Компьютерно-техническая экспертиза: доказательства

Компьютерно-техническая экспертиза в уголовном деле исследует телефоны, ноутбуки, серверы, флешки, жёсткие диски и облачные данные, чтобы извлечь информацию и установить её происхождение. Для обвинения это источник переписки, файлов, истории действий пользователя. Для защиты — объект проверки: как носитель изымался, не менялось ли содержимое до исследования, какими программами пользовался эксперт и действительно ли найденные данные связаны с обвиняемым.

Такие экспертизы назначают по делам о мошенничестве с использованием интернета, неправомерном доступе к компьютерной информации, создании вредоносных программ, обороте запрещённых веществ через мессенджеры, экономических преступлениях, где ключевую роль играет электронная переписка. Нередко именно данные с телефона становятся главным доказательством умысла.

Что именно исследует компьютерный эксперт

Эксперт работает с цифровыми следами. Он восстанавливает удалённые файлы, извлекает переписку, журналы событий, историю браузера, данные геолокации, сведения о подключённых устройствах. Отдельное направление — исследование программ: является ли файл вредоносным, какие функции он выполняет, кто и когда его запускал.

Важнее всего для защиты понимать разницу между фактом наличия данных и фактом действия конкретного человека. Эксперт может установить, что на устройстве есть сообщение, отправленное с определённой учётной записи. Но он не может по одному этому факту утверждать, кто физически сидел за клавиатурой. Если в выводах звучит «обвиняемый отправил», а не «с устройства отправлено», это повод для вопросов.

Объекты исследования

• мобильные телефоны и планшеты, включая заблокированные;
• компьютеры, ноутбуки, системные блоки и отдельные накопители;
• серверы и сетевое оборудование организаций;
• образы дисков и выгрузки из облачных сервисов;
• электронные документы и метаданные файлов.

Правила изъятия носителей и проведения экспертизы

Изъятие электронных носителей регулирует статья 164.1 УПК РФ. Она требует участия специалиста при изъятии и даёт законному владельцу право ходатайствовать о копировании информации на другие носители, чтобы не останавливать работу. По делам о ряде преступлений в сфере предпринимательской деятельности изъятие носителей ограничено и допускается только в установленных законом случаях. Нарушение этих правил защита использует для оспаривания допустимости всех производных доказательств.

Назначение и производство экспертизы подчиняются общим правилам статей 195–207 УПК РФ. Подозреваемый и обвиняемый вправе знакомиться с постановлением, заявлять отвод, предлагать вопросы и просить о проведении экспертизы в другом учреждении. Требования к заключению содержатся в статье 204 УПК РФ: в нём должны быть описаны объекты, методы, использованное оборудование и программное обеспечение.

Для компьютерных экспертиз особую роль играет цепочка хранения. Протокол изъятия должен описывать устройство так, чтобы его можно было однозначно опознать: модель, серийный номер, IMEI, состояние. Носитель упаковывается и опечатывается. При поступлении эксперту целостность упаковки фиксируется в заключении. Разрыв в этой цепочке ставит под сомнение, то ли устройство исследовалось и не изменялось ли его содержимое.

Постановление Пленума Верховного Суда РФ «О судебной экспертизе по уголовным делам» напоминает, что следователь не вправе подменять экспертизу собственным осмотром, если для изучения объекта нужны специальные знания. Это касается и протоколов осмотра телефонов, составленных оперативными сотрудниками без участия специалиста.

Данные не с устройства, а от операторов и сервисов

Часть цифровых доказательств попадает в дело не через экспертизу изъятой техники, а через запросы к операторам связи, банкам и интернет-сервисам. Информация о соединениях между абонентами по статье 186.1 УПК РФ, а также контроль переговоров по статье 186 УПК РФ получаются только по судебному решению. Если сведения добыты в ходе оперативно-розыскных мероприятий, защита проверяет, было ли разрешение суда там, где оно требуется, и как результаты переданы следователю. Эксперт, который исследует такие выгрузки, отвечает лишь за их техническую интерпретацию. Законность получения он не оценивает, и этот вопрос защита ставит отдельно.

Как защита проверяет цифровые доказательства

Проверка идёт от момента изъятия к выводам эксперта. Каждое звено цепочки оценивается отдельно.

1. Сопоставить протокол обыска или выемки с заключением эксперта: совпадают ли модели, серийные номера, количество носителей.
2. Выяснить, когда устройство включали после изъятия и кто это делал. Включение без специалиста и без фиксации меняет системные данные.
3. Проверить, снимался ли образ носителя и рассчитывалась ли контрольная сумма. Без этого нельзя доказать, что исследован неизменённый оригинал.
4. Установить, какое программное обеспечение использовал эксперт, есть ли у него лицензия и сертификаты.
5. Проанализировать, отвечают ли выводы на поставленные вопросы и не выходят ли за пределы технических знаний.
6. Заявить ходатайство о допросе эксперта, о привлечении специалиста защиты и о повторной экспертизе.

Если обвинение опирается на переписку, защита проверяет полноту выгрузки. Выборочные скриншоты без контекста беседы, без дат и идентификаторов участников дают искажённую картину. Ходатайство о полной выгрузке диалога часто меняет смысл отдельных сообщений.

Вопросы, которые защита предлагает эксперту

• имеются ли признаки изменения содержимого носителя после даты изъятия;
• осуществлялся ли удалённый доступ к устройству и с каких адресов;
• какие учётные записи были активны на устройстве в спорный период;
• создан ли файл на данном устройстве или скопирован с другого носителя;
• установлены ли программы, позволяющие управлять устройством без участия владельца.

Ответы на такие вопросы не всегда в пользу обвиняемого, поэтому их формулировку защитник согласует с подзащитным заранее, исходя из того, что тот знает о своём устройстве.

Сроки и технические параметры заключения

Компьютерные экспертизы занимают от нескольких недель до нескольких месяцев. Срок зависит от объёма данных, загрузки экспертного учреждения и необходимости обходить блокировку устройства. Всё это время носитель остаётся у следствия, а владелец лишён доступа к информации. Поэтому ходатайство о копировании данных, если речь о рабочих компьютерах организации, лучше заявлять сразу при изъятии.

Отдельно проверяются временные метки. Устройство может хранить время в разных часовых поясах, а системное время бывает сбито пользователем или сбоем. Ошибка на несколько часов способна разрушить версию обвинения о том, кто и когда совершил действие.

Материалы, которые понадобятся для анализа

Защитнику и привлечённому специалисту нужны документы, позволяющие проследить путь устройства от изъятия до заключения. Сам по себе текст экспертизы этого не показывает.

Процессуальные документы

• протокол обыска, выемки или личного досмотра, где изъято устройство;
• протокол осмотра носителя, если он проводился до экспертизы;
• постановление о назначении экспертизы и сопроводительное письмо в экспертное учреждение;
• заключение эксперта с приложениями: отчётами программ, таблицами, копиями файлов;
• протокол ознакомления с заключением.

Сведения от обвиняемого

• кто ещё пользовался устройством и учётными записями;
• были ли у телефона или компьютера проблемы с безопасностью, вирусы, чужие подключения;
• какие пароли и аккаунты были настроены, есть ли общий семейный или рабочий доступ;
• какие данные должны были сохраниться и подтверждают позицию защиты.

Сообщать следствию пароли от устройства подозреваемый не обязан. Решение о том, выдавать ли доступ, принимается вместе с защитником с учётом того, что на носителе может находиться и оправдывающая информация.

Где ошибаются следствие и защита

Распространённое нарушение со стороны следствия — осмотр телефона оперативником сразу после задержания, без специалиста, с фотографированием экрана. После этого устройство уходит эксперту уже в изменённом состоянии. Ещё одна проблема — заключения, где выводы основаны на отчёте программы без собственного анализа эксперта. Эксперт просто прикладывает выгрузку на сотни страниц и пишет, что «информация обнаружена».

Защита теряет позиции по другим причинам:

• не фиксирует в протоколе обыска замечания о том, что устройство не было упаковано и опечатано;
• не просит о присутствии при производстве экспертизы, хотя закон это допускает с разрешения следователя;
• не заявляет вопросы о возможности удалённого доступа и о других пользователях устройства;
• соглашается с выборочной выгрузкой переписки, не требуя полного диалога;
• ограничивается спором о толковании сообщений, не проверяя технические параметры.

Есть и риски для самого обвиняемого. Попытка удалить данные с изъятого или ещё не изъятого устройства после возбуждения дела может быть расценена как противодействие следствию и повлиять на выбор меры пресечения.

Когда нужна помощь защитника

Цифровые доказательства требуют быстрой реакции. Возражения против порядка изъятия нужно заносить в протокол сразу, иначе потом сложно доказать, что устройство не было опечатано или включалось. Поэтому присутствие адвоката при обыске и изъятии техники имеет практическое значение для всей дальнейшей защиты.

Следующая точка — назначение экспертизы. Защитник формулирует вопросы о целостности данных, о возможности удалённого доступа, о других пользователях. Если вопросы не включены, их можно поставить в ходатайстве о дополнительной экспертизе, но время уже будет потеряно.

Третья задача — судьба самой техники. Изъятый телефон или рабочий сервер могут месяцами лежать в хранилище следствия. Защитник готовит ходатайство о возврате устройства, если оно не признано вещественным доказательством или нужная информация уже скопирована, а при отказе обжалует его. Для организации это нередко вопрос продолжения работы, а для гражданина — доступа к личным данным и документам.

В рейтинге сайта собраны адвокаты Москвы, которые работают с делами, где обвинение основано на электронных доказательствах. Подбирать защитника стоит после консультации по конкретным материалам.

Для связи с редакцией пишите на э.почту: advokat@уголовные-адвокаты-москва.рф. Контакты адвокатов — участников рейтинга — на страницах не размещаются.