Особенности расследование дел в сфере компьютерных преступлений

 4. Предъявить  гражданина Писарева Д. А на опознание сослуживцам Титова А. В.

 5. В  случае дачи подозреваемыми признательных показаний провести с их участием проверку показаний на месте совершения преступлений. 

     Исполнители: следователь        Срок: в ходе расследования. 

Следователь прокуратуры 

Волжского района г. Саратова

юрист 2 класса   Сидоров И.П. 

 

3.3. Практические особенности отдельных следственных действий 

      При расследовании компьютерных преступлений можно выделить три типичные следственные ситуации:

      1. Собственник информационной системы  собственными силами выявил нарушение  целостности / конфиденциальности  информации в системе, обнаружил виновное лицо и заявил об этом в правоохранительные органы.

      2. Собственник информационной системы  собственными силами выявил нарушение  целостности / конфиденциальности  информации в системе, не смог  обнаружить виновное лицо и  заявил об этом в правоохранительные органы.

      3. Данные о нарушении целостности/конфиденциальности  информации в информационной  системе и виновном лице стали  общеизвестными или непосредственно обнаружены органом дознания (например, в ходе проведения оперативно-розыскных мероприятий по другому делу).

      При наличии заподозренного виновного  лица первоначальная задача следствия  заключается в сборе с помощью  собственника информационной системы и процессуальной фиксации доказательств:

      а) нарушения целостности/конфиденциальности информации в системе;

      б) размера ущерба, причиненного нарушением целостности/конфиденциальности информации;

      в) причинной связи между действиями, образующими способ нарушения, и  наступившими последствиями путем  детализации способа нарушения  целостности/конфиденциальности информации в системе и характера совершенных виновным действий;

      г) отношения виновного лица к совершенным  действиям и наступившим последствиям.

      Т.к. подозреваемые задержаны сразу  же после совершения преступления, для данной ситуации характерны следующие первоначальные следственные действия:

      а) личный обыск задержанных;

      б) допрос задержанных;

      в) обыск по месту жительства задержанных.

      Осмотр  и обыск (выемка) по делам данной категории являются важнейшими инструментами установления обстоятельств расследуемого события.

      Известно, что главными процессуальными способами  изъятия вещественных доказательств являются осмотр, обыск и выемка.

      Следует напомнить, что осмотр – это непосредственное обнаружение, восприятие и исследование следователем материальных объектов, имеющих отношение к исследуемому событию. Обыск – следственное действие, в процессе которого производится поиск и принудительное изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства. Выемка – следственное действие, в процессе которого производится изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства, в тех случаях, когда их местонахождение точно известно следователю и изъятие прямо или косвенно не нарушает прав личности.

      Носители  информации, имеющей отношение к  расследуемому событию, могут быть с соблюдением установленного УПК  РФ порядка изъяты и приобщены к уголовному делу в качестве вещественного доказательства.

      Для участия в обыске и выемке целесообразно  приглашать специалиста в области компьютерной техники.

      При осмотрах, обысках, выемках, сопряженных  с изъятием ЭВМ, машинных носителей и информации возникает ряд общих проблем, связанных со спецификой изымаемых технических средств.

      Так, необходимо предвидеть меры безопасности, предпринимаемые преступниками с целью уничтожения вещественных доказательств.

      Например, они могут использовать специальное  оборудование, в критических случаях создающее сильное магнитное поле, стирающее магнитные записи. Известна легенда о хакере, который создал в дверном проеме магнитное поле такой силы, что оно уничтожало магнитные носители информации при выносе их из его комнаты.

      Преступник  имеет возможность включить в  состав программного обеспечения своей машины программу, которая заставит компьютер периодически требовать пароль, и, если несколько секунд правильный пароль не введен, данные в компьютере автоматически уничтожаются.

      Желательно  иметь с собой и использовать при обыске и осмотре устройство для определения и измерения магнитных полей.

      Вещественные  доказательства в виде ЭВМ, машинных носителей требуют особой аккуратности при транспортировке и хранении. Им противопоказаны резкие броски, удары, повышенные температуры, влажность. Все эти внешние факторы могут повлечь потерю данных, информации и свойств аппаратуры.

      Не  следует забывать при осмотрах и  обысках о возможностях сбора  традиционных доказательств (скрытых отпечатков пальцев на клавиатуре, выключателях и др., шифрованных рукописных записей и пр.).

      Осмотру подлежат все устройства конкретной ЭВМ.

      Фактически  оптимальный вариант изъятия  ЭВМ и машинных носителей информации – это фиксация их и их конфигурации на месте обнаружения и упаковка таким образом, чтобы аппаратуру можно было бы успешно, правильно и точно так же, как на месте обнаружения, соединить в лабораторных условиях или в месте производства следствия с участием специалистов.

      Указанные следственные действия могут производиться  с целями:

      а) осмотра и изъятия ЭВМ и  ее устройств;

      б) поиска и изъятия информации и  следов воздействия на нее в ЭВМ и ее устройствах;

      в) поиска и изъятия информации и  следов воздействия на нее вне  ЭВМ.

      По  прибытии на место осмотра или  обыска следует принять меры к  обеспечению сохранности информации на находящихся здесь компьютерах и магнитных носителях. Для этого необходимо:

      1) не разрешать кому бы то  ни было из лиц, работающих  на объекте обыска, прикасаться к работающим компьютерам, магнитным носителям, включать и выключать компьютеры;

      2) самому не производить никаких  манипуляций с компьютерной техникой, если результат этих манипуляций заранее не известен;

      3) при наличии в помещении, где  находятся СКТ и магнитные  носители информации, взрывчатых, легковоспламеняющихся,  токсичных и едких веществ или материалов как можно скорее удалить эти вещества в другое помещение. 

      Особенности производства осмотров и обысков

    Руководствуясь  положениями статьи 182 «Основания и порядок производства обыска» и статьи 284 «Осмотр вещественных доказательств» уголовно-процессуального кодекса. Одно из положений статьи 182 гласит «Обыск производиться на основании постановления следователя» значит на основание всего выше  изложенного уголовного дела следователь должен был получить постановление на обыск помещения. 

    Если  компьютер работает, ситуация для  следователя, производящего следственное действие без помощи специалиста, существенно осложняется, однако и в этом случае не следует отказываться от оперативного изъятия необходимых данных.

      В данной ситуации:

      а) определить, какая программа выполняется. Для этого необходимо изучить изображение на экране дисплея и по возможности детально описать его.

      После остановки программы и выхода в операционную систему иногда при  нажатии функциональной клавиши  «F3» можно восстановить наименование вызывавшейся последний раз программы.

      Можно осуществить фотографирование или видеозапись изображения;

      б) остановить исполнение программы. Остановка  осуществляется одновременным нажатием клавиш Ctrl-C, либо Ctrl-Break;

      в) зафиксировать (отразить в протоколе) результаты своих действий и реакции компьютера на них;

      г) определить наличие у компьютера внешних устройств – накопителей  информации на жестких магнитных  дисках и виртуального диска;

      д) определить наличие у компьютера внешних устройств удаленного доступа к системе и определить их состояние (отразить в протоколе), после чего разъединить сетевые кабели так, чтобы никто не мог изменить или стереть информацию в ходе обыска (например, отключить телефонный шнур из модема);

      е) скопировать программы и файлы  данных. Копирование осуществляется стандартными средствами ЭВМ или командой DOS COPY;

      ж) выключить подачу энергии в компьютер  и далее действовать по схеме  «компьютер не работает».

      Если  компьютер не работает, следует:

      а) точно отразить в протоколе и  на прилагаемой к нему схеме местонахождение ПК и его периферийных устройств;

      б) точно описать порядок соединения между собой этих устройств с  указанием особенностей (цвет, количество соединительных разъемов, их спецификация) соединительных проводов и кабелей; перед разъединением полезно осуществить видеозапись или фотографирование мест соединения;

      в) с соблюдением всех мер предосторожности разъединить устройства компьютера, предварительно обесточив его;

      г) упаковать раздельно носители на дискетах и магнитных лентах и  поместить их в оболочки, не несущие заряда статического электричества;

      д) упаковать каждое устройство и соединительные кабели, провода;

      е) защитить дисководы гибких дисков согласно рекомендации изготовителя (вставить новую дискету или часть картона в щель дисковода);

      ж) особой осторожности требует транспортировка винчестера.

     Поиск и изъятие информации и следов воздействия  на нее в ЭВМ 

     и ее устройствах 

      В компьютере информация может находиться непосредственно в оперативном запоминающем устройстве (ОЗУ) при выполнении программы, в ОЗУ периферийных устройств и на внешних запоминающих устройствах (ВЗУ).

      Наиболее  эффективным и простым способом фиксации данных из ОЗУ является распечатка на бумагу информации, появляющейся на дисплее.

      Если  компьютер не работает, информация может находиться в ВЗУ и других компьютерах информационной системы или в «почтовых ящиках» электронной почты или сети ЭВМ.

      Необходимо  произвести детальный осмотр файлов и структур их расположения; лучше это осуществить с участием специалиста в лабораторных условиях или на рабочем месте следователя.

      Следует обращать внимание на поиск так называемых «скрытых» файлов и архивов, где может храниться важная информация.

      Периферийные  устройства ввода-вывода могут также  некоторое время сохранять фрагменты  программного обеспечения и информации, однако для вывода этой информации необходимы глубокие специальные познания.

      Осмотр  компьютеров и изъятие информации производится в присутствии понятых, которые расписываются на распечатках  информации, изготовленных в ходе осмотра.

      В ходе осмотров по делам данной категории  могут быть обнаружены и изъяты следующие  виды важных документов, которые могут стать вещественными доказательствами по делу:

      а) документы, носящие следы совершенного преступления, – телефонные счета, пароли и коды доступа, дневники связи  и пр.;