Судебная компьютерно-техническая экспертиза

Что исследует экспертиза

Эксперт исследует аппаратные средства, программы и цифровые данные: извлекает информацию, в том числе удалённую, восстанавливает хронологию действий пользователя, анализирует системные журналы, метаданные файлов, переписку в мессенджерах и электронной почте. Отдельная задача — установить, изменялись ли данные после создания, и подтвердить целостность цифрового доказательства: соответствие исследуемой копии исходному носителю. Смысл переписки эксперт не толкует — это задача лингвистической экспертизы.

Экспертизу назначает суд по ст. 79 ГПК РФ, ст. 82 АПК РФ или ст. 77 КАС РФ, в уголовных делах — следователь по ст. 195 УПК РФ; изъятие электронных носителей и копирование информации с них УПК РФ регулирует особо. До суда возможно исследование по договору с оформлением заключения специалиста — например, чтобы зафиксировать переписку и проверить её на признаки изменения.

Когда нужна

• Сторона ссылается на переписку в мессенджере, а другая утверждает, что сообщения изменены или удалены
• Спор о подлинности электронного документа и времени его создания
• Работодатель подозревает утечку данных через рабочий компьютер или съёмный носитель
• Уголовное дело о мошенничестве, неправомерном доступе к компьютерной информации или вредоносных программах
• Спор о наличии на компьютерах организации нелицензионного программного обеспечения
• Нужно восстановить удалённые файлы, фотографии или историю действий на устройстве

Какие вопросы ставят эксперту

1. Имеется ли в памяти телефона [модель, IMEI] переписка в мессенджере [название] между пользователями [учётные записи] за период с [дата] по [дата]? Если да — представить её в читаемом виде.
2. Имеются ли признаки удаления, изменения или добавления сообщений в указанной переписке? Если да — когда и какие изменения внесены?
3. Каковы даты создания и последнего изменения файла [имя файла], и соответствуют ли его метаданные фактической истории файла?
4. Имеются ли на накопителе [модель, серийный номер] удалённые файлы, и возможно ли их восстановление?
5. Подключались ли к компьютеру съёмные носители информации, и если да — какие и когда?
6. Имеются ли на компьютере программы, предназначенные для несанкционированного уничтожения, модификации или копирования информации?
7. Соответствует ли представленная копия данных содержимому исходного носителя?

Формулировки типовые. Окончательный перечень вопросов определяет суд (ст. 79 ГПК РФ, ст. 82 АПК РФ) или заказчик исследования.

Объекты и документы

Устройства передаются через суд или следователя в упаковке, исключающей доступ к содержимому, по возможности изолированными от сети. Включать устройство и просматривать переписку до исследования не следует.

Как проходит экспертиза

1. Приём объектов и осмотр упаковки

   Фиксируется состояние упаковки, пломб и объекта, идентификационные данные сверяются с определением или постановлением.

2. Изоляция и создание копии

   Устройство изолируется от сетей; с носителя создаётся побитовая копия и вычисляется её контрольная сумма.

3. Извлечение данных

   Специальными средствами извлекаются файлы, базы приложений, журналы и удалённые данные; работа ведётся с копией.

4. Анализ и реконструкция событий

   Сопоставляются метаданные, журналы, базы мессенджеров и резервные копии; строится хронология и выявляются признаки изменения данных.

5. Проверка целостности

   Повторное вычисление контрольных сумм подтверждает, что данные при исследовании не изменились.

6. Заключение и возврат объектов

   Заключение по ст. 25 Федерального закона № 73-ФЗ сопровождается носителем с извлечёнными данными; объекты возвращаются упакованными.

Сроки и стоимость

Срок и стоимость зависят от количества и сложности вопросов, объёма материалов и необходимости выезда на осмотр. Условия сообщаются после изучения вопросов и документов.