Расследование киберпреступлений представляет собой одну из самых сложных областей современной уголовно-процессуальной деятельности. Особенности объекта посягательства (информация, информационные системы), транснациональный характер преступлений, летучесть и хрупкость цифровых следов требуют разработки специальной тактики производства следственных действий. Значительный вклад в решение этих проблем внесла Елизавета Сергеевна Шевченко, автор диссертации на соискание ученой степени кандидата юридических наук (специальность 12.00.12) и ряда научных публикаций, посвященных данной тематике.

Общие основы тактики расследования киберпреступлений

В своих работах Е.С. Шевченко подчеркивает, что тактика производства следственных действий при расследовании киберпреступлений не может быть механическим переносом традиционных методов на цифровую среду. Она формируется как система взаимосвязанных приемов и способов, определяемых:

• Спецификой объекта посягательства (отношения в сфере информационных технологий);
• Особенностями субъекта (высокая интеллектуальная подготовка, анонимность в сети);
• Уникальной природой источников доказательств (цифровые данные, виртуальные следы);
• Необходимостью применения специальных знаний и технических средств на всех этапах расследования.

Ключевым методологическим положением исследования является понимание того, что подавляющее большинство торговых операций, коммуникаций и управления инфраструктурой проходит в электронной форме. Это фундаментально меняет подход к планированию и производству каждого следственного действия.

Криминалистическая характеристика и классификация виртуальных следов

Перед анализом тактики отдельных действий Шевченко Е.С. уделяет внимание классификации виртуальных следов. В отличие от материальных следов, виртуальные обладают следующими уникальными свойствами:

1. Немaterialность: отсутствие физической носимой среды (след может существовать только как состояние магнитного поля, заряда и т.д.).
2. Легкость уничтожения/модификации: удаление, шифрование или перезапись данных занимает доли секунды и может производиться удаленно.
3. Многократность копирования: копия цифровой информации неотличима от оригинала, что усложняет установление первоисточника.
4. Распределенность: фрагменты одного следа могут находиться на серверах в разных юрисдикциях (облачные хранилища, прокси-серверы, Tor-узлы).

Исходя из этой классификации, тактика производства следственных действий строится на принципе превентивного обеспечения сохранности цифровых доказательств еще до их формального изъятия.

Тактика производства отдельных следственных действий

Центральное место в работе Е.С. Шевченко занимает детальная проработка тактики основных следственных действий, адаптированных под специфику киберпреступности.

Обыск и изъятие: проблема удаленного уничтожения данных

Согласно позициям, изложенным в диссертации и публикациях (в т.ч. в «КонсультантПлюс», «Криминальная наука и практика»), главная тактическая угроза при обыске — это возможность уничтожения значимой информации с удаленных персональных компьютеров, мобильных устройств или облачных хранилищ посредников до момента физического доступа следователя к технике.

Рекомендуемые тактические приемы:

• Синхронность действий: проведение одновременных обысков по всем установленным адресам местонахождения оборудования и лиц, имеющих удаленный доступ.
• Изоляция объектов от сетей: немедленное физическое отключение от интернета и локальных сетей (извлечение кабелей, отключение Wi-Fi/Bluetooth, использование экранирующих сумок/клеток Фарадея для мобильных устройств) до начала их осмотра.
• Применение ПО для живого анализа (Live Forensics): при невозможности отключения питания (например, серверы, зашифрованные диски) — использование специального программного обеспечения для дампа оперативной памяти и захвата активных сессий до выключения.
• Работа с облаками: параллельное направление запросов провайдерам услуг и администраторам облачных хранилищ о сохранении данных (preservation request) до получения решения о изъятии.

Осмотр и назначение судебной компьютерно-технической экспертизы

Шевченко Е.С. акцентирует внимание на тактике подготовки к экспертизе. Эффективность экспертизы в 90% зависит от правильности формулирования вопросов и полноты предоставленных материалов.

Ключевые тактические моменты:

• Фиксация в протоколе осмотра не только «железа», но и состояния системы: запущенные процессы, открытые порты, сетевые соединения, содержимое буфера обмена, состояние шифрования дисков (BitLocker, FileVault, LUKS).
• Изъятие не только носителей, но и документации, паролей (если записаны), ключей восстановления, аппаратных токенов (YubiKey, Rutoken).
• Формулировка вопросов эксперту с учетом специфики квалифицирующего признака (например, «несанкционированный доступ», «создание вредоносных программ», «нарушение правил эксплуатации»), а не просто «что на диске?».

Допрос: тактические особенности при расследовании IT-преступлений

В статье «Особенности тактики допроса обвиняемых при расследовании преступлений в сфере компьютерной информации» (КиберЛенинка) Шевченко Е.С. выделяет специфические тактические приемы:

• Демонстрация компетентности: следователь должен владеть базовой терминологией (IP, лог, хэш, VPN, TOR, криптовалюта, смарт-контракт), иначе подследственный будет манипулировать незнанием следствия.
• Работа с «цифровым алиби»: проверка показаний о местонахождении через данные базовых станций, логи Wi-Fi, геотеги фото, историю геолокации в Google/Apple, логи VPN.
• Конфронтация с цифровыми доказательствами: предъявление скриншотов переписок, логов доступа, метаданных файлов в момент допроса для лишения возможности оправдаться «мне подсунули/взломали».
• Видеофиксация: обязательное применение видеозаписи при допросах по киберпреступлениям для фиксации реакции на демонстрацию технических доказательств, манеры речи (использование сленга, терминов), эмоционального состояния.

Эксперимент и проверка показаний на месте

Тактика производства эксперимента (воспроизведение способа совершения преступления) требует создания изолированной тестовой среды (песочницы), идентичной по конфигурации объекту посягательства, чтобы избежать повторного ущерба или изменения оригинальных данных.

Тактика первоначального этапа расследования (первичные следственные действия)

В главе, посвященной первоначальному расследованию, Е.С. Шевченко выделяет критический временной промежуток — «золотые часы» после обнаружения инцидента.

Алгоритм тактических действий на входе:

1. Фиксация факта сообщения о преступлении с детализацией технических показателей инцидента (IoC — Indicators of Compromise: IP-адреса, хэши файлов, доменные имена, адреса кошельков).
2. Обеспечение сохранности журналов регистраций (логов) на границе сети (Firewall, IDS/IPS), почтовых серверах, контроллерах домена до их перезаписи (циклическое логирование).
3. Идентификация круга лиц, имеющих доступ к скомпрометированным активам (администраторы, привилегированные пользователи, аутсорсинговые компании).
4. Привлечение специалиста/эксперта уже на стадии осмотра места происшествия (серверной, рабочего места) для консультирования следователя по вопросам изъятия и консервации данных.

Социально-технологические детерминанты и международный аспект

В работе «Социально-технологические детерминанты следственных действий при расследовании киберпреступлений» (2016) Шевченко Е.С. рассматривает влияние внешних факторов на тактику:

• Трансграничность: необходимость тактического взаимодействия с правоохранительными органами иностранных государств через каналы МВД, Генпрокуратуры, Интерпола, Европоля. Тактика включает грамотное оформление международных правовых запросов (МПЗ) с точным техническим описанием требуемых действий (запрос логов, сохранение данных, изъятие серверов).
• Анонимизация (Tor, VPN, Proxy, криптовалюты): тактика деанонимизации требует корреляционного анализа метаданных, временных меток, ошибок операционной безопасности (OpSec) преступника, работы с провайдерами VPN/хостинга.
• Кадровый голод: тактика производства действий часто ограничена не законом, а отсутствием у следователя специальных знаний. Шевченко Е.С. обосновывает необходимость внедрения института помощника следователя по IT-вопросам или создания специализированных подразделений.

Проблемы совершенствования законодательства

Анализируя практику применения ст. 144, 165, 174, 182, 290 УПК РФ к киберпреступлениям, Е.С. Шевченко предлагает законодательные инициативы, направленные на узаконение современных тактических приемов:

• Законодательное закрепление понятия «цифровое доказательство» и порядка его получения/фиксации (хэширование, блокчейн-реестры доказательств).
• Регламентация процедуры удаленного доступа к компьютерной информации (ст. 182 УПК РФ) с гарантиями прав участников процесса.
• Установление сроков хранения провайдерами трафиковых данных и метаданных (data retention) для оперативного доступа следствия.

Научная школа и конкретные разработки Е.С. Шевченко в области тактики производства следственных действий при расследовании киберпреступлений представляют собой системный подход, объединяющий криминалистическую теорию, уголовно-процессуальное право и практику цифровой криминалистики (Digital Forensics).

Главный вывод ее работ: эффективность расследования киберпреступлений достигается не за счет жесткости процедур, а за счет гибкости тактического мыслей следователя, его способности предвосхитить действия преступника в виртуальной среде (уничтожение данных, зашифровка, уход в анонимность) и заранее нейтрализовать эти угрозы процедурными и техническими средствами.

Дальнейшее развитие тактики лежит в плоскости автоматизации рутинных операций (сбор логов, первичный анализ), внедрения ИИ для выявления аномалий и углубления международного процессуального сотрудничества, что полностью соответствует вектором исследований Е.С. Шевченко.

Основные источники по теме (работы Е.С. Шевченко):

• Диссертация: «Тактика производства следственных действий при расследовании киберпреступлений» (спец. 12.00.12);
• Статьи в «КиберЛенинке»: «Социально-технологические детерминанты следственных действий при расследовании киберпреступлений» (2016); «Особенности тактики допроса обвиняемых при расследовании преступлений в сфере компьютерной информации»; «Некоторые вопросы методики расследования киберпреступлений».
• Публикации в изданиях МВД/Юридических институтов: вопросы тактики обыска, осмотра, применения видеофиксации, методики расследования интернет-преступлений.
• Учебные пособия: соавторство в пособиях по борьбе с киберпреступностью, охватывающих уголовно-правовую характеристику, цифровую криминалистику и международное сотрудничество.