С.Д. Долгинов информационно-технологические следы в криминалистике

Долгинов С.Д., кандидат юридических наук, доцент кафедры уголовного процесса и криминалистики ФГБОУ ВО "Пермский государственный национальный исследовательский университет".

В условиях технического прогресса средствами совершения преступлений все чаще становятся различные цифровые электронные устройства. При этом, помимо традиционных материальных и идеальных следов, следы действий преступников остаются в памяти и электронных средств связи. Поэтому ряд современных исследователей предлагают в классификацию следов внести "виртуальные следы", которые содержат информацию в цифровых носителях <1>.

--------------------------------

<1> См.: Краснова Л.Б. Компьютерные объекты в уголовном процессе и криминалистике: Автореф. дис. ... канд. юрид. наук. Воронеж, 2005. С. 15 - 17; Поляков В.В. Особенности расследования неправомерного удаленного доступа к компьютерной информации: Автореф. дис. ... канд. юрид. наук. Омск, 2008. С. 13.

В криминалистической литературе можно видеть различные подходы ученых к пониманию и содержанию "виртуального следа". А.Б. Смушкин данный вид следа определяет как результат "совершения любых действий в информационном пространстве компьютерных и иных цифровых устройств, их сетей и систем" <1>. В.А. Мещеряков под виртуальными следами понимает "любое изменение состояния автоматизированной информационной системы, связанное с событием преступления и зафиксированное в виде компьютерной информации" <2>.

--------------------------------

<1> Смушкин А.Б. Виртуальные следы в криминалистике // Законность. 2012. N 8. С. 43.

<2> Мещеряков В.А. Преступления в сфере компьютерной информации: основы теории и практики расследования. Воронеж: Изд-во Воронеж. гос. ун-та, 2002. С. 94.

Однако не все авторы согласны с применением в криминалистике термина "виртуальный след", полагая, что последний в большей степени относится к физике, квантовой теории <1>.

--------------------------------

<1> Черкасов В.Н., Нехорошев А.Б. Кто живет в "киберпространстве"? // Управление защитой информации. 2003. Т. 7. N 4. С. 468.

Аргументируя различные мнения по данному вопросу, следует обратить внимание, что большинство ученых и практиков термин "виртуальный метод" понимают и применяют именно в отношении компьютерного, цифрового пространства <1>. Тем не менее остается еще много вопросов, связанных со следообразованием при совершении преступления в виртуально-цифровом пространстве. Например, как характеризовать форму и механизм такого следообразования, оставленного на месте совершения преступления; как быть с понятием следообразующего объекта, следовоспринимающего объекта, где в этом случае должен находиться следовой контакт и как он должен классифицироваться <2>?

--------------------------------

<1> Агибалов В.Ю. Виртуальные следы в криминалистике и уголовном процессе: Автореф. дис. ... канд. юрид. наук. Воронеж, 2010. С. 13; Шеметов А.К. О понятии виртуальных следов в криминалистике // Российский следователь. 2014. N 20. С. 53.

<2> Каминский М.К., Мочагин П.В. Виртуально-информационный процесс отражения следообразований как новое направление в криминалистике // Вестник криминалистики. 2013. N 3. С. 52, 54.

Заслуживающую внимания классификацию виртуальных следов предлагает А.Г. Волеводз, полагая, что одним из оснований классификации может являться непосредственный физический носитель "виртуального следа". При этом он выделяет: 1) следы на жестком диске (винчестере); 2) следы на магнитной ленте (стримере), оптическом диске (СД, DWD); 3) следы в оперативных запоминающих устройствах (ОЗУ) ЭВМ; 4) следы в ОЗУ периферийных устройств (лазерного принтера); 5) следы в ОЗУ компьютерных устройств связи и сетевых устройств; 6) следы в проводных, радио-оптических и других электромагнитных системах и сетях связи <1>.

--------------------------------

<1> Волеводз А.Г. Противодействие компьютерным преступлениям. М.: Юрлитинформ, 2002. С. 159 - 160.

Любые действия с компьютерными или иными программными устройствами (мобильные телефоны, L-Pad и др.) получают свое непосредственное отражение в их памяти. Наиболее показательны в этом плане следы в памяти сотового телефона как преступника, так и жертвы.

Информация, проходящая по каналам сотовой связи, - это тоже след. Но в данном случае как такового материального следа, осязаемого нами, нет, а мы имеем математическую модель следа - компьютерный синтез. Поэтому данный вид следа можно назвать электронным или информационно-технологическим.

Безусловно, информация, отражающаяся в электронных устройствах, имеет специфический характер, а поэтому предполагает особый характер и уровень специальных знаний <1> при ее осмотре и оценке. В связи с этим актуален вопрос, связанный с обнаружением, фиксацией, изъятием и исследованием информации, содержащейся в памяти таких устройств.

--------------------------------

<1> Пастухов П.С. Роль и значение специальных знаний в информационно-технологическом обеспечении уголовно-процессуального доказывания // Вестник Пермского университета. Юридические науки. 2014. N 1(23). С. 299 - 300.

В подобных случаях неотъемлемым следственным действием по уголовному делу является осмотр обнаруженного или изъятого средства сотовой связи, который, как правило, делится на несколько этапов <1>:

--------------------------------

<1> Правила осмотра излагаются по рекомендациям, изложенным в издании: Васюков В.Ф., Булыжкин А.В. Некоторые особенности осмотра средств сотовой связи при расследовании уголовных дел // Российский следователь. 2014. N 2. С. 2 - 4.

1) внешний осмотр. На стадии внешнего осмотра происходит непосредственное изучение и фиксация наружного строения и состояния аппарата, в рамках которого в протоколе указываются марка, модель, тип, форма аппарата, цвет корпуса, размер; наличие объективов тыльной и (или) лицевой фото-, видеокамеры (вспышки), фирменных наименований, логотипа, обозначений; количество и расположение функциональных, встроенных, сенсорных клавиш (джойстика); разъемов Mini (Micro) USB, зарядного устройства, стерео-наушников; наличие отверстий для динамика, микрофона, датчика расстояния, внешней освещенности. Отдельно указываются особые приметы наружного строения: повреждения - сколы, царапины, потертости, отсутствие должных элементов; наличие дополнительных атрибутов и технических оставляющих - чехла, шнурка, брелока, гарнитуры, полимерных наклеек, графических вставок, надписей, инкрустации драгоценными металлами и др. В ходе внешнего осмотра проводится детальная фотосъемка внешней, оборотной, боковых панелей мобильного телефона. В случае если осматриваемый телефон раскладного ("бабочка") или раздвижного типа ("слайдер"), то телефон фотографируется в первоначальном и раскладном (раздвижном) состоянии;

2) конструктивный осмотр. На данной стадии производится осмотр конструкции телефона по частям - задней крышки телефона и (или) аккумуляторной батареи (в определенных моделях аппаратов сотовой связи батарея встроена в корпус либо в заднюю крышку), флеш-карты, SIM-карты. При осмотре аккумуляторной батареи в протоколе следует указать ее идентификационный номер, тип, марку, модель, мощность, иную информацию, указанную на корпусе. Также в протоколе указываются цвет и родовой материал, из которого изготовлена батарея. При осмотре флеш-карты (MiniSD) необходимо обратить внимание на ее идентификационный номер, объем, цвет и родовой материал корпуса. SIM-карта, обнаруженная в телефоне, осматривается аналогичным образом. Как правило, на корпусе SIM-карты имеется логотип оператора сотовой связи, описание которого также обязательно в протоколе.

В ходе конструктивного осмотра проводится детальная фотосъемка внешней и оборотной стороны батареи, флеш-карты, SIM-карты, а также тыльной стороны корпуса мобильного телефона (без задней крышки) так, чтобы на снимке был виден IMEI-номер аппарата;

3) осмотр информационной среды. Настоящий этап осмотра телефона включает изучение, фиксацию сведений, которые содержатся в памяти мобильного телефона, флеш-карты, SIM-карты.

В случае если в ходе осмотра следователю удалось включить мобильный телефон и получен доступ к сведениям, которые в нем находятся, в протоколе в хронологическом порядке фиксируются все производимые в дальнейшем с аппаратом манипуляции. Поэтому важно подчеркнуть, что если к моменту осмотра телефон был включен, то конструктивный осмотр следует проводить только после изучения его информационной среды.

Осмотр информационной среды необходимо начать с указания в протоколе процедуры разблокировки клавиатуры телефона, перечисления графических и текстовых элементов, которые отобразились на его экране после разблокировки. Затем осуществляется проверка IMEI-номера мобильного телефона нажатием комбинации клавиш *#06# (15-значный номер должен отобразиться на экране телефона).

Если телефон не защищен паролем, то в протоколе осмотра последовательно указывается информационное содержимое телефона - список контактов, сообщений, наличие изображений, фотографий, видеороликов и т.д. При описании определенного контакта указываются его вид (входящий, исходящий, не отвеченный), время, длительность, данные абонента, с которым осуществлен контакт, а также его абонентский номер (описание сообщения исключает указание длительности, но включает текстовое (SMS) и (или) графическое содержимое (MMS)).

Описание графических изображений, фотографий состоит из следующих элементов: указание того, что или кто изображены, тип, размер, время создания файла (описание видеороликов включает, помимо указанного, их длительность).

Информация, непосредственно воспринимаемая следователем и отраженная в протоколе следственного действия, будет являться одним из средств установления обстоятельств, входящих в предмет доказывания <1>.

--------------------------------

<1> См.: Борисевич Г.Я. Документы как доказательства в российском уголовном процессе // Вестник Пермского университета. Юридические науки. 2012. N 1(15). С. 202 - 203.

В ходе осмотра информационной среды телефона проводится поэтапная детальная фотосъемка экрана мобильного телефона с информацией, представляющей значение для уголовного дела. Для визуальной фиксации большого объема сведений, содержащихся в информационной среде телефона, следует применять видеосъемку. При этом следователь в обязательном порядке комментирует все действия, которые направлены на получение той или иной информации с помощью манипуляций телефона.

В настоящее время информация, поступающая на средства связи подозреваемого или обвиняемого в совершении преступлений лица или исходящая из них, все чаще используется в ходе предварительного расследования уголовных дел. Правоохранительные органы обеспечены специальной высокотехнологичной криминалистической техникой, позволяющей извлекать полную информацию (включая удаленную из памяти названных мобильных устройств, а также электронных накопителей (карт памяти, SIM-карт и др.) участников уголовного процесса как в процессе проверки сообщений о преступлениях, так и в ходе их расследования).

К такой технике относятся: универсальное устройство извлечения судебной информации (UFED - Universal Forensic Extraction Device), мобильный криминалист и др. При этом данная криминалистическая техника позволяет работать практически с любой моделью мобильных устройств, в том числе с поврежденными устройствами, планшетными компьютерами на основе любой операционной системы, навигаторами.

Особенность использования данных устройств заключается в том, что извлечению и систематизации с построением структурированного отчета подлежат и удаленные данные; устройства позволяют войти в систему в обход паролей и логинов (либо распознавая их), работать с мобильными устройствами без аккумулятора либо отдельно с SIM-картой.

Например, при осмотре места происшествия по уголовным делам о неочевидных убийствах изымаются все мобильные устройства и SIM-карты, находящиеся при пострадавшем, для установления, в частности, его последних контактов, идентификации неопознанного трупа. Кроме того, мобильные устройства можно обнаружить в ходе осмотра не являющихся местом происшествия участков местности, жилища потерпевшего, иных помещений, где он находился перед смертью.

Изъятые в ходе следственного действия мобильные устройства, планшетные компьютеры, навигаторы и иные носители электронных следов упаковываются и опечатываются таким образом, чтобы обеспечить сохранность имеющейся в цифровой памяти информации. Для этого опечатываются все порты, входы и выходы электронного устройства, что удостоверяется подписями следователя, специалиста и понятых.

При обнаружении устройства необходимо помещать его в специальный чехол, поставляемый в комплекте с UFED, - "мешок Фарадея", который блокирует доступ к устройству.

Для исследования электронных следов используются специальные знания в форме получения заключения специалиста или проведения компьютерно-технической экспертизы, которую в зависимости от объекта исследования принято подразделять на компьютерно-техническую, программную и сетевую.

На разрешение эксперту ставятся, как правило, вопросы общего диагностического характера о наличии в устройстве (включая внешние карты памяти и SIM-карты) каких либо файлов (текстовых, графических, музыкальных, видео-, фотофайлов, SMS-сообщений и др.), и эксперт извлекает весь физический дамп памяти.

Если же следователя интересует какая-либо конкретная информация (к примеру, подозреваемый, свидетель либо потерпевший указывают на то, что развратные действия субъекта фотографировались, однако фотографии из телефона были удалены), то задаются соответствующие вопросы с указанием временного интервала удаления файлов.

В целях подтверждения получения искомой информации именно с данного мобильного с помощью UFED необходимо фиксировать всю процедуру получения информации с помощью видео- или фотосъемки, составлять фототаблицу, которую прилагать к заключению специалиста, эксперта или к протоколу осмотра, в ходе которого специалист применял указанный прибор.

Извлеченные на отдельный компьютер или флеш-карту данные анализируются с помощью специальной программы UFED Physical Analyzer, которая позволяет создать подробный структурированный отчет с интересующей следствие информацией.

Полученный с использованием UFED и распечатанный отчет об извлеченных данных приобщается к материалам уголовного дела в полном объеме. Электронное устройство и (или) иной носитель электронных следов на основании постановления следователя также приобщаются к материалам уголовного дела как вещественное доказательство, хранятся в опечатанном виде в условиях, исключающих возможность ознакомления с ними посторонних лиц и обеспечивающих их сохранность.

Извлеченная из мобильного устройства информация может:

- напрямую изобличать лицо в совершении преступления (видео, фото совершенного преступления, SMS-сообщение о совершенном преступлении) (например, уведомление заказчика об убийстве, переписка, в которой лицо угрожает убийством, совершает вымогательство, предложение посредничества во взяточничестве, развратные действия, преступления экстремистского характера и т.д.);

- косвенно указывать на линию поведения лица, возможную причастность его к совершенному преступлению (закладки на порносайтах, пометки в календаре, соответствующие экстремистским взглядам видео и фото, переписка, опровержение алиби и т.д.).

- способствовать установлению иных обстоятельств, имеющих значение для дела.