Цифровые доказательства в арбитражном суде

Почта и мессенджеры, посты, лайки и фото в соцсетях, адреса в навигаторе и запросы в поисковиках – наши гаджеты знают о нас все больше. Похожая ситуация и в бизнесе. Даже те компании, которые на первый взгляд сложно причислить к сфере IT, активно внедряют системы управления технологическими процессами, аналитику больших данных и машинное обучение. Или хотя бы используют электронный документооборот или облачные сервисы для постановки и контроля задач. Про корпоративную почту или сервисы видеоконференций и говорить не стоит – давно стали обязательным атрибутом работы. Тем более, если компания сама игрок на рынке информационных технологий. Ее «продукт» и все процессы по созданию и поддержке – это уже практически бездонная кладезь информации.

Все это – цифровая информация. Она возникает и изменяется, отражая наши действия не только в цифровом пространстве, но уже и в физическом мире. Это наши цифровые следы. И чем их больше создается и накапливается, тем важнее и значимее они становятся. И вот уже переписка в мессенджере, страница сайта или код программы – не просто следы, а веские аргументы в споре. В том числе, и в судебном. Сегодня цифровые следы уже активно используются юристами в качестве доказательств в самых разных ситуациях:

• в спорах о правах на объекты интеллектуальной собственности;

• при возникновении претензий к качеству работ и услуг, причем не только в IT-сфере;

• при проведении внутренних аудитов и расследований случаев злоупотреблений внутри компании (так называемый корпоративный фрод);

• при оспаривании итогов конкурсов и закупок, например, в антимонопольных делах;

• при оспаривании фиктивных банкротств и розыске активов;

• при проведении M&A сделок и инвестировании.

Этот список далеко не окончен, его уже продолжают криптовалюты, дроны, роботы, искусственный интеллект и так далее.

При этом с цифровыми следами есть как минимум одна сложность – это сущности из мира IT. Это действительно отдельный мир, со своим особым набором знаний и компетенций, взглядом на вещи и даже языком. А вот обоснование позиции, судебные споры, представление доказательств – это мир юристов. Как же перевести важные категории, понятия и слова с языка одного мира на язык другого, не потеряв при этом смысл сказанного, точность и полноту смысла? Как разобраться во всех технологических тонкостях и выиграть дело?

Для решения этой задачи как нельзя лучше подходит дисциплина форензика или же компьютерная криминалистика. Да, криминалистика все чаще выходит за пределы уголовного процесса – ведь запрос на получение четкой картины события и аргументированных доказательств, безусловно, существует и в рамках арбитражных процессов. Сегодня форензика помогает юристам побеждать, используя доказательства современного мира – цифровые доказательства. И эта книга расскажет о них и об их возрастающей роли в арбитражных спорах 21 века.

Книга и ее структура

Эта книга – основанный на анализе практики команды DFСenter1 авторский взгляд на то, как зарождалась и успешно развивается возможно новая «подотрасль» компьютерной криминалистики – арбитражная форензика. Именно этот термин мы будем использовать наряду с терминами «компьютерная криминалистика» и «форензика», поскольку в этой книге речь пойдет о применении компьютерной криминалистики именно в рамках арбитражных процессов. В связи с чем методы и применяемые в работе экспертов практики также могут отличаться от применяемых в классической «уголовной» форензике.

Чем эта книга точно НЕ является, так это учебником для юридических ВУЗов или научной работой. Мы сознательно постарались уйти от излишнего теоретизирования и академизма в изложении. Наш приоритет – рассказать вам, как выглядит работа с цифровыми доказательствами с точки зрения практиков. Сделать это понятным языком, не для «технарей». Но сохранив при этом и прикладное значение, и изначальный смысл. Надеемся, что у нас это получилось.

Чтобы наилучшим образом разобраться в теме и принести пользу именно в вашей юридической практике, мы поэтапно расскажем о следующих «составных элементах» работы с цифровыми доказательствами:

Глава 1 – краткий экскурс в историю вопроса. Почему и как криминалистика, точнее ее раздел компьютерная криминалистика, стала помощницей юристов и в арбитражном суде. Исторический путь, иностранный опыт и почему именно «форензика».

Глава 2 посвящена главному, с чем работает форензика – цифровым следам. Что это, почему возникают, где и как их искать, собирать и анализировать. К каким результатам такой анализ может привести. И как, собственно, эти следы становятся цифровыми доказательствами.

Глава 3 о людях, обладающих «специальными знаниями». Расскажем про специалистов и экспертов, об их отличиях в компетенциях и статусе. Как с точки зрения процессуального законодательства, так и их «практического применения». А еще о том, на что обратить внимание при выборе эксперта.

В Главе 4 поговорим о собственно исследованиях и экспертизах, в этой главе два больших раздела. Про внесудебные исследования, где есть место не только чистой компьютерной криминалистике, но и аналитике данных, теории игр и даже «большой» математике. Далее – про судебные экспертизы. Порассуждаем о стратегии в постановке вопросов, рецензировании и выявлении неточностей в заключениях оппонентов.

Завершим книгу мы обсуждением того, куда может пойти арбитражная форензика на горизонте 5—10 лет – что нового в нее привнесет развитие технологий.

Благодарности

Эта книга была бы не больше, чем теоретическое эссе, если бы не основывалась полностью на анализе реальных кейсов, выполненных отличными экспертами – технической командой DFCenter для лучших юристов – наших клиентов. Мы очень рады, что работаем вместе. И всегда готовы к продолжению сотрудничества, выстраиванию новых партнерских отношений и началу новых проектов.

Также эта книга никогда бы не была написана, а компания DFCenter, возможно, и не возникла, если бы почти 20 лет назад автор не познакомился со своим будущим научным руководителем, проводником во многих теоретических и прикладных вопросах компьютерной криминалистики и IT-права, и просто учителем – Алексеем Николаевичем Яковлевым, кандидатом юридических наук, доцентом, автором множества научных работ по темам компьютерной криминалистики и СКТЭ. Проведшим несколько сотен компьютерно-технических экспертиз и подготовившим несколько сотен экспертов, работающих по всей России. Одним из отцов-основателей этого направления российской науки.

По устоявшемуся мнению ученых-юристов, криминалистика – это, прежде всего, наука о закономерностях механизма преступления, возникновения информации о преступлении и его участниках, закономерностях собирания, исследования, оценки и использования доказательств и основанных на познании этих закономерностей специальных методах и средствах судебного исследования и предотвращения преступлений2. Отсюда и ее главная цель – обеспечение и сопровождение расследования преступлений. Следуя именно этой цели криминалистика долгие годы помогала Шерлоку Холмсу, Глебу Жеглову и многим их более реальным коллегам ловить преступников и раскручивать темные дела.

Однако сложные и запутанные ситуации встречаются ведь не только в уголовных делах, но и в арбитражных спорах. В 21-м веке, с его постоянно растущим количеством информации и технологий, таких ситуаций становится все больше. В некоторых из них разобраться без «специальных знаний» практически невозможно. Вот так, под влиянием запроса практики, криминалистика постепенно адаптирует некоторые свои направления и переходит на более-менее мирные рельсы арбитражных процессов. Конечно, не вся криминалистика, но отдельные ее направления – вполне успешно. Например, почерковедение и исследование печатей. Или компьютерная криминалистика.

Компьютерная криминалистика – прикладная наука о раскрытии преступлений, связанных с компьютерной информацией, об исследовании цифровых доказательств и методах поиска, получения и закрепления таких доказательств.

Возникновение и развитие

Компьютерная криминалистика появилась в середине 60-х годов 20 века в США. Возникали новые технологические возможности – и их стали использовать не только в законных целях. Произошли первые «компьютерные», как бы сегодня их назвали, преступления. В ответ начали развиваться методы и практики их расследования.

До СССР это новшество докатилось чуть позже – в конце 70-х-начале 80-х годов. В 1979 году в стране еще не появились персональные компьютеры, но мошенники уже попытались украсть 80 000 рублей с помощью поддельных документов и перфокарт на одном крупном предприятии в Прибалтике.

В 1983 году не оцененный по достоинству молодой программист остановил на три дня производство Жигулей на заводе на АВТОВАЗ. Сделал он это при помощи первого в Советском Союзе компьютерного вируса, войдя в историю как «первый хакер в СССР». Примерно в это время началось и развитие отечественной компьютерной криминалистики.

Период с середины 90-х до конца 2000-х годов в России ознаменовался созданием теоретической базы дисциплин «компьютерная криминалистика» и «компьютерно-техническая экспертиза». Такие российские ученые как Вехов В. Б., Мещеряков В. А., Нехорошев А. Б., Россинская Е. Р., Усов А. И., Яковлев А. Н. и другие, основываясь как на зарубежных источниках (отечественных прецедентов было относительно немного), так и на собственном практическом опыте, заложили основы этих научных дисциплин.

В начале 2000-х в России начали появляться частные компании, применяющие знания в компьютерной области для обеспечения информационной безопасности – себя или своих клиентов. Кто-то создавал продукты на основе этих знаний, кто-то оказывал услуги.

К концу 2010-х стало отчетливо видно, что знания и практики компьютерной криминалистики прекрасно подходят и для решения задач, далеких от ловли хакеров. Например, в спорах о правах на софт или о некачественно выполненных IT-услугах, при проблемных увольнениях разработчиков и при разрешении споров между акционерами и нанятым топ-менеджментом. Сегодня все эти дела объединяет одно – важную роль в них играет цифровая информация, а в суд в качестве доказательств все чаще попадают электронная переписка, страницы сайта, код программы и тому подобное. И чтобы их найти, собрать и выиграть спор – юристам все чаще нужна именно компьютерная криминалистика. Или форензика.

Новое имя

В практике зарубежных специалистов популярны названия «computer forensics» или «digital forensics». Собственно «forensic science» – это и есть наука о сборе и исследовании доказательств в широком смысле. В русском юридическом языке это ничто иное, как «криминалистическая наука» или «криминалистика». А «medical forensics», «fire forensics» или «computer forensics» – все это, соответственно, названия конкретных отраслей криминалистики.

В отечественной практике «computer forensics» постепенно русифицировалось и утратило первое слово в названии. А в середине 2000-х Федотов Н. Н. в своей одноименной книге одним из первых начал использовать слово «форензика» как имя собственное. Постепенно оно стало альтернативным названием для компьютерной криминалистики. Именно так сегодня этот термин зачастую и используется в российской практике.

Форензика – это компьютерная криминалистика.

Но не все с этим согласны. Ведь параллельно с форензикой есть еще и термин «forensic». Как они связаны и в чем отличия?

Форензика, как мы уже знаем, – это компьютерная криминалистика. Форензикой занимаются IT-криминалисты и эксперты компьютерно-технической экспертизы. То есть, по сути, узкоспециализированые айтишники. Кто-то с бэкграундом в сфере информационной безопасности, разработке, анализе данных, математике и так далее. Другие – бывшие сотрудники правоохранительных органов, поводили экспертизы в ведомственных лабораториях, например ЭКЦ МВД РФ, в том числе по крупным уголовным делам. Скорее всего получали дополнительное образование или проходили переквалификацию в учебных центрах.

Forensic же – это расследование фактов корпоративного мошенничества и коррупции в компании, кражи конфиденциальной информации и инсайдерских действий. Иногда сюда же включают даже «корпоративную разведку». Такой forensic, по одной из версий, еще в 70-80-е годы 20 века привнесла в бизнес-практику американская компания Kroll3. Компания эта занимается расследованиями корпоративных и финансовых мошенничеств, и для этих задач ей нужен был подходящий инструмент.

Специалисты в forensic изучают финансовые документы, проводят анализ больших массивов данных, проверки контрагентов и Due Diligence, проводят «интервью» с сотрудниками и менеджментом компании, профайлинг. Этим занимаются бухгалтеры и аудиторы, юристы, аналитики и специалисты по Big Data и IT. То есть forensic – это все-таки другое. Но именно так этот термин понимают за рубежом или в крупных компаниях, работающих на международном рынке.

Такие услуги своим клиентам оказывают, например, международные аудиторские компании из Большой четверки – PWC, Deloitte, EY и KPMG. Либо специализированные, как сама Kroll.

Перспективы

В 2017 году начался достаточно знаковый, как тогда казалось, для российской IT-индустрии вообще и для BigData в частности судебный спор4. Известная социальная сеть (которая уже в процессе стала частью Mail.ru Group, а потом уже сам Mail.ru переименовался в «VK») обратилась в Арбитражный суд города Москвы с иском к компании Double Data.

Как написано на сайте этой компании, с 2012 года она «специализируется на создании программных продуктов, в основе которых лежат собственные методы и алгоритмы для поиска, хранения и интеллектуального анализа больших объемов данных (Big Data и Data Mining). Решения компании направлены на снижение просроченной задолженности и выявление мошенничества в розничном кредитовании за счет использования новейших технологий и встраивания их в существующие банковские бизнес-процессы».

Однако, по мнению VK, суть инноваций сводилась к «извлечению и последующему использованию информационных элементов из Базы данных пользователей Социальной сети «ВКонтакте», что является «нарушением исключительных прав ООО «В Контакте» как изготовителя Базы данных». Говоря проще речь о скрапинге5 и последующей переупаковке и перепродаже данных. И суду предстояло разобраться был ли этот самый скрапинг, а если был, то насколько это законно.

Дело прошло две судебные инстанции с переменным успехом для каждой из сторон и оказалось в кассационной – в Суде по интеллектуальным правам. И все глубоко изучив СИП высказал крайне важное мнение, которое могло серьезно отразиться не только на исходе конкретного дела, но и на отрасли в целом. Причем отрасли экспертиз. Суд по интеллектуальным правам указал6, что: «При возникновении у судов сомнений в технических принципах работы программы… при квалификации действий… в качестве нарушения исключительного права… суды, рассматривающие дело по существу, могли предложить… вопрос о назначении экспертизы». А также что «суду следовало предложить сторонам представить надлежащие доказательства либо самостоятельно… установить, какие действия алгоритма работы программного обеспечения… свидетельствуют о нарушении ответчиком исключительного права истца, и отразить соответствующие выводы в судебном акте».

Своим постановлением СИП определил по сути, что теперь ни один связанный с IT-технологиями сложный спор не может решаться без проведения компьютерно-технической экспертизы или хотя бы без привлечения IT-специалиста. Ведь технологии усложняются, а значит и споры о них становятся все более запутанными.

И действительно, хотя по прошествии времени кратного роста и не произошло, но положительная динамика налицо. Во-первых, количество арбитражных дел (а эта книга только о них), где цифровые доказательства играют важную роль, растет. В 2020 году количество связанных с IT судебных дел увеличилось примерно на 20% к 2019 году, и тенденция сохраняется. Так, увеличивается количество споров между компаниями о правомерности использования программ для ЭВМ, о качестве услуг, связанных с разработкой или использованием таких программ – за 2023 – первую половину 2024 года наблюдается рост примерно на 30%7. Все чаще до суда доходят и споры между бывшими работодателями и работниками о том, кому принадлежат права на созданный софт.

Во-вторых, сама процедура назначения в суде компьютерно-технической экспертизы перестала быть чем-то уникальным и редким. В подавляющем большинстве дел, в которых участвовала наша компания либо юристы, которых мы консультировали, суды удовлетворяют соответствующие ходатайства сторон и выбирают предложенных ими экспертов.

2022 год внес существенные коррективы. Значительное количество международных компаний по собственной инициативе разорвали договорные отношения с российскими контрагентами и покинули рынок. Это уже приводит к судебным спорам, в том числе и с IT элементом – не всегда и не все требования закона, да и бизнес этики были соблюдены при этом спешном исходе. И в таких спорах изучение цифровых доказательств играет не последнюю роль.

Одновременно с этим все большее значение приобретает технологический суверенитет. В совершенно разных сферах российской экономики и производства активнейшим образом внедряются отечественные IT-решения, развиваются технологические компании, создаются целые новые отрасли. И хотя это иногда и приводит к противостоянию между конкурентами, но объективное изучение всех обстоятельств дела вполне способно привести к оптимальному решению таких споров. И в этом тоже помогает независимый экспертный взгляд на предмет спора – технологии и IT-разработки.

В связи с этим нам кажется, что перспективы у арбитражной форензики как инструмента доказывания в арбитражном суде весьма положительные. Поэтому предлагаем вам «обзорную экскурсию» по предмету.

Что такое цифровой след

Итак, наши взаимодействия с современным миром – и отправка сообщения в мессенджере, и подключение к wi-fi в кафе, и изменение в корпоративной базе данных – оставляют следы. Каждый раз. Всегда. Даже отсутствие следов – само по себе уже след того, что что-то не так. Ведь это одно из врожденных свойств информационных технологий – любое действие с системой всегда приводит к изменению ее состояния. И любое изменение состояния системы всегда записывается, логируется.

Цифровой след – результат воздействия субъекта на цифровую среду, выраженный в любом изменении информации в такой среде.

Такие цифровые следы можно вполне успешно находить. Например, изучая электронные документы, цифровые фото- и видеоматериалы, электронную переписку, программный код и так далее.

Но возникает резонный вопрос – а можно ли этим цифровым следам доверять и насколько? Говорят, можно вручную поменять время на компьютере и все – дата создания документа будет «нужной». Или подправить что-то на фотографии с помощью фотошопа. Чуть посложнее, но вполне по силам рядовому пользователю. Получается, толку от этих цифровых следов мало – как можно на них опираться, тем более в юридическом споре, если их так просто подделать. Или все-таки тут есть нюансы?

Есть. Все, что связано с IT – сложное и комплексное. Это система с многочисленными связями и зависимостями. Внутри такой системы практически никакое изменение отдельного элемента не проходит незамеченным, оно всегда где-то фиксируется или влияет на что-то еще. И с цифровыми следами так же.

События внутри IT-системы сменяют друг друга, подчиняясь закону причинно-следственных связей, и порождают таймлайн – линию времени, на которой располагаются отдельные события. Если одно из таких событий странным образом выбивается и логики этой последовательности, это значит, что в нее кто-то умышленно вмешивался. Увидеть это – задача для эксперта.

Таймлайн – расположенные в хронологической последовательности события.

Откуда эксперт возьмет все эти данные, события, последовательности? Из самой IT-системы. На наших устройствах немало программ, ведущих логи. Это списки, куда записываются все «ходы», как в шахматах.

Пример из практики8. Генеральный директор общества заключил ряд убыточных контрактов с подозрительными контрагентами. После увольнения в отношении него инициировали корпоративное расследование. Выяснилось, что вся корпоративная почта директора заблаговременно стерта, а рабочий ноутбук случайно залит кофе.

Комментарий эксперта. Любые действия в цифровом мире оставляют следы, которые можно найти, интерпретировать и представить суду в определенной процессуальной форме. К примеру, удаленные с компьютера файлы можно восстановить с помощью специальных криминалистических программ, подчищенную электронную переписку воспроизвести из резервных копий на корпоративном сервере, а действия пользователя в бухгалтерской системе выявить с точностью до минуты благодаря их аналитической обработке.

Но бывают и случаи, когда следов действительно почти не осталось. Как подтвердить или опровергнуть факт отправки электронного письма, если вся почта находилась на общедоступном почтовом сервере типа mail.ru и на нее заходили только через веб-форму? В таком случае сложно утверждать, было письмо или не было – после удаления из «Корзины» его уже не восстановить. А если и временные файлы были заботливо уничтожены программой-клинером, то следов не осталось вовсе.

Означает ли это, что поиски зашли в тупик и до истины не докопаться или все-таки есть шанс найти следы спорного письма?

Пример из практики. Одним из доказательств в споре заказчика и исполнителя по договору было сообщение в электронной почте. Истец утверждал, что письмо с документами было, и даже представил суду протокол нотариального осмотра. Ответчик – что письма не было, а что там заверил нотариус ему не известно.

Комментарий эксперта. Шанс есть. Дело в том, что сложная информационная система не ограничивается конкретным ноутбуком. В примере с почтой система гораздо больше – настолько больше, что в нее включена инфраструктура этого почтового сервера. Если подтверждение получения или удаления сообщения нельзя найти на локальном компьютере, его можно получить от провайдера интернет-услуг, от владельца почтового сервера и так далее. Тут поможет технически и юридически правильно составленный запрос, направленный по нужному адресу. Конечно, если почта не ваша или вашего доверителя, такой запрос может быть оставлен без ответа. Но это уже, все-таки, не про криминалистику.

Так что уничтожить или подделать цифровые следы, конечно, возможно. Как и любые другие следы. Но и выявить это вполне реально, обладая должными знаниями и опытом.

Основные правила

Цифровые следы – это, конечно, интересно. Но прикладная польза от них появляется только в том случае, когда они могут быть преобразованы в полновесные доказательства по делу. Чтобы это произошло, нужно как минимум знать несколько базовых правил обращения с цифровыми следами.

Во-первых, важно знать, как и где искать. Следы могут быть умышленно или неумышленно уничтожены, изменены, зашифрованы. Для успешного поиска пригодятся знания и навыки, а также специализированное оборудование и софт. И тогда ноутбук расскажет все о логинах, паролях и ключах шифрования своего владельца, о его транзакциях и переписке. Смартфон дополнит историей звонков, фотографиями и геолокацией. Фитнес-трекер или умные часы расскажут о пульсе во время важного звонка. И это только часть знаний наших электронных спутников.

Во-вторых, цифровые следы – крайне «хрупки» и часто недолговечны. Неумелые действия или упущенное время могут привести к их безвозвратной утрате. Поэтому крайне важно работать с цифровыми следами по актуальным методикам. Простой пример – важно знать, что «обычное» копирование файлов радикально отличается от криминалистического побитового копирования. Для примера – криминалистический блокиратор-копировщик (или как минимум специальный софт) доказательства сохранит, а простая процедура «Ctrl+C/Ctrl+V» может изменить и испортить ключевые доказательства безвозвратно.