Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ

Осмотрмобильноготелефона.Данныйосмотрделитсянавнешний осмотр и осмотр информационного содержимого телефона. Подчеркнем, что осмотр мобильного телефона, обнаруженного на месте происшествия, возможен без судебного решения. Однако в случае, когда очевидно, что телефон принадлежит определенному лицу, находящему в месте осмотра и не связанному с преступлением, следует получить судебное решение на осмотр мобильного телефона (вариант — изъятие мобильного телефона без судебного решения с последующим получением данного решения для проведения осмотра мобильного телефона).

1.Внешний осмотрс фиксацией строенияи состояния(статическая стадия). Осматривая мобильный телефон, следует фиксировать результаты его описания с применением терминов, которые определены нормативными актами или разработчиками средств связи, исключая бытовые выражениятипа «мобильник», «симка» и т. д.

Осмотр средства мобильной связи начинается сизучения упаковки. Упаковываютмобильный телефон обычно в коробку (бумажную, пластмассовую, металлическую), в бумажный конверт, в полиэтиленовый пакет и др. В протоколе осмотра указываются материал, из которого изготовлена упаковка, форма, размеры, цвет, наличиенадписей, их содержание и расположение, способ нанесения, целостность, способ опечатыванияупаковки.

Затем описываются следующие признаки мобильного телефона: 1) модель телефона, серийный номер и идентификационные номе-

ра (как правило, фиксируются на задней стенке корпуса мобильного телефона, под крышкой);

2) наличие и характеристика корпуса (обычно пластмассовый корпусиличастичнометаллический;наличиеилиотсутствиеповреждений); 3) наличие и характеристика клавиатуры и отдельных клавиш, антенны (выдвижная или не выдвижная), аккумуляторов, защитного фли-

па (его функция: защита клавиатуры или сам является клавиатурой); 4) наличие и характеристика световых индикаторов; 5) наличиеи характеристика различных разъемов и портов дляпод-

ключения аксессуаров и другого оборудования; 6) характеристика дисплея и содержание информации на нем в ак-

тивном режиме (указываются все значки и их характеристики).

2.Осмотр информационного содержимого телефона (динамическая стадия). При проведении осмотра необходимо учитывать, что в телефоне имеетсянесколькоуровнейинформации(«Записнаяилителефоннаякнига», «Запись вызовов»,«Сообщения», «Установки»,«Органайзер» и т. д.).

41

Целесообразно сосредоточить свое внимание на фиксации потенциально доказательственной информации (абонентские и идентификационныеномера, подкоторымиосматриваемый телефон работаетвсети связи, специальноепрограммное обеспечение для сканированияи декодирования данных), а также сведениях тактического характера (музыкальные пристрастия, цветовые предпочтения и пр.).

Вся компьютерная информация в мобильном телефоне хранится в файлахи представленав видетекстовой, числовой,графической информации, фотоизображений, видеоклипов и т. д.

Привключении мобильноготелефонаможет понадобитьсяPIN-код, который необходим для доступа к данным, которые имеются в SIM-кар- те. СведенияоPIN-кодеи PUK-кодесодержатсяв базеданных компании оператора мобильной связи. Указанные коды блокировки можно получить путем направления запроса оператору связи на соответствующий номер SIM-карты.

Кразновидностям блокировокмобильныхтерминаловотносятсяблокировки региона, блокировки пользования ресурсами сети, блокировки конкретногооператора(например,отдельнымипаролямимогутзащищаться клавиатура или отдельные клавиши, голосовая почта и т. д.).

Если владелец мобильного телефона отказывается предоставлять информацию о паролях мобильного телефона, а следователю или специалисту в ходе проведения следственного действия установить их не удалось, осмотр мобильного телефона и SIM-карты будет только внешним. Такой осмотр необходим для идентификации мобильного телефона и SIM-карты и последующего их направления на судебную компь- ютерно-техническую экспертизу.

Исследование информационногосодержания мобильного телефона осуществляется следователем опосредованно — через специалиста (в литературе встречается позиция, согласно которой следователь может непосредственно изучать информацию на мобильном телефоне) спомощью русифицированного меню пользователя.

Осматривая информацию в мобильном телефоне, следователь (специалист) должен пояснять понятым и участвующим лицам каждое свое нажатие на клавиатурумобильного телефона. Следователю необязательно полностью отражать в протоколе всю установленную в мобильном телефонеинформацию, таккакдляеепрочтенияификсацииможетпонадобиться продолжительное время. В то же время интересующая следствие информациязаписывается подробно,с обязательнымуказанием последовательности всех действий, произведенных с мобильным телефоном.

42

Первоочередным действием следователя является установление идентификационного номера мобильного телефона IMEI(возможно путем нажатия на клавиатуре мобильного телефона комбинации цифр «*#06#»). На дисплее появится номер, состоящий из пятнадцати цифр (для каждой SIM-карты отдельный номер). Данный номер, как правило, дублируется на задней стенке корпуса мобильного телефона, под крышкой.

Затем исследуется другая техническая информация, участвующая в процессе идентификации телефона в сети мобильной связи (переадресациявызова, запретына входящиеномера, заставкии мелодии наопределенные вызовы, возможность подключения телефона к персональному компьютеру для выхода в Интернет и просмотра своей электронной почты и т. д.). При этом обязательно принимаются меры для непосредственного ознакомления с данной информацией всех участников следственного действия.

Значительную часть данных в мобильном телефоне занимает раздел «Телефонная записная книга» («Контакты» и др.), в котором содержатсявнесенные пользователем телефонныеномера и краткие сведения обихвладельцах. Осмотрданнойинформациипозволитустановитькруг общения пользователя мобильного телефона, его интересы, место работы (как правило, тактический эффект; однако эти сведения могут быть положены в основудоказыванияряда составов преступлений, гдезначение имеет факт общения определенных лиц друг с другом: бандитизм, организация преступного сообщества или участие в нем и пр.).

В разделе «Контакты» («Журнал вызовов» и др.) мобильного телефона отображаются принятые, непринятые, исходящие телефонные вызовы в виде номеров. Изучение данного раздела дает общее представление о количестве, повторяемости последних местных или междугородних звонков. При описании в протоколеосмотра исходящих и входящих телефонных номеров следует обращать внимание на дату, время начала и продолжительность соединения пользователя мобильного телефона с номером конкретного абонента.

Раздел «Сообщения» содержит сведения о входящих, исходящих SMS, MMS, EMS, голосовых сообщениях и отчето доставкетаких сообщений. Принятые и отправленные сообщения могут содержать текст, иллюстрации, фотографии, звукозаписи.Впротоколеследственногодействия отображаются сведения о SMS-, EMS-, MMS-сообщениях и их дословноесодержание(длятекстов).СведенияоSMS-,EMS-,MMS-сооб-

43

щения включают номер, на который они отправлены и с которого они получены, дата и время отправления и получения сообщения.

При описании фиксации информационного содержимогомобильного телефона в литературе обращается внимание на то обстоятельство, что некоторые элементы этих сведений относятся к конфиденциальной информации (текстовые и речевые сообщения; номер, с которого они отправлены; дата и время получения сообщения; телефонные номера с соответствующими именами их владельцев; содержание органайзера и т. д.). При этом идет ссылка на Конституцию Российской Федерации, а также Федеральный закон от 27 июля 2006 г.

№149-ФЗ «Обинформации, информационныхтехнологиях и о защите информации»10.

Полагаем, что в ходе осмотра мобильного телефона может быть зафиксирована любая информация, воспринимаемая следователем. В качестве аргументов отметим положения нормативных правовых актов.

Всоответствии с ч. 2 ст. 23 Конституции РФ «каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения».

Всоответствии со ст. 2, ч. 2 ст. 9 Федерального закона «Об информации, информационных технологиях и о защите информации» обязательным является соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами. При этом под конфиденциальностью информации понимается «обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя»11.

Всоответствии со ст. 53 Федерального закона от 7 июля 2003 г.

№126-ФЗ «О связи» сведения об абонентах и оказываемых им услугах связи, ставшие известными операторам связи в силу исполнения договора обоказании услуг связи, являются конфиденциальной информацией и подлежат защите в соответствии с законодательством Российской Федерации12.

10Рос. газета. 2006. 29 июля.

11Там же.

12Там же. 2003. 10 июля.

44

Всоответствии со ст. 29 УПК РФ суд принимает решение, среди прочих, о получении информации о соединениях между абонентами и (или) абонентскими устройствами. В данном случае речь должна идти об организациях, оказывающих услуги связи населению (ст. 1861 УПК РФ говорит о том, что в случае принятия судом решения о получении информации о соединениях между абонентами и (или) абонентскими устройствами его копиянаправляется следователем в соответствующую осуществляющуюуслуги связиорганизацию, руководитель которой обязан предоставить указанную информацию, зафиксированную на любом материальном носителе информации).

Таким образом, получение судебного решения на фиксацию сведений, названных выше, в ходе осмотра мобильного телефона не требуется, так как следователь действует в рамках установленной законом процедуры и не связан ограничениями на получение соответствующей конфиденциальной информации (распространение полученных сведений ограничено недопустимостью разглашения данных предварительного расследования; ст. 161 УПК РФ).

Осмотрпластиковойбанковскойкарты.Пластиковаякарта,благо-

даря использованию в ней магнитных носителей информации или микросхемы памяти, может быть осмотрена на предмет обнаружения, фиксации и изучения содержания ее электронных реквизитов.

Входе осмотра фиксируются следующие сведения:

1)фактиспользованияихарактеристикаэлектронноготерминалаили другогооборудования, позволяющеговоспринимать информациюспластиковой банковской карты;

2)внешняяхарактеристика пластиковой банковской карты (материал подложки; функциональное назначение карты; способы фиксации информации; вид карты и способ его подключенияк считывающему устройству; название изготовителя базового стока: подложки, бланка; название и адрес эмитента карты; номер карты, срок ее действия, дата выдачи и номинал; имя держателя и его идентификационные признаки; условия совершения операций: наличие ПИН-кода);

3)размеры пластиковой банковской карты (длина, ширина и толщина подложки; радиус окружности в углах карты; высота рельефа знаков построчно; высота рельефа отдельных, отличающихся от других, знаков);

4)наличие необходимых реквизитов согласно назначению карты (деформацияподложки карты:вогнутость,выпуклость и т. д.;следывоздействия: термического, механического и химического; и т. д.);

45

5) визуальноевосприятиеинформации посредством отображенияее на мониторе электронного терминала или другого оборудования, позволяющегоувидетьинформацию спластиковойбанковскойкарты (повсем уровням и каталогам; например, с использованием энкодера магнитных карт MSE-700 Series).

В заключение отметим, что тактика осмотра электронных носителей информации зависит от вида данного носителя, в нашем случае — внешнихносителей (жесткогодиска и т. д.),мобильноготелефона ипластиковой банковской карты.Осмотрлюбогоэлектронногоносителяможноразделить навнешний осмотр,позволяющий зафиксироватьвнешние индивидуальные признаки объекта, и обнаружениеинформации, содержащейся в памяти носителя. При этом необходимо учитывать специфику функционирования электронного носителя и запечатления информации в электронной форме.

§ 2. Тактика обыска и выемки, направленных на получение электронных носителей

и информации на них

Подробное освещение общих вопросов подготовки к обыску и выемке не охватывается целью настоящей работы. Отметим лишь некоторые значимые обстоятельства, после чего перейдем непосредственно к содержанию подготовительного этапа обыска и выемки в связи с обнаружением (возможностью обнаружения) электронных носителей.

Во-первых, под обыском понимается проводимое следователем в установленномзакономпорядкесамостоятельноеследственноедействие, направленное на отыскание, обнаружение и изъятие электронных носителейинформации, могущих иметьзначениедляуголовногодела.Входе обыска или выемки могут быть обнаружены не только электронные носители информации, но и объекты, дающие основания для выдвижения версий о наличии и месте нахождения данных носителей (например, инструкция о пользовании накопителем на жестком магнитно-оптичес- ком диске), а также информация в электронной форме.

Выемка — проводимое следователем в установленном законом порядке самостоятельное следственное действие, направленное на обнаружениеи изъятиеэлектронныхносителейинформации, могущихиметь значение для уголовного дела.

Во-вторых,большеевниманиебудетуделеновопросам тактикиименно обыска. Это продиктовано тем, что основная часть процедуры обыска распространяется на выемку (ст. 183 УПК РФ). Кроме того, именно

46

обыск получил наибольшее распространение на практике. Так, результаты проведенного выборочного исследования уголовных дел показали, что обыск проводился по 85,7% из них; в то время как выемка проводилась по 42,9% уголовных дел.

В-третьих,необходиморазграничивать обыск ивыемкув пограничных ситуациях. Например, для обыска — это ситуация, когда речь идет одобровольной выдачеискомых объектов и нетоснований опасаться их сокрытия (ч. 5 ст. 182 УПК РФ). Для выемки — это ситуация, когда получен отказ в добровольной выдаче объектов, подлежащих изъятию

(ст. 183 УПК РФ).

Анализ материалов уголовного дела. Основу подготовки к любому следственному действию составляет анализ следователем имеющихся материалов. Исследование материалов уголовного дела позволяет следователю собрать сведения, полезные для производства обыска в тактическом плане.

Следователю целесообразно изучить имеющиеся доказательства. Например, показания свидетеля могут содержать сведения о личности обыскиваемого лица (его опыте в сфере оборота компьютерных технологий,а такжевозможностипротиводействияправоохранительныморганам); протокол осмотра места происшествия может содержать описаниеобстановки, в которойпланируетсяпроведениепоисковыхдействий; иные документы могут содержать информацию о возможности нахождения в месте обыска определенных объектов (справка от организациипровайдера оподключении ктелефону авторизации сервера с использованием устройства «модем» с телефонного номера подозреваемого может свидетельствовать о нахождении в месте проживания подозреваемого указанного устройства).

Кроме того, целесообразно изучить результаты оперативно-розыск- ной деятельности. Данные материалы могутсодержать сведения, характеризующие все элементы подготовки к производству обыска.

Определение целей(задач)обыска.Целеполаганиенаходитсяв осно-

ве любой деятельности, в том числе при подготовке к обыску в связи с обнаружением (возможностью обнаружения) электронных носителей информации. В качестве цели обыска фигурирует получение новых доказательствобобстоятельствах,имеющих значениедляуголовногодела, аравно проверка имеющихся доказательств и криминалистических версий.

Достижение поставленных целей возможно посредством решения промежуточных целей — задач. В качествезадач, решаемых в процессе любогообыска, можновыделитьотыскание,обнаружениеи изъятиеору-

47

дий преступления, предметов, документов и ценностей, имеющих значение для уголовного дела, а равно обнаружение разыскиваемых лиц и трупов (ст. 182 УПК РФ).

Однакона подготовительномэтапеобыскапорассматриваемойгруппе преступлений ставятся задачи отыскания, обнаружения и изъятия орудия13 преступления (например, персонального компьютера, с помощью которогоосуществлялся выходв глобальную сеть Интернет), предметов (например, электронных носителей информации, в памяти которых содержится информация о сетевых подключениях преступника) и документов(например,инструкциипоиспользованию электронныхносителей информации).

Формирование информационного образа искомого объекта. Как было установлено ранее, обыск в связи с обнаружением (возможностью обнаружения) электронных носителей информации направлен на отыскание, обнаружение и изъятие орудий преступления, предметов и документов. Поэтому для следователя очень важным является вопрос о признаках искомого объекта. От того, насколько четко следователю удастся сформировать в своем сознании информационный образ, зависит решение поставленной перед обыском задачи. При этом следователь должен уяснить степень детализации признаков искомого объекта. Кроме этого следовательдолжен учитыватьвозможностьмаскировки названныхпризнаков под другой объект.

Результаты анализа уголовно-процессуального законодательства предоставляют возможность очертить степень детализации признаков. В части 1 ст. 182 УПК РФ закреплены словосочетания «в каком-либо месте», «у какого-либо лица», «орудия преступления, предметы и документы». Неопределенность одних и общий характер других позволяют нам ограничить характеристику искомого объекта лишь общими признаками. Например, для проведения обыска будет достаточным знание того, что искомый объект — электронно-вычислительная машина, персональный компьютер, компьютерные программы и т. п.

В 2004 г. неустановленное лицо получило несанкционированный доступ к охраняемой компьютерной учетной информации, принадлежащей организации: к индивидуальному логическому имени “guser20” и паролю, осуществив их копирование. После чего с использованием модема и персонального компьютера с установленным на нем программ-

13 Орудие — техническое приспособление, при помощи которого производится работа или какое-нибудь действие.

48

ным обеспечением подключилось по телефону к глобальной сети Интернет от имени легального пользователя. По данному факту было возбуждено уголовное дело. Следователь, установив номер телефона (и адрес его нахождения), с которого осуществлялось подключение, а также получив сведения от специалиста об обязательном применении для совершенияпреступленияперсональногокомпьютера,модема ипрограммного обеспечения, принял решение о проведении обыска по месту нахождения номера телефона. Следователь вынес постановление, в котором ходатайствовал передсудом опроизводствеобыска в жилище. Здесь же вкачестве искомыхобъектов следователь указал«персональный компьютер и гибкие магнитные диски с компьютерными программами».

Как показывают результаты изучения практики расследования, в процессе обыска изымаются, как правило, электронные носители информации следующих видов:

1) системный блок персонального компьютера, в том числе с находящимся в нем жестким диском (50,0% уголовных дел).

Системный блок предназначен для хранения и закрепления комплектующих элементов персонального компьютера (системной платы, процессора, модулей оперативной памяти, блока питания и т. д.). Корпус системного блока имеет, как правило, вертикальную конструкцию (Desktop)(горизонтальный корпусTowerменеераспространен).Элементамисистемногоблока можноназватьшасси(корпус), атакжепереднюю, заднюю и боковые стенки. Задняя боковая стенка, как таковая, практически отсутствует.Следователь воспринимаетустройства,закрепленные непосредственно в шасси системного блока. На передней стенке находится лицевая панель, на которую выведены кнопки управления (кнопки включения/перезагрузки операционной системы), дисковод для гибкогомагнитного диска и (или) компакт-диска, а равнопорты USB. Боковые стенки не представляют интереса, так как в стандартной сборке не содержат каких-либо деталей. Со стороны задней стенки можно наблюдатьспециальныеразъемы дляподключениявнешних устройств —пор- тов, каждый из которых имеет свое назначение (например, разъем LAN предназначендляподключенияклокальнойсетии (или)глобальнойсети Интернет).

Жесткий диск предназначен для хранения компьютерной информации. Жесткий диск изнутри подразделяется на три блока: хранилище информации(стеклянныеили металлическиедиски),«механику»(отвечает за позиционирование дисков и головок, вращение дисков) и «электронику»(содержитмикросхемы,отвечающиезаобработкуданных,кор-

49

рекцию ошибок и управление механической частью; содержит кэш-па- мять). При условии, если речь идет об исправном жестком диске, следователь с внешней стороны может наблюдать форму и материал его корпуса, а также разъемы (для соединения жесткого диска посредством кабеля с системной платой и блоком питания);

2) оптический диск (41,7% уголовных дел).

Оптический диск представляет собой плоскую пластину круглой формы. Одна сторона предназначена длязаписи14, назначение другой — сообщить пользователю полезную информацию. В качестве последней могут выступать сведения о торговой марке изготовителя (Verbatim), формате(DVD+R)и емкости диска(4,7 Гб), максимальной скоростичтения (16х) и максимальной продолжительности записанного видео в определенном формате (120 минут);

3) персональный компьютер15, в том числе ноутбук (33,3% уголовных дел).

Персональный компьютер — собирательный объект, состоящий из монитора, системного блока и устройств управления и ввода/вывода информации (мышь, клавиатура). Аналогичным образом устроен ноутбук, только все названные части объединены в одно устройство.

Вединичных случаях изымались листы бумаги с распечаткой текстов компьютерных программ, справочная литература (по программированию,техническим характеристикам электронныхносителейинформации и других элементов компьютера), кассовые аппараты, игровые автоматы, сотовые телефоны, карты памяти и «электрический прибор кустарного производства» (по уголовному делу о перепрограммировании сотовых телефонов).

Вкачестве типично изымаемых объектов при проведении выемки следует отметить:

1) системный блок персонального компьютера с жестким диском,

втом числе как элемент персонального компьютера (50,0% уголовных дел);

14В зависимости от вида оптического диска для записи может быть предназначено две стороны (например, диск формата Bluе-ray Disc).

15Считаем нецелесообразной, по общему правилу, практику изъятия персонального компьютера целиком (за исключением ноутбука). Ведь следователя по большейчасти интересуетинформация на электронных носителях,которые можно изъять отдельно. Вместе с тем изъятие персонального компьютера может быть признано следователем целесообразным (например, для последующей экспертизы в целях установления механизма совершения преступных действий).

50