§ 4. Особливості тактики проведення окремих слідчих дій

Для вирішення слідчих ситуацій, що складаються під час розслідування злочинів у сфері використання електронно-обчислювальних машин (комп’ютерів), систем та комп’ютерних мереж і мереж електрозв’язку провадяться такі слідчі дії: огляд місця події, обшук і виїмка, допит підозрюваного (обвинуваченого), допит свідків, пред’яв­лення для впізнання, слідчий експеримент, призначення експертиз та ін.

Огляд місця події. У справах цієї категорії огляд місця події провадиться, як правило, до порушення кримінальної справи під час дослідчої перевірки і за участю спеціаліста в галузі інформатики й обчислювальної техніки. Також бажано понятими запрошувати осіб, знайомих із роботою ЕОМ. Приймаючи до уваги, що комп’ютерна інформація як предмет злочинного посягання може бути легко видозмінена або знищена, що призве­де до втрати слідів злочину, огляд проводиться негайно. При цьому огляду підлягають: місце безпосереднього оброблення і збереження комп’ютерної інформації, що стала предметом злочинного посягання;

місце безпосереднього використання комп’ютерного обладнання з метою здійснен­ня несанкціонованого втручання в роботу ЕОМ, доступу до баз даних або створення, використання та розповсюдження шкідливих програмних чи технічних засобів;

місце збереження добутої злочинним шляхом з інших комп’ютерів, комп’ютерних систем і мереж інформації на машинному носії, в ЕОМ, системі ЕОМ або їх мережі;

місце безпосереднього порушення правил експлуатації ЕОМ, автоматизованих сис­тем, комп’ютерних мереж чи мереж електрозв’язку або порядку чи правил захисту інформації, що в них оброблюється;

місце шкідливих наслідків, що настали в результаті вчинення злочинів цієї категорії. Сам огляд місця події варто починати зі вжиття заходів щодо запобігання приховуван­ня злочинцем своїх дій із машинною інформацією. Для цього необхідно заборонити до­ступ до засобів обчислювальної техніки всім особам, які працюють на об’єкті. Під час ог­ляду в першу чергу слід звернути увагу на розміщення комп’ютерів у конкретному приміщенні, якщо вони сполучені в мережу — розташування всіх комп’ютерів у мережі, призначення кожного з них, наявність виділеного серверу і його розташування, цілісність і місця прокладки кабелів, стан пристроїв телекомунікації (модемів, факсів-модемів), їхнє розташування і підключення до телефонних каналів. Ця інформація відображується в протоколі огляду, до якого додається схематичний план з’єднання пристроїв.

Під час огляду необхідно з’ясувати наявність спеціальних засобів захисту від не­санкціонованого доступу до інформації, до яких можуть бути віднесені:

спеціальні електронні картки, у які записується інформація про власників, їх паролі та ведеться врахування всіх операцій, виконуваних користувачем;

електронні ключі доступу до персонального комп’ютера, у яких знаходиться мікро­процесор, у запам’ятовуючий пристрій якого заноситься унікальна для кожного кори­стувача інформація;

пристрої ідентифікації користувачів за відбитками пальців;

пристрій впізнання користувача за геометричними ознаками руки. При цьому кори­стувач розміщує руку в масиві фоточарунків, де отримується інформація про довжину пальців та їх світлопровідність, потім проводить порівняння з еталоном, що зберігається в персональному комп’ютері;

пристрої впізнання користувача за почерком, для чого використовуються динамічні (швидкість, тиск на папір) і статичні (форма і розмір) характеристики процесу підпису;

пристрої впізнання користувачів за голосом на основі впровадження спеціальних багатоканальних фільтрів.

За наявності подібних пристроїв, підключених до комп’ютера, провадиться автома­тична фіксація всіх незаконних спроб вторгнення. Наприклад, такі системи зчитують інформацію з магнітних карток незаконних власників, записують їхній голос, відбитки пальців. Ці дані надалі можуть бути використані для ідентифікації особи злочинця.

Необхідно вжити заходів щодо встановлення місця перебування і цілісності ключів, журналів, блокнотів або інших об’єктів, у яких відображені паролі доступу та іден­тифікаційні коди. Об’єктами огляду також є різні журнали: обліку робочого часу, досту­пу до обчислювальної техніки, збоїв і ремонту, реєстрації користувачів мережі, прове­дення регламентних робіт; ліцензійні угоди і договори на користування програмними продуктами та їх розробкою; книги паролів, накази й інші документи, що регламенту­ють роботу установи і використання інформації.

Після огляду засобів електронно-обчислювальної техніки рекомендується: описати в протоколі призначення, назву, комплектацію, наявність і тип залучених периферій­них пристроїв (принтерів, сканерів, модемів тощо); положення всіх перемикачів на всіх блоках і пристроях обчислювальної техніки. У випадку виявлення включеної техніки насамперед необхідно визначити, яка програма використовується у цей момент, далі зафіксувати в протоколі стан індикаторних ламп (включена або її немає, яким світлом горить, мигає і з якою частотою), а також інформацію, що висвітлюється на різних інди­каторах, табло і моніторі, сфотографувати їх або зробити відеозапис. Відключити всі те­лефонні лінії, що підключені до комп’ютера. Описати всі з’єднання на задній стінці си­стемного блока.

Учасникам огляду необхідно роз’ясняти всі дії слідчого і спеціаліста в ході маніпу­ляцій із ЕОМ. Неприпустимо втручання в інформаційну базу без наочного і доступного коментаря своїх дій. Має бути пояснено будь-яке натискання на клавіатуру, пересуван­ня миші тощо. Якщо для пошуку інформації задіюються програмні продукти, що не знаходяться в комп’ютері, а використовувані слідчим, це необхідно відзначити в прото­колі огляду. Такі програми мають бути стандартними. Необхідно забезпечити наочність контролю, тобто всі ключові етапи роботи програми зображуються на екрані дисплея. У випадку виявлення шуканої інформації поточне зображення екрана дисплея також необхідно сфотографувати, після чого стандартними засобами переписати інформацію на постійний носій (зазвичай — магнітний диск) або роздрукувати.

Комп’ютери та їх комплектуючі опечатуються, магнітні носії упаковуються, зберіга­ються і перевозяться в спеціальних екранованих контейнерах або у стандартних дискет- них футлярах заводського виробництва. У протоколі слідчої дії описуються основні фізичні характеристики пристроїв, що вилучаються, магнітних та інших постійних но­сіїв інформації, серійні номери, їх видимі індивідуальні ознаки. Машинні роздруківки оформляються як додаток до протоколу.

Обшук і виїмка. Приймаючи до уваги те, що комп’ютерне обладнання й комп’ютер­на інформація можуть виступати не лише предметом злочинного посягання, а й знаряд­дям злочину, обшук та виїмка мають бути спрямовані на пошук і вилучення всіх можли­вих слідів, що пов’язані із функціонуванням зазначених об’єктів, наприклад:

інформації щодо незаконних бухгалтерських і фінансових операцій, здійснених у кредитно-фінансовій сфері;

програм, що відповідають за проведення електронних платежів у мережі Інтернет з використанням послуг інтернет-магазинів та віртуальних фірм, а також списки здійснених перерахувань із чужих рахунків і кредитних карток;

програмного забезпечення і баз даних, законними володарями яких є інші особи; файлів із конфіденційною інформацією, якою на законних підставах не може во­лодіти наявний суб’єкт;

шкідливих програмних та технічних засобів;

особистої переписки та переписки співучасників, що стосується організації і вчи­нення злочину;

відомості, що становлять державну, комерційну, банківську таємницю; зашифровані відомості, що пов’язані з вчиненням злочину; записи кодів та паролів доступу;

записні книжки, у тому числі й електронні, в яких можуть знаходитись імена, прі­звиська хакерів і співучасників, номери телефонів, банківських рахунків, ПІН-коди пластикових карток;

телефонні рахунки за користування провайдерськими послугами; нестандартні периферійні прилади, прилади доступу до телефонної мережі та ме­режі ЕОМ;

документи, посадові інструкції, якими регламентовані правила роботи з певною ЕОМ та комп’ютерною системою, мережею, із відповідними позначками співробітни­ка, що засвідчують його ознайомлення з ними;

особисті документи підозрюваного (обвинуваченого).

Допит підозрюваного (обвинуваченого). Тактика допиту, а також коло питань, що не­обхідно з’ясувати у підозрюваного (обвинуваченого), обумовлені конкретною слідчою ситуацією, що склалася на певному етапі розслідування цієї категорії злочинів. Проте в усіх випадках у процесі допиту підозрюваного (обвинуваченого) встановлюються такі обставини:

1. яку освіту має підозрюваний (обвинувачений), місце і час навчання, де і ким (на якій посаді) працював, з якою комп’ютерною технікою і яким програмним забезпечен­ням має навички користування, де ними оволодів;

2. до якої комп’ютерної інформації має доступ; які операції з інформацією він має право проводити; яка його категорія доступу до інформації;

3. який його рівень підготовки як програміста, досвід роботи зі створення програм конкретного класу певною мовою програмування, знання алгоритмів роботи програм, що зазнали впливу;

4. які ідентифікаційні коди і паролі закріплені за ним (у тому числі в роботі у комп’ютерній системі або мережі);

5. до яких видів програмного забезпечення має доступ, яке джерело їх походження; чи виявлялися програми, джерело походження яких невідоме;

6. які види операцій з комп’ютерною інформацією виконував у досліджуваний час;

7. з якого джерела або від кого конкретно дізнався про інформацію, що зберігається на комп’ютері;

8. від кого була отримана інформація про заходи захисту комп’ютерної інформації, що використовуються, і способи їх подолання;

9. яким чином був переборений фізичний, технічний і програмний захист комп’ю­терної інформації;

10. яким чином здійснювався неправомірний доступ до комп’ютерної інформації, які технічні й програмні засоби при цьому використовувалися;

11. чи провадилося незаконне копіювання комп’ютерної інформації, які носії ін­формації при цьому використовувалися;

12. кому були передані відомості, отримані в результаті неправомірного доступу до комп’ютерної інформації, з якою метою;

13. чи знав підозрюваний (обвинувачений) про зміст інформації, яку він викликав і знищив, заблокував, модифікував, скопіював;

14. який алгоритм функціонування шкідливої програми, на яку інформацію і як во­на впливає, характер наслідків, що наступають;

15. яка переслідувалася мета при вчиненні подібного діяння;

16. як здійснювалося знищення слідів неправомірного доступу до комп’ютерної інформації;

17. як часто здійснювався неправомірний доступ до комп’ютерної інформації;

18. хто сприяв підозрюваному (обвинуваченому) у вчиненні цього діяння або хто міг знати (здогадуватися) про здійснення підозрюваним (обвинуваченим) неправомірного доступу до комп’ютерної інформації (створення, використання та поширення шкідли­вих програм для ЕОМ) та ін.

Дещо іншою є тактика допиту підозрюваних (обвинувачених) у випадку порушення правил експлуатації ЕОМ, автоматизованих систем, комп’ютерних мереж чи мереж електрозв’язку або порядку чи правил захисту інформації, що в них зберігається, оскільки ними можуть бути тільки особи, які відповідають за їх експлуатацію. Це насам­перед оператори, програмісти, техніки-налагоджувальники. Під час допиту цих осіб з’ясовуються такі обставини:

1. коли було призначено на посаду і чи було ознайомлено зі встановленим режимом роботи і правилами експлуатації; в якому документі це відображено, чи проводився офіційний інструктаж, ким і як часто, в яких документах фіксувався;

2. коли і в якому місці відбувся факт порушення правил експлуатації, у продовж якого часу таким чином експлуатувалося обладнання;

3. в який конкретно спосіб було здійснено порушення правил експлуатації: вчинено дії, що не відповідають приписам інструкції, чи порушено режим виконання певних операцій;

4. які наслідки припущених помилок: виникнення нештатної ситуації з комп’юте­ром і його приладами, що призвело до знищення, перекручення чи копіювання інфор­мації; виведення з ладу комп’ютерної мережі, що спричинило блокування інформації і порушення роботи організації, установи, підприємства, систем управління і зв’язку; виведення з ладу обладнання організації, установи, підприємства, що керується комп’ютерними програмами тощо.

Допит свідків. Свідками при розслідуванні злочинів у сфері використання електрон­но-обчислювальних машин (комп’ютерів), систем та комп’ютерних мереж і мереж еле­ктрозв’язку можуть виступати представники потерпілої сторони, особи з оточення підозрюваного (обвинуваченого) і очевидці вчинення злочину з числа відвідувачів об’єкта і випадкових осіб.

Представниками потерпілої сторони, яких допитують як свідків, зазвичай є: особи, які безпосередньо відповідають за порядок доступу на об’єкт, режим доступу до ЕОМ та комп’ютерної інформації, організацію роботи з нею та здійснюють контроль за викори­станням ресурсів; менеджери різноманітних рівнів; начальники відділів інформації та охорони; технічний персонал, що здійснює безпосередню роботу з обчислювальною технікою і програмними засобами; представники інформаційної (комп’ютерної) без­пеки тощо.

Під час допитів представників потерпілої сторони необхідно одержати відповіді на такі питання:

1. які на об’єкті режим і фактичний стан охорони, умови доступу;

2. які на об’єкті організація і режим роботи з обчислювальною технікою: чи є служба безпеки інформації; як організований доступ до засобів обчислювальної техніки, ма­шинних носіїв, до ресурсів ЕОМ, системи ЕОМ або їхньої мережі; яка організація до­ступу до кодів, паролів та іншої інформації, яка періодичність створення резервних копій; як організований контроль за використанням дискового простору користувача­ми; як здійснюється противірусний захист; як організований доступ до ЕОМ і їхньої ме­режі ззовні через пристрої телекомунікації; як ведеться урахування користувачів;

3. чи були порушення правил експлуатації обчислювальної техніки з боку користу­вачів;

4. хто мав доступ до приміщення, де розташовується комп’ютерна техніка;

5. які сліди або предмети могли залишити злочинці на місці вчинення злочину;

6. які обставини передували вчиненню злочину, чи спостерігалися спроби встанов­лення контакту зі співробітниками підприємства, установи тощо;

7. що відомо про вчинений злочин, підозрюваних, про підготування злочину, з яких джерел виходить ця поінформованість;

8. яка інформація зазнала впливу, її призначення та зміст;

9. які розміри збитку від впливу на інформацію і наслідки, що може спричинити ро­бота шкідливих для ЕОМ програм.

Свідками з оточення підозрюваного можуть бути: товариші по службі, родичі, сусіди, знайомі. У них з’ясовуються такі обставини:

1. де знаходився і що робив підозрюваний у момент вчинення злочину;

2. які засоби обчислювальної техніки, машинні носії, апаратуру і пристрої, призна­чені для ремонту й обслуговування ЕОМ, має підозрюваний, де, на які кошти придбав, місце їх зберігання;

3. якими фаховими навичками в галузі застосування та експлуатації ЕОМ володіє;

4. чи не виявляв інтерес до конкретної комп’ютерної інформації, що здійснював або намагався здійснити для доступу до неї.

Пред’явлення для впізнання. Шляхом упізнання встановлюються злочинці, комп’ю­терна техніка, використана під час вчинення злочину, комп’ютерна інформація, різно­манітні предмети й об’єкти, пов’язані зі злочинною діяльністю. Для впізнання може пред’являтися комп’ютерна інформація у вигляді програм, баз даних, текстових і графічних файлів, а також носії комп’ютерної техніки. При цьому слід зазначити, що комплекс ознак конкретного програмного продукту (призначення, виконання функ­цій, інтерфейс, графічне і музичне оформлення тощо) робить його можливим для впізнання.

У процесі підготовки до пред’явлення для впізнання на підставі ознак, зазначених під час допиту особою, яка виконує впізнання, добирається низка візуально подібних програмних продуктів. При проведенні впізнання комп’ютерної інформації не обов’яз­ково використовувати декілька ЕОМ. Так, у системі \¥іпсіо\У8 можливе паралельне вико­нання декількох програм (перегляд декількох текстових або графічних файлів, змісту баз даних) з одночасним виведенням результатів на екран. У разі заяви про впізнання програмного продукту виконання програми припиняється і пропонується повідомити, за якими саме ознаками відбулося впізнання.

Слідчий експеримент. Під час розслідування злочинів у сфері використання елек­тронно-обчислювальних машин (комп’ютерів), систем та комп’ютерних мереж і мереж електрозв’язку можуть провадитися такі види експерименту:

1. для перевірки можливості здійснення певних дій (наприклад, можливості про­никнення в приміщення, де знаходиться комп’ютерна техніка);

2. для встановлення можливості сприймати визначені обставини (бачити, чути тощо);

3. для встановлення механізму утворення слідів;

4. для перевірки можливості підключення комп’ютерної техніки і здійснення безпо­середнього доступу до комп’ютерної інформації;

5. для перевірки можливості проникнення в закриті зони (шляхом добору паролів, ідентифікаційних кодів і встановлення періоду часу на цей добір);

6. для перевірки можливості підключення до комп’ютерної мережі й електронного перехоплення;

7. для встановлення періоду часу, необхідного на підключення до комп’ютерної ме­режі, відключення технічних засобів захисту інформації, модифікацію, копіювання комп’ютерної інформації;

8. для перевірки можливості здійснення певних операцій з комп’ютерною інфор­мацією поодинці;

9. для перевірки можливості здійснення певних операцій за допомогою комп’ютер­ної техніки за визначений проміжок часу;

10. для перевірки наявності фахових та інших навичок у конкретної людини (напри­клад, з написання програм певної властивості тощо).

Проведення дослідних дій у ході здійснення запропонованих видів слідчого експе­рименту має проходити багаторазово у певному режимі та темпі, а за необхідності — по­етапно.

Призначення судових експертиз. При розслідуванні злочинів у сфері використання електронно-обчислювальних машин (комп’ютерів), систем та комп’ютерних мереж і мереж електрозв’язку можуть призначатися і проводитися як традиційні криміналіс­тичні (трасологічні, почеркознавчі, експертизи речовин і матеріалів та ін.), економічні, судово-бухгалтерські, так і спеціальні, для певного складу злочинів, комп’ютерно- технічні експертизи. Відповідно до їхніх завдань і специфіки об’єктів дослідження нині у межах цього роду експертиз можна виділити такі види:

технічна експертиза комп’ютерів і периферійних пристроїв. Призначається і прово­диться з метою вивчення конструктивних особливостей комп’ютера, його периферій­них пристроїв, технічних параметрів комп’ютерних мереж, а також причин виникнен­ня збоїв у роботі комп’ютерного обладнання;

технічна експертиза обладнання захисту комп ’ютерної інформації. Проводиться з ме­тою вивчення технічних пристроїв захисту інформації, використовуваних на певному підприємстві, організації, установі або фірмі;

експертиза машинних даних і програмного забезпечення. Здійснюється з метою вив­чення інформації, що зберігається в комп’ютері та на магнітних носіях, у тому числі вивчення програмних методів захисту комп’ютерної інформації;

експертиза програмного забезпечення і даних, використовуваних у комп’ютерній ме­режі. Проводиться з метою вивчення інформації, що опрацьовується за допомогою комп’ютерних мереж, що експлуатуються на підприємстві, організації, установі або фірмі.

На вирішення технічної експертизи комп’ютерів і периферійних пристроїв можуть бути сформульовані такі питання:

1. комп’ютер якої моделі подано на дослідження; які технічні характеристики його системного блока і периферійних пристроїв; які технічні характеристики обчислюваль­ної мережі;

2. чи є технічна документація на комп’ютер і його складові; чи відповідають наявні технічні пристрої документації;

3. які умови складання комп’ютера і його комплектуючих: фірмове складання, скла­дання з комплектуючих в інших фірмах або кустарним способом; чи є в наявності додат­кові пристрої, що не входять до базового комплекту постачання;

4. чи справний комп’ютер і його комплектуючі; чи не містять фізичних дефектів магнітні носії інформації;

5. чи не проводилася адаптація комп’ютера для роботи з ним специфічних користу­вачів (лівша, особа зі слабким зором тощо);

6. які технічні характеристики інших електронних засобів прийому, накопичення і видачі інформації (пейджер, електронна записна книжка, телефонний сервер); чи справні ці засоби; які причини несправностей;

На вирішення технічної експертизи обладнання захисту можуть бути поставлені такі питання:

1. які технічні пристрої використовуються для захисту комп’ютерної інформації; які їхні технічні характеристики;

2. чи є в наявності технічна документація на ці пристрої, чи відповідають параметри пристроїв викладеним у документації;

3. чи піддавалися модифікації засоби захисту; чи використовувалися кустарні засо­би захисту інформації.

За допомогою експертизи даних і програмного забезпечення можуть вирішуватися як діагностичні, так і ідентифікаційні завдання. Для вирішення діагностичних завдань ставляться такі питання:

1. який тип операційної системи, що використовувалась у комп’ютері;

2. які програми експлуатуються на цьому комп’ютері, коли і ким провадилася їхня інсталяція (установка); чи є вони ліцензійними, несанкціонованими копіями стандарт­них систем або власними оригінальними розробками і чи можна встановити автора цих програм;

3. яке призначення програмних продуктів, для вирішення яких прикладних завдань вони призначені, який алгоритм їх функціонування, способу введення і виведення інформації;

4. які програмні методи захисту інформації використовуються (паролі, іден­тифікаційні коди, програми захисту тощо); чи не фіксувалися спроби неправомірного доступу до комп’ютерної інформації;

5. чи не вносилися в програми системного продукту які-небудь корективи (які?), що змінюють виконання деяких операцій (яких?);

6. чи мають місце збої у роботі окремих програм, які причини цих збоїв; чи не викли­кані збої в роботі комп’ютера впливом вірусу (якого?), чи поширюється негативний вплив вірусу на більшість програм або він діє тільки на певні програми;

7. яка інформація міститься у прихованих файлах і на дефектних магнітних носіях; чи можливе відновлення раніше видалених файлів і який їх зміст;

8. у якому вигляді зберігається інформація про результати роботи антивірусних про­грам, програм перевірки контрольних сум файлів, який зміст цієї інформації.

Комп’ютерно-технічна експертиза дає можливість вирішити і деякі завдання іден­тифікаційного характеру:

1. чи мають комплектуючі певного комп’ютера (друкарські плати, магнітні носії, дисководи тощо) єдине джерело походження;

2. чи не виконана окрема програма (або її частина) певною особою (вирішується в процесі проведення комплексної комп’ютерно-технічної та авторознавчої експертизи).

На експертизу мережного програмного забезпечення і даних можуть бути постав­лені такі питання:

1. яке програмне забезпечення використовується для функціонування комп’ютер­ної мережі, чи є воно ліцензійним;

2. яким чином здійснюється з’єднання комп’ютерної мережі, чи є вихід на глобальні комп’ютерні мережі;

3. які комп’ютери є серверами (головними комп’ютерами) мережі, яким чином здійснюється передача інформації на підприємстві, організації, фірмі по вузлах комп’ютерної мережі;

4. чи використовуються для обмеження доступу до інформації комп’ютерної мережі паролі, ідентифікаційні коди, у якому вигляді вони використовуються;

5. чи є збої в роботі окремих програм, окремих комп’ютерів при функціонуванні їх у складі мережі, які причини цих збоїв;

6. яка інформація передається, опрацьовується і модифікується з використанням комп’ютерної мережі.

Об’єктами дослідження комп’ютерно-технічної експертизи виступають: комп’ютери та їх системні блоки;

периферійні пристрої (дисплеї, принтери, дисководи, модеми, клавіатура, сканери, маніпулятори типу «миша», джойстики та ін.), комунікаційні пристрої комп’ютерів і обчислювальних мереж;

магнітні носії інформації (жорсткі та оптичні диски, стрічки); роздруківки програмних і текстових файлів;

словники пошукових систем (тезауруси), класифікатори та інша технічна докумен­тація, наприклад, технічні завдання і звіти;

електронні записні книжки, пейджери, інші електронні носії текстової або цифрової інформації, технічна документація до них.