Введение

Скриншот перестал быть вспомогательным иллюстративным материалом. В современной правоприменительной и договорной практике снимок экрана всё чаще выполняет функцию самостоятельного доказательства: им подтверждают факт банковского перевода, содержание переписки, публикацию порочащих сведений, согласование условий сделки. Однако именно скриншот относится к числу наиболее просто фальсифицируемых цифровых объектов. Изменение суммы, подмена реплики в диалоге, компоновка элементов разных приложений в единое изображение требуют минимальных временных затрат и не требуют специальной подготовки. Визуальная безупречность результата при этом достигается практически мгновенно .

В этих условиях экспертиза скриншотов фотографий приобретает значение самостоятельного направления судебной и внесудебной экспертной деятельности. Её предметом является установление факта, способа и последовательности изменения исходного цифрового изображения, а также определение свойств носителя и программной среды, использованных при создании и редактировании файла. Центральное место в такой экспертизе занимает исследование метаданных, в первую очередь формата EXIF, а также иных встроенных и вычисляемых признаков, позволяющих отличить оригинальный снимок экрана от скомпилированного или отредактированного.

Настоящая монография адресована практикующим юристам, судебным экспертам, специалистам по цифровой криминалистике и лицам, перед которыми стоит задача проверки достоверности скриншотов, представляемых в качестве доказательств. Если вам требуется производство такой экспертизы, вы можете обратиться в Союз «Федерация судебных экспертов» — организацию, располагающую профильными специалистами и необходимым инструментарием для исследования цифровых изображений в строгом соответствии с требованиями процессуального законодательства .

1. Правовая природа скриншота как объекта экспертного исследования

Скриншот, представляемый в материалы дела, не является вещественным доказательством в классическом понимании. Это производный цифровой объект, полученный путём фиксации состояния экрана устройства. Его доказательственная сила зависит от возможности установить происхождение файла, устройство и программное обеспечение, использованные при создании, а также отсутствие или наличие последующих изменений.

Федеральный закон № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации» определяет объекты исследований как вещественные доказательства, документы, предметы и материалы дела . Скриншот в этой системе координат выступает либо документом (если он распечатан или сохранён в виде файла с реквизитами), либо электронным носителем информации. Однако специфика объекта такова, что сам файл скриншота содержит не только визуальный образ, но и технические следы его создания. Именно эти следы — метаданные, артефакты сжатия, шумовые характеристики — становятся основным материалом для экспертного анализа.

Экспертиза скриншотов фотографий принципиально отличается от экспертизы оригинальных фотографических изображений. Если исходный снимок, сделанный камерой, несёт в EXIF-данных сведения о модели устройства, параметрах экспозиции, дате и времени съёмки, географических координатах, то скриншот формируется программной средой операционной системы или приложения. Его метаданные отражают не условия съёмки, а условия захвата экрана. Это обстоятельство имеет двоякое значение. С одной стороны, оно обедняет метаданные в части, касающейся устройства и оптики. С другой стороны, оно создаёт специфический набор признаков, характерных именно для скриншотов и позволяющих отличить их от фотографий, подвергнутых редактированию.

В процессуальном отношении заключение эксперта по результатам исследования скриншота должно отвечать требованиям проверяемости и обоснованности. Эксперт обязан указать, какие именно признаки были обнаружены, какими методами они выявлены и почему они свидетельствуют в пользу того или иного вывода. При этом экспертиза скриншотов фотографий не всегда позволяет дать категорический вывод. Как справедливо отмечается в специальной литературе, исследование копии или скриншота возможно, но вывод ограничивается сохранившимися признаками; эксперт указывает, какие методы применимы, что утрачено и возможен ли категорический либо вероятностный вывод .

2. Метаданные как основной источник сведений о происхождении скриншота

2.1. Структура EXIF и его информационный потенциал

EXIF (Exchangeable Image File Format) представляет собой стандарт встраивания метаданных в файлы изображений, прежде всего в форматы JPEG и TIFF. Для скриншотов, сохраняемых в формате PNG, объём EXIF-данных существенно меньше, однако и он может содержать значимую информацию. В общем случае метаданные способны фиксировать следующие категории сведений :

• дата и время создания или последнего редактирования файла
• наименование устройства, на котором выполнялся захват экрана
• программное обеспечение, использованное для создания или обработки
• исходное имя файла
• разрешение и цветовые характеристики
• сведения о владельце устройства или учётной записи

Для целей экспертизы скриншотов фотографий наибольшее значение имеют поля, отражающие программную среду. Наличие в метаданных указания на графический редактор при одновременном отсутствии сведений о программе захвата экрана является диагностическим признаком. Скриншот, созданный штатными средствами операционной системы, как правило, не содержит следов редакторов, тогда как файл, прошедший через Adobe Photoshop, GIMP или специализированный инструмент компоновки, сохраняет соответствующие записи.

2.2. Проверка согласованности полей

Метаданные представляют ценность не сами по себе, а в совокупности. Эксперт анализирует не отдельные значения, а их комбинации. Например, модель устройства, указанная в EXIF, должна соответствовать типу операционной системы и набору доступных форматов захвата. Если скриншот, представленный как снимок экрана мобильного устройства, содержит метаданные, характерные для настольной версии программы, это порождает обоснованное сомнение в подлинности.

В литературе выделяются типичные способы искажения метаданных и соответствующие им методы выявления :

• подделка и подмена полей: внедрение сторонних данных путём копирования метаданных с другого файла или ручного редактирования; выявляется проверкой часового пояса, серийных номеров и реалистичности комбинаций полей
• удаление метаданных: полное или частичное стирание EXIF; выявляется сопоставлением с ожидаемым объёмом метаданных для данного типа файла и устройства
• внедрение скрытых меток: запись в метаданные идентификаторов, указывающих на генеративное происхождение изображения; выявляется поиском нестандартных полей и цифровых подписей

2.3. Ограничения метаданных

Эксперт обязан осознавать пределы метаданных как источника доказательственной информации. Отсутствие следов редактирования в EXIF не является доказательством неизменности изображения. Метаданные могут быть полностью удалены при экспорте, при загрузке на платформу или намеренно. Крупные социальные сети и мессенджеры, как правило, удаляют EXIF-данные при публикации в целях защиты приватности, что объективно затрудняет установление происхождения файла .

Более того, даже непротиворечивые метаданные не гарантируют подлинности пиксельного содержимого. Известны случаи, когда изображение подвергалось манипуляции, но метаданные сохранялись нетронутыми. Это означает, что экспертиза скриншотов фотографий не может ограничиваться анализом EXIF. Метаданные должны рассматриваться в совокупности с визуальными и статистическими признаками.

3. Признаки монтажа, выявляемые без обращения к метаданным

3.1. Анализ уровня ошибок сжатия (Error Level Analysis)

Метод ELA основан на том, что области изображения, подвергнутые редактированию, имеют иной уровень остаточной ошибки сжатия по сравнению с нетронутыми участками. При сохранении JPEG-файла с определённым качеством все пиксели проходят процедуру повторного сжатия. Если фрагмент изображения был вставлен из другого источника или изменён, его реакция на повторное сжатие отличается от реакции окружающих областей. Визуализация карты ошибок позволяет эксперту локализовать потенциальные зоны вмешательства .

Для скриншотов применение ELA имеет особенности. Скриншот, сохранённый в PNG, не содержит артефактов JPEG-сжатия. Однако если он впоследствии конвертирован в JPEG или прошёл через цепочку пересохранений, картина ошибок становится информативной. Эксперт должен учитывать историю формата файла и оценивать результаты ELA с поправкой на количество циклов сжатия.

3.2. Анализ шумовых характеристик и следов повторного дискретизирования

Цифровые изображения содержат шум сенсора, который для оригинальных фотографий имеет статистически предсказуемые характеристики. Вставка фрагмента из другого изображения вносит шум с иными параметрами. Аналогичным образом, масштабирование или поворот вставленного фрагмента оставляют следы повторной дискретизации, которые могут быть обнаружены статистическими методами .

Для скриншотов, которые по определению не являются фотографиями в строгом смысле, шумовой анализ менее эффективен. Однако он сохраняет значение при исследовании скриншотов, содержащих в качестве основного содержимого фотографические изображения. Если на скриншоте присутствует фотография, подвергнутая монтажу, методы шумового анализа применимы к ней в той же мере, что и к обычному изображению.

3.3. Геометрические и логические несоответствия

Значительная часть поддельных скриншотов выявляется без применения инструментальных методов, на уровне визуальной экспертизы. Эксперт обращает внимание на следующие признаки:

• несовпадение шрифтов, межстрочных интервалов и отступов в пределах одного интерфейса
• различия в цветовых профилях элементов, которые должны быть идентичными
• нарушение выравнивания границ и краёв элементов интерфейса
• несоответствие теней и градиентов на разных участках изображения
• аномалии в расположении системных индикаторов (времени, заряда батареи, уровня сигнала) относительно ожидаемого для данной операционной системы

Логические несоответствия могут быть не менее информативны. Например, время, указанное в системной строке скриншота, может не соответствовать времени отправки сообщений в переписке. Разрешение экрана, вычисленное по соотношению сторон изображения, может не соответствовать заявленной модели устройства.

3.4. Целостность файла и криптографические хеши

Для подтверждения того, что представленный на экспертизу файл не изменялся после изъятия, применяются криптографические хеш-функции. Вычисление SHA-256 позволяет зафиксировать уникальный цифровой отпечаток файла. Любое последующее изменение, даже на уровне одного бита, приводит к полному изменению хеш-значения. Это не доказывает подлинность содержимого, но обеспечивает целостность объекта исследования .

4. Методика экспертного исследования скриншотов

4.1. Подготовительный этап

На подготовительном этапе эксперт фиксирует состояние носителя, на котором представлен скриншот, и условия его получения. Выясняется, каким образом файл попал к заинтересованному лицу: был ли он передан напрямую, загружен из облачного хранилища, извлечён из переписки или получен иным способом. Каждый из этих путей накладывает отпечаток на сохранность метаданных.

Если скриншот представлен в распечатанном виде, экспертиза существенно ограничивается. Печатная копия утрачивает метаданные полностью, а визуальные признаки монтажа могут быть замаскированы или утрачены при печати и сканировании. В таких случаях экспертиза скриншотов фотографий приобретает характер исследования отображения, а не исходного файла, и выводы формулируются с соответствующими оговорками.

4.2. Исследование метаданных

Исследование начинается с извлечения всех доступных метаданных: EXIF, IPTC, XMP, а также сведений о структуре файла. Применяются как штатные средства операционной системы, так и специализированное программное обеспечение, в том числе ExifTool и его графические оболочки. Эксперт фиксирует полный перечень обнаруженных полей и их значений, после чего приступает к анализу их согласованности.

Проверка согласованности включает:

• соответствие заявленного устройства и программного обеспечения
• соответствие даты и времени создания файла и даты, указанной в содержимом скриншота
• наличие или отсутствие следов редактирования в цепочке программной обработки
• соответствие разрешения изображения и соотношения сторон типичным значениям для данного устройства

4.3. Инструментальный анализ пиксельного содержимого

После изучения метаданных эксперт переходит к анализу самого изображения. Применяются методы ELA, шумового анализа, анализа следов повторной дискретизации. Для скриншотов дополнительно проводится проверка однородности участков, которые должны быть однородными: фоны диалоговых окон, панели инструментов, поля ввода. Любая неоднородность в таких зонах требует объяснения.

Если на скриншоте присутствуют фотографические изображения, они исследуются отдельно как вложенные объекты. К ним применимы все методы, разработанные для фотографий: анализ шумовых отпечатков, поиск следов копирования и вставки, проверка согласованности освещения и теней.

4.4. Сопоставление с эталонными образцами

При наличии возможности эксперту следует запросить эталонные скриншоты, выполненные на том же устройстве с той же версией операционной системы и того же приложения. Сопоставление спорного скриншота с эталонными позволяет выявить отклонения в шрифтах, отступах, цветах и системных индикаторах. Этот метод особенно эффективен при исследовании скриншотов мобильных устройств, где вариативность интерфейсов между версиями операционных систем значительна.

4.5. Формулирование выводов

Выводы эксперта могут быть категорическими, вероятностными или указывать на невозможность решения вопроса. Категорический вывод о наличии монтажа возможен при обнаружении прямых признаков: несовпадения шумовых характеристик, следов повторного сжатия в локализованной области, несоответствия метаданных содержимому. Категорический вывод об отсутствии монтажа возможен реже, поскольку отсутствие обнаруженных признаков не тождественно их объективному отсутствию.

5. Практические кейсы

Кейс 1. Скриншот банковского перевода с изменённой суммой

Обстоятельства. В материалы гражданского дела представлен скриншот мобильного приложения банка, подтверждающий перевод денежных средств в размере, превышающем фактически перечисленную сумму. Истец утверждает, что скриншот сделан непосредственно после операции.

Исследование. При извлечении метаданных установлено, что файл имеет формат PNG и не содержит EXIF-данных о устройстве. Поле Software содержит указание на программу редактирования изображений. Анализ ELA выявил локализованную область в зоне отображения суммы перевода с аномально высоким уровнем остаточной ошибки по сравнению с окружающими участками. При увеличении обнаружено несовпадение шрифта цифр суммы с шрифтом соседних элементов интерфейса, а также нарушение межсимвольного расстояния.

Вывод. Скриншот подвергался редактированию; сумма перевода изменена путём замены фрагмента изображения. Метаданные содержат следы программы редактирования, несовместимые с заявленным способом получения файла. Экспертиза скриншотов фотографий в данном случае позволила опровергнуть доказательственное значение представленного документа.

Кейс 2. Скриншот переписки с удалёнными сообщениями

Обстоятельства. Сторона по делу об увольнении представила скриншот мессенджера, содержащий сообщения руководителя, allegedly подтверждающие давление на сотрудника. Ответчик заявляет, что часть сообщений была удалена или изменена.

Исследование. Метаданные файла содержат сведения о разрешении экрана и версии операционной системы. Однако поле, отражающее программу захвата экрана, отсутствует. Визуальный анализ выявил неоднородность фона в зоне между сообщениями: цветовые значения пикселей в seemingly однородной области различаются на величины, превышающие естественный шум сжатия. Шумовой анализ подтвердил наличие вставки: фрагмент, содержащий одно из сообщений, имеет шумовые характеристики, отличные от остального изображения.

Вывод. Имеются признаки монтажа в зоне расположения одного из сообщений. Изображение не является единовременным снимком экрана, а представляет собой композицию, составленную из фрагментов. Установить содержание исходного сообщения не представляется возможным.

Кейс 3. Скриншот публикации в социальной сети

Обстоятельства. В деле о защите чести и достоинства представлен скриншот публикации, содержащей порочащие сведения. Ответчик утверждает, что публикация была иной, а представленный скриншот сфальсифицирован.

Исследование. Файл имеет формат JPEG. EXIF-данные содержат модель устройства и дату, однако при проверке согласованности установлено, что разрешение изображения не соответствует типичному для указанной модели. Дата в метаданных не совпадает с датой, указанной на скриншоте в интерфейсе социальной сети. Анализ следов повторного сжатия показал, что изображение прошло не менее двух циклов JPEG-компрессии, что несовместимо с однократным сохранением скриншота.

Вывод. Совокупность признаков свидетельствует о том, что файл не является оригинальным скриншотом, полученным непосредственно на устройстве. Он прошёл обработку, включающую изменение разрешения и повторное сохранение. Установить, какие именно элементы были изменены, не представляется возможным ввиду утраты исходных характеристик.

Кейс 4. Скриншот страницы сайта с изменённой датой

Обстоятельства. Представлен скриншот страницы интернет-ресурса, подтверждающий, что определённая информация была опубликована до заключения договора. Контрагент оспаривает дату публикации.

Исследование. Метаданные скриншота содержат дату создания файла, которая совпадает с датой, указанной в содержимом. Однако при анализе системной строки браузера обнаружено несоответствие: формат отображения даты и времени не соответствует региональным настройкам, которые должны были применяться на устройстве, согласно метаданным. Кроме того, элемент, отображающий дату публикации, имеет признаки наложения: границы элемента не совпадают с сеткой выравнивания остальных элементов страницы.

Вывод. Имеются признаки изменения элемента, отображающего дату публикации. Метаданные файла не противоречат возможности создания скриншота в указанное время, однако содержимое изображения было подвергнуто редактированию после захвата экрана.

Кейс 5. Скриншот чека из платёжной системы

Обстоятельства. В деле о взыскании задолженности истец представил скриншот электронного чека, подтверждающего оплату. Ответчик заявляет, что оплата не производилась.

Исследование. Файл не содержит EXIF-данных, что типично для изображений, полученных через мессенджеры. При визуальном осмотре выявлено, что логотип платёжной системы и QR-код имеют более низкое качество и иной уровень резкости по сравнению с текстовой частью. Анализ ELA показал, что зона QR-кода имеет аномально однородную карту ошибок, характерную для вставленного фрагмента, прошедшего дополнительную обработку.

Вывод. Изображение содержит признаки композиции: элементы чека, включая QR-код, были вставлены или заменены. Скриншот не может рассматриваться как достоверное подтверждение факта оплаты в указанном размере.

Кейс 6. Скриншот уведомления государственного органа

Обстоятельства. Представлен скриншот личного кабинета на портале государственных услуг, содержащий уведомление о принятом решении. Заявитель утверждает, что уведомление было получено в определённую дату.

Исследование. Метаданные содержат сведения о устройстве и программе захвата экрана. Согласованность полей не вызывает возражений. Однако при сопоставлении с эталонными скриншотами того же портала, выполненными на аналогичном устройстве, обнаружено несовпадение отступов в блоке уведомления и иной порядок расположения элементов. Шрифт заголовка уведомления отличается по насыщенности от шрифта, используемого в актуальной версии интерфейса.

Вывод. Скриншот не соответствует интерфейсу портала в заявленный период. Наиболее вероятно, изображение было создано с использованием ранее сохранённой копии интерфейса или подвергнуто редактированию. Метаданные при этом не содержат прямых следов редактирования, что указывает на возможность манипуляции с системным временем или использования эмулятора.

Кейс 7. Скриншот электронного письма с вложением

Обстоятельства. В корпоративном споре представлен скриншот письма, allegedly направленного контрагенту с приложением коммерческого предложения. Получатель утверждает, что письмо не содержало вложения.

Исследование. Метаданные скриншота указывают на программу захвата экрана, встроенную в операционную систему. Анализ содержимого показал, что значок вложения и строка с именем файла имеют иные цветовые характеристики и уровень резкости по сравнению с остальным текстом письма. При увеличении обнаружены следы сглаживания, характерные для вставки фрагмента с другим разрешением.

Вывод. Имеются признаки искусственного добавления элемента, отображающего вложение. Представленный скриншот не подтверждает факт направления вложения в составе указанного письма.

Кейс 8. Скриншот отзыва на маркетплейсе

Обстоятельства. Продавец оспаривает подлинность негативного отзыва, представленного покупателем в виде скриншота. Утверждается, что отзыв был сфабрикован.

Исследование. Метаданные содержат дату создания файла, которая предшествует дате, указанной на скриншоте в качестве даты публикации отзыва. Это противоречие не может быть объяснено разницей часовых поясов. При анализе ELA зона, содержащая текст отзыва, демонстрирует аномалии, не наблюдаемые в остальной части изображения. Шрифт текста отзыва имеет отличия в толщине штрихов от шрифта, используемого в интерфейсе маркетплейса.

Вывод. Совокупность метаданных и визуальных признаков свидетельствует о том, что изображение было создано до заявленной даты публикации и не является снимком реальной страницы. Наиболее вероятно, скриншот скомпилирован из отдельных элементов.

Кейс 9. Скриншот кассового чека, полученного по электронной почте

Обстоятельства. В деле о защите прав потребителя представлен скриншот электронного письма с кассовым чеком. Продавец утверждает, что чек был сформирован с иными реквизитами.

Исследование. Файл имеет формат PNG, получен путём захвата экрана мобильного устройства. EXIF-данные отсутствуют, что не позволяет установить устройство. Визуальный анализ выявил, что реквизиты чека (ИНН, сумма, дата) имеют более высокую резкость, чем остальное содержимое изображения, включая логотип и служебные надписи. Шумовой анализ подтвердил различие в статистических характеристиках между зоной реквизитов и остальным изображением.

Вывод. Реквизиты чека были заменены или наложены поверх исходного изображения. Скриншот не отражает содержание первичного документа в части указанных реквизитов.

Кейс 10. Скриншот объявления о продаже с изменённой ценой

Обстоятельства. Покупатель утверждает, что продавец обязался продать товар по цене, указанной в скриншоте объявления. Продавец заявляет, что цена в объявлении была иной, а скриншот изменён.

Исследование. Метаданные скриншота содержат сведения о программе просмотра веб-страниц, однако версия программы, указанная в метаданных, несовместима с версией операционной системы, также указанной в метаданных. Анализ ELA выявил зону ценника с аномальными характеристиками. При сравнении с архивной копией страницы, полученной от независимого источника, установлено, что цена в объявлении на момент, указанный в метаданных, отличалась от представленной на скриншоте.

Вывод. Скриншот содержит изменённые сведения о цене. Метаданные имеют признаки несоответствия, указывающие на возможную подмену или редактирование. Представленный документ не может служить доказательством согласования цены.

6. Обращение в Союз «Федерация судебных экспертов»

Проведение экспертизы скриншотов фотографий требует не только специализированных знаний в области цифровой криминалистики, но и понимания процессуальных требований, предъявляемых к заключению эксперта. Союз «Федерация судебных экспертов» располагает необходимым организационным и методическим потенциалом для производства таких исследований .

Организация объединяет экспертов различных специальностей, имеет региональную сеть представительств и опыт выполнения экспертиз по поручению судов и правоохранительных органов . При обращении по вопросу экспертизы скриншотов вы можете рассчитывать на предварительную консультацию, помощь в формулировании вопросов для эксперта и производство исследования в установленные процессуальные сроки.

Для направления запроса и согласования условий вы можете связаться с Союзом «Федерация судебных экспертов» по официальным каналам, указанным на сайте организации. Экспертиза скриншотов фотографий в рамках данного экспертного учреждения проводится с соблюдением требований Федерального закона № 73-ФЗ и процессуального законодательства Российской Федерации.

Заключение

Экспертиза скриншотов фотографий представляет собой динамично развивающееся направление судебной экспертной деятельности, востребованность которого определяется повсеместным использованием скриншотов в качестве доказательств. Метаданные, и прежде всего EXIF, сохраняют значение основного источника сведений о происхождении файла, однако их доказательственный потенциал не абсолютен. Утрата метаданных при передаче файлов, политика платформ по удалению EXIF и возможность намеренного редактирования ограничивают возможности метода.

Полноценное экспертное исследование строится на сочетании анализа метаданных с инструментальными методами изучения пиксельного содержимого и визуальной экспертизой логических несоответствий. Только совокупность признаков позволяет эксперту прийти к обоснованному выводу о наличии или отсутствии монтажа. При этом экспертиза скриншотов фотографий, выполненная с соблюдением методических требований, является действенным инструментом установления истины в тех ситуациях, когда цифровое изображение выступает средством доказывания.

Для получения квалифицированной помощи в производстве такой экспертизы рекомендуется обращаться в Союз «Федерация судебных экспертов» — организацию, обеспечивающую профессиональный уровень исследования и процессуальную допустимость получаемых результатов.