пространство и дату создания файла. Тег Software отсутствовал, что было ожидаемо после обработки почтовым сервером.

Визуальный осмотр с увеличением показал, что имя отправителя в верхней части экрана имеет незначительное отличие в сглаживании шрифта по сравнению с соседними символами. Однако это наблюдение было слабым и требовало инструментального подтверждения.

Анализ ELA выявил аномалию в области имени: данный участок демонстрировал более высокий уровень ошибок, чем окружающий фон. Аномалия была локализована и не распространялась на другие элементы интерфейса. При дальнейшем увеличении были обнаружены признаки того, что фон вокруг имени был «залит» цветом, не полностью совпадающим с градиентом исходного интерфейса. Разностное изображение показало прямоугольную область, в пределах которой значения пикселей отличались от ожидаемых.

Дополнительным признаком стало несоответствие аватара: изображение аватара рядом с именем имело slightly иные размеры и положение, чем в других аналогичных скриншотах, представленных той же стороной. Хотя этот признак не был решающим, он corroborated вывод об изменении области имени.

Экспертиза скриншотов экрана пришла к выводу, что область, содержащая имя отправителя, была подвергнута редактированию. Вывод был категорическим в отношении факта вмешательства, поскольку аномалии были локализованы именно в смысловом центре и не находили альтернативного объяснения. Однако установить, какое имя было исходным, не представилось возможным из-за отсутствия оригинального файла.

Кейс 6. Скриншот электронной таблицы с измененными показателями

В корпоративном споре сторона представила скриншот электронной таблицы, отображающей финансовые показатели, в обоснование своих требований. Оппонент заявил, что значения были изменены. Задача экспертизы скриншотов экрана состояла в проверке целостности изображения.

Файл имел формат PNG и содержал расширенные метаданные, включая тег Software, который соответствовал программе для работы с электронными таблицами, а не утилите скриншотов. Это было первым указанием на то, что изображение могло быть получено не прямым захватом экрана, а экспортом из приложения или последующей обработкой.

Исследование пиксельной структуры выявило, что числовые значения в определенных ячейках имеют иные характеристики сглаживания, чем текст в соседних ячейках. В частности, края цифр в allegedly измененных ячейках были менее четкими, что могло указывать на их вставку с последующим масштабированием. Анализ гистограммы в области этих ячеек показал отклонение в распределении яркости.

Однако наиболее убедительным признаком стала проверка согласованности форматирования. В электронных таблицах числовые значения обычно форматируются согласованно: количество десятичных знаков, выравнивание, использование разделителей разрядов. В allegedly измененных ячейках форматирование отклонялось от общего правила, принятого в данном документе. Например, в одном столбце значения имели два десятичных знака, а в измененной ячейке — три, при этом визуально количество знаков не соответствовало ширине столбца.

Экспертиза скриншотов экрана в данном случае опиралась на сочетание пиксельных признаков и логического анализа форматирования. Вывод о редактировании был сформулирован как вероятностный, поскольку некоторые аномалии могли быть следствием экспорта или конвертации. Тем не менее совокупность признаков не позволяла признать скриншот достоверным отображением исходной таблицы.

Кейс 7. Скриншот страницы социальной сети с удаленным комментарием

Пользователь социальной сети обратился с заявлением о клевете, представив скриншот страницы, содержащей allegedly оскорбительный комментарий. Администрация социальной сети по запросу суда сообщила, что комментарий с таким содержанием не был обнаружен в базе данных. Возникла необходимость проверки подлинности скриншота.

Скриншот был представлен в формате JPEG с низким качеством сжатия. Метаданные EXIF отсутствовали полностью, что было ожидаемо для файла, загруженного на форум и затем скачанного. Отсутствие метаданных существенно ограничивало возможности анализа.

Визуальный осмотр выявил, что allegedly оскорбительный комментарий расположен в ленте среди других комментариев. Однако при внимательном изучении было обнаружено, что вертикальные интервалы между комментариями неоднородны: интервал над allegedly добавленным комментарием был меньше, чем интервалы между остальными комментариями. Это могло указывать на то, что комментарий был вставлен с использованием меньшего отступа.

Анализ ELA показал, что область комментария имеет более высокий уровень ошибок по сравнению с окружающими областями. Аномалия имела четкие границы, совпадающие с прямоугольной областью, в пределах которой располагался комментарий. За пределами этой области уровень ошибок был однородным.

Дополнительным признаком стало несоответствие имени пользователя и аватара: аватар, отображаемый рядом с комментарием, имел размер, не соответствующий стандартному размеру аватаров в данной социальной сети на момент предполагаемой публикации. Хотя социальные сети периодически меняют размеры аватаров, в данном случае несоответствие было очевидным при сравнении с другими комментариями на том же скриншоте.

Экспертиза скриншотов экрана пришла к выводу, что allegedly оскорбительный комментарий был вставлен в изображение искусственно. Категоричность вывода основывалась на совокупности признаков: аномалия ELA с четкими границами, нарушение вертикальных интервалов, несоответствие размера аватара. Низкое качество сжатия не позволило выявить более тонкие следы, но совокупность имевшихся признаков была достаточной для вывода.

Кейс 8. Скриншот чека онлайн-платежа

В споре о возврате товара покупатель представил скриншот электронного чека, подтверждающего оплату. Продавец оспаривал факт оплаты, утверждая, что чек подделан. Предметом экспертизы скриншотов экрана стал файл, содержащий изображение чека в интерфейсе платежной системы.

Файл имел формат PNG и содержал метаданные, включая тег Creation Time. Временная метка соответствовала дате, указанной на чеке. Однако при проверке формата чека было обнаружено несоответствие: реквизиты, отображаемые на скриншоте, включали поле, которое появилось в чеках данной платежной системы позже заявленной даты. Данное обстоятельство указывало на то, что либо временная метка была изменена, либо чек был сформирован позже и датирован задним числом.

Пиксельный анализ не выявил явных признаков вставки: изображение чека выглядело целостным, шрифты и линии были согласованы. Однако при анализе метаданных PNG было обнаружено, что служебный блок tEXt содержит комментарий, указывающий на программу, использованную для создания файла. Программа оказалась графическим редактором, а не утилитой скриншотов. Это не доказывало монтаж, но объясняло возможные манипуляции.

Дальнейшее изучение выявило незначительное несоответствие в области QR-кода: паттерн модулей не полностью соответствовал стандарту, характерному для данной платежной системы, хотя визуально оставался читаемым. Это могло быть следствием сжатия, но в сочетании с другими признаками усиливало вывод о возможной фабрикации.

Экспертиза скриншотов экрана заключила, что скриншот имеет признаки, несовместимые с заявленным происхождением: формат чека не соответствует заявленной дате, файл обработан графическим редактором, QR-код имеет аномалии. Вывод о подделке был сформулирован как вероятностный, поскольку отдельные признаки могли иметь альтернативные объяснения, но их совокупность делала версию о подлинности чека неубедительной.

Кейс 9. Скриншот системы управления задачами с измененным статусом

В трудовом споре работник представил скриншот корпоративной системы управления задачами, allegedly подтверждающий, что задание было выполнено в срок. Работодатель утверждал, что статус был изменен работником путем редактирования скриншота.

Система управления задачами отображает статусы в виде цветных меток и текстовых полей. На скриншоте allegedly выполненная задача имела зеленую метку «Выполнено» и соответствующую дату завершения.

Исследование метаданных показало, что файл был создан на устройстве, модель которого не соответствовала корпоративным устройствам, выданным сотрудникам. Это обстоятельство само по себе не доказывало монтаж, поскольку работник мог использовать личное устройство, но требовало объяснения.

Анализ цветовых характеристик выявил, что зеленый цвет метки имеет иные значения в цветовых каналах по сравнению с другими зелеными элементами интерфейса на том же скриншоте. В частности, насыщенность и оттенок отклонялись от корпоративной палитры, хотя визуально различие было минимальным.

При увеличении области метки были обнаружены признаки того, что метка и прилегающий текст были наложены на фон: края метки имели незначительную неровность, не характерную для рендеринга интерфейса. Анализ ELA подтвердил аномалию в данной области.

Дополнительным признаком стало несоответствие даты завершения задачи: дата, отображаемая на скриншоте, приходилась на выходной день, тогда как система, по имеющимся сведениям, не позволяла изменять статус в выходные без дополнительного согласования. Хотя это не являлось техническим признаком монтажа, это указывало на логическую несообразность.

Экспертиза скриншотов экрана пришла к выводу, что область статуса была подвергнута редактированию. Совокупность цветовых аномалий, признаков наложения и логических несоответствий позволила сформулировать категорический вывод о факте вмешательства, хотя установление исходного статуса задачи не входило в компетенцию эксперта.

Кейс 10. Скриншот объявления с измененной ценой

В споре о защите прав потребителей покупатель представил скриншот страницы интернет-магазина, на которой allegedly была указана цена товара, значительно ниже текущей. Магазин утверждал, что скриншот подделан с целью получения неосновательного обогащения.

Скриншот был представлен в формате PNG с метаданными, включающими тег Software. Тег указывал на программу для создания скриншотов, что было ожидаемо. Временные метки присутствовали и соответствовали заявленной дате.

Визуальный осмотр с увеличением показал, что цифры цены имеют незначительные различия в толщине штрихов по сравнению с другими числовыми значениями на странице, например, артикулом товара и количеством отзывов. Различие было едва заметным, но последовательным.

Анализ ELA выявил аномалию в области цены: участок демонстрировал более высокий уровень ошибок, чем окружающий фон и соседние текстовые элементы. Аномалия была локализована в пределах прямоугольной области, охватывающей цену и символ валюты.

При построении карты шумов было обнаружено, что шумовая составляющая в области цены отличается от шума на остальной части изображения. Это указывало на то, что фрагмент мог быть вставлен из другого источника или сгенерирован заново.

Дополнительным признаком стало несоответствие формата цены: в allegedly измененной области использовался разделитель разрядов, отличающийся от принятого на сайте. Например, вместо пробела использовалась точка, что не соответствовало общему стилю оформления цен на странице.

Совокупность признаков — аномалия ELA, шумовая неоднородность, несоответствие форматирования — привела к выводу о том, что область цены была подвергнута редактированию. Категоричность вывода основывалась на том, что аномалии были локализованы именно в смысловом центре и подкреплялись контекстуальными несоответствиями. Экспертиза скриншотов экрана заключила, что представленный скриншот не отражает фактическое состояние страницы на заявленную дату.

Приглашаем к сотрудничеству в области экспертизы скриншотов экрана: Союз «Федерация судебных экспертов» готов провести исследование любой сложности с применением описанных методов и учетом всех ограничений, накладываемых состоянием представленных файлов.

Раздел 6. Порядок назначения и проведения экспертизы скриншотов экрана

6.1. Формулирование вопросов эксперту

Корректность выводов экспертизы скриншотов экрана в значительной степени зависит от того, насколько точно сформулированы вопросы, поставленные перед экспертом. Вопросы должны быть конкретными, технически выполнимыми и соответствовать компетенции эксперта. Типичные вопросы включают: подвергался ли представленный файл редактированию после создания; соответствует ли содержимое файла заявленному устройству и программной среде; имеются ли признаки вставки, удаления или замены фрагментов изображения; согласуются ли метаданные файла с иными обстоятельствами дела.

Некорректно поставленные вопросы могут привести к выходу за пределы компетенции или к формулированию выводов, не имеющих доказательственного значения. Например, вопрос «является ли скриншот подлинным» без уточнения, что именно понимается под подлинностью, допускает неоднозначное толкование. Экспертиза скриншотов экрана оперирует понятиями целостности файла, соответствия метаданных, наличия или отсутствия признаков редактирования, но не устанавливает истинность содержания сообщений или событий, отображенных на экране.

6.2. Материалы, необходимые для исследования

Для проведения полноценной экспертизы скриншотов экрана желательно располагать оригинальным файлом в том виде, в котором он был создан, а также сведениями о цепочке его передачи. Если оригинал недоступен, исследование может быть проведено по копии, но выводы будут ограничены сохранившимися признаками . В таких случаях эксперт обязан указать, какие методы были применены, какие данные утрачены и насколько это влияет на достоверность вывода.

Помимо самого файла, полезными являются: сведения об устройстве, на котором предположительно был сделан скриншот; информация о версии операционной системы и приложений; образцы скриншотов, созданных на том же устройстве в аналогичных условиях, для сравнения. Наличие сравнительных образцов существенно повышает надежность выводов, поскольку позволяет выявить устойчивые характеристики, присущие данной среде создания.

6.3. Ограничения и пределы выводов

Экспертиза скриншотов экрана не может дать ответ на вопросы, выходящие за пределы анализа файла как цифрового объекта. Эксперт не устанавливает, соответствуют ли отображенные на скриншоте сведения действительности, если только это не следует из технических признаков. Например, эксперт может установить, что скриншот был создан в определенное время, но не может подтвердить, что событие, отображенное на экране, действительно произошло в это время.

Выводы эксперта формулируются в терминах, соответствующих степени уверенности: категорический вывод, вероятностный вывод, вывод о невозможности ответа на поставленный вопрос. Категорический вывод о наличии монтажа возможен при обнаружении достаточной совокупности признаков, не находящих альтернативного объяснения. Категорический вывод об отсутствии монтажа, как правило, невозможен, поскольку отсутствие обнаруженных признаков не исключает их наличия за пределами чувствительности примененных методов.

Приглашаем к сотрудничеству с Союзом «Федерация судебных экспертов» для проведения экспертизы скриншотов экрана с корректной постановкой задач и обоснованными выводами.

Заключительные положения

Экспертиза скриншотов экрана представляет собой область судебно-экспертной деятельности, в которой технические методы анализа цифровых изображений сочетаются с логической оценкой контекста. Метатеги, служебные блоки, пиксельные артефакты и контекстуальные признаки образуют многоуровневую систему индикаторов, позволяющих с той или иной степенью уверенности судить о наличии или отсутствии монтажа.

Центральный вывод настоящей монографии состоит в том, что ни один отдельно взятый признак не является достаточным для категорического суждения. Подлинность скриншота подтверждается или опровергается совокупностью данных, интерпретация которых требует профессиональной подготовки и понимания ограничений каждого метода. Утрата метаданных при пересылке и сжатии является типичным обстоятельством, снижающим возможности исследования, но не исключающим его проведения.

Союз «Федерация судебных экспертов» приглашает заинтересованных лиц к сотрудничеству в области экспертизы скриншотов экрана. Проведение исследований осуществляется с применением апробированных методик, с четким указанием пределов выводов и с осознанием ответственности, которую несет эксперт при формировании заключения, способного повлиять на исход дела.