Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Современные преступления всё чаще совершаются с использованием цифровых технологий, поэтому следственный осмотр электронных носителей информации (ЭНИ) стал неотъемлемой частью расследования. Ниже представлен подробный обзор процедуры, нормативного регулирования, практических рекомендаций и актуальных проблем, связанных с осмотром и изъятием ЭНИ в рамках уголовного судопроизводства.

Нормативная база

Основным законодательным актом, регулирующим работу с электронными носителями информации, является статья 164.1 УПК РФ (введена Федеральным законом от № 533‑ФЗ). Она устанавливает особенности:

осмотра и изъятия ЭНИ;
копирования информации с них;
фиксации результатов в протоколе следственного действия;
требований к участию специалиста (эксперта) при работе с электронными доказательствами.

Кроме того, при осмотре места происшествия могут применяться положения статей 176‑177 УПК РФ (осмотр места происшествия до возбуждения уголовного дела) и статьи 165 УПК РФ (производство некоторых следственных действий по решению суда).

Подготовка к осмотру

Оценка обстановки и планирование

Перед началом осмотра следователь обязан:

установить наличие и расположение электронных устройств (компьютеры, ноутбуки, серверы, внешние жесткие диски, SSD‑накопители, флеш‑накопители, смартфоны, планшеты, носители в составе бытовой техники);
определить необходимость привлечения специалиста‑эксперта в области компьютерной криминалистики;
подготовить средства фиксации (фото‑/видеокамеры, диктофон, блокнот, бланки протоколов);
обеспечить наличие средств защиты от статического электричества (антистатический браслет, коврик) и упаковочных материалов (антистатические пакеты, коробки с пенополиуретаном).

Технические средства

Для минимизации влияния на носители информации рекомендуется использовать:

блокировку записи (write‑blocker) – аппаратное или программное устройство, предотвращающее изменение данных на носителе;
Live‑CD/USB с форенситивным дистрибутивом (например, FTK Imager, Autopsy, DEFT) для создания образа без загрузки операционной системы носителя;
устройства для измерения хеш‑сумм (MD5, SHA‑1, SHA‑256) сразу после снятия образа.

Алгоритм следственного осмотра электронных носителей информации

Следующий алгоритм основан на рекомендациях из материалов интернет‑источников и практических указаниях следственных органов.

Первичный осмотр и документирование
- Фиксируем внешнее состояние устройства (повреждения, следы вскрытия, серийные номера).
- Снимаем фотографии и делаем видеозапись общего вида места и самого устройства.
- Заполняем предварительную часть протокола (дата, время, место, участники).
Минимизация воздействия на носитель
- Не копируем новые файлы на носитель, особенно крупные.
- Не запускаем программы, требовательные к объёму памяти (например, тяжелые графические редакторы, виртуальные машины).
- Избегаем использования утилит для обслуживания носителей (дефрагментация, проверка дисков), которые могут перезаписать недавно удаленные данные.
Создание forensic‑образа
- Подключаем носитель через write‑blocker.
- Снимаем бит‑в‑бит образ (img, E01, AFF) с помощью форенситивного ПО.
- Одновременно вычисляем хеш‑сумму исходного носителя и полученного образа; сравниваем их для подтверждения целостности.
Анализ содержимого образа
- Проводим поиск файлов по расширениям, ключевым словам, временным меткам.
- Извлекаем журналы систем, кэш браузеров, историю чатов, файлы конфигурации.
- При необходимости проводим восстановление удаленных файлов (carving).
Заключительный этап – решение об изъятии
- Если требуется изъятие самого устройства, не выключаем его, а переводим в спящий режим (гибернацию). Это сохраняет содержимое оперативной памяти, что может быть важно для анализа запущенных процессов и зашифрованных данных.
- Упаковываем устройство в антистатический пакет, помещаем в жесткую коробку с амортизатором.
- Оформляем акт изъятия, в котором указываем: серийный номер, описание состояния, причину изъятия, ссылку на протокол осмотра и хеш‑суммы.

Особенности работы с различными типами электронных носителей

Жесткие диски (HDD) и твердотельные накопители (SSD)

Для HDD стандартный порядок – снятие образа через write‑blocker. SSD требуют особого внимания из‑за особенностей износа ячеек и функции TRIM, которая может стирать блоки после удаления файлов. Поэтому:

Отключаем TRIM в BIOS/UEFI, если возможно;
Сразу после изъятия создаем образ, минимизируя время работы устройства в режиме чтения;
При работе с живыми системами рассматриваем возможность получения дампа ОЗУ (memory dump) перед выключением.

Внешние накопители (USB‑флешки, карты памяти)

Маленькие размеры и высокая портативность делают их частым объектом преступлений. Рекомендации:

Используем специализированные адаптеры с write‑blocker;
Избегаем подключения к неизвестным компьютерам, чтобы не заразить носитель вредоносным ПО;
После снятия образа проверяем наличие скрытых разделов и зашифрованных контейнеров (VeraCrypt, BitLocker).

Мобильные устройства (смартфоны, планшеты)

Особенности:

Блокировка экрана и шифрование данных требуют получения пароля или использования методов обхода (например, через режим восстановления, JTAG, chip‑off).
При невозможности разблокировки следует изъять устройство в выключенном состоянии и доставить в лабораторию для проведения chip‑off или JTAG‑извлечения.
Важно зафиксировать состояние уровня заряда батареи, так как полная разрядка может привести к потере данных в энергозависимой памяти.

Роль специалиста‑эксперта

Согласно ст. 164.1 УПК РФ, участие специалиста обязательно при:

изъятии и копировании информации с электронных носителей, если это необходимо для обеспечения достоверности доказательств;
проведении сложных технических действий (восстановление удаленных данных, анализ зашифрованных контейнеров, исследование вредоносного ПО).

Практический опыт показывает, что отсутствие эксперта может привести к:

нарушению целостности доказательств (случайная перезапись данных);
ошибочному выводу о наличии или отсутствии значимой информации;
проблемам при оценке допустимости доказательств в суде (суд может признать их недопустимыми из‑за нарушения процедуры).

Поэтому следователь должен своевременно ходатайствовать о привлечении эксперта и фиксировать его участие в протоколе.

Проблемы и пробелы в законодательстве

Несмотря на наличие ст. 164.1 УПК РФ, в практике отмечаются следующие недостатки:

Недостаточная четкость понятий – термин «электронный носитель информации» трактуется по‑разному, что приводит к спорам о том, относится ли к нему, например, smart‑часы или встроенные контроллеры бытовой техники.
Отсутствие обязательного требования о вынесении судебного решения при изъятии – в некоторых регионах следователи изымают устройства без решения суда, полагаясь на положения ст. 176‑177 УПК РФ (осмотр места происшествия до возбуждения дела). Это создает риск незаконного изъятия.
Недостаточная регламентация работы с облачными сервисами – данные, хранящиеся в удаленных хранилищах, не считаются «носителем» в прямом смысле, однако их доступ может быть критически важен для расследования.
Проблемы с обеспечением сохранностиvolatile‑данных (ОЗУ, кэш) – текущая нормативная база не обязывает следователя сохранять дамп оперативной памяти, хотя он может содержать ключи шифрования, пароли и следы вредоносного ПО.

Для устранения этих пробелов предлагается:

разработать методические рекомендации по работе с облачными данными и volatile‑памятью;
внести изменения в УПК РФ, уточнив порядок изъятия устройств без судебного решения и обязательное привлечение эксперта при работе с зашифрованными данными;
создать единый классификатор электронных носителей, включающий современные IoT‑устройства.

Практические рекомендации для следователя

Всегда начинайте с внешнего осмотра и фотофиксации; только после этого переходите к техническим действиям.
Используйте write‑blocker и форенситивное ПО для создания образа – это гарантирует неприкосновенность оригинальных данных.
Сразу после снятия образа вычислите и запишите хеш‑суммы (минимум два разных алгоритма) в протокол.
Если устройство включено, постарайтесь перевести его в спящий режим (гибернацию) вместо полного выключения, чтобы сохранить содержимое ОЗУ.
Документируйте каждое действие: время, используемое оборудование, параметры программ, результаты проверки целостности.
При наличии признаков шифрования или защиты паролем немедленно ходатайствуйте о привлечении эксперта‑криптолога.
После изъятия упакуйте устройство в антистатический материал, пометьте коробку номером дела и датой изъятия.
Храните изъятые носители в условиях, исключающих воздействие магнитных полей, высокой температуры и влажности.

Следственный осмотр электронных носителей информации – сложный и многогранный процесс, требующий знания как правовых норм, так и технических аспектов работы с цифровыми доказательствами. Соблюдение алгоритма, минимизация воздействия на носитель, обязательное привлечение специалиста и тщательная фиксация всех действий позволяют получить допустимые в суде доказательства и значительно повысить эффективность расследования киберпреступлений.

Актуальное развитие законодательства и методических рекомендаций в этой области остается важной задачей для правоохранительных органов, судебной системы и научного сообщества.

Статья подготовлена на основе материалов из открытых источников, доступных на дату .