Настоящая монография посвящена теоретическим и прикладным вопросам экспертизы скриншотов как самостоятельного вида судебной компьютерно-технической и фототехнической экспертизы. Центральное место отведено методике проверки подлинности снимков экрана по метаданным (EXIF, XMP, C2PA) и графическим признакам монтажа. Работа адресована экспертам, юристам, следователям и судам, сталкивающимся с необходимостью оценки достоверности цифровых изображений как доказательств.

Приглашаем к сотрудничеству в рамках экспертных исследований Союз «Федерация судебных экспертов» — объединение, располагающее профильными специалистами и необходимым инструментарием для производства экспертизы скриншотов по поручению судов и правоохранительных органов .

Раздел 1. Скриншот как объект экспертного исследования: понятие, свойства, доказательственное значение

1.1. Понятие скриншота и его отличие от фотографии

Скриншот (снимок экрана) представляет собой синтетическое изображение, сформированное программными средствами операционной системы или приложения и воспроизводящее визуальное содержимое дисплея в определённый момент времени. В отличие от фотографии, создаваемой оптической системой камеры, скриншот не содержит сенсорных шумов, характерных для матрицы фотоаппарата, не подчиняется законам перспективной проекции реальной сцены и формируется из плоских областей с чёткими границами элементов интерфейса. Данное обстоятельство принципиально меняет набор методов, применимых для экспертизы скриншотов: инструменты, разработанные для анализа естественных фотографий, оказываются неэффективными или дают ложные результаты при исследовании снимков экрана .

С точки зрения экспертизы скриншотов, ключевым свойством объекта является его синтетическая природа: изображение создаётся программно, а значит, любые неоднородности, не объясняемые логикой рендеринга интерфейса, могут свидетельствовать о вмешательстве. При этом отсутствие шумовых паттернов камеры лишает эксперта одного из традиционных инструментов выявления монтажа, применявшегося в фототехнической экспертизе. Именно поэтому экспертиза скриншотов требует специализированного методического аппарата, учитывающего особенности формирования и последующего сохранения снимков экрана.

1.2. Скриншот как доказательство в судебной практике

В современном судопроизводстве снимки экрана приобрели статус одного из наиболее распространённых видов цифровых доказательств. Переписка в мессенджерах, банковские переводы, публикации в социальных сетях, страницы интернет-магазинов — все эти обстоятельства зачастую подтверждаются или опровергаются именно скриншотами. Однако лёгкость создания скриншота оборачивается лёгкостью его фальсификации: любой графический редактор позволяет изменить сумму перевода, переписать сообщение или перенести содержимое одного приложения в интерфейс другого за считанные минуты, причём результат визуально неотличим от подлинного . Асимметрия очевидна: подделка занимает минуты и не требует специальных навыков, тогда как проверка подлинности силами человека, рассматривающего пиксельно совершенную подделку, практически обречена на неудачу без применения инструментальных методов.

В связи с этим экспертиза скриншотов приобретает характер необходимого процессуального инструмента. Судебная экспертиза скриншотов позволяет ответить на вопросы о подлинности изображения, наличии признаков монтажа и соответствии снимка исходным данным, а её результаты оформляются в виде заключения, являющегося самостоятельным доказательством . Союз «Федерация судебных экспертов» обеспечивает производство таких исследований с соблюдением требований Федерального закона № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», что гарантирует процессуальную допустимость заключений.

1.3. Ограничения исследования по копиям и скриншотам

Принципиально важным для экспертизы скриншотов является вопрос о доказательственной ценности копии. Сжатие, повторное сохранение, создание скриншота и фотографирование экрана способны удалить метаданные, изменить шумовые характеристики и породить собственные артефакты, которые могут быть ошибочно приняты за следы монтажа. Как следствие, найденная неоднородность не всегда связана с вмешательством, а отсутствие видимых признаков не подтверждает неизменность исходного файла. Утраченные детали и перезаписанные EXIF-данные не поддаются достоверному восстановлению .

Для экспертизы скриншотов это означает необходимость запроса у сторон всех доступных версий изображения, сведений об их происхождении и, по возможности, исходного устройства или аккаунта, с которого производился снимок экрана. Скриншот показывает лишь видимый фрагмент и является отдельным изображением; по нему часто нельзя проверить служебные заголовки сообщения, вложения, скрытые данные и происхождение переписки . Экспертиза скриншотов в рамках Союза «Федерация судебных экспертов» строится с учётом этих ограничений: эксперт обязан указать в заключении, какие методы применимы к представленному материалу, что утрачено и возможен ли категорический либо только вероятностный вывод.

Раздел 2. Метаданные скриншотов как источник криминалистически значимой информации

2.1. Структура и типы метаданных изображений

Метаданные изображения представляют собой структурированную информацию о файле, встроенную в него при создании или последующем сохранении. Для целей экспертизы скриншотов значимы три основных формата метаданных.

• EXIF (Exchangeable Image File Format) — стандарт, изначально разработанный для фотоаппаратов и включающий сведения о модели устройства, дате и времени съёмки, параметрах экспозиции, а также, в некоторых случаях, программном обеспечении, использованном для последующей обработки. Для скриншотов EXIF-данные могут содержать наименование устройства (например, модели смартфона), с которого производился снимок экрана, и программу, осуществившую сохранение либо редактирование файла.

• XMP (Extensible Metadata Platform) — формат на основе XML, используемый преимущественно продуктами Adobe и позволяющий фиксировать историю редактирования, сведения об авторстве и инструментах обработки. XMP-данные могут сохраняться даже после операций, удаляющих EXIF.

• C2PA (Coalition for Content Provenance and Authenticity) — сравнительно новый стандарт криптографически подписанных «удостоверений происхождения контента» (Content Credentials), поддерживаемый OpenAI, Adobe, Google, Leica и другими участниками рынка. C2PA-манифест содержит сведения о том, каким инструментом создан файл, был ли он сгенерирован искусственным интеллектом, кто подписал манифест и подвергался ли файл изменениям после подписания. Проверка C2PA-мандата позволяет установить, валидны ли учётные данные, или содержимое было модифицировано .

Для экспертизы скриншотов комбинация этих трёх форматов создаёт основу для перекрёстной проверки: противоречие между заявленным в EXIF устройством и программным обеспечением, указанным в XMP, или отсутствие валидной подписи C2PA при наличии заявлений о происхождении файла от конкретного сервиса могут служить индикаторами фальсификации.

2.2. Диагностическое значение EXIF-полей для выявления монтажа

При экспертизе скриншотов EXIF-данные исследуются по нескольким ключевым параметрам. Поле Software (Программное обеспечение) указывает на приложение, последним записавшее файл. Если скриншот, предположительно сделанный на мобильном устройстве, содержит в этом поле упоминание настольного графического редактора (например, Adobe Photoshop), это является прямым указанием на то, что файл прошёл через инструмент редактирования, не свойственный процессу создания скриншота. Поле Model (Модель устройства) позволяет сопоставить заявленный источник снимка с фактическими данными: если сторона утверждает, что скриншот сделан на смартфоне определённой модели, а EXIF содержит иную модель или не содержит её вовсе (при том что другие признаки указывают на сохранение метаданных), возникает обоснованное сомнение в подлинности.

Поле DateTimeOriginal (Исходная дата и время) фиксирует момент создания файла. Сопоставление этой даты с временными метками, видимыми на самом скриншоте (время сообщения в мессенджере, дата транзакции в банковском приложении), позволяет выявить хронологические несоответствия. Однако необходимо учитывать, что метаданные могут быть намеренно изменены или удалены, а мессенджеры и социальные платформы при передаче изображения часто лишают файл исходных EXIF-данных. Как отмечается в практических руководствах, если метаданные содержат имя устройства отправителя в неизменном виде, это является положительным признаком, однако отсутствие таких данных не доказывает подделку, поскольку приложение могло удалить их автоматически .

Для экспертизы скриншотов существенно, что сам по себе скриншот как акт копирования экранного содержимого может порождать метаданные, характерные для программы захвата экрана. Наличие в EXIF или XMP следов такой программы при отсутствии следов редактирования может свидетельствовать в пользу подлинности, тогда как сочетание программы захвата экрана с последующей обработкой в редакторе требует объяснения со стороны представившей файл стороны.

2.3. C2PA как инструмент верификации происхождения

Стандарт C2PA представляет для экспертизы скриншотов особую ценность в силу своей криптографической природы. В отличие от EXIF и XMP, которые могут быть произвольно изменены любым редактором, C2PA-манифест подписывается криптографически, и любое изменение содержимого после подписания нарушает валидность подписи. Проверка C2PA-мандата позволяет установить, был ли файл изменён после того, как он был заверен источником, и если да, то какие действия с ним производились .

Однако при экспертизе скриншотов необходимо учитывать ограничения C2PA. Во-первых, стандарт поддерживается далеко не всеми приложениями и устройствами: большинство скриншотов, создаваемых на мобильных устройствах и в мессенджерах, не содержат C2PA-мандата вовсе. Во-вторых, C2PA-данные легко утрачиваются при скриншотировании, повторной загрузке на платформы и большинстве операций обработки изображений. Отсутствие учётных данных C2PA не доказывает подлинность файла и не свидетельствует о его подделке — оно лишь означает, что проверка происхождения по этому каналу невозможна . В-третьих, наличие валидного C2PA-мандата само по себе не гарантирует, что изображение не было сфальсифицировано до подписания: манифест фиксирует историю после момента заверения, но не способен подтвердить, что исходный скриншот соответствовал реальному состоянию экрана.

В экспертизе скриншотов C2PA используется как один из нескольких независимых источников доказательственной информации, подлежащих перекрёстной проверке с данными EXIF, XMP и результатами пиксельного анализа. Союз «Федерация судебных экспертов» располагает специалистами, владеющими методикой верификации C2PA и интерпретации её результатов применительно к синтетическим изображениям.

Раздел 3. Графические признаки монтажа скриншотов

3.1. Следы пересохранения и двойного JPEG-сжатия

Скриншоты, сохраняемые в форматах с потерями (прежде всего JPEG), подвергаются компрессии, параметры которой зависят от программы захвата экрана и последующих операций сохранения. Если изображение редактировалось и сохранялось повторно, возникает эффект двойного сжатия: на изображении появляются характерные блочные артефакты, распределение которых неоднородно по полю кадра. В областях, подвергшихся редактированию, параметры компрессии могут отличаться от остального изображения, что создаёт диагностически значимый признак .

Для экспертизы скриншотов анализ блочности (blockiness) и остатков сжатия является одним из базовых методов. Скриншот, созданный однократно и сохранённый без редактирования, характеризуется относительно равномерным распределением артефактов сжатия, соответствующим параметрам программы захвата. Внесение изменений в отдельные области с последующим пересохранением нарушает эту равномерность. Современные исследовательские подходы к обнаружению манипулированных скриншотов используют комбинацию анализа уровня ошибок (Error Level Analysis, ELA), статистики шумовых остатков, признаков двойного JPEG-сжатия и регулярности текстурных/текстовых краёв в едином векторе признаков, что позволяет достичь точности, существенно превышающей возможности изолированного применения ELA .

3.2. Несоответствия шрифтов, интервалов и геометрии интерфейса

Скриншот интерфейса приложения или веб-страницы содержит текст, отображаемый системным шрифтом. При попытке изменить текст (например, сумму перевода или содержание сообщения) фальсификатор вынужден подбирать шрифт, размер и начертание, визуально соответствующие оригиналу. Даже при использовании распространённых шрифтов точное совпадение достигается редко, поскольку приложения нередко применяют собственные шрифты или модифицированные начертания. Экспертиза скриншотов выявляет такие несоответствия по ряду признаков: различия в толщине штрихов, несовпадение высоты и ширины одноимённых символов в разных частях изображения, нарушение кернинга и интервалов между буквами, несоответствие基线 (базовой линии) текста .

Геометрические несоответствия элементов интерфейса также служат индикатором монтажа. Кнопки, иконки, разделительные линии и отступы в подлинном скриншоте подчиняются правилам компоновки, задаваемым приложением. Внесение инородного элемента или изменение существующего может нарушить выравнивание, изменить расстояния между элементами, создать несоответствие в радиусах скругления углов или тенях. При экспертизе скриншотов производится сопоставление геометрии спорного изображения с эталонным видом соответствующего приложения, полученным от разработчика или из доверенного источника.

3.3. Артефакты копирования и вставки, шумовые аномалии

Метод copy-move (копирование фрагмента внутри одного изображения) и splice (вставка фрагмента из другого изображения) оставляют в скриншоте следы, выявляемые статистическими методами. При копировании фрагмента интерфейса (например, строки с суммой) из другой части того же скриншота возникает дублирование шумового паттерна, которое может быть обнаружено корреляционным анализом. При вставке фрагмента из иного источника возникает неоднородность шумовых характеристик: области, происходящие из разных файлов, имеют различные шумовые профили, что делает возможным их сегментацию .

Для экспертизы скриншотов существенно, что синтетическая природа изображения ограничивает применимость некоторых классических методов. Шумовые паттерны скриншота не являются сенсорным шумом камеры; они представляют собой артефакты рендеринга, сжатия и возможных преобразований. Тем не менее, относительная однородность этих паттернов в пределах нетронутого скриншота сохраняется, и её нарушение в локальной области является диагностическим признаком. Исследования показывают, что обнаружение copy-move и небольших текстовых правок на скриншотах остаётся более сложной задачей по сравнению с выявлением splice и пересохранения, что определяет необходимость комплексного применения нескольких методов .

Раздел 4. Методика комплексной экспертизы скриншотов

4.1. Этапы экспертного исследования

Экспертиза скриншотов в Союзе «Федерация судебных экспертов» строится как последовательный процесс, включающий несколько взаимосвязанных этапов. Первый этап — приём и фиксация материалов: изображения принимаются в исходном виде, фиксируется их целостность, хеш-суммы, формат и размеры. На этом же этапе собираются сведения о происхождении файлов: с какого устройства, каким приложением, при каких обстоятельствах был сделан скриншот, передавался ли он через мессенджеры или социальные сети .

Второй этап — исследование метаданных. Производится извлечение EXIF, XMP и C2PA-данных, их систематизация и проверка на внутреннюю согласованность и на соответствие заявленным обстоятельствам. Наличие следов редактирования в метаданных, противоречия между заявленным устройством и фактическими данными, невалидность C2PA-подписи при наличии заявлений о происхождении — все эти факты фиксируются и оцениваются в совокупности.

Третий этап — графический анализ. Применяются методы выявления следов пересохранения, анализа шумовых остатков, поиска copy-move и splice-вставок, проверки геометрии и шрифтов. Для экспертизы скриншотов существенно, что графический анализ должен учитывать синтетическую природу объекта: методы, разработанные для фотографий, адаптируются с учётом отсутствия сенсорного шума и наличия плоских областей.

Четвёртый этап — сопоставление с исходными данными. По возможности производится сравнение спорного скриншота с фактическим содержимым источника: перепиской в устройстве, страницей в браузере, данными банковского приложения. Расхождения между снимком и фактическим содержанием источника документируются .

4.2. Синтез признаков и формулирование вывода

Результаты отдельных этапов не рассматриваются изолированно. Вывод экспертизы скриншотов формулируется на основе совокупности признаков: совпадение нескольких независимых индикаторов монтажа повышает достоверность вывода, тогда как отсутствие признаков при сохранных метаданных и доступности исходных данных позволяет сделать категорический вывод о подлинности. В случаях, когда исходные данные недоступны, а метаданные утрачены, вывод может быть только вероятностным или содержать констатацию недостаточности данных для категорического суждения .

Экспертиза скриншотов, проводимая в рамках Союза «Федерация судебных экспертов», предполагает не только констатацию наличия или отсутствия признаков монтажа, но и указание на методы, которыми получен вывод, а также на ограничения, связанные с качеством и полнотой представленных материалов. Такое заключение соответствует требованиям процессуального законодательства и может быть использовано в судебном разбирательстве.

Раздел 5. Практические кейсы экспертизы скриншотов

Кейс 1. Подделка скриншота банковского перевода

Обстоятельства. В арбитражном споре истец представил скриншот мобильного банковского приложения, подтверждающий, по его утверждению, перечисление денежных средств ответчику. Ответчик заявил о фальсификации доказательства, указав, что денежные средства не поступали. Для проверки была назначена экспертиза скриншотов.

Исследование. При поступлении файла в формате PNG было установлено, что изображение содержит EXIF-данные, включающие поле Software со значением «Adobe Photoshop 24.1». Поле Model содержало наименование модели смартфона, соответствующей устройству истца. Однако наличие в метаданных упоминания настольного графического редактора при отсутствии следов программы захвата экрана мобильного устройства противоречило заявленному происхождению файла. Графический анализ выявил неоднородность шумовых характеристик в области, содержащей сумму перевода: шумовой паттерн этой области статистически отличался от окружающего фона, что характерно для вставки фрагмента из другого изображения. Анализ шрифтов показал несоответствие толщины штрихов цифр в сумме перевода остальному тексту интерфейса, а также нарушение выравнивания символов по базовой линии. Геометрия строки с суммой не соответствовала эталонному виду приложения, полученному от банка.

Вывод. Совокупность признаков — следы графического редактора в метаданных, шумовая неоднородность в области суммы, несоответствие шрифтов и геометрии — позволила эксперту сделать категорический вывод о том, что представленный скриншот подвергался редактированию и не отражает фактическое состояние банковского приложения на момент, указанный истцом. Заключение экспертизы скриншотов было принято судом, в удовлетворении требований истца в соответствующей части отказано.

Кейс 2. Установление подлинности скриншота переписки в мессенджере

Обстоятельства. В рамках спора о защите деловой репутации истец представил скриншоты переписки в мессенджере, содержащей, по его утверждению, оскорбительные высказывания со стороны представителя ответчика. Ответчик оспорил подлинность скриншотов, заявив, что переписка сфальсифицирована. По ходатайству ответчика была назначена экспертиза скриншотов.

Исследование. Представленные файлы имели формат JPEG и, как было установлено, прошли через передачу в другом мессенджере, что привело к удалению исходных EXIF-данных. C2PA-манифест отсутствовал. Однако при графическом анализе следов пересохранения и монтажа выявлено не было: распределение артефактов сжатия было равномерным, шумовые характеристики однородными, шрифты и геометрия интерфейса соответствовали эталонному виду приложения. Экспертом был сделан запрос на предоставление устройства истца для сопоставления скриншотов с фактическим содержимым переписки. Истец предоставил смартфон, при осмотре которого эксперт обнаружил переписку, по содержанию и временным меткам совпадающую со скриншотами. Сообщения, отображённые на скриншотах, присутствовали в устройстве в том же объёме и последовательности. Установить, что скриншоты были сделаны именно с этого устройства, не удалось из-за утраты метаданных, однако совпадение содержимого и отсутствие признаков монтажа позволили сделать вывод о высокой вероятности подлинности снимков.

Вывод. Экспертиза скриншотов завершилась выводом о том, что представленные изображения не содержат признаков редактирования и соответствуют переписке, обнаруженной на устройстве истца. Вывод был сформулирован в вероятностной форме ввиду невозможности проверки метаданных, однако в совокупности с осмотром устройства он был признан судом достаточным для отклонения доводов ответчика о фальсификации.

Кейс 3. Выявление copy-move при подделке скриншота страницы интернет-магазина

Обстоятельства. Потребитель обратился в суд с требованием к интернет-магазину о взыскании убытков, вызванных, по его утверждению, недостоверной информацией о товаре. В обоснование он представил скриншот страницы товара, на которой цена была указана в меньшем размере, чем фактически действовавшая на момент заказа. Магазин оспорил скриншот, указав, что цена на странице никогда не соответствовала представленной.

Исследование. Скриншот в формате PNG содержал EXIF-данные с указанием программы захвата экрана браузера, что соответствовало заявленному способу получения изображения. Однако при анализе методом copy-move было обнаружено, что фрагмент изображения, содержащий цифры цены, имеет высокую корреляцию с другим фрагментом того же скриншота — областью, содержащей цену другого товара в блоке «Похожие товары». Шумовой паттерн этих двух областей был идентичен, что указывает на копирование фрагмента с последующей вставкой. Кроме того, геометрия элемента с ценой не соответствовала эталонному виду страницы: отступы и выравнивание отличались от тех, что наблюдались на контрольном снимке, сделанном экспертом с той же страницы в тот же период времени.

Вывод. Экспертиза скриншотов установила, что цена на представленном скриншоте была сформирована путём копирования фрагмента из другого элемента страницы. Вывод эксперта послужил основанием для отказа в удовлетворении требований потребителя и для рассмотрения вопроса о привлечении его к ответственности за представление заведомо ложных доказательств.

Кейс 4. Проверка скриншота публикации в социальной сети по C2PA

Обстоятельства. В деле о защите чести и достоинства истец представил скриншот публикации в социальной сети, содержащей, по его утверждению, порочащие сведения. Ответчик — администратор сообщества — заявил, что публикация была сфабрикована путём редактирования скриншота. Спорный скриншот был представлен в формате PNG и, как утверждал истец, получен на его смартфоне.

Исследование. При проверке метаданных было установлено, что файл содержит C2PA-манифест, указывающий на создание с использованием инструмента генерации изображений на основе искусственного интеллекта. Подпись манифеста была валидной, что исключало возможность того, что манифест был добавлен после редактирования: он был сформирован в момент создания файла. Поле Software в EXIF отсутствовало, что соответствовало удалению метаданных генератором. Графический анализ выявил несоответствия в отображении иконок интерфейса социальной сети: некоторые элементы имели нетипичные пропорции и сглаживание, характерное для синтезированных изображений, а не для рендеринга браузера или приложения. Сопоставление с эталонным видом интерфейса подтвердило несоответствие.

Вывод. Совокупность данных C2PA, указывающих на генерацию изображения, и графических признаков синтетического происхождения позволила эксперту сделать категорический вывод о том, что представленный скриншот не является снимком реальной публикации, а сгенерирован искусственно. Экспертиза скриншотов сыграла решающую роль в отклонении доказательства.

Кейс 5. Установление невиновности на основании анализа метаданных скриншота

Обстоятельства. Работник был обвинён работодателем в разглашении конфиденциальной информации, что подтверждалось, по утверждению работодателя, скриншотом переписки работника с третьим лицом, сделанным с корпоративного компьютера. Работник отрицал факт переписки, утверждая, что скриншот сфабрикован. В рамках трудового спора была проведена экспертиза скриншотов.

Исследование. Представленный скриншот содержал EXIF-данные с датой и временем, которые совпадали с рабочим временем, и наименованием программы захвата экрана, установленной на корпоративном компьютере. Однако при исследовании метаданных XMP была обнаружена история редактирования, указывающая на использование программы для работы с изображениями, не входившей в перечень корпоративного программного обеспечения. Графический анализ выявил неоднородность в области, содержащей текст сообщения: края символов имели признаки повторного сжатия, отличные от окружающего текста, что свидетельствует о вставке или замене фрагмента. Шрифт в области сообщения не соответствовал шрифту, используемому в корпоративном мессенджере, что было установлено путём сравнения с контрольным скриншотом, сделанным экспертом.

Вывод. Экспертиза скриншотов установила, что представленный работодателем снимок содержит признаки редактирования и не может считаться достоверным доказательством переписки. Дисциплинарное взыскание было отменено, работник восстановлен в правах.

Кейс 6. Анализ скриншота электронной почты при споре о направлении уведомления

Обстоятельства. В деле о взыскании задолженности истец утверждал, что направил ответчику уведомление о расторжении договора по электронной почте, и представил скриншот отправленного письма. Ответчик заявил, что письмо не получал, а скриншот подделан. Назначена экспертиза скриншотов.

Исследование. Скриншот был представлен в формате JPEG, метаданные EXIF отсутствовали — файл прошёл через мессенджер. Графический анализ выявил, что дата и время отправки, отображаемые в интерфейсе почтового клиента, имеют шрифтовые отличия от остального текста: символы в этой области имели иную толщину и не совпадали по высоте с аналогичными символами в других частях изображения. Анализ шумовых остатков показал локальную неоднородность в области даты. Кроме того, сопоставление с эталонным видом почтового клиента выявило, что формат отображения даты не соответствует настройкам локали, указанным в других элементах интерфейса. Эксперт запросил у истца доступ к почтовому ящику для проверки наличия отправленного письма; истец не смог предоставить доступ, сославшись на утрату пароля.

Вывод. Совокупность графических признаков монтажа при отсутствии возможности проверки исходных данных позволила эксперту сделать вывод о том, что скриншот содержит признаки редактирования области даты и не может быть признан достоверным доказательством направления уведомления. Суд критически оценил представленный скриншот и отказал в удовлетворении требований в соответствующей части.

Кейс 7. Выявление splice-вставки в скриншоте страницы государственного органа

Обстоятельства. Гражданин обратился в суд с заявлением об оспаривании решения государственного органа, ссылаясь на скриншот страницы официального сайта, содержащей, по его утверждению, иную редакцию нормативного акта, нежели та, что была применена. Представитель органа заявил, что скриншот сфальсифицирован.

Исследование. Скриншот в формате PNG содержал EXIF-данные программы захвата экрана браузера. При анализе следов сжатия было обнаружено, что область, содержащая текст оспариваемого положения, имеет параметры компрессии, отличные от остального изображения: уровень блочности в этой области был ниже, что указывает на вставку фрагмента из источника с иными параметрами сохранения (splice). Шумовой профиль области также отличался от окружающего. Геометрический анализ выявил нарушение выравнивания строк в области вставки относительно соседних абзацев. Эксперт произвёл контрольный снимок той же страницы с того же браузера и установил, что фактическое содержимое страницы соответствует первоначальной редакции, а не той, что отображена на спорном скриншоте.

Вывод. Экспертиза скриншотов установила, что представленное изображение содержит вставленный фрагмент, не соответствующий фактическому содержимому страницы. Суд признал скриншот недостоверным доказательством.

Кейс 8. Проверка подлинности скриншота объявления на торговой площадке

Обстоятельства. Между продавцом и покупателем возник спор относительно характеристик товара. Покупатель представил скриншот страницы объявления, на которой была указана улучшенная характеристика, отсутствовавшая, по утверждению продавца, в оригинальном объявлении. Продавец заявил о подделке.

Исследование. Скриншот в формате PNG не содержал EXIF-данных, поскольку, по словам покупателя, был сделан программой, не сохраняющей метаданные. C2PA-манифест отсутствовал. Графический анализ выявил, что текст характеристики имеет незначительные, но устойчивые отличия в начертании от остального текста объявления: некоторые символы имели иную кривизну овальных элементов и не совпадали по толщине штрихов. Анализ интервалов показал нарушение кернинга в области характеристики. Сопоставление с кэшированной версией страницы, полученной от администрации торговой площадки, подтвердило, что в оригинальном объявлении характеристика имела иное значение. Кроме того, временные метки в кэше площадки указывали на то, что объявление не редактировалось продавцом после публикации.

Вывод. Несмотря на отсутствие метаданных, совокупность графических признаков и сопоставление с независимым источником (кэшем площадки) позволили эксперту сделать вывод о том, что скриншот содержит отредактированный фрагмент. Вывод был сформулирован в категорической форме на основании достаточности независимых признаков.

Кейс 9. Анализ серии скриншотов при подозрении на систематическую фальсификацию

Обстоятельства. В корпоративном споре работодатель представил серию скриншотов переписки с работником, подтверждающих, по его утверждению, систематическое нарушение работником должностных обязанностей. Работник заявил, что все скриншоты сфабрикованы. Назначена экспертиза скриншотов.

Исследование. Серия состояла из двенадцати файлов в формате PNG. При проверке метаданных было установлено, что все файлы содержат идентичные значения полей DateTimeOriginal с точностью до секунды, что невозможно при последовательном создании скриншотов вручную. Поле Software во всех файлах содержало наименование программы захвата экрана, однако поле Model (модель устройства) отсутствовало, хотя программа захвата, по данным разработчика, сохраняет это поле при работе на корпоративных компьютерах. Графический анализ выявил, что в нескольких файлах области с текстом сообщений имеют признаки copy-move: фрагменты текста дублируются с высокой корреляцией шумовых паттернов. Кроме того, во всех файлах временные метки в интерфейсе мессенджера имели одинаковый шаблон, не соответствующий фактическому времени, прошедшему между сообщениями.

Вывод. Совокупность признаков — идентичные временные метки создания файлов, отсутствие ожидаемых метаданных устройства, copy-move в текстовых областях, несоответствие временных шаблонов — позволила эксперту сделать вывод о том, что все двенадцать скриншотов были созданы искусственно, вероятно, путём редактирования ограниченного числа исходных изображений. Работодателю было отказано в использовании этих доказательств.

Кейс 10. Экспертиза скриншота, представленного в качестве доказательства отсутствия задолженности

Обстоятельства. В деле о взыскании задолженности по договору оказания услуг ответчик представил скриншот личного кабинета банковского приложения, подтверждающий, по его утверждению, полное погашение задолженности. Истец заявил, что скриншот подделан, поскольку денежные средства на его счёт не поступали. Назначена экспертиза скриншотов.

Исследование. Представленный файл в формате JPEG содержал EXIF-данные с указанием модели смартфона и программы захвата экрана. C2PA-манифест отсутствовал, что ожидаемо для банковского приложения. При графическом анализе следов монтажа в целом выявлено не было: распределение артефактов сжатия равномерное, шумовые характеристики однородные, шрифты и геометрия соответствуют эталонному виду приложения. Однако при сопоставлении с выпиской по счёту истца, полученной от банка, было установлено, что операция, отображённая на скриншоте, в выписке отсутствует. Эксперт запросил у ответчика устройство для проверки фактического содержимого приложения; ответчик не смог предоставить устройство, сославшись на его утрату. Дальнейший анализ метаданных выявил, что поле DateTimeOriginal содержит дату, которая предшествует дате, указанной в самом скриншоте как дата операции, на несколько дней, что невозможно при создании скриншота после совершения операции.

Вывод. Несмотря на отсутствие графических признаков монтажа, несоответствие метаданных (дата создания файла предшествует дате операции) и расхождение с независимыми данными банка позволили эксперту сделать вывод о том, что скриншот не отражает фактическое состояние банковского приложения и, вероятно, был сформирован с использованием иного изображения или программного средства. Вывод был сформулирован в вероятностной форме, но в совокупности с банковской выпиской послужил основанием для отклонения доказательства.

Заключительные положения

Экспертиза скриншотов представляет собой динамично развивающееся направление судебной экспертизы, востребованность которого определяется повсеместным использованием снимков экрана в качестве доказательств. Специфика объекта — синтетическая природа изображения, утрата метаданных при передаче через мессенджеры и платформы, доступность инструментов редактирования — требует от эксперта комплексного подхода, сочетающего анализ метаданных (EXIF, XMP, C2PA) с графическими методами выявления следов монтажа и, по возможности, сопоставлением с исходными данными. Ни один из признаков не является достаточным сам по себе; достоверный вывод достигается лишь при перекрёстной проверке независимых индикаторов.

Союз «Федерация судебных экспертов» приглашает к сотрудничеству всех, кто нуждается в производстве экспертизы скриншотов по поручению суда, органов следствия или в досудебном порядке. Наши специалисты обладают необходимой квалификацией для исследования цифровых изображений, владеют современными методами анализа метаданных и графических артефактов, а заключения оформляются в соответствии с требованиями процессуального законодательства и могут быть защищены в судебном заседании. Экспертиза скриншотов в рамках нашего Союза выполняется с пониманием того, что за каждым снимком экрана стоит спор о факте, и от точности вывода зависит справедливость судебного решения.