Расследование преступлений, совершенных с использованием криптовалюты. Учебное пособие для СПО
.pdfкопия лицензии на антивирусное ПО;
копия чека на антивирусное ПО;
описание по антивирусной защите рабочего места (наличие установленного на жестком диске автоматизированного рабочего места клиента антивирусного программного обеспечения и актуальность его баз, частота обновления, сканирования, наличие сведений о проявлении на автоматизированном рабочем месте клиента вредоносных программ);
описание системы защиты информации (наличие или отсутствие персонального межсетевого экрана у клиента, сведения об использовании рабочего места в иных целях, кроме осуществления платежно-расчетных операций, в частности интернет-серфинга, сведения о порядке хранения и использования ключевых носителей);
договоры на открытие и обслуживание банковских счетов, договоры о предоставлении услуг ДБО;
сведения о точном месте открытия и месте нахождения счета физического лица;
сведения о паспортных данных физического лица (в том числе копия паспорта и иного удостоверения личности — при наличии);
технический носитель информации, содержащий записи видеокамер, имеющие отношение к хищению (до процессуального изъятия оригинала технического носителя информации следует обеспечить сохранность записей);
документы, отражающие статистику соединений с системой электронных расчетов банка посредством ДБО «клиент-банк», с указанием учетных записей, внешних IP-
61
адресов клиента и точного времени соединений в период осуществления несанкционированного перевода;
журналы авторизации по электронным средствам платежа в банкоматах, данные о телефонах и адресах электронной почты, на которые было настроено оповещение об инцидентах, номера телефонов и адреса электронной почты, с которых поступали сообщения мошенников (при наличии), данные, указанные на подложных сайтах (при наличии);
сведения о подключенных уведомительных услугах банка (СМС-уведомление, голосовая авторизация, уведомление на электронную почту, привязка к выделенному IPадресу и других имеющихся услугах) с приложением копий документов, акцептованных банком при предоставлении указанных услуг.
При осуществлении элементов сделок с криптовалютой с использованием систем дистанционного банковского обслуживания, может быть получена следующая информация:
дата (день, месяц, год) и время (часы, минуты, секунды) осуществления действия клиента;
идентификатор (идентификаторы) клиента;
идентификатор (код) осуществляемого действия клиента;
идентификатор устройства клиента, с использованием которого клиент осуществляет доступ к программному обеспечению и автоматизированным системам с целью осуществления переводов денежных средств и которым при наличии технической возможности могут являться IPадрес, MAC-адрес, номер sim-карты, номер телефона и (или) иные идентификаторы;
62
используемый клиентом браузер;
используемая клиентом операционная система;
запрашиваемый клиентом URL;
адрес страницы, с которой зашел клиент;
географическое положение клиента;
технический заголовок HTTP;
материалы, подготовленные службой безопасности банка по итогам проведения внутренних проверок.
В целях соблюдения оптимальных сроков расследования по уголовным делам, а также с целью оперативного получения ответа на исходящий запрос следователя от провайдеров в нем следует указывать, что в случае непредоставления или несвоевременного предоставления запрашиваемой информации виновное лицо может быть привлечено к административной ответственности в соответствии со ст. 17.7 Кодекса Российской Федерации об административных правонарушениях.
Получив на основании запроса от соответствующего интернет–провайдера сведения о клиенте и его адресе, можно планировать проведение оперативно-розыскных мероприятий и следственных действий по соответствующему адресу. В подтверждение совпадения полученного IP-адреса с IP-адресом предполагаемого преступника необходимо провести такие следственные действия, как осмотр, в частности электронных носителей информации: компьютеров, мобильных телефонов, планшетов и других. Обнаруженные на их поверхности следы пальцев рук следует направить на дактилоскопическую экспертизу для идентификации лица.
63
В случае снятия денежных средств из банкомата необходимо направить запрос в банк на получение видеозаписи лица, осуществившего операции по обналичиванию.
Типичные следственные и процессуальные действия первоначального этапа расследования:
установление, опрос и дальнейший допрос потерпевших (представителей потерпевшей стороны);
осмотр места происшествия в помещении (жилище), где потерпевший осуществлял вход в компьютеры либо другие портативные устройства. Здесь необходимо отметить, что специфика осмотра места происшествия, в отличие от кражи в жилище, будет заключаться в том, что необходимо осмотреть только устройство. Если это дистанционный компьютер, можно его осмотреть на месте, а если это, к примеру, ноутбук, то нет необходимости выезжать по месту жительства потерпевшего, а осмотреть его в служебном кабинете с участием специалиста. Чаще всего осмотр места происшествия проводится по месту осуществления преступной деятельности подозреваемого;
оперативно-розыскные мероприятия параллельно со следственными действиями в целях установления виновных лиц, мест их возможного нахождения и установления технических средств и других объектов, с помощью которых совершались преступные действия;
получение решения суда на получение информации о соединениях между абонентами и (или) абонентскими устройствами (ст. 186.1 УПК РФ);
получение информации о соединениях между абонентами и/или абонентскими устройствами;
64
выемка технических средств связи с последующим осмотром предметов с участием специалиста;
обыск и выемка. При невозможности изъятия носителей информации либо по иным причинам технического или процессуального характера специалистом производится создание образа файловой системы или посекторное копирование (клонирование) информации с электронных носителей. При изъятии мобильных телефонов оптимально получить ДАПМ памяти мобильного устройства, для чего специалист может использовать специализированные комплексы «Мобильный Криминалист», «UFED» или «XRY».
Вслучае невозможности получить ДАМП памяти мобильное устройство необходимо перевести в режим «полет» и как можно быстрее доставить в экспертные подразделения для получения информации. Кроме того, при изъятии мобильных устройств необходимо выяснить данные для входа в систему — пароли;
осмотр, который может быть проведен в кабинете следователя с использованием его рабочего компьютера. В протоколе осмотра описывается внешний вид сайта и все действия, выполняемые следователем при переходе по ссылкам и пунктам меню. Необходимо учитывать время осмотра (так как информация на сайте динамическая и может постоянно изменяться), т.е. каждое действие по фиксации информации обязательно должно иметь привязку ко времени. Нужно зафиксировать и указать в протоколе часовой пояс или время UTC (Всемирное координированное время; указывается адрес каждого окна сайта (берется из заголовка строки браузера). Для определения IP–адреса сайта можно воспользоваться специальным интернет-
65
сервисом, который по доменному имени укажет IP-адреса,
например, ресурс http://ipwhois.net/website_ip.php. Страни-
цы сайта копируются с помощью штатных средств интер- нет-браузеров, меню «сохранить страницу как» или используют специализированное программное обеспечение для копирования всего содержимого сайта. В протоколе необходимо указать технические средства (компьютер) и программное обеспечение, которое применялись при осмотре и копировании файлов. Скопированные файлы записываются на не перезаписываемый носитель и оформляются в качестве приложения к протоколу осмотра. Следует помнить, что на страницах социальных сетей и сайтах видеоролики обычно не хранятся. На них размещаются только ссылки для просмотра или скачивания. Сами ролики хранятся на серверах компаний, предоставляющих соответствующие услуги. Однако в правовом понимании размещение ссылок на ресурсе конкретного пользователя необходимо рассматривать как размещение соответствующих файлов, так как их активация приводит к получению необходимой информации. Гарантией достоверности происхождения скопированной информации является участие при производстве следственного действия понятых;
осмотр памяти средств электросвязи, ЭВМ и электронных носителей информации, обнаруженных в ходе обысков и других следственных действий, с целью получения доказательств, установления связей задержанного и иной криминалистически значимой информации;
опросы возможных свидетелей или очевидцев. Необходимо отметить, что данные преступления чаще всего осуществляются в отсутствие идеальных следов, пока-
66
зания свидетелей носят косвенный характер и сводятся к общим данным, характеризующим личность подозреваемого и предполагаемый род его деятельности;
в случае установления подозреваемого обыски проводятся по месту осуществления преступной деятельности
иместу жительства (если данные объекты не совпадают), что также является немаловажным, так как помимо доказательств, изобличающих вину, которые находятся в ЭВМ, есть и другие традиционные следы преступления;
назначение и производство всех необходимых судебных экспертиз (компьютерно-технической, радиотехнической, бухгалтерской дактилоскопической, трассологической и др.), выбор которых зависит от конкретной следственной ситуации и материальных следов, обнаруженных в ходе проведения осмотров и обысков.
К проблемным вопросам, возникающим при расследовании уголовных дел указанной выше категории следует отнести невозможность установления владельцев биткойнкошельков, так как, при регистрации счета криптовалюты «биткойн» и других криптовалют («Лайткоин», «Ливикоин» и др.), которых множество в сети «Интернет», необходимо ввести только адрес электронной почты и пароль к счету (к примеру на сайте www.blockchain.com) без предоставления каких-либо анкетных данных о регистрирующемся лице. Следует также отметить, что серверы, на которых находятся счета криптовалюты, размещены, как правило, за территорией Российской Федерации, а следовательно, получить информацию как о почтовом ящике, так и о данных об отправителе и получателе криптовалюты не представляется возможным.
67
При конвертировании криптовалюты «биткойн» осуществляется перевод с биткоин-счета лица, желающего обменять криптовалюту на рубли, на биткоин-счет «брокера», функции которого в настоящее время заменяют автоматизированными программами на интернетсайтах обмена криптовалюты, которые также находятся за пределами территории России.
Таким образом, звеном между конвертированием криптовалюты в рубли и иную валюту являются «брокеры» или программы, установить местонахождение которых не представляется возможным по причине отсутствия информации об отправителе и получателе криптовалюты и отсутствия серверов на территории Российской Федерации, у которых возможно истребовать информацию об IPадресах, применяемых при посещении данных сайтов лицами, использующими криптовалюту.
Входе предварительного следствия возникают трудности по отслеживанию операций с «Биткоином», так как серверы площадок по обмену криптовалютой находятся за пределами Российской Федерации. Указанная проблема решается, как правило, в связи тем, что подозреваемый или обвиняемый сотрудничает со следствием и с добровольным участием последнего производится осмотр интернетресурсов, при помощи которых осуществлялись транзакции.
Всвязи с тем, что в настоящее время на территории Российской Федерации не существует органа, уполномоченного оценить стоимость криптовалюты на конкретную дату (время), остается проблемным вопросом оценка суммы причиненного ущерба. При расследовании по уголовному делу стоимость одного биткоина рассчиты-
68
валась с использованием бирж криптовалют, например, Ехмо (Эксмо). Следователь должен получить официальный ответ на свой запрос следующего содержания: «Курс 1 «Bitcoin» по состоянию на 28 февраля 2018 г. составил 11 002 долл. 38 центов США, всего на сумму 30 806 долл. 664 цента США, стоимостью по курсу Центрального банка Российской Федерации (Банка России) на 28 февраля 2018 г. 55,6717 руб. за 1 долл. США, на общую сумму 1 715 059 руб. 36 коп.». Данная позиция должна найти поддержку надзирающего прокурора при обязательном раскрытии в запросе способов определения рыночной стоимости криптовалюты специалистом.
В ходе предварительного следствия имеются сложности в установлении владельца домена, зарегистрированного за рубежом, установление виновных лиц, находящихся в иных субъектах Российской Федерации, динамичные («плавающие») IP-адреса сайтов, на которых распространяется информация о криптовалюте.
Необходимо отметить и иные типичные проблемы, которые должен учитывать следователь при планировании своей работы по расследованию мошенничества, совершенного с использованием криптовалюты:
ограниченность доступа к информации, представляющей банковскую тайну;
длительный период получения сведений по запросам (в ходе производства выемок по решению судов в рамках возбужденных уголовных дел), по причине того, что отделения, отвечающие за запросы правоохранительных органов, расположены в других городах субъектов Российской Федерации;
69
значительный объем получаемых доказательств
испецифика их осмотра;
количество требуемых к производству судебных экспертиз, например, почерковедческих, сложность производства отдельных из них, влекущих длительность их производства.
В качестве положительного аспекта имеющегося опыта по расследованию мошенничества, совершенного с использованием криптовалюты, необходимо отметить продуктивность совместных обсуждений материалов проверок с оперативными подразделениями до их регистрации с целью полного и качественного сбора материалов, эффективность процессуального контроля со стороны руководителя следственного органа и сотрудников контрольно-методических подразделений таких уголовных дел.
Так, недопустимы в качестве обоснования для принятия решений об отказе в возбуждении уголовного дела или продления сроков предварительной поверки сообщения о преступлении или сроков предварительного расследования формулировки о том, что о проведенных операциях не существует информации в какой-либо организации для подтверждения факта произведенной оплаты, что свидетельствует о незнании соответствующими должностными лицами базовых положений методики расследования преступлений, совершенных с использованием криптовалют.
По всем материалам проверки, а впоследствии по каждому уголовному делу должны приниматься меры обеспечительного характера, направленные на возмещение
70