Теория информационно-компьютерного обеспечения криминалистической деятельности

Монография

Под редакцией 
доктора юридических наук, профессора, заслуженного деятеля науки РФ 
Е. Р. Россинской

ebooks@prospekt.org

Информация о книге

УДК 343.98:004

ББК 67.52:32.81

Т33

Авторы:
Россинская Е. Р., доктор юридических наук, профессор, заслуженный деятель науки РФ, почетный работник высшего профессионального образования РФ, академик РАЕН, заведующая кафедрой судебных экспертиз Московского государственного юридического университета имени О. Е. Кутафина (МГЮА);
Семикаленова А. И., кандидат юридических наук, доцент кафедры судебных экспертиз Московского государственного юридического университета имени О. Е. Кутафина (МГЮА);
Рядовский И. А., заместитель руководителя юридического департамента, руководитель отдела расследования компьютерных инцидентов АО «Лаборатория Касперского» (Россия);
Сааков Т. А., кандидат юридических наук, старший преподаватель кафедры судебно-экспертной и оперативно-разыскной деятельности Московской академии Следственного комитета РФ.

Рецензенты:
Волчецкая Т. С., доктор юридических наук, профессор, заслуженный работник высшей школы РФ, заведующая кафедрой уголовного процесса, криминалистики и правовой информатики Балтийского федерального университета имени Иммануила Канта;
Грибунов О. П., доктор юридических наук, профессор, проректор по научной работе Байкальского государственного университета.

Монография является результатом трехлетнего научного исследования. Работа посвящена инновационной криминалистической теории – информационно-компьютерного обеспечения криминалистической деятельности как теоретической основы расследования компьютерных преступлений. Представлены концептуальные принципы теории, ее дефиниции и система, включающая учения о способах компьютерных преступлений; о цифровых следах как источниках криминалистически значимой компьютерной информации; об информационно-компьютерных криминалистических моделях компьютерных преступлений; о криминалистическом исследовании компьютерных средств и систем как новом разделе криминалистической техники; об информационно-компьютерном криминалистическом обеспечении тактики следственных и судебных действий; об информационно-компьютерном криминалистическом обеспечении методик расследования компьютерных преступлений.

Законодательство приведено по состоянию на 15 декабря 2021 г.

Для ученых, аспирантов и студентов, а также практических работников: следователей, оперативных сотрудников, экспертов, судей и адвокатов.

Исследование выполнено при финансовой поддержке Российского фонда фундаментальных исследований (РФФИ) в рамках научного проекта № 18-29-16003.
Монография подготовлена с использованием справочно-правовой системы «КонсультантПлюс».
Текст представлен в авторской редакции.

УДК 343.98:004

ББК 67.52:32.81

© Коллектив авторов, 2022

© ООО «Проспект», 2022

Глава 1.
КОНЦЕПТУАЛЬНЫЕ ОСНОВЫ ТЕОРИИ ИНФОРМАЦИОННО-КОМПЬЮТЕРНОГО ОБЕСПЕЧЕНИЯ КРИМИНАЛИСТИЧЕСКОЙ ДЕЯТЕЛЬНОСТИ: ПРЕДМЕТ, ЗАДАЧИ, ОБЪЕКТЫ, СИСТЕМА

§ 1.1. Представления о развитии криминалистической науки на рубеже XX–XXI веков

Криминалистика — юридическая наука синтетической природы, постоянно интегрирующая и преобразующая для решения своей общей задачи — борьбы с преступностью и частных задач все новые достижения естественных, технических гуманитарных наук.

Криминалистическая наука базируется на принципах объективности, историзма и системности науки.

Законы развития криминалистики основаны на общих законах развития науки, к которым относятся:

– закон непрерывности накопления научного знания;

– закон интеграции и дифференциации научного знания;

– закон связи и взаимного влияния науки и практики;

– закон ускорения развития науки в условиях научно-технического прогресса¹.

Рассмотрим детальнее законы развития криминалистики в современных условиях в свете общих законов науки.

Закону непрерывности накопления научного знания отвечает в криминалистике закон связи и преемственности между существующими и возникающими криминалистическими концепциями. Наука развивается непрерывно, постепенно накапливая знания, опираясь на достигнутое. Именно в силу кумулятивного характера процесса познания в силу того, что научная мысль не может двигаться по воле случая, хаотически, а идет вперед строго логическим путем, от простого к сложному, каждая возникающая научная концепция опирается на предшествующие. Криминалистические концепции не являются исключением. Свидетельством этого может служить известный процесс формирования предмета криминалистики, представления о котором складывались и уточнялись по мере развития самой науки. Роль этого закона заключается также и в том, что его действие обеспечивает поступательное движение криминалистической мысли от явления к сущности последующего порядка, сохраняя в то же время все накопленные наукой ценности.

Закон интеграции и дифференциации научного знания воплощается в криминалистике через активное творческое приспособление для целей судопроизводства достижений различных наук. Криминалистика возникла в результате того, что наука должна была отвечать на вопросы судебно-следственной практики. Задача максимально полного удовлетворения этих потребностей стала одной из тенденций, определяющих пути развития криминалистики. Заметим, что если для периода накопления эмпирического материала внешне более заметной была дифференциация наук, соответствующая тому уровню познания, при котором явления преимущественно описывались и классифицировались, то для этапа построения развитых теорий характерной оказалась интеграция научного знания. На современном этапе обе эти противоречивые тенденции проявляются в диалектическом единстве. В развитии криминалистики эти тенденции проявились весьма своеобразно. На этапе ее становления дифференциация, с одной стороны, выражала отношение криминалистики к другим юридическим наукам, а с другой — отношение консолидированных криминалистических знаний к данным других наук, обслуживающих потребности уголовного судопроизводства: судебной медицины, судебной психиатрии, судебной химии и т. п. Этот процесс привел к определению места криминалистики в системе юридических наук и к ее отмежеванию от родственных областей естественных наук. Интеграция знаний на этом этапе выражалась преимущественно в приспособлении криминалистикой для нужд судопроизводства данных естественных и технических наук, становившихся в преобразованном виде частью содержания криминалистической науки. Так возникли дактилоскопия, судебная фотография, трасология, судебное почерковедение и др.

На современном этапе процессы дифференциации и интеграции научного знания приобрели качественно иной характер. Дифференциация оказалась направленной не столько вовне, сколько внутрь самой криминалистики, что привело к возникновению на стыках между нею и смежными науками новых областей знания. Интеграция знания получила двоякое выражение. Она по-прежнему обнаруживается преимущественно в активном творческом использовании криминалистикой данных иных наук и привнесении их в уголовное судопроизводство, но к этому добавились процессы, которые в конечном счете привели к изменению самой природы криминалистики, превращению ее в науку синтетической природы.

Явления интеграции обнаруживаются и в возросшем числе объектов исследования, общих как для криминалистики, так и для других юридических наук. Здесь прежде всего можно указать на процесс информатизации и компьютеризации криминалистики.

Закон связи и взаимного влияния науки и практики выражается в обусловленность криминалистических рекомендаций потребностями практики борьбы с преступностью и совершенствование этой практики на основе криминалистики. В процессе развития любой науки то теория опережает практику научных исследований, когда собранный практикой материал уже осмыслен и на его базе возникло представление о сущности предмета исследования, что открывает перспективы для дальнейших практических научных изысканий, для новых научных экспериментов, то, наоборот, результаты научных разработок опережают теорию, т. е. не укладываются в существующие теоретические объяснения. Это закономерно для развития любой науки.

Причинами ускорения темпов развития криминалистики в условиях научно-технического прогресса являются: а) возрастающий объем фундаментальных и частнотеоретических исследований в криминалистике; б) ускоренное развитие тех областей знания, данные которых творчески используются в криминалистике; в) повышение общественной значимости криминалистики в связи с актуальностью проблемы борьбы с преступностью; г) растущий под влиянием объективных факторов научно-технического прогресса потенциал криминалистики как науки.

В начале XXI века были сформулированы основные направления развития криминалистики².

Рассмотрим основные тенденции развития криминалистической науки, опираясь на современные представления о ее природе.

Тенденции развития общей теории криминалистики включают:

– дальнейшее изучение закономерностей, составляющих ее предмет, т. е. закономерностей механизма преступления, закономерностей движения потоков криминалистически значимой информации (и в этой связи возможности информационных технологий) и другие;

– развитие методологических основ криминалистики — изучение возможностей интеграции в криминалистику новых научных методов и разработка на этой основе криминалистических методик;

– совершенствование криминалистической систематики и унификация языка науки на основе интеграции в нее новых научных достижений, например, информационных технологий;

– пополнение системы частных криминалистических теорий новыми за счет творческого использования ею достижений фундаментальных и прикладных наук.

Включения в криминалистическую технику новых разделов, что вызывает обычно бурную дискуссию: является ли это направление криминалистическим или нет. Безусловно, криминалистическая техника не беспредельна. Новые разделы, чтобы быть включенными в нее, должны реально существовать, а добавление слова «криминалистическая» к какому-то разделу науки еще не значит, что такое направление уже имеется.

Направление криминалистической техники можно считать сформировавшимся, если оно отвечает следующим критериям:

– решение специфических криминалистических задач, которые не ставятся при исследовании подобных объектов в других сферах человеческой деятельности;

– специфика объектов исследования — вещественных доказательств и, в то же время, их распространенность, частая встречаемость в уголовном и гражданском судопроизводстве;

– методологическая и методическая разработанность данного направления.

Безусловно, в дальнейшем будет происходить пополнение появление новых разделов криминалистической техники за счет появления новых объектов и задач криминалистического исследования, а также развитие уже существующих направлений криминалистической техники за счет расширения арсенала методов и средств, разработки новых методик собирания и исследования вещественных доказательств в судопроизводстве.

Технико-криминалистические средства и методы собирания (обнаружения, фиксации, изъятия) и исследования материальных носителей информации, а также криминалистические подходы оценки результатов исследований и использования этих результатов в доказывании могут с успехом применяться (и специально разрабатываться) при производстве по гражданским делам и делам об административных правонарушениях. Данное направление отражает еще одну тенденцию развития криминалистической техники.

Криминалистическая тактика развивается по следующим направлениям:

– теоретическое уточнение содержания криминалистической тактики (в соответствии с современными представлениями о природе криминалистики), ее границ, связей с иными областями научного знания. Углубленное исследование особенностей следственных ситуаций с использованием современных информационных технологий. Будучи подсистемой криминалистики, криминалистическая тактика претерпевает изменения, связанные с расширением возможностей предварительных и экспертных исследований и разработкой научно обоснованных рекомендаций по этому направлению. В связи с интенсивной разработкой научных основ оперативно-розыскной деятельности все более насущной становится проблема установления границ между криминалистической и оперативно-розыскной тактикой. Испытывая влияние других подсистем криминалистики, криминалистическая тактика, в свою очередь воздействует на их развитие и совершенствование:

– «технизация» и «психологизация» криминалистической тактики, т. е. тенденция к использованию точных экспериментальных методов естественных, технических, экономических наук и, прежде всего, судебной психологии (совершенствование психологических основ следствия, разработка различных вариантов линии поведения следователя, оперативного работника, судьи в процессе доказывания). Другим направлением является использование положений математической логики для оптимизации и алгоритмизации производства конкретного следственного действия; теории информации — для изучения процессов возникновения и передачи информации, разработки новых эффективных тактических приемов допроса и других следственных действий;

– совершенствование существующих и разработка новых тактических приемов и типичных тактических комбинаций. Эта тенденция обусловлена непрерывным совершенствованием практики борьбы с преступностью, а также влиянием на тактику других разделов криминалистики или иных наук. Необходимость в новых тактических приемах возникает еще и как результат изменений процессуального законодательства, определяющего процедуру собирания, исследования и использования доказательств;

– разработка путей и форм использования рекомендаций криминалистической тактики в гражданском и арбитражном процессе, производстве по делам об административных правонарушениях. В первую очередь это касается рекомендаций по получению и проверке вербальной информации и тактических приемов, связанных с применением технико-криминалистических средств и методов.

Тенденции развития методики расследования отдельных видов преступлений, в первую очередь, связаны с корректировкой существующих и разработкой новых методик расследования отдельных видов преступлений.

Весьма перспективным является использование при формировании криминалистических методик информационных и, в частности, компьютерных технологий, которые позволяют произвести информатизацию и алгоритмизацию самого процесса расследования преступления. Конечно, в обозримом будущем нельзя говорить о замене следователя неким совершенным компьютером, в который на входе подаются различные данные, а на выходе печатается фамилия обвиняемого и текст обвинительного заключения. Однако, анализируя меняющуюся следственную ситуацию, следователь должен переработать огромный массив информации, вычленить из нее криминалистически значимую и не допустить при этом ошибок, связанных как с недостатком этой информации и трудностями в ее получении, так и с дефицитом времени и часто невысоким профессиональным уровнем. При этом весьма значительное время тратится на рутинную работу по составлению различных документов процессуального и непроцессуального характера: протоколов, постановлений, запросов и др.

§ 1.2. Вектор инновационного развития криминалистической науки в условиях глобальной цифровизации

Криминалистика — наука синтетической природы, постоянно интегрирующая и преобразующая для решения своей общей задачи — борьбы с преступностью и частных задач все новые достижения естественных, технических гуманитарных наук. Причем процессы синергии в криминалистике постоянно вызывали дискуссии о необходимости ее коренного изменения.

Приведем несколько примеров. Более 50 лет назад возникла идея о необходимости расчленения криминалистики и передачи криминалистической экспертизы медикам, биологам, химикам, физикам и другим представителям технических и естественных наук, которые в силу своей подготовки, в отличие от юристов, якобы лучше могли производить исследование вещественных доказательств³, фактически проповедовалось разделение криминалистики на «науку для экспертов» и «науку для следователей». Профессор А. И. Винберг, раскритиковав эту концепцию, доказав единство криминалистической техники как раздела криминалистической науки, и обосновал существование в криминалистике общей теории криминалистической экспертизы⁴, которую профессор А. Р. Шляхов выделил из криминалистики как самостоятельную науку, имеющую свой предмет, метод и систему⁵. Однако большинство ученых не поддержали данную точку зрения. Общее мнение большинства криминалистов того времени выразил профессор С. П. Митричев, указав, что «криминалистическая экспертиза в составе науки криминалистики имеет все возможности для своего дальнейшего развития…»⁶.

С середины 60-х гг. XX в. приоритетное направление в криминалистике получило исследование общетеоретических проблем. Возникли эмпирические и теоретические предпосылки формирования общей теории науки, объединяющей частные криминалистические теории, по-новому, исходя из требований времени и достижений науки, определяющей предмет криминалистики. Соответственно дискуссия, касающаяся появления в криминалистике новой части — «общей теории криминалистики»⁷ (профессора Р. С. Белкин, А. А. Винберг), против которой категорически возражал профессора А. Н. Васильев и С. П. Колмаков⁸.

Еще одна дискуссия, длившаяся в криминалистике более 40 лет, связана с противопоставлением категорий «идентификация» и «диагностика» (профессора В. Я. Колдин, В. А. Снетков, Ю. Г. Корухов и другие⁹) категории распознавание (профессора О. Е. Баев, В. А. Образцов¹⁰).

Этот список можно продолжать, упомянув о проблеме включения в криминалистическую технику новых разделов. Следует подчеркнуть, что эти попытки вызывают обычно бурную дискуссию: является ли это направление криминалистическим. Безусловно, криминалистическая техника не беспредельна. Новые разделы, чтобы быть включенными в нее, должны реально существовать, а добавление слова «криминалистическая» к какому-то разделу науки еще не значит, что такое направление уже имеется.

Как мы неоднократно указывали в своих работах¹¹, направление криминалистической техники можно считать сформировавшимся, если оно отвечает следующим критериям:

– решение специфических криминалистических задач, которые не ставятся при исследовании подобных объектов в других сферах человеческой деятельности;

– специфика объектов исследования — вещественных доказательств и, в то же время, их распространенность, частая встречаемость в уголовном, гражданском и административном судопроизводстве;

– методологическая и методическая разработанность данного направления.

Так в криминалистическую технику были включены разделы «криминалистическое исследование веществ, материалов и изделий» профессора В. С. Митричев¹², Е. Р Россинская¹³); «криминалистическая ольфакторика (одорология) (профессора А. И. Винберг¹⁴, Т. Ф. Моисеева, доцент В. И. Старовойтов¹⁵); криминалистическая фоноскопия (профессор Е. И. Галяшина и др.¹⁶)

В 70-е — 80-е годы ХХ века в криминалистике начали использоваться математические и кибернетические методы, автоматизированные дактилоскопические идентификационные системы (профессора Н. С. Полевой¹⁷, В. В. Крылов¹⁸, Л. Г. Эджубов¹⁹, С. С. Самищенко²⁰).

В начале XXI века в связи с очередным этапом научно-технического прогресса, процессов интеграции и дифференциации научного знания дискуссии в криминалистической науке продолжились, в том числе и по корректировке предмета науки, но анализ позиций большинства ученых показывает, что все они так или иначе согласуется с определением предмета науки Р. С. Белкина. По этому классическому определению (которое с некоторыми вариациями, связанными с перечнем основных закономерностей, признается большинством ученых-криминалистов²¹) криминалистика — наука о закономерностях механизма преступления, возникновения информации о преступлении и его участниках, закономерностях собирания, исследования, оценки и использования доказательств и основанных на познании этих закономерностей специальных методах и средствах судебного исследования и предотвращения преступлений. Причем под судебным исследованием понимается вся юрисдикционная деятельность компетентных органов по расследованию преступлений, судебному рассмотрению уголовных, гражданских, административных дел, дел об административных правонарушениях.

В ХХI веке, когда резко возросли процессы развития новых родов и видов судебных экспертиз, снова возникли попытки ревизии самого понятия криминалистики в отрыве от ее предмета и системы, что было обусловлено появлением качественно новых классов и родов судебных экспертиз: речеведческих, экологических, молекулярно-генетических, а также бурное развитие новых родов в уже существующих классах судебных экспертиз (судебной экономической экспертизы операций с активами, созданными на основе технологии блокчейн и др.). Заметим, что новые экспертизы вначале проводятся не в судебно-экспертных учреждениях, а, как правило, лицами весьма далекими от судопроизводства. Ученые и специалисты, привлекаемые для производства этих новых видов судебных экспертиз, не знают даже основ судебной экспертологии, азов материального и процессуального права. Они не понимают отличия научных исследований от практической экспертной деятельности, не представляют возможных последствий их выводов.

Лица, которые занялись производством новых родов и видов судебных экспертиз, не имеют представления о предмете, задачах, системе криминалистической науки, игнорируют ее общую и частные теории. Их представление о науке криминалистике обычно ограничивается знаниями, почерпнутыми из случайных источников, даже из детективной литературы, художественных фильмов.

Печально, что несмотря на то, что уже более 20 лет в Российской Федерации существуют Федеральные государственные образовательные стандарты высшего образования по специальности «судебная экспертиза» (сейчас это ФГОС ВО 40.05.03 3++²²), целый ряд экономических, филологических и других вузов пытаются готовить судебных экспертов не по данной специальности, а изобретая собственные. Для этого в ряде вузов, зачастую не имеющих никакого отношения к юриспруденции, образованы даже кафедры лингвистической криминалистики²³, экономической криминалистики²⁴. В медицинских вузах, где в рамках клинических ординатур готовят судебно-медицинских экспертов²⁵, введены курсы медицинской криминалистики!!!²⁶ Понятно, что вред наносится судебной экспертизе, но вдобавок происходит смешение понятий криминалистики и судебной экспертизы.

Нет и не может быть никакой медицинской криминалистики, лингвистической криминалистики, экономической криминалистики, молекулярно-генетической криминалистики, технической криминалистики и пр. Криминалистика едина! Это наука, имеющая свой предмет, систему, задачи, объекты и закономерности. Криминалистика — обосновывающее знание для всех родов и видов судебных экспертиз.

Предметом судебной экспертологии являются методологические, правовые и организационные закономерности функционирования судебно-экспертной деятельности в целом; закономерности возникновения, формирования и развития классов, родов и видов судебных экспертиз и их частных теорий на основе единой методологии, унифицированного понятийного аппарата и с учетом постоянного обновления и видоизменения судебно-экспертных знаний. Предмет криминалистики был нами определен выше.

Основанием разграничения двух родственных, но самостоятельных наук является различие их целей и функций. Предметом криминалистики служат, в том числе закономерности деятельности по собиранию, исследованию, оценке и использованию доказательств. Предметом судебной экспертологии являются закономерности судебно-экспертной деятельности, как единого целого. Каждый вид деятельности имеет своего основного субъекта: соответственно следователя (дознавателя) и судебного эксперта, обладающих процессуальной самостоятельностью и кругом прав и обязанностей.

Проанализируем методологические функции криминалистики и судебной экспертологии: в криминалистике — методологическое обеспечение следственной практики; в экспертологии — методологическое обеспечение экспертной практики. Частично эти функции перекрываются, поскольку исследование доказательств происходит и в ходе следственных действий и при производстве судебных экспертиз.

Очередной этап научно-технической революции в России в конце первой четверти XXI века сопровождается всеобъемлющим проникновением современных цифровых технологий практически во все области человеческой деятельности. Но наряду с неоспоримыми достижениями цифровизация принесла с собой целый ряд сложных негативных явлений, связанных с противоправным использованием этих новаций. Криминальные структуры в полной мере приняли на вооружение цифровые технологии для совершения «высокотехнологичных» преступлений и обеспечения своей «традиционной» преступной деятельности, создания систем конспирации и скрытой связи, для оказания активного противодействия правосудию. Происходит слияние уголовной и экономической преступности, отмечается интеллектуализация преступной деятельности, ее ужесточение, проникновение ее во многие жизненно важные сферы общества и государства, попытки установить контроль над финансово-промышленными группами, отдельными предприятиями. Значительные изменения произошли в способах, так называемых, «традиционных» преступлений: присвоениях, кражах, мошенничестве, фальшивомонетничестве, преступлениях в банковской и кредитной сфере, сфере страхования, даже преступлениях против жизни и здоровья людей и многих других, которые в настоящее время совершаются с использованием компьютерных средств и систем.

С использованием информационных компьютерных технологий в большинстве своем совершаются несанкционированные проникновения в компьютерные сети и внедрение вредоносных программ с целью хищения наличных и безналичных денежных средств, например, путем перечисления на фиктивные счета; «отмывание» денег; покупки с использованием фальсифицированных или похищенных электронных платежных средств; фиктивные продажи через интернет; клевета; призывы и пропаганда расовой, религиозной и национальной розни; распространение наркотиков; незаконная реклама и многие другие.

Широкое использование средств мобильной коммуникации спровоцировало создание и распространение вирусных и вредоносных программ для мобильных телефонов, использование мобильных средств связи для совершения мошенничеств, вымогательств, поджогов, взрывов, террористических актов и пр. Следует подчеркнуть, что в силу специфики компьютерных систем и сетей, многие из перечисленных преступлений носят транснациональный характер и совершаются сходными способами.

В криминалистике принято объединять преступления, совершаемые с использованием компьютерных средств и систем, используя дефиницию «компьютерные преступления», которая употребляется не в уголовно-правовом аспекте, где это только затрудняет квалификацию деяния, а в криминалистическом, поскольку связана не с квалификацией, а со способом преступления и, соответственно, с методикой его раскрытия и расследования²⁷.

Процессы цифровизации в раскрытии и расследовании преступлений проявляются через широкое использование цифровых средств фиксации, сохранения, автоматизированной обработки и исследования доказательственной и ориентирующей информации, а также через новые виды криминалистически значимой информации, фиксируемой на компьютерных носителях.

В связи с активизацией компьютерной преступности процессы синергии в криминалистике, имевшие до этого достаточно плавный поступательный характер, резко возросли. Однако как мы уже неоднократно отмечали²⁸, а с нами солидарны и другие исследователи²⁹, к сожалению, закономерности возникновения, движения и видоизменения потоков криминалистически значимой информации с использованием компьютерных средств и систем пока не нашли достойного места в криминалистической науке. Несмотря на то, что первая информация о совершении хищения денежных средств с применением средств электронно-вычислительной техники относится еще к 1979 году, когда путем манипуляции данными на входе в компьютерную систему в Вильнюсе было похищено 78584 рубля³⁰ — сумма огромная по тем временам, работы, повещенные криминалистическому обеспечению расследования компьютерных преступлений, хотя и достаточно многочисленные, носят в основном неупорядоченный фрагментарный характер.

Насущная необходимость разработки криминалистического обеспечения расследования компьютерных преступлений подвигла ряд авторов на пересмотр подходов к криминалистической науке и выделение новых дефиниций «электронная криминалистика»³¹, «цифровая криминалистика»³² и другие подобные. Необходимо еще раз подчеркнуть, что мы категорически выступаем против размывания предмета криминалистической науки и утверждаем, что криминалистика должна оставаться единой., поскольку это наука, имеющая свой предмет, систему, задачи, объекты и закономерности. Нет оснований каждый раз при появлении новых объектов или методов менять название и определение предмета науки. Развитие идет за счет изучения новых закономерностей, новых механизмов следообразования, новых технологий собирания (выявления, фиксации, изъятия), исследования, оценки и использования криминалистически значимой информации, новаций в области криминалистической тактики и методики³³. Исходя из целостности предмета и системы криминалистики полагаем, что для исследования компьютерных систем и средств необходим особый комплекс специальных знаний, сформированный на основе разработки частной криминалистической теории информационно-компьютерного обеспечения криминалистической деятельности, рассмотрению которой будут посвящены следующие разделы и главы³⁴.

§ 1.3. Концепция теории информационно-компьютерного обеспечения криминалистической деятельности: предмет, закономерности, объекты, система

Предметом теории информационно-компьютерного обеспечения криминалистической деятельности являются закономерности возникновения, движения, собирания, исследования и использования компьютерной информации при раскрытии и расследовании преступлений и судебном рассмотрении уголовных, гражданских (в том числе арбитражных), административных дел. Объектами теории информационно-компьютерного обеспечения криминалистической деятельности являются, с одной стороны, сами компьютерные средства и системы как носители розыскной и доказательственной криминалистически значимой информации, а с другой — система действий и отношений в механизмах преступлений с использованием компьютерных средств и систем, а также криминалистических компьютерных технологий выявления, фиксации, изъятия, сохранения, исследования и использования криминалистически значимой доказательственной и ориентирующей информации.

Основой для нашего исследования послужила криминалистическая методология, включающая методы диалектической и формальной логики, общенаучные и специальные методы криминалистики, общеэкспертные методы, частноэкспертные методы судебной компьютерно-технической экспертизы, а также мониторинг следственной и оперативно-розыскной практики, результаты опросов и анкетирования специалистов в области IT-технологий, которые показали, что сегодня помимо участия в расследовании преступлений, сопряженных с неправомерным доступом к компьютерной информации, а также разработкой и использованием вредоносных программ, указанные специалисты были наиболее востребованы при проведении следственных действий и оперативно-розыскных мероприятий по делам о традиционных видах мошенничества, незаконной организации азартных игр, незаконном обороте наркотических средств, убийствах, сообщениях о заведомо ложных актах терроризма.

Рассмотрим подробнее закономерности, составляющие предмет данной теории, которые выше были только обозначены. К ним относятся:

– закономерности возникновения, существования и исчезновения (утраты) в компьютерных средствах и системах цифровых следов, содержащих криминалистически значимую информацию;

– закономерности отражения в компьютерных средствах и системах криминалистически значимой информации — цифровых следов — о событии преступления/правонарушения;

– закономерности отражения в компьютерных средствах и системах информации о формировании и реализации способа преступления, о связях действий и их результатов, повторяемости действий в похожих ситуациях, стереотипов действий субъектов при совершении преступлений/правонарушений;

– закономерности создания и функционирование информа-ционно-компьютерных технологий, обеспечивающих процессы выявления, фиксации, изъятия, сохранения, исследования криминалистически значимой компьютерной информации;

– закономерности возникновения и развития обстоятельств, связанных с преступлением/правонарушением, сопряженным с использованием компьютерных средств и систем (как до, так и после его совершения) и значимых для расследования;

– закономерности оценки и использования криминалистически значимой компьютерной информации, имеющей розыскное и доказательственное значение;

– закономерности информационно-компьютерного криминалистического обеспечения тактики и технологии производства следственных и судебных действий;

– закономерности информационно-компьютерного криминалистического обеспечение методик расследования преступлений и, в первую очередь, создания информационно-компьютерных моделей компьютерных преступлений, совершаемых с использованием компьютерных средств и систем;

– закономерности информационно-компьютерного криминалистического обеспечение гражданского и административного судопроизводства.

Частная теория информационно-компьютерного обеспечения криминалистической деятельности входит как одна из теорий в общую теорию криминалистики и в свою очередь состоит из ряда учений.

1. Концептуальные основы теории информационно-компьютер-ного обеспечения криминалистической деятельности, включая предмет теории, ее объекты, изучаемые закономерности. Основные криминалистические дефиниции теории это: следы в информационно-компьютерном пространстве; носители криминалистически значимой компьютерной информации; компьютерные системы; программные продукты, в том числе вредоносные программы; контрофактные информационно-компьютерные продукты.

2. Учение о способах компьютерных преступлений.

3. Учение о цифровых следах как источниках криминалистически значимой компьютерной информации.

4. Учение о криминалистическом исследовании компьютерных средств и систем.

5. Учения о цифровизации системы криминалистической регистрации.

6. Учение об информационно-компьютерных криминалистических моделях компьютерных преступлений.

7. Учение об информационно-компьютерном криминалистическом обеспечении тактики следственных и судебных действий.

8. Учение об информационно-компьютерном криминалистическом обеспечении методик расследования компьютерных преступлений.

Частично поддерживая нашу позиции о необходимости криминалистической теории информационно-компьютерного обеспечения криминалистической деятельности, В. Б. Вехов предлагает несколько иной подход к проблеме и обозначает частную теорию как «Криминалистическое исследование компьютерной информации, средств ее обработки и защиты», определяя ее как «систему научных положений и разрабатываемых на их основе технических средств, приемов, методик и рекомендаций по собиранию, исследованию и использованию компьютерной информации, средств ее обработки и защиты в целях раскрытия, расследования и предупреждения преступлений»³⁵. При этом он выделяет в ней следующие направления:

1. Криминалистическое учение о компьютерной информации — это подраздел криминалистического исследования компьютерной информации, средств ее обработки и защиты, который занимается изучением закономерностей возникновения и сокрытия электронных следов и разработкой на этой основе технических средств, приемов и методов по их обнаружению, фиксации, изъятию и исследованию в целях раскрытия, расследования и предупреждения преступлений.

2. Криминалистическое исследование компьютерных устройств, информационных систем и информационно-телекоммуникационных сетей, которое «представляет собой систему научных положений и разрабатываемых на их основе технических средств, приемов и методов по исследованию компьютерных устройств, информационных систем и информационно-телекоммуникационных сетей как материальных носителей криминалистически значимой компьютерной информации в целях раскрытия, расследования и предупреждения преступлений».

3. Криминалистическое использование компьютерной информации, средств ее обработки и защиты — «система научных положений и разрабатываемых на их основе специальных программно-технических средств, а также приемов, методов и рекомендаций по использованию компьютерных технологий и средств защиты информации для раскрытия, расследования и предупреждения преступлений».

Полагаем, что подобная структура вполне обоснована и заслуживает дальнейшего развития. Она вполне укладывается в нашу теорию, однако является только ее частью, поскольку относится, в первую очередь, к развитию информационно-компьютерного обеспечения криминалистической техники и технологии.

Глава 2.
СПОСОБЫ СОВЕРШЕНИЯ КОМПЬЮТЕРНЫХ ПРЕСТУПЛЕНИЙ/ПРАВОНАРУШЕНИЙ

§ 2.1. Детерминирующее влияние информационно-коммуникационных технологий на формирование способов совершения преступлений на современном этапе

Новые информационно-коммуникационные технологии (ИКТ), масштабно внедряемые в жизнь современного общества, ожидаемо оказались широко востребованными преступным сообществом, что наряду с другими факторами, напрямую либо косвенно связанными с цифровизацией всех сторон жизни человека, общества и государства, привело к появлению такого негативного социального феномена как киберпреступность, а также к тому, что такие понятия как «киберпреступление» либо «компьютерное преступление» вошли в массовое употребление.

Надо признать, упомянутые термины являются дискуссионными, не имеют четких и устоявшихся дефиниций, а их содержание зачастую зависит от национальных законодательств и международных правовых актов, в которых они упоминаются.

Но основная тенденция в толковании прослеживается достаточно отчетливо — данными понятиями охватываются не только киберзависимые преступления, то есть те, которые могут быть совершены исключительно с использованием ИКТ³⁶, но и традиционные преступления, при совершении которых также используются компьютерные системы.

Компьютерные преступления имеют общую родовую криминалистическую характеристику, включающую сведения о способах преступлений, лицах, совершивших их, сведения о потерпевшей стороне и обстоятельствах, способствующих и препятствующих данным преступлениям³⁷. В этой связи дефиниция «компьютерное преступление» должна употребляться не в уголовно-правовом аспекте, где это только затрудняет квалификацию деяния, а в криминалистическом, поскольку связана не с квалификацией, а именно со способом преступления и, соответственно, с методикой его раскрытия и расследования.

В этом смысле к компьютерным отнесем не только преступления, объектом которых выступают общественные отношения в сфере обработки, хранения и передачи компьютерной информации (т. е. киберзависимые преступления), а любые преступные посягательства, совершаемые с применением ИКТ, или, если использовать недавно приведенный в законе термин, — преступления в сфере информационных технологий³⁸.

Компьютерная информация применительно к процессу доказывания может быть определена как фактические данные, обработанные компьютерной системой и (или) передающиеся по телекоммуникационным каналам, а также доступные для восприятия, на основе которых в определенном законом порядке устанавливаются обстоятельства, имеющие значение для правильного разрешения уголовного, гражданского или административного дела³⁹.

Необходимо отметить, что криминалистические методы и средства широко востребованы и гражданским, и административным судопроизводством, где также в процесс доказывания широко интегрированы компьютерные средства и системы в целях получения участниками процесса доказательственной и ориентирующей информации. Необходимо включить в предмет данной теории и закономерности, связанные с рассмотрением дел в гражданском, арбитражном, административном процессе, производстве по делам об административных правонарушениях. Однако приоритет, по нашему мнению, должен быть отдан раскрытию и расследованию преступлений, поскольку общей и главной задачей криминалистической науки является борьба с преступностью⁴⁰.

Для исследования закономерностей возникновения и движения криминалистически значимой компьютерной информации обратимся к криминалистической дефиниции механизма преступления, который представляет собой сложную динамическую систему, определяющую содержание преступной деятельности. Элементами механизма преступления являются: субъекты преступления; отношение субъекта преступления к своим действиям, их последствиям, соучастникам; предмет посягательства; способ преступления; преступный результат; обстановка преступления (место, время и другие относящиеся к ней обстоятельства); поведение и действия лиц, оказавшихся случайными участниками события, и др.⁴¹

Одним из важнейших элементов механизма преступления является способ преступления.

Способ преступления по классическому определению Зуйкова Г. Г. «представляет собой систему объединенных единым замыслом действий преступника (преступников) по подготовке, совершению и сокрытию преступления, детерминированных объективными и субъективными факторами, действий, сопряженных с использованием соответствующих орудий и средств»⁴². Другими словами, способ преступления — это детерминированная личностью, предметом и обстоятельствами преступного посягательства система действий субъекта, направленная на достижение преступной цели и объединенная единым преступным замыслом. В этой системе могут быть выделены действия по подготовке, совершению и сокрытию следов преступления⁴³. В зависимости от этого способы преступления делят на полноструктурные и неполноструктурные. Полноструктурный способ включает действия, относящиеся ко всем его элементам: подготовке, совершению и сокрытию. В тех случаях, когда преступление совершается без предварительной подготовки или когда субъект преступления не планирует действий по его сокрытию, налицо неполноструктурный способ совершения преступления. При этом возможно формирование самостоятельного способа сокрытия преступления⁴⁴.

Как отмечал Белкин Р. С., способ совершения преступления, понимаемый как система действий преступника по подготовке, совершению и сокрытию преступления, будучи в целом отражаемым объектом, как элемент объективной стороны преступления, в то же время своими составляющими (действия, средства действий) служит средством отражения в среде события преступления⁴⁵. Кроме того, «следы определенного способа совершения преступления указывают не только на совершенные действия, но и на обстоятельства, детерминировавшие способ совершения преступления, определившие состав и характер совершенных действий, в частности, по характеру совершенных действий представляется возможным предположительно судить об определивших способ совершения преступления качествах личности»⁴⁶.

На формирование способа преступления оказывают влияние объективные и субъективные факторы, что определяет детерминированность и повторяемость способов преступления. Зуйков Г. Г. отмечает, что «абсолютная повторяемость способов преступлений во всех их признаках полностью исключена. Способы преступлений повторяются, если сохраняется действие определенных факторов, их детерминирующих (мотив и цель преступления, объективная обстановка его совершения, качества личности преступника, особенности предмета преступного посягательства и т. д.), а так как детерминирующие факторы изменяются и в количественном и в качественном отношениях, то неизбежно изменяются и способы совершения преступлений, сохраняя, однако, некоторую совокупность повторяющихся признаков»⁴⁷.

Как отмечает Чулахов В. Н., среди факторов, определяющих способ преступления, значительную роль играют психофизиологические свойства личности преступника, в частности навыки и привычки. В способе преступления отражаются два вида навыков — общего значения, возникшие вне связи с совершением преступления, и преступные, сформированные в процессе противоправной деятельности. Навыки преступного характера формируются в ходе подготовки к преступлению и совершенствуются при повторных аналогичных преступлениях⁴⁸. Превращение некоторых самостоятельных элементов способа в навык и переход их на уровень автоматизированных, подсознательных актов является одной из закономерностей формирования способа неоднократно совершаемых однородных преступлений, т. е. формируется «преступный почерк».

§ 2.2. Способы совершения киберзависимых компьютерных преступлений

Описание способов компьютерных преступлений начнем с действий по сокрытию преступниками своих данных при использовании сети Интернет с целью предотвращения идентификации их личности. Для сокрытия своего адреса преступники используют различные анонимные компьютерные сети и сервисы, специально созданные для этих целей.

Одним из таких способов является использование VPN-сервисов (англ. Virtual Private Network — виртуальная частная сеть)⁴⁹. Технологии VPN обеспечивают шифрование сетевого трафика между компьютером пользователя и VPN-прокси-сервером, который является шлюзом выхода в сеть Интернет и, соответственно, скрывает реальный IP-адрес пользователя. Если им требуется высокий уровень конспирации, преступники арендуют у провайдеров хостинговых услуг вычислительные мощности практически в любой точке мира, на которых настраивают собственные VPN-серверы либо виртуальные машины, с которых, используя сторонние VPN-сервисы, выходят в сеть Интернет.

Другой способ, использование которого позволяет скрыть свой IP-адрес, — The Onion Routing, TOR (луковая маршрутизация второго поколения) — технология и программное обеспечение для реализации обмена данными с многослойным шифрованием с помощью системы прокси-серверов, обеспечивающих анонимное сетевое подключение⁵⁰.

Троянская программа, обладающая функциональными возможностями VPN-прокси-сервера, также позволяет преступникам создать бот-сеть из компьютеров, зараженных такой программой, и использовать ее для сокрытия своего IP-адреса.

Помимо упомянутых способов анонимизации своих действий в сети Интернет путем построения цепочки прокси-серверов преступники для этих целей применяют и другие криминальные либо полукриминальные схемы, например, через несанкционированное подключение к сторонним беспроводным точкам доступа — Wi-Fi роутерам, либо с помощью беспроводных модемов мобильной связи с SIM-картами, оформленными на посторонних лиц.

Выбор безопасных способов оплаты сервисов и вычислительных мощностей для осуществления преступной деятельности также является мерой конспирации преступной деятельности. Для этих целей широко используется так называемая криптовалюта, например, биткоины, правовой режим которой во многих странах мира, в том числе в России, остается неопределенным.

Разработка планов преступной деятельности, координация мероприятий на стадии подготовки к совершению преступления, согласование совместных действий осуществляются соучастниками с применением сетевых протоколов обмена сообщениями, обеспечивающих безопасность передачи данных. Одной из востребованных реализаций коммуникации в криминальной среде является XMPP-протокол (eXtensible Messaging and Presence Protocol) обмена мгновенными сообщениями, известный еще как Jabber-протокол (буквально — болтовня), который предоставляет возможность настроить свой собственный Jabber-сервер, обеспечивающий шифрование канала⁵¹. Вместе с тем в настоящее время широчайшее распространение в криминальной среде получили программы-мессенджеры, обеспечивающие стойкое шифрование между устройствами пользователей, так называемое end-to-end шифрование (Telegram, Signal, VIPole и др.).

К мерам по сокрытию следов преступления можно отнести также способы, с помощью которых преступники оказывают противодействие осмотру и изъятию компьютерной информации, содержащейся в их компьютерных средствах и системам, имеющей криминалистическое значение. Эти цели достигаются шифрованием компьютерных данных с помощью специализированного программного обеспечения либо возможностью быстрого уничтожения таких данных с использованием специальных программ или устройств.

Для сокрытия следов несанкционированного доступа и вредоносной активности на компьютере пользователя применяются различные меры технического характера, как прошедшие проверку временем технологии шифрования и обфускации (obfuscate — делать неочевидным, запутанным), так и новые приемы и методы.

Способы сокрытия вредоносной активности в системе:

– технологии Bootkit;

– технологии Rootkit;

– «бестелесная» технология;

– технологии криптования, обфускации и т. п.

В процессе криптования исполняемый код вредоносной программы шифруется, а при обфускации приводится к виду, затрудняющему анализ и понимание алгоритмов его работы. Это осложняет выявление таких программ антивирусным программным обеспечением и их исследование специалистами информационной безопасности.

Вредоносные программы, функционирующие только в оперативной памяти компьютера и не сохраняющиеся на энергонезависимые запоминающие устройства, именуют «бестелесными». При отключении питания компьютера, например, при его перезагрузке, программа стирается. Такие программы применяются преступниками для сокрытия их активности от антивирусного программного обеспечения⁵².

Технология Bootkit применяется для сокрытия вредоносного кода от антивирусного программного обеспечения и получения максимальных привилегий в системе. Для реализации этого способа вредоносной программой модифицируется, например, главная загрузочная запись (англ. master boot record, MBR), которая считывается процессором еще до начала загрузки операционной системы, а вредоносный код в зашифрованном виде записывается в неиспользуемую операционную систему область дискового пространства. При включении компьютера загрузчик еще до старта операционной системы расшифровывает и загружает в оперативную память вредоносный код⁵³.

Максимальные права пользователя позволяют применить набор программ Rootkit, которые скрывают вредоносную активность в системе: сетевые подключения, процессы, файлы и т. д.

Как видно из перечисленных мер, предпринимаемых преступниками с целью сокрытия следов несанкционированного доступа к компьютерным системам и информации пользователя, весьма значительное количество таких деяний совершается с помощью вредоносного программного обеспечения. Преступники используют вредоносные программы для значительного усиления своих возможностей, то есть в криминалистическом плане вредоносная программа является орудием совершения преступления⁵⁴.

В уголовно-правовом смысле определение вредоносной программы изложено в ст. 273 УК РФ, согласно которой под вредоносной программой понимается компьютерная программа либо иная компьютерная информация, заведомо предназначенная для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации. К таким программам следует отнести не только специально разработанное, но и модифицированное легальное программное обеспечение, дополнительные функциональные возможности которого вследствие модификации наделяют его признаками вредоносности.

Заметим, что в качестве орудия совершения преступления может быть использована и легальная программа, функциональность которой предоставляет преступникам возможность достижения своих целей. Большинство легальных программ, используемых преступниками в противоправной деятельности, предназначены для удаленного несанкционированного доступа к компьютеру, управления системой и ее администрирования, например: RMS, Ammyy Admin, TeamViewer и LiteManager. Эти программы обладают функциональными возможностями достаточными для достижения преступных целей и определяются антивирусным программным обеспечением с менее критичным именем как условно-опасные, в связи с чем пользователи не видят в них особой угрозы. Кроме того, многие из этих программ являются доверенными программами пользователя, установлены с его ведома и не вызывают у него подозрений.

В последние годы особой популярностью у преступников, промышляющих получением несанкционированного доступа к компьютерным системам и информации, пользуется легальный программный инструментарий, предназначенный для проведения тестов на проникновение, например ПО CobaltStrike.

В определенных случаях, например, когда необходимо отключить оповещение пользователя о работе программы либо ее модулей, такие программы подвергаются незначительной модификации, которая может привести к изменению их поведения (набора действий) в системе, которое будет соответствовать другому классу определяемых антивирусным программного обеспечения объектов — Malware (категории вредоносных программ).

Один из таких способов реализуется с помощью технологии DLL Hijacking⁵⁵, эксплуатирующей особенности функционирования операционной системы (ОС) Windows. Способ заключается в помещении в одну папку с файлом программы удаленного управления вредоносного библиотечного файла (dll-библиотеки), причем с таким же именем, что и расположенная в другой директории легальная библиотека. При запуске программа вместо легальной библиотеки загружает вредоносную, которая размещена «ближе». Например, для сокрытия от пользователя отображаемых на экране графических признаков работы программы TeamViewer (значка, окна сообщений) преступники осуществляют подмену библиотеки msvfw32.dll.

Самая общая классификация, широко применяемая в настоящее время для их систематизации, выделяет из класса вредоносных программ (Malware) следующие подклассы: программы-вирусы (Virus), программы-черви (Worm) и троянские программы (Trojan)⁵⁶.

К первым двум подклассам вредоносных программ относятся вирусы и черви, которые без ведома пользователя саморазмножаются на компьютерах и в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению.

Проиллюстрируем это на примере. В мае 2017 г. была осуществлена одна из наиболее масштабных за обозримое время атака с применением программы-шифровальщика WannaCry. Только за один день вредоносная программа атаковала компьютеры пользователей более чем в 74 странах. По своему основному предназначению WannaCry имеет те же функциональные возможности, что и другие шифровальщики, — модификация пользовательских данных на компьютере и последующее требование выкупа за их восстановление, но столь массовые случаи заражения были связаны со способом распространения.

Первичное заражение осуществлялось посредством эксплуатации уязвимости ОС Windows. После успешного проникновения хотя бы на один компьютер, подключенный к локальной сети, шифровальщик WannaCry распространялся по сети на другие устройства как червь (Worm). По этой причине наибольший ущерб от шифровальщика WannaCry был причинен организациям, имеющим крупные корпоративные компьютерные сети⁵⁷.

Программы, относящиеся к третьему подклассу, — троянские программы (Trojan programs) не умеют создавать свои копии и не способны к самовоспроизведению. В этом случае распространение копий по сети и заражение удаленных компьютеров происходит по команде с сервера управления.

Основным признаком, который служит для дифференцирования троянских программ, является вид действия (поведение), которое они выполняют на компьютере, например:

– программы-шпионы (Trojan-Spy) предназначаются для ведения электронного шпионажа за пользователем, в том числе перехвата вводимых с клавиатуры данных, изображений экрана, списка активных приложений;

– программы-банкеры (Trojan-Banker) создаются с целью поиска и копирования пользовательской информации, относящейся к банковским счетам, системам электронных денег и пластиковым картам;

– программы-шифровальщики (Trojan-Ransom) модифицируют пользовательские данные на компьютере либо блокируют работу компьютера с целью получения выкупа за восстановления доступа к информации;

– программы для удаленного управления (Trojan-Backdoor) обеспечивают скрытое удаленное управление компьютером и полный доступ к пользовательской информации;

– программы-загрузчики (Trojan-Downloader, Trojan-Dropper) осуществляют загрузку и установку на компьютер вредоносных программ и их новых версий;

– программы для эксплуатации программных уязвимостей (Exploit) эксплуатируют уязвимости программного обеспечения пользователя.

Большинство современных троянских программ сочетают в себе не одно поведение, а целый набор видов деятельности, предоставляющий преступникам самые широкие возможности для манипулирования пользовательской информацией. Например, программа-банкер, определяемая антивирусным программным обеспечением Лаборатории Касперского с именем Trojan-Banker.Win32.RTM, помимо присущей только этому виду троянских программ функциональности поиска и копирования пользовательской информации, относящейся к банковским счетам, системам электронных денег и пластиковым картам, обладает и многими другими возможностями — поиска файлов по именам, записи истории нажатий клавиш клавиатуры, записи видео и создании снимков экрана, копирования буфера обмена, блокирования и нарушения работы операционной системы, получения от сервера управления команд на запуск дополнительных программных модулей, отправки собранной информации на сервер управления и т. п.

Для загрузки троянских программ в компьютерную систему без ведома пользователя применяют различные способы.

Способы проникновения в систему:

– рассылка электронных писем, содержащих вредоносное вложение;

– применение связок эксплойтов при веб-серфинге пользователей в сети Интернет;

– внедрение вредоносного кода в распространяемое легальное программное обеспечение;

– распространение в локальной сети посредством применения штатных программных средств;

– физический доступ к целевой системе.

Для проникновения в систему с помощью сообщений электронной почты преступники осуществляют целевую либо массированную рассылку писем, содержащих в качестве вложения специальным образом, сформированный документ. Открытие пользователем данного документа приводит к скрытой загрузке вредоносной программы и установке ее в систему.

В другом варианте вредоносное письмо содержит не вложение, а ссылку на внешний Интернет-ресурс, при переходе по которой компьютер пользователя подвергается атаке набором эксплойтов (exploits). При успешном срабатывании одного из эксплойтов на компьютер пользователя загружается вредоносное программное обеспечение. При необходимости, когда возможности совершения несанкционированных действий на компьютере пользователя ограничены правами его учетной записи, преступниками может быть применен локальный эксплойт для повышения привилегий.

Для заражения компьютеров может быть использован так называемый метод drive-by загрузки, когда в процессе перемещения пользователя по сайтам в сети Интернет его компьютер скрыто перенаправляется с легитимной, но скомпрометированной страницы на криминальный ресурс, где подвергается атаке набором эксплойтов.

Описанные способы наиболее распространены и хорошо известны. В более редких случаях преступники предварительно получают несанкционированный доступ к сетевым ресурсам разработчика легальных программ, после чего внедряют в распространяемое им программное обеспечение свой вредоносный код.

При наличии у преступников доступа хотя бы к одному компьютерному устройству локальной сети организации дальнейшее распространение вредоносных программ на другие компьютеры и серверы может осуществляться с помощью штатных программных средств и протоколов. Например, неоднократно фиксировалось использование программы PsExec от корпорации Microsoft для автоматизированного развертывания вредоносного программного обеспечения на всех компьютерах, входящих в корпоративную сеть.

Физический доступ к компьютерной системе может быть обеспечен вовлечением в преступление работника потерпевшей организации либо проникновением преступников за охраняемый периметр. В этом случае загрузка вредоносной программы в систему осуществляется посредством подключения к ней внешнего электронного носителя информации.

Помимо программных средств, в более редких случаях, способами компьютерных преступлений служат специально созданные в преступных целях электронно-вычислительные устройства и программы к ним. Подобные комплексы могут быть как достаточно простыми, например, устройства, скрыто устанавливающееся в разрыв интерфейса клавиатуры для перехвата нажатия клавиш, так и более сложными. Например, компьютерное устройство размером с USB-флеш-накопитель с собственным сетевым адаптером и установленной специальной программой удаленного управления предоставляет преступнику возможность получить несанкционированный доступ к удаленной компьютерной системе. Для этого устройство скрыто подключается к целевой системе, например, корпоративной компьютерной сети в месте, исключающем его визуальное обнаружение, для чего нередко в преступление вовлекают работника пострадавшей организации.

К более сложным техническим решениям, создаваемым для совершения преступлений, применимо иное название — аппаратно-программные комплексы. К ним относятся так называемые бот-фермы, то есть компьютерные системы, эмулирующие работу большого количества устройств с отдельными каналами подключения к сети Интернет. Такие системы используются для массовых кампаний распространения вредоносного программного обеспечения на мобильные устройства под управлением ОС Android посредством СМС-рассылки либо для осуществления DDoS-атак.

Весьма существенную угрозу для банковской сферы на определенном этапе представляли аппаратно-программные комплексы, разработанные для совершения хищений денежных средств из банкоматов, — так называемые Black Box’ы. Такой комплекс является, по сути, миникомпьютером с установленным на него специальным программным обеспечением, который подключают к диспенсеру (механизму выдачи денег) вместо штатного компьютера, расположенного в сервисной зоне банкомата. После этого управление банкоматом может осуществляться с помощью технологий беспроводной передачи данных, например, со смартфона.

Глобальная сеть Интернет является всемирной системой объединенных компьютерных сетей, поэтому представляется необходимым уделить внимание таким способам осуществления несанкционированного доступа как компьютерные атаки на локальные сети.

Согласно Национальному стандарту ГОСТ Р 51275-2006 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения»⁵⁸ п. 3.11 «под компьютерной атакой понимается целенаправленное несанкционированное воздействие на информацию, на ресурс автоматизированной информационной системы или получение несанкционированного доступа к ним с применением программных или программно-аппаратных средств». Фактически под признаки компьютерной атаки подпадают все способы осуществления несанкционированного доступа к компьютерным системам, упомянутые в настоящей статье. Однако именно атаки на локальные сети позволяют наиболее полно рассмотреть приемы и методы, используемые преступниками с этой целью.

Виды компьютерных атак на локальные корпоративные сети могут быть разными:

– внешняя атака на сетевую инфраструктуру организации либо на компьютерные системы, которым разрешено удаленное подключение к локальной сети;

– атака изнутри пострадавшей организации с участием ее работников;

– комбинированная атака, сочетающая в себе элементы обоих указанных выше способов совершения преступления.

Необходимо учитывать, что преступник, действующий внутри организации, может также использовать вредоносные программы, как и преступник внешний. С одной стороны, это усиливает его возможности, с другой — может ввести в заблуждение следствие относительно участия в преступлении инсайдера, если такие программы будут обнаружены в ходе осмотра места происшествия и при проведении судебной экспертизы. Участие инсайдера в преступлении не обязательно должно быть непосредственным. Работник организации может предоставить соучастникам необходимые сведения для осуществления несанкционированного доступа внутрь корпоративной компьютерной сети или сообщить об уязвимостях программного обеспечения, установленного на компьютерах организации, либо ошибках в настройках сетевого оборудования.

Функциональные возможности вредоносных программ и легальных условно-опасных программ, предоставляющих удаленный доступ к системе, позволяют проводить атаки на компьютерные системы без какого-либо вовлечения в этот процесс потерпевших. В этом случае реализация преступного умысла осуществляется втайне от них, а зачастую скрыта и от третьих лиц, так как происходит только на уровне машинной обработки и передачи компьютерной информации.

На этой основе способы компьютерных преступлений в зависимости от доступа к компьютерным средствам и системам делятся на:

– способы, связанные с удаленным доступом к компьютерным средствам и системам посредством использования компьютерной коммуникационной сети (локальной или глобальной — Интернет);

– способы, связанные с непосредственным доступом к компьютерным средствам и системам.

В других случаях вовлечение потерпевшего, в той или иной степени, является необходимым условием доведения преступных намерений до конца. Непосредственная эксплуатация уязвимостей человеческого фактора предусматривает прямое общение с потерпевшим с применением навыков социальной инженерии, то есть системы психологических приемов и методов, склоняющих потерпевших к совершению определенных действий в интересах преступников, например, к разглашению уникального кода, присланного в Смс-сообщении для авторизации на сетевом ресурсе, либо к самостоятельной загрузке программы удаленного администрирования на свой компьютер и предоставлению реквизитов доступа к нему мошеннику.

Однако низкий уровень культуры информационной безопасности позволяет преступникам получать необходимые сведения для проведения атаки и без прямого общения с потерпевшим. Использование ненадежных паролей, заводских настроек и конфигураций программного обеспечения и оборудования предоставляет широкий спектр возможностей для получения несанкционированного доступа к конфиденциальной информации. Так, один из широко известных и применяемых способов получения несанкционированного доступа к компьютерной сети — это проведение атаки с применением различных методов сканирования портов сетевых узлов, то есть виртуальных точек входа-выхода сетевого трафика, обслуживающих определенные локальные сервисы. Обнаружив в результате сканирования открытый порт, который обычно используется одной из распространенных программ удаленного администрирования, преступники могут получить доступ к системе перебором реквизитов доступа (пары: логин — пароль).

Для доступа к корпоративным компьютерным системам преступники могут воспользоваться и уязвимостью в организации охранных систем и регламентов предприятия, что может выражаться как в физическом проникновении за охраняемый периметр, так и в удаленном доступе с использованием разрешенных в организации к применению протоколов и программных средств. В связи с этим можно разграничить способы получения несанкционированного доступа к компьютерным системам и сетям по степени вовлеченности потерпевшего в этот процесс:

– эксплуатация уязвимостей аппаратного и программного обеспечения;

– использование недостатков организационного и технического характера корпоративных охранных систем;

– применение методов социальной инженерии.

§ 2.3. Способы совершения «традиционных» преступлений с использованием информационно-коммуникационных технологий

Вместе с тем нельзя обойти вниманием все более возрастающую тенденцию в применении компьютерных и сетевых технологии как средств совершения преступлении, объектом которых выступают любые общественные отношения, а не только отношения в сфере компьютерной информации. Данный факт находит свое отражение и в том, что эксперты в области информационной безопасности все чаще привлекаются в качестве специалистов при проведении следственных действий и оперативно-разыскных мероприятии по преступлениям традиционной направленности: убийствам, мошенничеству, незаконным организации и проведению азартных игр и т. п.⁵⁹

Такая картина видится закономерной вследствие продолжающегося развития информационно-коммуникационных технологий, в том числе средств криптографии, что безусловно влияет на совершенствование средств защиты информации. Способы совершения компьютерных преступлений, которые успешно применялись еще 2–3 года назад, становятся неэффективными. Отходят на второй план и используются только в качестве вспомогательных распространенные еще в недавнем прошлом такие способы преступлений, как, например, перехват сетевого трафика, потерявший свою эффективность с точки зрения преступников в результате массового перехода сетевых сервисов с HTTP-протокола, предусматривающего открытую передачу данных, на протокол HTTPS, обеспечивающий шифрование сетевого трафика между конечными устройствами⁶⁰, либо браузерные атаки, ставшие нецелесообразными и сложными в исполнении в связи с предпринятыми разработчиками мерами, направленными на значительное повышение безопасности клиентского ПО.

В то же время появились новые возможности. Так, востребованными при совершении компьютерных преступлений становятся сервисы, построенные на базе облачных технологий. Облачные серверы позволяют сделать реализацию преступных планов более стабильной. Например, в случае блокировки учетной записи из-за многочисленных жалоб преступники быстро и без проблем могут перенести данные на другой сервер и продолжить свою преступную деятельность. При этом для настройки и поддержки сетевой инфраструктуры, используемой в противоправной деятельности, преступникам больше не нужен соучастник, выполняющий роль администратора компьютерной сети, его работу стал выполнять не осведомленный об их преступных намерениях поставщик услуг⁶¹.

На фоне развития и внедрения информационно-коммуникационных технологий получили развитие различные способы совершения мошенничества.

Рассмотрим частный случаи мошеннических действий, получивший свое собственное, хотя и неформальное название — телефонное мошенничество.

В общих словах телефонное мошенничество заключается в том, что обман потерпевшего осуществляется преступниками дистанционно — с помощью телефонной связи. Однако простое использование стационарных или мобильных телефонов не всегда может обеспечить конспиративность преступной деятельности, а также применение методов социальной инженерии, например, когда для обмана потерпевшего требуется сокрытие телефонного номера, звонящего либо его подмена при определении входящего звонка. Для реализации таких замыслов преступники используют возможности IP-телефонии (технология VoIP — Voice over Internet Protocol). Сама по себе IP-телефония как технология (сетевые протоколы, ПО) является достаточно простой, однако ее использование совместно с иными технологиями, например VPN, предоставляет мошенникам широчайшие возможности для сокрытия следов преступной деятельности и применения методов психологического воздействия на потерпевших. Манипулируя различными технологическими инструментами, преступники моделируют разнообразные схемы телефонной коммуникации⁶².

В основе всех схем находится непосредственно протокол VoIP, реализация которого схожа с функционированием электронной почты. Однако, осознавая, что применение простои схемы приведет к их скорому разоблачению, мошенники обычно дополняют ее следующими элементами:

– прокси-серверы и VPN-серверы, шифрующие голосовой трафик и скрывающие адреса оконечных устройств;

– пограничное оборудование, позволяющее организовывать телефонные соединения между абонентами общетелефонной сети и IP- телефонии;

– виртуальные АТС, разделяющие сегменты многоэлементной сети IP-телефонии.

Виртуальная АТС, настраиваемая в большинстве случаев на базе свободно распространяемого ПО Asteriks, позволяет не только скрыть адреса оконечных устройств, но и осуществлять подмену номера при исходящем звонке. При этом регламенты проверки номеров провайдерами в некоторых иностранных государствах позволяют использовать любые номера без подтверждения. Так, в случае указания в данном поле номера телефона общеизвестного доверенного учреждения, исходящий вызов, транслированный в общетелефонную сеть через пограничное оборудование на территории иностранного государства, поступив на телефон российского пользователя, отобразится в подмененном виде, то есть вызов будет воспринят абонентом, как поступивший от доверенного лица.

Исследуя способы совершения компьютерных преступлений, было бы неправильным не обратить пристальное внимание на бурный рост
суицидального контента, распространяющегося в социальных сетях в так называемых «группах смерти», представляющий особую общественную опасность, так как жертвами склонения к совершению самоубийства в сети Интернет в большинстве случаев становятся несовершеннолетние. По официальным данным, начиная с 2017 года, Роскомнадзором были заблокированы более чем 31 000 «групп смерти» и личных страниц пользователей, на которых были обнаружены информационные материалы с призывами к осуществлению самоубийства⁶³.

Следует отметить, что, начиная преимущественно с 2017 года, в социальных сетях «Вконтакте», а чаще всего в «Instagram», начали появляться картинки с изображением китов с хештегами «Синий кит», «Разбуди меня в 4:20», «Я в игре», «Тихий дом», «Беги или умри», «Фея огня» и другими. Осуществляя переход по указанным ссылкам (хештегам), пользователи, как правило, несовершеннолетние переадресовывались на страницу или виртуальное сообщество, пропагандирующее склонение к совершению самоубийства, где в последующем подвергались вовлечению и вербовке со стороны кураторов этих групп, подталкивающих их к совершению суицида⁶⁴. Отметим также, что пропаганда склонения к совершению самоубийства среди подростков сегодня все чаще осуществляется посредством использования теневого сегмента сети Интернет, так называемого «Даркнета», позволяющего посредством информационно-коммуникационных технологий анонимизировать свою сетевую активность.

С момента достижения поставленной цели кураторами «групп смерти» — совершения суицида несовершеннолетним, в более чем 90% случав начинается «зачистка» следов преступления, заключающаяся в удалении: переписок (аудио-/видеосообщений), хранящихся на удаленных серверах; персональных страниц, с которых велась переписка куратора и потерпевшего; групп/сообществ, на которые была подписана жертва и т. д.

Доступ к персональной странице потерпевшего (логин и пароль), куратор получает от потерпевшего после его вовлечения в «игру» под видом прохождения одного из заданий. В дальнейшем эти данные используются для уничтожения информации, которая может привести следствие к конкретному лицу или сообществу/группе в социальной сети.

Таким образом, как видно из приведенных примеров, при совершении компьютерных преступлений различной направленности преступниками используются технологии, позволяющие анонимизировать свою противоправную активность в сети Интернет и предпринять действенные меры к сокрытию следов преступления.

Полагаем, что представленный в данной главе анализ способов компьютерных преступлений наглядно показывает их полноструктурный характер. Основной криминалистической закономерностью формирования и реализации способа преступления с использованием информационных компьютерных технологий является то обстоятельство, что подготовка обычно предусматривает действия по сокрытию. То есть при совершении компьютерных преступлений неважно относятся ли они к киберзависимым либо не относятся к таковыми, характерным является осуществление преступниками комплекса мер, предшествующих покушению на преступление, которые направлены на сокрытие его следов.

Применительно к способам компьютерных преступлений можно обозначить следующие закономерности частной теории информационно-компьютерного обеспечения криминалистической деятельности:

– закономерности формирования и реализации способа преступления, совершаемого с использованием информационных компьютерных технологий (связь способа с личностью преступника, зависимость способа от конкретных обстоятельств совершения преступления и т. д.);

– закономерности отражения в компьютерных средствах и системах информации о связях действий и их результатов, повторяемости действий в похожих ситуациях, стереотипов действий субъектов при совершении преступлений;

– закономерности возникновения и развития обстоятельств, связанных с преступлением, сопряженным с использованием компьютерных средств и систем (как до, так и после его совершения) и значимых для расследования.

Глава 3.
УЧЕНИЕ О ЦИФРОВЫХ СЛЕДАХ КАК ИСТОЧНИКАХ КРИМИНАЛИСТИЧЕСКИ ЗНАЧИМОЙ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ

§ 3.1. Концепция цифровых следов в криминалистике

Криминалистическое учение о механизме следообразования является одним из важнейших в общей теории криминалистической науки. Анализ современной криминалистической литературы показывает, что независимо от рода и вида следообразующих объектов, качественных особенностей следовоспринимающих поверхностей есть нечто общее, объединяющее все элементы процесса следообразования и в то же время, отражающее динамику процесса, позволяющее проникнуть в сущность следа как объекта познания, выявить его генезис и, следовательно, объяснить его. Этим общим является механизм следообразования. Именно на базе познания механизма следообразования развивается практика исследования следов, безразлично, идет ли речь о следах ног, транспортных средств, огнестрельного оружия или оттисках печатей.

Цифровизации во всех сферах человеческой деятельности породила, с одной стороны, новые виды криминалистически значимой информации, фиксируемой на специфических компьютерных носителях, а с другой — широкое использование цифровых средств фиксации, сохранения, автоматизированной обработки и исследования доказательственной и ориентирующей информации. Использование компьютерных средств и систем для совершения практически любых видов преступлений обусловило в силу всеобщего закона отражения формирование особого механизма следообразования, формирования нового вида следов.

При расследовании компьютерных преступлений, судебном рассмотрении уголовных, гражданских, административных дел компьютерные средства и системы приобщаются к материалам дела в качестве вещественных доказательств, но основным объектом криминалистического исследования является именно информация, содержащаяся в памяти данных устройств. Информация представлена в неявном виде, и для обеспечения возможности ее восприятия необходимо использовать специальные средства.

Поскольку данная проблема носит международный характер в зарубежной практике выделен особый класс цифровых доказательств и описаны методы и приемы работы с ними⁶⁵. При этом необходимо различать оригинал цифрового доказательства, его дубликат и копию. Оригинальным цифровым доказательством являются материальные носители и такие информационные объекты, которые связаны с этими носителями на момент изъятия (получения). Дубликатом является точная цифровая репродукция всех информационных объектов, хранящихся на оригинальном материальном носителе, в то время как копией является точная репродукция информации, содержащейся в информационных объектах, независимая от материального носителя.

В отечественной литературе до сих пор продолжаются дискуссии об определении природы следов, оставляемых в компьютерных средствах и системах. Одним из предложений является введение для исследования компьютерных средств и систем нового вида следов — «виртуальные следы»⁶⁶. По мнению ряда авторов «виртуальные следы» занимают промежуточное положение между идеальными и материальными следами. В обоснование необходимости выделения следов такого рода В. А. Мещеряков указывает на то, что «виртуальные следы» приближены к материальным следам, т. к. существуют реально на материальном носителе, их обнаружение и изъятие возможно только с применением программно-технических средств, потому что непосредственно они восприниматься не могут. В то же время включить их в состав материальных следов нельзя, в них существует доля субъективной природы, т. к. зависят они от способа их считывания, не имеют жесткой связи с устройством, осуществившим запись информации, являются весьма неустойчивыми, что приближает их к идеальным следам. Идеальными виртуальные следы также не являются, т. к. хранятся не в памяти человека, а на материальных объектах. Далее он сравнивает виртуальные следы с трасологическими и находит принципиальные отличия, которые, безусловно, есть⁶⁷.

Полагаем, что последняя аналогия, по меньшей мере, некорректна, поскольку в криминалистике существует большое количество материальных следов, выявление которых невозможно без специальных технологий, причем эти следы могут быть весьма неустойчивы, недоступны непосредственному восприятию, зависят от способа считывания. Например, следы ДНК, ольфакторные следы (пахнущие следы человека), следы целого ряда веществ, невидимые следы рук и пр. Дефиниция «виртуальный след» не нашла единодушной поддержки среди криминалистов. Мы, как и многие другие авторы, полагаем, что виртуальных следов не может быть в принципе, а описываемые следы являются материальными, поскольку зафиксированы на материальных носителях путем изменения свойств или состояния отдельных их элементов⁶⁸.

Компьютерная информация применительно к процессу доказывания может быть определена как фактические данные, обработанные компьютерной системой и (или) передающиеся по телекоммуникационным каналам, а также доступные для восприятия, на основе которых в определенном законом порядке устанавливаются обстоятельства, имеющие значение для правильного разрешения уголовного, гражданского или административного дела⁶⁹. Изъять и приобщить к материалам дела непосредственно информацию нельзя, но поскольку она неотделима от носителя, именно носители становятся особой категорией объектов криминалистического исследования.

Для разъяснения процесса обработки информации коснемся принципов работы современных компьютеров. Согласно определению, данному профессором Амстердамского свободного университета Э. Таненбаумом, «цифровой компьютер — это машина, которая может решать задачи, исполняя данные ей команды»⁷⁰. Архитектура компьютера на своих нижних уровнях предусматривает ограниченный набор простых команд, как например, сложить два числа или проверить, не является ли число нулем. В своей совокупности такие команды составляют язык, называемый машинным.

Машинный код, то есть набор инструкций, составленный из таких команд, выполняется непосредственно центральным процессором компьютера и труден для восприятия даже специалистами в области программирования. Но еще ниже, в основе архитектуры компьютера, находится цифровой логический уровень, который реализуется в виде набора объектов, называемых вентилями.

С использованием вентилей осуществляются простые логические операции с цифровыми сигналами, которые в современной компьютерной технике представлены в двоичной системе счисления (бинарной системе), то есть в виде символов 1 и 0 (да — нет, истина — ложь). При этом несколько вентилей могут хранить в себе значение равное одному биту, то есть либо 0, либо 1. На расположенных выше уровнях архитектуры из различных элементов, содержащих огромное количество вентилей, формируются локальная память и сам процессор, строится ядро вычислительной системы.

Вентили построены из аналоговых компонентов, но смоделированы как цифровые устройства. В их основе лежат устройства физические (транзисторы), которым для работы необходима электроэнергия. Соответственно, обработка процессором цифровых данных и их хранение в оперативной памяти (ОЗУ, оперативное запоминающее устройство) происходит до того момента, пока питание компьютера не будет отключено. Оперативная память называется энергозависимой, во время работы компьютера в ней хранится выполняемый машинный код, а также иные данные, обрабатываемые процессором. Зафиксировать цифровые данные, содержащиеся в оперативной памяти, возможно только в процессе работы компьютера. Копия содержимого ОЗУ называется снимком либо дампом оперативной памяти и может содержать цифровые следы преступления, если компьютер после его использования при совершении преступных действий не выключался.

Следующий вопрос, которому необходимо уделить внимание, — передача цифровых данных, то есть физическая трансляция битового потока в виде сигналов между конечными компьютерными системами для их дальнейшей обработки. Передача компьютерной информации между вычислительными системами осуществляется посредством компьютерных сетей (локальных и глобальной сети Интернет) с помощью технологий, использующих различные физические среды передачи данных. Д. Куроуз и К. Росс выделяют две категории физических сред, используемых для передачи данных с помощью распространения электромагнитных волн или оптических импульсов: проводную и беспроводную. В первом случае волны распространяются по твердому телу с использованием оптического или коаксиального кабеля, либо медной витой пары. Во втором — волны распространяются в окружающей среде, например в атмосфере, посредством радиоканалов. Для передачи данных в компьютерных сетях помимо линий связи, независимо от типа их реализации, используются устройства — коммутаторы пакетов различных типов. С помощью линий связи и коммутаторов в одну сеть соединяются конечные компьютерные системы по всему миру⁷¹. Объем цифровых данных, передаваемых посредством компьютерной сети в определенный период времени, называют сетевым трафиком. Сетевые данные в основном передаются в виде блоков данных определенного формата — сетевых пакетов. Трафик, содержащий цифровые следы преступления, может быть перехвачен либо на линии связи, либо на коммутаторе, записан в файл, называемый дампом трафика.

Под хранением цифровых данных, в первую очередь, понимается их сохранение на энергонезависимые носители информации. В настоящее время представлено большое количество типов носителей информации: накопители на жестких магнитных дисках (НЖМД); твердотельные накопители различных видов на микросхемах и транзисторах с плавающем затвором, способных без питания сохранять отрицательный заряд (сигнал); оптические носители в виде пластмассовых дисков, запись/чтение данных на которые производится с помощью лазера; сетевые хранилища для хранения данных больших объемов, реализованные обычно путем объединения нескольких НЖМД в один массив — RAID (рейд, англ. Redundant Array of Independent Disks).

Цифровые данные, хранящиеся на носителях информации любого типа, могут быть скопированы на носители-дубликаты целиком в виде полной побитовой копии и исследованы на предмет обнаружения следов преступления.

На основании вышеизложенного, можно сделать вывод, что любые действия с использованием компьютерных систем и их сетей оставляют следы в виде структур компьютерной информации — цифровые следы — в оперативной памяти компьютера, на носителях информации различных типов, на линиях связи и в коммутаторах.

Таким образом, цифровой след представляет собой криминалистически значимую компьютерную информацию о событиях или действиях, отраженную в материальной среде, в процессе ее возникновения, обработки, хранения и передачи.

Цифровые следы являются следами материальными, так как, будучи оставленными в результате определенных событий, отражаются на материальных объектах, хотя в некоторых случаях период их существования весьма невелик. По происхождению цифровые следы являются технологическими, поскольку формирование данных следов обусловлено спецификой реализации информационных технологий, и для их преобразования в доступную для восприятия форму также используются информационные технологии. По механизму следообразования они могут быть отнесены к электронным либо электромагнитным в зависимости от носителя, на котором они отображены — твердотельном либо на магнитных дисках. Но возможны и механические следы, которые образуются, например, в структуре материала оптического диска под воздействием лазерного луча.

Рассмотрим особенностях цифровых следов.

Компьютерная информация характеризуется высокой скоростью трансформации, по своей природе электронные цифровые данные легко уничтожить и модифицировать. В связи с этим даже незначительное промедление с фиксацией обнаруженных цифровых следов может повлечь их утрату. Цифровые данные могут быть представлены практически бесконечным количеством копий, легко распространены в компьютерных сетях и быть доступны в любой точке мира, где имеется подключение к сети Интернет.

Цифровые следы обладают только им присущими свойствами:

– существуют в виде компьютерной информации;

– характеризуются высокой скоростью трансформации;

– отличаются невозможностью восприятия непосредственно органами чувств, а только с помощью специальных устройств и программ;

– требуют новых, отличных от традиционных, способов, методов и процедур по обнаружению, фиксации и обеспечению сохранности;

– подтверждаются контрольными числами (хеш-суммами) либо иными данными, свидетельствующими об их целостности.

Перечисленные свойства цифровых следов обусловливают необходимость использования криминалистических технологий при их выявлении, сохранении и изъятии, а также судебно-экспертном исследовании.

Цифровизация привела к тому, что на смену традиционным аналоговым способам отображения объектов криминалистического исследования пришли их электронные аналоги, представленные в цифровом виде и фиксируемые в цифровом виде на специфических компьютерных носителях. Это касается аудио- и видеозаписей, фотоизображений представления рукописных подписей, документов, дактилоскопических следов и отпечатков и др. в цифровом виде. Использование информационных технологий в сфере экономики (например, система «1С-бухгалтерия»), банковской сфере, в документообороте вызывает необходимость исследовать не традиционные документы бухгалтерской, банковский, финансово-экономической отчетности, а их трансформации, представленные в цифровом виде — цифровые следы.

В настоящее время практически любая судебная экспертиза, например, дактилоскопическая, фоноскопическая, видеотехническая, портретная, судебно-бухгалтерская, финансово-экономическая, судебно-техническая экспертиза документов и другие, в качестве своих объектов может иметь цифровые следы, что породило целый ряд теоретических, правовых и организационных проблем, связанных с методологией и методиками экспертного исследования, компетенций судебных экспертов⁷².

Цифровые следы могут быть представлены для дальнейшего исследования для получения розыскной и доказательственной информации в различных видах и формах:

– находиться на отдельных носителях, например, на жестком магнитном диске (HDD), флеш-накопителе и др.;

– непосредственно содержаться в компьютерных системах и сетях, мобильных коммуникаторах, планшетах, на серверах, в облачных хранилищах;

– в качестве цифровых следов можно рассматривать электронные документы;

– образы цифровых следов, отображаемые в цифровом виде с помощью различных программных продуктов, например изображения подписей, дактилоскопических отпечатков в графических или текстовых процессорах; скриншоты переписки в социальных сетях и пр.;

– образы цифровых следов, отображаемые на бумажных носителях, например, распечатки скриншотов, распечатки электронных документов и др.

§ 3.2. Цифровые следы как результат противоправного использования вредоносных программ

В настоящее время подавляющее число компьютерных преступлений и, в первую очередь, связанных с несанкционированным доступом к компьютерным средствам и системам, осуществляется с помощью вредоносных программ, которые значительно усиливают возможности преступников. Противоправное использование вредоносных программ обнаруживается через их цифровые следы.

Сам термин «вредоносная программа» до конца пока не является устоявшимся, поэтому проанализируем свойства, характеризующие компьютерную программу как вредоносную.

Как уже ранее нами отмечалось, с уголовно-правовой точки зрения определение вредоносной программы содержится в диспозиции ст. 273 УК РФ, согласно которой под таковой понимается компьютерная программа либо иная компьютерная информация, заведомо предназначенная для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации.

Признаки состава данного преступления, по существу, можно рассматривать как признаки, позволяющие признать конкретную компьютерную программу вредоносной, но только с правовой точки зрения, так как установление прямого умысла на этапе разработки вредоносной программы, а именно доподлинное и безусловное осознание предназначения создаваемой программы — «заведомо предназначенная», является исключительной прерогативой следователя и суда.

Иначе трактуют этот термин компании, занимающиеся разработкой программного обеспечения и созданием средств защиты информации.

Необходимо отметить, что в англоязычной терминологии используется понятие «malware», образованное от слияния двух сокращенных слов — злонамеренный (англ. malicious) и программное обеспечение (англ. software). Компания Microsoft под этим термином понимает вредоносные приложения и программный код, которые могут привести к повреждению и нарушению нормальной работы устройств. Такое определение с криминалистической точки зрения нельзя признать полным, отражающим его сущность.

Более широко раскрывается это понятие в электронной энциклопедии Лаборатории Касперского, согласно которой любая программа, преднамеренно созданная для выполнения несанкционированных, зачастую вредоносных действий⁷³.

Схожим образом раскрывает этот термин Национальный институт стандартов и технологий США (NIST), который под вредоносным ПО понимает: «программное обеспечение или встроенное микропрограммное обеспечение, предназначенные для выполнения несанкционированного процесса, который может оказать неблагоприятное влияние на конфиденциальность, целостность или доступность информационной системы»⁷⁴.

На «несанкционированную пользователем реализацию своего назначения» вредоносной программой как на ее ключевой признак обращали внимание еще авторы одного из первых комментариев к ст. 273 УК РФ: «Вредоносность или полезность соответствующих программ для ЭВМ определяется не в зависимости от их назначения, способности уничтожать, блокировать, модифицировать, копировать информацию (это — вполне типичные функции абсолютно легальных программ), а в связи с тем, предполагает ли их действие, во-первых, предварительное уведомление собственника компьютерной информации или другого добросовестного пользователя о характере действия программы, а во-вторых, получение его согласия (санкции) на реализацию программой своего назначения. Нарушение одного из этих требований делает программу для ЭВМ вредоносной»⁷⁵.

Действительно, любая компьютерная программа в процессе своей работы записывает новые и стирает старые данные в оперативной памяти и на подключенных дисках, модифицирует их, согласно заложенному в нее алгоритму, может блокировать либо копировать определенную информацию. Однако и эта трактовка вызывает вопросы. Указанные признаки не являются достаточными для признания программы вредоносной, поскольку такая ее функциональность может быть следствием ошибки в разработке либо осознанно реализованной, но по какой-то причине незадекларированной ее создателями. При таких обстоятельствах еще один признак можно рассматривать как необходимый для того, чтобы назвать программное обеспечение вредоносным, –субъективное восприятие потерпевшим угрозы от компьютерной программы. Очевидно, что даже при наступлении неких негативных последствий в результате работы известных легальных программ вследствие того, что разработчики программного обеспечения не уведомили пользователя о характере действия программ либо не получили разрешения на реализацию программами незадекларированной функциональности, эти факты не могут сами по себе являться основаниями для признания ПО вредоносным. Проиллюстрируем такие ситуации несколькими примерами.

В 2017 году компания Microsoft, разъясняя причины возникших проблем в работе антивирусных программ, установленных пользователем на компьютеры под управлением ОС Windows 10, признала факты кратковременного отключения стороннего антивирусного ПО в связи с обновлением операционной системы⁷⁶.

В другом случае проблемы возникли осенью 2019 года у пользователей компьютеров Mac Pro компании Apple под управлением ОС macOS версий 10.9–10.14 Mojave, которые в какой-то момент перестали загружаться. Как выяснилось позже причиной такого сбоя явилось не заражение компьютеров вредоносной программой, а ошибка разработчиков, приводящая к некорректному обновлению ПО Google Chrome для Mac. Mac перестали загружаться из-за обновления Google Chrome⁷⁷.

Более того, Будапештской Конвенцией о киберпреступности особо предусмотрено, что статья о криминализации действий по созданию, распространению и использованию компьютерных программ для совершения упомянутых в первом подразделе конвенции правонарушений не должна толковаться как устанавливающая уголовную ответственность в тех случаях, когда данные действия не связаны с намерением совершать правонарушения, а, например, осуществлены в связи с разрешенным испытанием или защитой компьютерной системы. В этой связи необходимо отметить, что непосредственно термин «вредоносная программа» в Конвенции не упоминается. Но авторами этого международного правового акта предлагается странам-участницам предусмотреть в национальных законодательствах уголовную ответственность за создание, распространение в различных формах, приобретение и использование компьютерных программ, разработанных или адаптированных для совершения деяний, предусмотренных статьями первого подраздела «Правонарушения, связанные с использованием компьютерных средств», в который включены: неправомерный доступ к компьютерной системе или ее части; неправомерный перехват данных, передаваемых в компьютерную систему, из нее или внутри такой системы; умышленное повреждение, удаление, ухудшение качества, изменение или блокирование компьютерных данных; неправомерное воздействие на функционирование компьютерной системы путем ввода, передачи, повреждения, удаления, ухудшения качества, изменения или блокирования компьютерных данных⁷⁸.

Схожей и даже более широкой трактовки понятия «вредоносная программа» придерживаются и представители отечественной науки уголовного права и криминологии. Так, Е. А. Русскевич на основе анализа признаков вредоносности компьютерного программного обеспечения в свете доктрины уголовного права приходит к выводу, что под вредоносной следует понимать компьютерную программу, созданную (в том числе путем модификации легальной программы) для осуществления противоправной деятельности⁷⁹.

Как уже неоднократно упоминалось выше практически любые компьютерные преступления, а не только те, которые предусмотрены в главе 28 УК РФ совершаются с применением компьютерных средств и систем, в том числе с использованием вредоносных программ, что делает вполне оправданным расширенное толкование определения вредоносности компьютерных программ.

Объективные свойства, которые позволяют рассматривать такие программы как обладающие признаками вредоносности, устанавливаются по цифровым следам, указывающим на:

– наличие функциональных возможностей уничтожения, блокирования, модификации, копирования пользовательской информации и нейтрализации средств защиты компьютерной информации;

– инсталляцию без явного одобрения пользователем;

– скрытый либо замаскированный от пользователя режим работы;

– проведение операций с информацией, не санкционированных пользователем явно.

Вследствие большого разнообразия вредоносных программ для их классифицирования применяют различные основания. Самая общая классификация, широко применяемая в настоящее время разработчиками антивирусного программного обеспечения, выделяет из класса вредоносных программ (Malware) следующие подклассы: программы-вирусы (Virus), программы-черви (Worm) и троянские программы (Trojan)⁸⁰.

Данная классификация вредоносных программ воспринята и апробирована судебно-экспертным сообществом, что нашло свое выражение в национальном стандарте ГОСТ Р 57429–2017 «Судебная компьютерно-техническая экспертиза. Термины и определения»⁸¹.

В указанном документе даны следующие определения, рекомендуемые в качестве справочных данных, отражающих систему понятий судебной компьютерно-технической экспертизы:

– компьютерный вирус — программа, обладающая способностью к самораспространению по локальным ресурсам средства вычислительной техники, не использующая сетевых сервисов;

– червь — программа, обладающая способностью к самораспространению в компьютерных сетях через сетевые ресурсы;

– троянская программа — программа, не обладающая возможностью самораспространения, маскирующаяся под легитимный файл.

Способы использования вредоносных программ и выявляемые цифровые следы их воздействия описаны в главе 2.

§ 3.3. Контрафактный информационно-компьютерный продукт как цифровой след

Процессы цифровизации в раскрытии и расследовании преступлений в области авторского и смежных прав в области цифровых информационных объектов проявляются через широкое использование компьютерных средств фиксации, сохранения, автоматизированной обработки и исследования доказательственной и ориентирующей информации, а также через новые виды криминалистически значимой информации, фиксируемой на компьютерных носителях.

Проблемы раскрытия и расследования преступлений в сфере оборота цифровой продукции занимали умы научной общественности с начала 2000-х годов, когда на территории Российской Федерации появилось большое количество контрафактных экземпляров аудио- и видеозаписей, программных продуктов, распространяемых на компакт-дисках и устанавливаемых на персональные компьютеры посредством копирования соответствующей записи с нелегального носителя на встроенный носитель (жесткий диск).

В соответствии с российским законодательством данные действия преследуются в административном (ст. 7.12 КоАП РФ) и уголовном (ст. 146 УК РФ) порядке. Именно в те годы (и примерно до 2015 года) стали интенсивно разрабатываться методические подходы к расследованию уголовных дел в части нарушений авторских и смежных прав⁸². Однако во всех этих работах рассматривались именно методические подходы к проведению криминалистических и следственных мероприятий, главное внимание обращалось на материальное представление контрафактного экземпляра продукции. В данных работах зачастую тактика следственных действий и методические подходы к исследованию аудиофонограмм, видеофильмов, программного обеспечения рассматривались изолированно для каждого вида объектов. На тот момент это было вполне оправданно, поскольку видео- и аудиозаписи зачастую помещались на компакт-диски в отдельном формате, не подпадающим под цифровой контент. Однако дальнейшее развитие информационно-компьютерных технологий привело к тому, что и фонограммы, и видеозаписи, и даже кинофильмы, снятые на кинопленку, были переведены в цифровой формат. Благодаря этому сегодня мы имеем дело с цифровым контентом, защищаемым авторскими и смежными правами, который, без сомнения, является компьютерной информацией.

Криминалистически значимую компьютерную информацию, используемую при раскрытии и расследовании уголовных дел, несет в себе цифровой след, зафиксированный в материальной среде в процессе возникновения, обработки, хранения и передачи этой информации. Учения о цифровых следах, как источниках криминалистически значимой компьютерной информации, входит в систему частной теории информационно-компьютерного обеспечения криминалистической деятельности. Следовательно, разработка решения проблем расследования и раскрытия преступлений в сфере оборота цифровой продукции — цифрового контента — сегодня является одной из задач данной теории.

Говоря о борьбе с компьютерным пиратством (именно так сегодня принято называть незаконное копирование, распространение цифрового контента, охраняемого авторскими и смежными правами), следует иметь в виду, что это многогранная проблема, решение которой должно развиваться во многих направлениях.

Обратимся к исследованию криминалистического аспекта этой проблемы. На наш взгляд, отправным моментом разработки новых криминалистических методик раскрытия и расследования уголовных дел, рассмотрения дел об административных правонарушениях, связанных с нарушением авторских и других смежных прав, является формулирование основных дефиниций, устанавливающих предмет посягательства, его основные характеристики, признаки нарушения права. В первую очередь, это понятие, объединяющее в единое целое весь цифровой контент, на который распространяется защита авторских и смежных прав.

Несмотря на то, что в начале 2000-х годов многие авторы, указанные выше, обращалось к теме контрафактного продукта, распространяемого на компьютерных носителях информации, общего понятия для таких продуктов выработано не было. Практически все авторы делились на две категории: те, кто рассматривал вопросы, связанные с созданием, распространением и использованием контрафактных программных продуктов⁸³, и те, кто занимался рассмотрением вопросов защиты аудиовизуальной продукции⁸⁴. На сегодняшний день, по нашему мнению, такой подход устарел. Полагаем, что эти виды продукции, в случае их незаконного использования, производства и распространения, целесообразно рассматривать в совокупности.

Цифровой контент, к которому сегодня относится и аудиовизуальная продукция, и цифровые фотографии, и оцифрованные кинофильмы, и компьютерные (цифровые) книги, и программные продукты, требует единообразного подхода. В первую очередь, это продиктовано природой этих объектов. Все они имеют цифровую структуру, выраженную в виде компьютерных файлов, прямое восприятие пользователем которых невозможно без использования специализированных программ. Данная необходимость следует из того, что в файлах информация располагается в закодированном с помощью двоичного цифрового кода виде и только раскодирование его в соответствие с алгоритмом, обратным кодировке, и дальнейшая передача полученной информации на устройства вывода (мониторы, дисплей, принтеры, плоттеры, колонки, наушники и т. п.) позволит пользователю адекватно ее воспринять (увидеть картину, услышать музыку). Иными словами, только участие компьютерных технологий может сделать весь цифровой контент значимым для пользователя и только с участием этих технологий возможно воспроизведение, распространение, хранение информации такого рода. Следовательно, и работа экспертных, следственных и оперативных органов с объектами такого рода должна осуществляться по единым правилам.

Не имеет значения, что несет в себе файл, программу, графическое изображение, звук, текст как результат человеческого творчества с применением компьютерно-цифровых технологий, важно, что все это является информационно-компьютерным продуктом, обращающимся на рынке, защищаемом авторским и смежными правами.

Считаем необходимым обратить внимание на то, что как защита подобного рода продуктов, так и преодоление этой защиты осуществляется с использованием аппаратной и программной составляющей компьютерных средств. Именно поэтому неумелое обращение с файлами, несущими объекты авторского права, влечет за собой порчу такого продукта и потерю криминалистически значимой информации. Поэтому для работы с ними необходимо использование специальных знаний в области информационно-компьютерных технологий, включающих понимание их природы и особенностей обнаружения, изъятия и хранения.

В силу того, что долгое время такие объекты авторского права как программы для ЭВМ, аудио- и видеофонограммы, фотографии, кинофильмы, литературные произведения, представленные в форме цифровых, компьютерных файлов, рассматривались как различные объекты, возникло большое количество разнообразных теорий, подходов и методик получения доказательств, зачастую противоречащих друг другу. В результате возникала путаница в получении значимой информации, нередко влекущая за собой порчу, потерю самих объектов и неполноту исследования при проведении судебных экспертиз. Именно поэтому, на наш взгляд, целесообразно для приведения к единым нормам и стандартам тактику проведения следственных действий и методики экспертных исследований информационно-компьютерных файлов, подлежащих охране авторскими и смежными правами, ввести новую дефиницию, их обозначающую — контрафактный информационно-компьютерный продукт. Это даст возможность унифицировать методическую базу и развивать ее в соответствии с особенностями специальных знаний, требующихся для сбора, исследования таких объектов.

Полагаем, что мы достаточно полно объяснили необходимость применения дефиниции «информационно-компьютерный продукт» к рассматриваемой категории компьютерных файлов. Далее рассмотрим термин «контрафактный продукт». Предвидя возражения ряда правоведов относительно правомерности применения этого термина, разъясним свою позицию.

Под термином «контрафактность» юристы понимают нелегальность экземпляров изделий, произведенных, приобретенных, ввезенных в страну с нарушением действующего законодательства. На это же указывает п. 4 ст. 1252 ГК РФ: «В случае, когда изготовление, распространение или иное использование, а также импорт, перевозка или хранение материальных носителей, в которых выражены результат интеллектуальной деятельности или средство индивидуализации, приводят к нарушению исключительного права на такой результат или на такое средство, такие материальные носители считаются контрафактными…».

Важно, что из этого по смыслу явно следует — контрафактным может быть только экземпляр изделия, например, бумажная книга, электронная книга, диск с программой или фильмом и пр. — объект авторского права.

Такое понимание юристами и трактовка в ГК РФ термина «контрафактный», на наш взгляд, следует из Постановления Пленума Верховного суда РФ от 26.04.2007 № 14 «О практике рассмотрения судами уголовных дел о нарушении авторских, смежных, изобретательских и патентных прав, а также о незаконном использовании товарного знака» в котором говорится: «…что под экземпляром произведения следует понимать копию произведения, изготовленную в любой материальной форме, в том числе в виде информации, зафиксированной на машиночитаемом носителе (CD- и DVD-диске, MP3-носителе и др.)… экземпляры произведений или фонограмм считаются контрафактными, если изготовление, распространение или иное их использование, а равно импорт таких экземпляров нарушает авторские и смежные права, охраняемые в соответствии с законодательством Российской Федерации». Из вышеизложенного следует, что Верховный Суд не различает, например, бумажную книгу и информацию, зафиксированную на машинном носителе.

Подобный подход являлся оправданным с точки зрения развития компьютерных технологий в 2007 году, когда основной поток лицензионной информационно-компьютерной продукции шел через распространение ее на индивидуальных компьютерных носителях информации, чаще всего CD- и DVD-дисках. Соответственно, также распространялась и контрафактная продукция, выполненная с нарушением авторских и смежных прав, а также лицензионного договора. Именно поэтому разработки методической базы исследования такой продукции и проведения следственных действий по ее обнаружению и изъятию в основном опирались на работу с материальными носителями и их анализ⁸⁵. При этом очень мало внимания уделялось исследованиям цифрового контента.

Сегодняшние реалии диктуют нам совсем другой подход. В основном это связано с изменением потока лицензионного программного, аудиовизуального, текстового, графического информационно-компьютерного продукта, и как результат его контрафактного аналога. Перераспределение произошло в сторону распространения продуктов посредством электронно-цифровых сетей. Чаще всего таким транспортером служит глобальная сеть Интернет. Однако при разработке методического обеспечения следственной и судебно-экспертной деятельности в этом направлении не стоит упускать из вида и локальные сети (домовые, корпоративные), поскольку движение по ним информационно-компьютерного продукта с нарушением лицензионных соглашений также осуществляется и оставляет свои цифровые следы. Сегодня уже нельзя рассматривать тактику следственных действий и методики судебно-экспертных исследований в жесткой привязке к материальным носителям информации. Необходимо разрабатывать и внедрять в практику новые методики, основанные на анализе цифрового контента.

Вернемся к понятию «контрафактности». В нормативной регламентации данного понятия существенное место занимает ГОСТ Р 57881-2017 «Система защиты от фальсификаций и контрафакта. Термины и определения». В рамках этого нормативного акта вводится еще одно понятие, связанное с рассматриваемым. Это контрафактное изделие, которое определяется как: «…Изделие, при изготовлении, продаже, обмене, распространении, импорте или ином введении, в оборот которого и при внесении изменений, в которое были нарушены исключительные права на результаты интеллектуальной деятельности или средства индивидуализации». Данное понятие, на наш взгляд, максимально близко подводит к новой, предлагаемой нами дефиниции контрафактный информационно-компьютерный продукт.

Важным преимуществом данного определения является то, что оно строго не завязано на материальный носитель. Это вытекает из определения понятия изделия. Изделие — это технологически завершенный продукт производства определенного целевого назначения. Для объектов авторского права, неразрывно связанных с компьютерными технологиями, значимым будет увязка их с понятием производства и самого продукта. Производство — это любая деятельность человека, направленная на процесс преобразования имеющихся ресурсов (капитал, труд, управленческий талант, сырье и др.) в необходимые блага, предназначенные для удовлетворения потребностей. Его можно рассмотреть как последовательность действий, благодаря которым ресурсы превращаются в конечную продукцию — в товары и услуги⁸⁶. Очевидно, здесь нет противоречий. Создание информационно-компьютерного продукта является осознанной человеческой деятельностью по применению труда лиц, обладающих знаниями и умениями в области информационно-компьютерных технологий и управления, с привлечением временных, энергетических и материально-технических ресурсов. Получаемый в этом случае продукт напрямую не зависит от носителя, на котором он расположен.

Сегодняшние распределенные компьютерные технологии вообще позволяют хранить и эксплуатировать один информационно-компьютерный продукт на различных, разнесенных в пространстве носителях (например, распределенные базы данных, интернет-ресурсы, программы коммуникаторы типа WhatsApp или Messenger). Следовательно, несмотря на возражения ряда авторов, к информационно-компьютерному продукту без привязки к его носителю можно применить понятие — контрафактный.

Обобщая вышесказанное, можно дать определение новой вводимой нами дефиниции: Контрафактный информационно-компьютерный продукт — это продукт осознанной человеческой деятельности, изготовленный с использованием компьютерно-цифровых технологий, представленный в цифровом виде на одном или нескольких носителях информации, соединенных посредством вычислительных сетей или технологии виртуализации данных для объединения нескольких физических носителей информации в логический модуль, при изготовлении, продаже, обмене, распространении или ином введении в оборот которого были внесены изменения, вследствие чего были нарушены исключительные права на результаты интеллектуальной деятельности или средства индивидуализации.

Из полученного определения следует, что важным моментом отнесения информационно-компьютерных продуктов к контрафактным является обнаружение признаков нарушения исключительных прав на результаты интеллектуальной деятельности или средства индивидуализации. Иными словами, признаки контрафактных информационно-компьютерных продуктов свидетельствуют о неправомерном использовании, распространении и воспроизведении продукта.

Таким образом, для унификации тактических приемов производства следственных действий и методик экспертного исследования информационно-компьютерных файлов, подлежащих охране авторскими и смежными правами, на основе частной теории информационно-компьютерного обеспечения криминалистической деятельности, учения о криминалистическом исследовании компьютерных средств и систем разработана новая дефиниция контрафактный информационно-компьютерный продукт, изготовленный с использованием компьютерно-цифровых технологий, который не зависит от объекта, на котором он расположен и может храниться и эксплуатироваться на различных, разнесенных в пространстве носителях: в базах данных, интернет ресурсах, программах коммуникаторах и др.

Контрафактный информационно-компьютерный продукт является одной из разновидностей цифровых следов, что открывает новые пути разработке тактико-криминалистического обеспечения следственных действий, создания методик судебно-экспертного исследования.

Глава 4.
УЧЕНИЕ О КРИМИНАЛИСТИЧЕСКОМ ИССЛЕДОВАНИИ КОМПЬЮТЕРНЫХ СРЕДСТВ И СИСТЕМ, РЕАЛИЗУЕМОЕ В НОВОМ РАЗДЕЛЕ КРИМИНАЛИСТИЧЕСКОЙ ТЕХНИКИ

§ 4.1. Общие положения криминалистического исследования компьютерных средств и систем

Криминалистическая техника — одно из первых сложившихся в криминалистике понятий. На этапе становления криминалистики криминалистическая техника являлась основой науки. В настоящее время это один из разделов криминалистики, где дается система научных положений и основанных на них технических (в широком смысле) средств, приемов и методик, предназначенных для собирания и исследования доказательств в процессе судопроизводства по уголовным, административным и гражданским делам, делам об административных правонарушениях, осуществления иных мер раскрытия и предупреждения преступлений. Средства, приемы и методики криминалистической техники представляют собой естественные и технические знания. Естественно-научный характер многих средств и приемов придает термину «техника» условное значение.

Термином «криминалистическая техника», во-первых, обозначается раздел криминалистической науки, а во-вторых, — совокупность технических средств, т. е. приборов, аппаратуры, оборудования, инструментов, приспособлений, принадлежностей и материалов, применяемых для собирания и исследования доказательств в процессе судопроизводства.

Как раздел криминалистики она состоит из элементов, образующих собственную систему, в которую входят:

– общие положения, включающие систему и задачи криминалистической техники, элементы частных криминалистических теорий и учений (например, учения о навыках, о механизме следообразования, теории идентификации и др.), общую характеристику технико-криминалистических средств, правовые основания их применения;

– криминалистическая фотография, видеозапись;

– габитоскопия (криминалистическое исследование внешних признаков человека);

– трасология (криминалистическое исследование следов);

– криминалистическое исследование оружия, боеприпасов, взрывных устройств и следов их применения;

– криминалистическое исследование документов, в которое входят: судебное почерковедение, технико-криминалистическое исследование документов;

– криминалистическая фоноскопия (исследование звуковых следов, в том числе установление человека по голосу);

– криминалистическое исследование веществ, материалов и изделий;

– криминалистическая ольфакторика (исследование пахнущих следов);

– криминалистическая регистрация.

Причем современные средства и методы этого раздела базируются на новейших достижениях не только криминалистической науки, но и неорганической, органической, физической и квантовой химии, общей физики, физики твердого тела, теплофизики, кристаллографии, общей и молекулярной биологии, математики, а также других естественных и технических наук.

Интеграция в криминалистику достижений естественных и технических наук, усложнение самих технических средств, совершенствование и развитие методик их применения нередко сопряжено со сложными технологическими операциями, поэтому необходимо говорить уже не только о криминалистической технике, но и о технологии. Особенно рельефно это видно при рассмотрении вопроса о связях техники, тактики и методики расследования отдельных видов преступлений.

Развитие цифровизации, как уже указывалось в предыдущих главах, привело к замене аналоговых способов следообразования на цифровые формы, появление цифровых следов. Однако в криминалистической технике не было раздела, связанного с техникой и технологией описание процесса следообразования в цифровой форме, а также собирания (выявления, фиксации и изъятия) и возможностей исследования цифровых следов.

«Компьютерная преступность» как особая категория уголовно наказуемых деяний, при совершении которых так или иначе используется компьютерная техника, признана уже с конца 90-х годов прошлого столетия, а с начала 2000-х в Российской Федерации предпринимаются попытки определения специфических объектов и криминалистических задач, которые ставятся при их исследовании⁸⁷. В экспертно-криминалистических подразделениях МВД России, ФСБ России, судебно-экспертных учреждениях Минюста России, а сейчас и Следственного комитета России открываются отделы по исследованию компьютерных средств, в которых начинаются разработки методического обеспечения по собиранию и исследованию криминалистически значимой компьютерной информации. Однако проводимые исследования разрознены, связаны главным образом с разработкой методического обеспечения видов судебных компьютерных экспертиз.

Задачи определения специальных знаний, методов и средств необходимых для выявления, фиксации, изъятия криминалистически значимой информации, содержащейся в компьютерных средствах и системах, разработки соответствующих информационно-компьютерных технологий могут быть решены только в рамках учения «Криминалистическое исследование компьютерных средств и систем».

Предмет учения о криминалистическом исследовании компьютерных средств и систем можно определить как систему закономерностей собирания криминалистически значимой компьютерной информации, на основе познания которых разрабатываются технико-криминалистические методы, средства, приемы и методики выявления, фиксации и изъятия доказательственной и ориентирующей криминалистической информации, содержащейся в компьютерных средствах и системах в процессе судопроизводства по уголовным, гражданским и административным делам, а также для осуществления иных мер раскрытия и предупреждения преступлений.

Объектами учения о криминалистическом исследовании компьютерных средств и систем являются компьютерные средства и системы, рассматриваемые в широком смысле, и содержащаяся в них розыскная и доказательственная криминалистически значимая компьютерная информации.

Данное учение с точки зрения системы криминалистики должно относиться к криминалистической технике и технологии. Термином «криминалистическая техника», во-первых, обозначается раздел криминалистической науки, а во-вторых, — совокупность технических средств, т. е. приборов, аппаратуры, оборудования, инструментов, приспособлений, принадлежностей и материалов, применяемых для собирания и исследования доказательств в процессе судопроизводства». Отсюда изучение возможностей интеграции в криминалистику новых научных методов и разработка на этой основе новых криминалистических технологий, а также разработка частных криминалистических теорий за счет творческого использования ею достижений фундаментальных и прикладных наук неразрывно связаны с развитием новых направлений криминалистической техники.

В § 1.2. мы отмечали дискуссии, которые возникают в связи с попытками включения в криминалистическую технику новых разделов и определяли критерии, по которым новое направление криминалистической техники можно считать формирующимся. Попробуем обосновать выполнение этих критериев⁸⁸ в настоящий момент, что обусловливает необходимость формирования в рамках криминалистической техники нового учения, затрагивающего область интеграции в криминалистику компьютерно-цифровых технологий.

Во-первых, выполняется критерий о специфике объектов исследования и, в то же время, их распространенности, частоте встречаемости в уголовном, административном и гражданском судопроизводстве. Действительно, как было продемонстрировано в § 3.1. цифровизация привела к тому, что весьма распространенными объектами криминалистического исследования стали цифровые следы — не только электронные аналоги, аудио- и видеозаписей, фотоизображений, подписей, документов, дактилоскопических следов и отпечатков и др., представленных в цифровом виде и фиксируемых на специфических компьютерных носителях, но и следы действия с использованием компьютерных систем и их сетей в виде структур компьютерной информации в оперативной памяти компьютера, на носителях информации различных типов, на линиях связи и в коммутаторах.

Во-вторых, налицо решение специфических криминалистических задач — диагностические и идентификационные исследования цифровых следов, в том числе воздействия вредоносных программ и изу-чение контрафактных информационно-компьютерных продуктов.

В-третьих, методологическая и методическая разработанность данного направления, несмотря на его новизну, идет уже давно в основном в русле судебно-экспертных исследований⁸⁹.

Полагаем, что назрела необходимость введения в криминалистическую технику нового раздела: «Криминалистическое исследование компьютерных средств и систем», включающего исследование как стационарных компьютеров, серверов, носителей данных, так и мобильных устройств сотовой связи, смартфонов, планшетных компьютеров и других устройств. Попытка введения раздела «Исследование компьютерной информации на электронных носителях» в учебник криминалистики была предпринята ранее в учебнике «Криминалистика: информационные технологии доказывания»⁹⁰. Однако раздел данной книги охватывал только часть проблем, и к сожалению, эта инициатива не получила должного дальнейшего распространения и развития. Основанный на учении о криминалистическом исследовании компьютерных средств и систем новый раздел криминалистической техники и технологии, на наш взгляд, включает описание объектов криминалистического исследования, особенности их собирания (выявления, фиксации, изъя-тия), возможности судебно-экспертного исследования этих объектов.

§ 4.2. Классификация объектов криминалистического исследования компьютерных средств и систем и особенности их собирания

Основными объектами раздела криминалистической техники —криминалистическое исследование компьютерных средств и систем — являются цифровые следы. Однако, говоря о цифровых следах, нельзя забывать о двойственной природе информационно-компьютерных объектов, которая включает информационно-цифровую и материальную составляющие. Следовательно, наряду с цифровыми следами объектами криминалистического исследования компьютерных средств и систем будут являться носители цифровых следов, от правильного обнаружения, фиксации и изъятия которых, их судебно-экспертного исследования зависит целостность и полнота криминалистически значимой информации, имеющей доказательственное и ориентирующее значение.

На сегодня можно выделить следующие категории объектов, которые могут являться носителями криминалистически значимой компьютерной информации:

– устройства для хранения информации;

– устройства для ввода/вывода информации;

– устройства обработки информации;

– устройства для передачи информации по каналам связи;

– информационные комплексы и системы.

Необходимо отметить, что все перечисленные виды объектов содержат цифровые следы, могут продуцировать собственные цифровые следы и участвуют в формировании криминалистически значимой компьютерной информации. В связи с этим рассмотрим их подробнее.

Устройства хранения информации, предназначенные для записи и хранения информации. Запись информации (данных) — это процесс преобразования информационных сигналов в пространственное изменение физических характеристик (например, наличие или отсутствие заряда, ориентация вектора намагниченности и др.) или формы носителя записи (например, следы от прожигания на лазерном
CD-диске) с целью сохранения и последующего воспроизведения записанной информации. Отсюда хранение информации характеризуется переносом информации с помощью цифрового кодирования и изменения физических или биологических свойств носителя на данный носитель, вспомогательное устройство для последующего использования компьютерной системой. Хранение является одной из основных операций, осуществляемых над информацией или как еще ее называют в IT-технологиях — данными, и служит главным способом обеспечения ее доступности в течение определенного промежутка времени.

Устройства хранения информации принято в основном разделять на внешние и внутренние. К внутренним относятся: устройства, обеспечивающие работоспособность самой вычислительной системы (компьютера), оперативная память, кэш-память, BIOS. К внешним принято относить большинство запоминающих устройств, известных как винчестер, флеш-накопитель, карта памяти, CD-диск.

До недавнего времени существовали только эти два вида памяти, разделенные по признаку расположения: в компьютерной системе или вне ее. Однако на сегодняшний день существует еще один вид устройства хранения информации — это облачное хранилище, располагающееся в сети Интернет. Данный вид хранения является гибридным, что вытекает из самой сути такого вида хранения. Данные, подготовленные и обработанные пользователем на своем компьютерном средстве и предназначенные для использования на нем или других компьютерных системах, хранятся на внутренних носителях информации серверов, расположенных за пределами системы пользователя.

Следует отметить, что классификация устройств хранения информации, имеющая существенное криминалистическое значение, может осуществляться и по иным основаниям. Немаловажным является подразделение устройств хранения информации по принципу энергозависимости устройства, когда они могут быть разделены на два класса: энергозависимые (оперативная память) и энергонезависимые (жесткие магнитные диски, флеш-память, оптические и магнитооптические диски и др.). Энергозависимые устройства требуют постоянного использования электропитания для возможности удержания записанной на них информации и очищаются при снятии электропитания, в то время как энергонезависимые запоминающие устройства сохраняют информацию при отключении электропитания.

Еще одним значимым основанием разделения устройств хранения информации является устойчивость записи. В соответствии с ней выделяются: постоянные запоминающие устройства (BIOS); записываемые (CD-R); многократно перезаписываемые (CD-RW, DVD-RW, жесткие магнитные диски, флеш-память); оперативные запоминающие устройства (ОЗУ– компьютерной системы).

Запоминающие устройства могут быть классифицированы и по иным основаниям, но именно эти основания на сегодняшний день определяют специфику криминалистического исследования данных объектов, применяемые к ним технические средства. При получении доступа к устройствам хранения и изъятия с них криминалистически значимой компьютерной информации наиболее важно определить порядок действий, позволяющий сохранить содержащиеся на устройствах цифровые следы в неизменном виде, а это, в первую очередь, зависит от отнесения устройства к тому или иному виду в соответствии с основаниями классификации, указанными нами выше.

Устройства ввода информации предназначены для преобразования поступающих от пользователя данных в доступную для обработки системой цифровую форму. К таковым относятся клавиатуры, манипуляторы (мыши, джойстики, трекболы), сенсорные графические планшеты (не путать с мобильными устройствами), интерактивные доски, сканеры, веб-камеры, устройства видеозахвата, звуковые карты с аудиовходом, считыватели смарт-карт, акселерометры и гироскопы, приемники спутниковой навигации, сканеры папиллярных узоров и узоров сетчатки глаз, разного рода датчики и измерительное оборудование, а также иные устройства.

Устройства вывода информации предназначены для преобразования информации из цифровой формы в форму доступную для восприятия человеком, а также техническими средствами. К ним относятся индикаторы, мониторы, проекторы, принтеры, звуковые карты, исполнительные механизмы и телемеханика (например, турникет или электронный замок) и т. д.

Устройства обработки информации предназначены для регистрации поступающей информации и формирования управляющих команд в соответствии с алгоритмом. Среди компонентов персонального компьютера примером устройства обработки информации являются центральный процессор, графический контроллер (видеокарта), звуковой процессор (звуковая карта). В устройствах обработки информации также обычно присутствует оперативная память, используемая для хранения обрабатываемых объемов информации (кэш, буфер). Строго говоря, практически в каждом цифровом устройстве в том или ином виде имеется устройство обработки информации — микроконтроллер (преобразователь), осуществляющий обработку данных по алгоритму, заложенному в микропрограмме («прошивке») и хранящемуся в постоянном запоминающем устройстве.

Устройства передачи информации по каналам связи по своей сути представляют собой устройства ввода/вывода информации, которые осуществляют преобразование поступающих данных в сигнал, пригодный для передачи по каналу связи (модуляцию), и его трансляцию, а также прием сигналов и их обратное преобразование в доступную для обработки форму (демодуляцию). К устройствам относятся Wi-Fi роутеры, модемы, сетевые карты, GSM-модули, маршрутизаторы, bluetooth-модули, модули ИК-связи, коммутаторы и др.

Необходимо особо отметить, что передачу и хранение криминалистически значимой информации — цифровых следов следует рассматривать не только для компьютерных средств и систем, но и для мобильных телефонов сотовой связи, смартфонов, планшетов. Данные устройства в силу своего всеобщего использования являются одними из самых распространенных объектов криминалистического исследования компьютерных средств и систем, поскольку выступают не только как носители и средства передачи криминалистически значимой информации — цифровых следов, но нередко используются как орудия совершения преступлений.

Обозначенные мобильные устройства не могут классифицироваться как электронно-вычислительные машины, поскольку имеют постоянное соединение с сетью и являются ее частью. Они представляют собой интегрированные устройства, в которые входит персональный компьютер (иногда с урезанными возможностями), устройство связи, коммутации; используют специфическое программное обеспечение; содержат носители информации (SIM-карты, карты памяти, USB-накопители); осуществляют функции глобальной системы позиционирования (GPS), оснащены фото- и видеокамерами⁹¹.

Современная компьютерная система независимо от своих конструктивных особенностей (будь то сервер, ноутбук, смартфон или планшет) по сути является единым информационным комплексом. Управление данным информационным комплексом и взаимодействие его составных частей осуществляется посредством программного обеспечения, которое в свою очередь является как средством, продуцирующим цифровые следы, так и само приставляет собой цифровой след.

Отличительными чертами доказательственной информации, хранящейся в цифровом виде, являются следующие:

– неявный вид и необходимость использования специальных средств для обеспечения ее восприятия;

– возможность уничтожения или модификации в кратчайшие сроки и удаленно;

– наличие специальных средств, ограничивающих доступ к данной информации;

– постоянное изменение информации в ходе работы пользователя и выполнения различных операций;

– формирование взаимосвязанной информации на различных устройствах одновременно при передаче данных по каналам связи.

Перечисленные свойства цифровых данных обусловливают необходимость соблюдения определенных правил при фиксации и изъятии цифровых следов, а также их судебно-экспертном исследовании.

Криминалистические технологии выявления, фиксации и изъятия криминалистически значимой доказательственной и ориентирующей информации при работе с компьютерными средствами и системами также должны быть отражены в рассматриваемом разделе криминалистической техники. Укажем основные принципы, которыми следует руководствоваться при проведении следственных действий, сопряженных с изъятием компьютерных средств и систем:

– не должна изменяться никакая информация, содержащаяся на изымаемых носителях компьютерной информации;

– доступ к информации и исследование ее на месте допустимо только когда невозможно изъять носитель для производства судебной экспертизы;

– любые манипуляции с компьютерными средствами и системами должны осуществляться только с участием специалиста;

– все выполняемые действия должны подробно протоколироваться, чтобы обеспечить возможность использования результатов этих действий в доказывании.

Непосредственное восприятие цифровых следов невозможно, поэтому для выявления невозможна чувственно-рациональная форма восприятия. Выявление цифровых следов производится опосредованно с использованием специализированного криминалистического прикладного программного обеспечения, предназначенного для их поиска, сохранения и изъятия (консервирования на электронном носителе информации). Причем следует учитывать возможность безвозвратного уничтожения цифровых следов вследствие активного противодействия расследованию, оказываемого преступниками, заранее предусматривающими с целью сокрытия преступления в определенных условиях высокую скорость трансформации и возможности уничтожения либо фальсификации информации. Особенно это актуально при выявлении цифровых следов на работающей энергозависимой компьютерной системе.

Как указывалось выше, при собрании цифровых следов необходимо обеспечить их сохранение в неизменном виде. Если это невозможно, используются специальные средства криминалистической техники для создания копий, их верификации и документирования⁹².

§ 4.3. Судебное-экспертное исследование цифровых следов

В раздел «Криминалистическое исследование компьютерных средств и систем» входит описание современных возможностей экспертного исследования, которое дается через перечни типичных задач основных родов судебных экспертиз, назначаемых при изучении вышеуказанных объектов. В первую очередь, это, безусловно, касается судебных компьютерно-технических экспертиз, объектами которых уже более 25 лет фактически являются цифровые следы. Основу судебных компьютерно-технических экспертиз составляют следующие виды:

– судебная аппаратно-компьютерная экспертиза — исследование технических (аппаратных) средств компьютерной системы;

– судебная программно-компьютерная экспертиза — исследование программного обеспечения;

– судебная информационно-компьютерная экспертиза (данных);

– судебная компьютерно-сетевая экспертиза, которая основывается, прежде всего, на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию⁹³.

Однако цифровые следы стали в последние годы объектами исследования во многих родах (видах) судебных экспертиз, например, в фоноскопической, автороведческой, лингвистической, почерковедческой, фототехнической, видеотехнической, портретной, судебно-бухгалтерской, финансово-экономической, судебно-технической экспертизе документов и других, что не могло не породить целый ряд теоретических, правовых и организационных проблем, не оказать существенного влияния на методологию и методики экспертного исследования, компетенцию судебных экспертов.

Выше мы рассмотрели пока только общий подход к цифровым следам как особым материальным следам технологической природы. Однако, полагаем, что в зависимости от рода (вида) экспертиз цифровые следы имеют свою специфику, которая должна быть изучена с позиций судебной экспертологии и найти отражение в частных теориях этих родов (видов) экспертиз.

В связи с видоизменением объектов существенным образом меняется и компетенция судебных экспертов в условиях цифровизации судебной экспертизы. Судебные эксперты, исследующие цифровые следы независимо от рода (вида) экспертизы должны владеть современными компьютерными технологиями. Производство многих родов (видов) экспертиз в силу их специфики уже требует от эксперта ряда компетенций в области IT-технологий. Это, например, фоноскопическая экспертиза, видеотехническая и фототехническая экспертиза, решение ряда задач портретной экспертизы. Но для производства целого ряда некогда «традиционных» судебных экспертиз при замене аналоговых способов фиксации информации на цифровые тоже возникла потребность в использовании компьютерных технологий.

В результате цифровой трансформации, которая наблюдается во всех отраслях экономики, производство судебных экономических экспертиз в современных условиях невозможно без применения новых инновационных подходов, учитывающих реалии цифровизации. Так в рамках судебной финансово-экономической экспертизы сформировался новый инновационный вид судебных экономических экспертиз — судебная экспертиза операций с цифровыми финансовыми активами. Необходимо отметить, что операции с цифровыми финансовыми активами осуществляются исключительно в сети интернет и носят транснациональный характер. Специфика экспертных исследований здесь такова, что требует от эксперта не только экономических специальных знаний, но и знаний в области IT-технологий. При этом в судебной экспертизе операций с криптоактивами все объекты представляют собой цифровые следы. Цифровой след в экономической экспертизе представляет собой криминалистически значимую компьютерную информацию о наличии, поступлении и выбытии активов организации, а также об отельных сделках и влиянии их на состав и структуру бухгалтерской (финансовой) отчетности, отраженную в материальной среде, в процессе ее возникновения, обработки, хранения и передачи⁹⁴.

В условиях цифровизации для ведения бухгалтерского учета и отчетности используются электронные базы бухгалтерского учета. Наиболее часто современные организации используют базу
«1С: Бухгалтерия». Зачастую использование данных этой программы при проведении исследования непосредственно экспертом-бухгалтером недопустимо без проведения предварительной судебной компьютерно-технической экспертизы.

Осуществленный нами анализ судебно-экспертной практики показывает, что нередко в распоряжение, например эксперта судебной бухгалтерской экспертизы предоставляется компьютерная система, и он самостоятельно должен выявить и исследовать имеющиеся в электронном виде документы бухгалтерской отчетности, фактически являющиеся цифровыми следами. Но в компетенцию эксперта-экономиста не входит работа с цифровыми следами. Они должны были быть сначала исследованы экспертом судебной компьютерно-технической экспертизы для легитимного получения цифровых следов, например, установить, имеется ли на данном компьютере система «1С-бухгалтерия», является ли она лицензионной, получены ли массивы бухгалтерской информации с помощью этой версии программы или привнесены в компьютер как-то иначе и пр., а затем, скопированы на внешний носитель или представлены в бумажном варианте для производства судебно-бухгалтерской экспертизы. В противном случае эксперт судебно-бухгалтерской экспертизы, даже если он владеет необходимыми технологиями, что весьма проблематично, не имеет права ими воспользоваться, поскольку это находится вне пределов его компетенции.

Во многих родах судебных экспертиз на первоначальной стадии экспертного исследования судебный эксперт выявляет следы, обнаружение которых невозможно без использования специальных (инструментальных) методов. Особенно это касается цифровых следов, которые как мы определили выше, являются материальными и имеют технологическую природу, они могут быть выявлены при проведении судебно-экспертного исследования.

Рассмотрим эти проблемы на основе судебной экспертологии и ситуационного подхода⁹⁵.

Как известно из учения о классификация судебных экспертиз⁹⁶, любое экспертное исследование, в том числе исследование цифровых следов возможно:

1. При производстве комплекса экспертиз: судебная компьютерно-техническая экспертиза и затем иная экспертиза.

2. При производстве комплексной экспертизы.

3. При производстве различных родов (видов) моноэкспертиз экспертиз в рамках комплексного исследования при условии комплексного применения при осуществлении методики IT-технологий и методов данного рода (вида) экспертиз. Это предполагает не только видоизменение (цифровизацию) методики моноэкспертизы, но и расширение компетенции судебных экспертов.

Гносеологическая сущность комплексной экспертизы, как и комплексного исследования — это комплексный анализ признаков.

В случае комплексного исследования признаки анализируются совестно экспертами, специализирующимися в одном роде (виде) экспертиз.

В случае комплексной экспертизы эксперты, компетентные в разных родах экспертиз, совместно анализируют выявленные ими признаки.

Заметим, что здесь наличествуют две ситуации:

1) объекты — цифровые следы — поступают на отдельных носителях, например, на жестком магнитном диске (HDD), флеш-накопителе и др.;

2) цифровые следы находятся в компьютерных системах, на серверах.

При первой ситуации, например в фоноскопической экспертизе, цифровые следы представляются в распоряжение судебного эксперта на отдельных носителях. Использование IT-технологий является неотъемлемой частью экспертной методики, а эксперт рода (вида) судебной экспертизы обладает в соответствии с со своей специализацией необходимыми компетенциями, поскольку он получил высшее образование по специальности «судебная экспертиза», специализация «судебные речеведческие экспертизы», либо прошел профессиональную переподготовку. В судебных экспертизах, подобных фоноскопической экспертизе, используется комплексная методика экспертного исследования и, соответственно, комплекс различных компетенций при проведении комплексного исследования в рамках моноэкспертизы. Но подобная ситуация наблюдается пока далеко не во всех родах (видах) судебных экспертиз, специфика которых обусловливает необходимость решения вопроса о разработке комплексной методики, включающей исследование цифровых следов, или использовании отдельных методик экспертиз различных родов (видов) в рамках комплекса экспертиз или комплексной
экспертизы.

При решении сложных диагностических задач может возникнуть необходимость привлечения судебных экспертов судебной компьютерно-технической