Преступления, связанные с криминальным использованием ЭВМ, их систем и сетей, совершаются различными способами.
Основными преступлениями в этой сфере являются: неправомерный доступ к чужой компьютерной информации (хищение или копирование информации, копирование документов, изготовление их дубликатов и др.); изготовление и распространение вредоносных программ, приводящих к нарушению целостности и конфиденциальности информации (ее уничтожению, блокированию, модификации и др.); нарушение правил эксплуатации ЭВМ, ведущее к нарушению целостности и конфиденциальности информации.
Эти преступления совершаются в обстановке специфической интеллектуальной профессиональной деятельности с использованием компьютерной техники. Соответственно субъектами преступлений, как правило, являются лица, владеющие специальными знаниями в области управления ЭВМ.
В начале расследования данных преступлений обычно возникают следующие типовые ситуации:
1) заявление о неправомерном доступе к чужой информации или нарушении ее целостности и конфиденциальности поступило от собственника информационной системы, обнаружившего этот факт; есть сведения о причастном к этому лице;
2) та же ситуация, но данных о причастности к указанным противоправным действиям какого-либо лица в заявлении не имеется;
3) факт указанных противоправных действий обнаружен оперативно-розыскными органами и соответствующим образом зафиксирован.
Во всех ситуациях основные первоначальные задачи обычно сводятся к установлению следующего: данных, позволяющих судить о способе совершения преступления; порядка регламентации конкретной информационной системы ее собственником; круга лиц, работающих с системой и имеющих к ней доступ, и т. д.
Для установления этого чаще всего проводятся такие первоначальные следственные действия, как: допросы собственников данных информационных систем и свидетелей; осмотр ЭВМ и машинных носителей; выемка и осмотр необходимой документации. При этом осмотры и выемки должны проводиться с участием специалистов в области компьютерной техники.
Участие специалистов при расследовании преступлений в сфере компьютерной информации является их специфической методической особенностью.
Эти действия обычно позволяют выявить и других необходимых свидетелей, которых нужно допросить; определить круг лиц, причастных к данному деянию, а также определить примерный размер ущерба, причиненного владельцу информационной системы.
Проблемой фиксации показаний по делам о преступлениях в области компьютерной информации является их «перегрузка» специальной терминологией и жаргонной лексикой. Целесообразно в протоколах более подробно акцентировать внимание и фиксировать значения терминов, используемых допрашиваемым при описании известных ему фактов. При описании конфигураций систем или схем движения информации могут оказаться крайне полезными рукописные схемы,
составляемые допрашиваемым и приобщаемые к протоколу допроса.
Если правонарушитель задержан на месте преступления или сразу после него, он должен быть обыскан и допрошен. Необходимо провести обыск у него дома и на работе.
Проводя допрос подозреваемого, нужно выяснить уровень его профессиональной подготовки, опыт работы по созданию программ данного класса на конкретном языке программирования, знание алгоритмов их работы, но особенно тех, которые подверглись неправомерному воздействию.
Допрашивая подозреваемого, необходимо выяснить, где он живет, работает или учится, его профессию, взаимоотношения с коллегами, семейное положение, круг интересов, привычки и наклонности, навыки программирования, ремонта и эксплуатации компьютерной техники, какими ее средствами, машинными носителями, аппаратурой и приспособлениями он располагает, где и на какие средства их приобрел, где хранил и т. д.
Дальнейшие следственные действия связаны с изъятием ЭВМ, ее устройств, их осмотром и, если необходимо, экспертным исследованием, допросами новых свидетелей, предъявлением обвинения и допросом обвиняемого .
Еще по теме Расследование преступлений в сфере компьютерной информации:
- Глава 49. РАССЛЕДОВАНИЕ ПРЕСТУПЛЕНИЙ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ
- §1. Уголовно-правовая характеристика преступлений в сфере компьютерной информации
- 2. Конкретные виды преступлений в сфере компьютерной информации
- 61. Преступления в сфере компьютерной информации и правовой анализ их видов.
- §2. Особенности производства отдельных следственных действий по делам о преступлениях в сфере компьютерной информации
ВВЕДЕНИЕ 4
1. ПРЕСТУПЛЕНИЯ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ. ОБЩАЯ ЧАСТЬ 8
1.1. Правовое регулирование отношений в области компьютерной информации
1.1.1. Основные понятия 8
1.1.2. Отечественное законодательство в области (компьютерного права(
1.2. Уголовно-правовая характеристика главы 28 УК РФ (Преступления в
сфере компьютерной информации(13
1.2.1. Общие признаки преступлений в сфере компьютерной информации
1.2.2. Уголовно-правовой анализ ст. 272 гл. 28 УК РФ (Неправомерный
доступ к компьютерной информации(16
1.2.3. Уголовно-правовой анализ ст. 273 гл. 28 УК РФ (Создание,
распространение и использование вредоносных программ для ЭВМ(18
1.2.4. Уголовно-правовой анализ ст. 274 гл. 28 УК РФ (Нарушение
правил эксплуатации ЭВМ, системы ЭВМ или их сети(20
2. РАССЛЕДОВАНИЕ 22
2.1. Понятие: значение и виды предварительного расследования 22
2.2. Понятие: и виды следственных действий 24
2.3. Следственные действия по делам рассматриваемой категории 25
2.3.1. Допрос свидетеля и потерпевшего 25
2.3.2. Следственный осмотр 27
2.3.3. Обыск и выемка 30
2.3.4. Назначение и производство экспертизы 32
2.3.5. Следственный эксперимент 33
2.3.6. Допрос обвиняемого и подозреваемого 35
3. РАССЛЕДОВАНИЕ ПРЕСТУПЛЕНИЙ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ. 37
3.1. Расследование неправомерного доступа к компьютерной информации 37
3.1.1. Общая схема расследования неправомерного доступа к
компьютерной информации. 37
3.1.2. Способы краж в банковских информационно-вычислительных
системах 47
3.2. Расследование создание: распространение и использование вредоносных
программ для ЭВМ 52
3.3. Расследование нарушения правил эксплуатации ЭВМ: системы ЭВМ или их
ЗаклюЧение 68
Список использованной литературы 71
Приложение 73
ВВЕДЕНИЕ
В динамичных условиях XX в? общество постоянно сталкивается с
проблемами различного характера: порождение которых зачастую вызвано
стремлением общества к созданию более совершенных и эффективных моделей
своего существования? Сказанное в полной мере относится и к такой
специфической сфере: как область применения электронной техники и
информационных технологий? Создание электронно-вычислительной техники
четвертого и пятого поколения с потенциально неограниченными возможностями:
их широкое распространение в экономической: социальной и управленческой
сферах: появление в быту значительного количества персональных ЭВМ явились
не только новым свидетельством технического прогресса: но и с неизбежностью
повлекли за собой и негативные последствия: связанные со злоупотреблениями
при использовании средств ЭВМ: информационных технологий? Вот вкратце
история возникновения проблемы %
Первым человеком: использовавшим возможности ЭВМ для совершения
налогового преступления на сумму 620 тыс? долл? в 1969 г? в США: считается
Альфонсе Конфессоре? Последующий: даже краткий по изложению: (послужной(
список злоупотреблений с ЭВМ выглядит внушительно? В конце 70-х годов -
хищение более 10 млн? долл? из Секьюрити пасифик бэнк* 1979 г компьютерное
хищение в Вильнюсе (78584 руб?(* 1984 г?- сообщение о первом в мире
(компьютерном вирусе(* 1985 г?- вывод из строя при помощи (вируса(
(Пакистанским вирусом(более 18 тыс? компьютеров* 1989 г? - попытка
(компьютерного ограбления(на сумму более 69 млн? дол? чикагского банка
(Фэрст нэшнл бэнк(* блокировка американским студентом 6000 ЭВМ Пентагона*
международный съезд компьютерных (пиратов(в Голландии с демонстрацией
возможности неограниченного внедрения в системы ЭВМ* 1991 г?- хищение во
Внешэкономбанке на сумму в 125:5 тыс? долларов* 1992 г?- умышленное
нарушение работы АСУ реакторов Игналинской АЭС путем попытки внедрения
вирусов* 1993 г? - попытка электронного мошенничества в ЦЕ России на сумму
более 68 млрд? руб (68 млрд? руб? 309 млн? руб?(* 1995 г? - попытка
российского инженера Левина путем перевода на счета в банки 7 стран
похитить из Сити бэнк в США 10 млн? долл? 400 тысяч из которых до сих по не
обнаружены?* и наконец: в конце 1997 г? компьютерные умельцы прорвались в
(Яху(- одну популярных поисковых систем в Интернете и под угрозой
заражения всей сети компьютерным вирусом потребовали освобождения из-под
ареста одного из своих коллег?
Обвальное появление в России большого числа персональных компьютеров
импортного производства и построение на их базе компьютерных сетей: имеющих
прямой доступ к глобальным информационным системам: заставляет пристальнее
приглядеться к подлинным и мнимым опасностям: которые таит в себе
современная информатизация общества: оценить ущерб от взлома широкого
класса компьютерных сетей - от локальных до глобальных телекоммуникационных
систем? Ежегодный экономический ущерб от такого рода преступлений только в
США составляет около 100 млрд долларов: причем многие потери не
обнаруживаются или о них не сообщают по причине высокой латентности данных
преступлений (порядка 90((?? В Европе: по данным Ассоциации производителей
компьютерного обеспечения: убытки оцениваются в 6 млрд? долларов ежегодно?
Ежедневно только американские (крекеры((специалисты по (взлому(
программного обеспечения ЭВМ(крадут около 4 млн? долларов (в 2 раза
больше: чем во всех остальных кражах(? В настоящее время только в Москве с
помощью поддельной кредитной карточки для электронных расчетов за один раз
похищается порядка 300 тыс? долларов? По данным МВД РФ: потери российского
бюджета от неуплаты налогов продавцами компьютерных программ составляют 85
млн? долларов? Деньга: полученные от продажи: часто уходят в распоряжение
криминальных структур? Кроме того: 105 млн? долларов теряют российские
предприятия? В области разработки компьютерных программ и баз данных в
стране работает около шести тысяч фирм: обеспечивающих занятость более 200
тыс? человек? Если положение не изменится: этой сфере производства грозит
стагнация: поскольку программисты попросту потеряют стимулы к созданию
новых передовых программных продуктов?
Общественная опасность противоправных действий в области электронной
техники и информационных технологий выражается в том: что они могут повлечь
за собой нарушение деятельности автоматизированных систем управления и
контроля различных: включая и жизнеобеспечивающие: объектов: серьезное
нарушение работы ЭВМ и их систем? Несанкционированные действия по
уничтожению: модификации: искажению: копированию информации и
информационных ресурсов: иные формы незаконного вмешательства в
информационные системы способны вызвать тяжкие и необратимые последствия:
связанные не только с имущественным ущербом: но и с физическим вредом
людям? Опасность компьютерных преступлений многократно возрастает: когда
они совершаются в отношении функционирования объектов жизнеобеспечения:
транспортных и оборонных систем: атомной энергетики?
Вышеприведенные факты убедительно свидетельствуют о действительной
остроте проблемы с преступлениями в сере компьютерной информации?
так и непосредственную угрозу даже существованию человечества?
Практическим работникам следственных органов довольно сложно
знаниями компьютерной технологии: а также механизма обработки компьютерных
Цель данной работы – подвергнуть всестороннему изучению специфики
расследования преступлений в сфере компьютерной информации?
Для этого были поставлены следующие задачи %
1(изучение стержневых понятий по данному вопросу: а именно понятие
преступления в сфере компьютерной и понятие расследование*
2(изучение производства следственных действий по делам
3(по возможности выработать общий план расследования преступлений в
сфере компьютерной информации*
4(рассмотреть имеющиеся методики расследования преступлений в сфере
компьютерной информации и: главным образом: изучить методику: содержащуюся
в книге (Руководство для следователей((Руководство для следователей / Под
ред? Н?А? Селиванова: В?А? Снеткова – М?: ИНФРА – М: 1997? – IV: 732 с?(:
В процессе работе над дипломной работой использовалась следующая
литература% федеральные законы* учебники по уголовному праву: уголовному
процессу: и криминалистике* журнальные публикации ряда практических и
теоретических работников?
ПРЕСТУПЛЕНИЯ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ? ОБЩАЯ ЧАСТЬ
1 Правовое регулирование отношений в области (компьютерной информации(
1 Основные понятия
1 Информация
Важно различать информацию как термин обыденной жизни и как правовую
идеального: она неосязаема: непотребляема (не амортизируется(и не может
быть объектом правоотношений безотносительно к ее носителю: содержанию:
идентифицирующим признакам? В праве под информацией понимаются сведения о
лицах: предметах: фактах: событиях: явлениях и процессах: содержащихся в
информационных системах? Весьма тесно связано с понятием информации и
понятие информационных ресурсов: под которыми понимаются от дельные
документы и отдельные массивы документов: документы и массивы документов в
информационных системах?
2 Компьютерная информация
Введение законодателем в Уголовный кодекс термина (компьютерная
информация(является новшеством? Ранее в Российском законодательстве:
регулирующем информационные правоотношения: определения информации как
компьютерной не существовало? Вероятней всего: определение (компьютерная(
применительно к информации возникло для отграничения данного объекта
посягательства от информационных преступлений: предусмотренных другими
разделами Уголовного кодекса РФ? Крылов предлагает следующее
криминалистическое определение компьютерной информации как специального
объекта преступного посягательства? Компьютерная информация есть сведения:
знания или набор команд (программа(: предназначенные для использования в
ЭВМ или управления ею: находящиеся в ЭВМ или на машинных носителях -
идентифицируемый элемент ин формационной системы: имеющей собственника:
установившего правила ее использования?
3 Конфиденциальная информация
Понятие конфиденциальной информации было введено в отечественную
правовую практику с принятием Таможенного кодекса Российской Федерации? В
ст? 16 приводится точное и емкое определение: конфиденциальная информация -
это информация: не являющаяся общедоступной и могущая нанести ущерб правам
и законным интересам предоставившего ее лица? В законе (Об информации:
информатизации и защите информации((ст? 2(предлагается другая
формулировка: документированная информация: доступ к которой ограничивается
в соответствии с законодательством Российской Федерации (Указ Президента РФ
(Об утверждении перечня сведений конфиденциального характера» от 06:03:97г?
Конфиденциальными в соответствии с законом являются: в частности:
такие виды информации: как:
ст?ст? 275: 276: 283: 284 УК РФ(*
передаваемая путем переписки: телефонных переговоров: почтовых
телеграфных или иных сообщений (ч? 2 ст? 23 Конституции РФ: ст? 138 УК РФ(*
касающаяся тайны усыновления (ст? 155 УК РФ(*
139 ГК РФ и ст? 183 УК РФ(: банковскую тайну (ст? 183 УК РФ(: личную тайну
(ст? 137 УК РФ(: семейную тайну (ст? 137 УК РФ(: информация: являющаяся
правах(: ст? 146 УК РФ(*
информация: непосредственно затрагивающая права и свободы гражданина
или персональные данные (Федеральный закон (Об информации: информатизации и
защите информации(: ст? 140 УК РФ(и др?
4 Информационные ресурсы
Понятие информационных ресурсов: весьма тесно связано с понятием
информации под которыми понимаются отдельные документы и отдельные массивы
документов: документы и массивы документов в информационных системах: в
частности: в банках данных (ст?2 Федерального закона (Об информации:
информатизации и защите информации((?
5 Компьютерное право
Термин (компьютерное право(возник в промышленно развитых странах в
середине нашего столетия в связи с широким использованием средств
вычислительной техники и других: связанных с ними технических средств: в
различных сферах общественной деятельности и частной жизни и формированием
отношений: возникающих в процессе производства и применения новых
информационных технологий? В самостоятельную отрасль права оно не
выделилось ни в одной стране мира и состоит из нормативно-правовых актов
разного уровня: относящихся к различным отраслям права % государственному:
административному: гражданскому: уголовному и т л? В России аналогичное
законодательство чаше всего называется (законодательством в сфере
информатизации(и охватывает: по разным оценкам: от 70 до 500 НПА (включая
НПА: которыми предусматривается создание отраслевых или специализированные
автоматизированных систем: и не включая НПА? регулирующие на общих
основаниях хозяйственную деятельность субъектов на рынке новых
информационных технологий(? 13]
6 Неправомерный доступ к компьютерной информации
В специальной литературе под неправомерным доступом к компьютерной
информации понимается несанкционированное собственником информации
ознакомление лица с данными: содержащимися на машинных носителях или в ЭВМ?
В? С? Комиссаров: д? ю? н?: профессор: определяет под неправомерным
доступом к компьютерной информации получение возможности виновным лицом на
ознакомление с информацией или распоряжения ею по своему усмотрению:
совершаемое без согласия собственника либо иного уполномоченного лица?
Самостоятельной формой неправомерного доступа являются случаи введения в
компьютерную систему: сеть или в определенный массив информации без
согласия собственника этого массива или иного лица заведомо ложной
информации: которая искажает смысл и направленность данного блока
информации??
7 Уничтожение информации
Уничтожение информации - это приведение ее полностью либо в
существенной части в непригодное для использования по назначению
состояние?
8 Блокирование информации
Блокирование информации - это создание недоступности: невозможности ее
использования в результате запрещения дальнейшего выполнения
последовательности команд либо выключения из работы какого-либо устройства:
или выключения реакции какого-либо устройства ЭВМ при сохранении самой
информации?
9 Модификация информации
Под модификацией понимается изменение первоначальной информации без
согласия ее собственника или иного законного лица?
10 Копирование информации
Копирование информации - это снятие копии с оригинальной информации с
сохранением ее не поврежденности и возможности использования по
назначению?
11 Нарушение работы ЭВМ: системы ЭВМ или их сети
Под нарушением работы ЭВМ: системы ЭВМ или их сети следует понимать
нештатные ситуации: связанные со сбоями в работе оборудования: выдачей
неверной информации: отказе в выдаче информации: выходом из строя
(отключением(ЭВМ: элементов системы ЭВМ или их сети и т?д? Однако во всех
этих случаях обязательным условием является сохранение физической целости
ЭВМ: системы ЭВМ или их сети? Если наряду с названными последствиями
нарушается и целостность компьютерной системы: как физической веши: то
содеянное требует дополнительной квалификации по статьям о преступлениях
против собственности?
12 Машинные носители
Под машинными носителями следует понимать мобильные устройства
накопления информации: обеспечивающие взаимодействие ЭВМ с окружающей
средой (накопители на гибких и жестких: а также записываемых
магнитооптических дисках: стримеры и т? д?(?
13 Система ЭВМ
Система - это совокупность взаимосвязанных ЭВМ и их обеспечения:
предназначенная для повышения эффективности их работы?
14 Сеть ЭВМ
Сеть - совокупность распределенных на какой-либо территории и
взаимосвязанных для коллективного пользования ими ЭВМ?
2 Отечественное законодательство в области (компьютерного права(
Законодательство России в области (компьютерного права(начало
формироваться с конка 1991 года? Оно базируется на нормах Конституции и
Гражданского кодекса и включает следующие основные законы: (О средствах
массовой информации((27?12?91г? №2124-1(: Патентный закон РФ (от
23?09?92г? №3517?1(? О правовой охране топологий интегральных микросхем (от
23?09 92г №3526-1(: О правовой охране программ для электронных
вычислительных машин и баз данных (от 23 09?92г? №3523-1(: О товарных
знаках: знаках обслуживания и наименования мест происхождения товаров (от
23?09 92г? №3520-1(: Основы законодательства об Архивном фонде РФ и архивах
№5351-1(: О государственной тайне-(от 21?07 93 г? №5485-1(: Об обязательном
экземпляре документов (от 29?12 94 Г? №77?-ФЗ(: О связи (от 1602 95 г? №15-
ФЗ(: Об информации: информатизации и защите информации (от 20 02 95 г? №24-
ФЗ(? Об участии в международном информационном обмене (от 04 07 96 г? № 85-
ФЗ(? Значительный пласт компьютерного права составляют указы Президента РФ:
которые касаются? прежде всего: вопросов формирования государственной
политики в сфере информатизации: (включая организационные механизмы(:
создания системы право вой информации и информационно-правового со
трудничества с государствами СНГ: обеспечения ин формацией органов
государственной власти: мер по защите информации (в частности:
шифрования(?
Конституция РФ непосредственно не регулирует отношения в области
производства и применения новых информационных технологий: но создает
предпосылки для такого регулирования: закрепляя права граждан свободно
искать: получать: передавать: производить и распространять информацию любым
законным способом (ч 4 ст? 29(: право граждан на охрану личной тайны (ч 1
ст 24 и другие(: обязанности государства: в частности: по обеспечению
возможности ознакомления гражданина с документами и материалами:
непосредственно затрагивающими его права и свободы (ч 2 ст 24(?
Соответствующее законодательство формирует механизмы реализации этих
2 Уголовно-правовая характеристика главы 28 УК РФ (Преступления в сфере
компьютерной информации(
1 Общие признаки преступлений в сфере компьютерной информации
Последствия неправомерного использования информации могут быть самыми
разнообразными - это не только нарушение неприкосновенности
интеллектуальной собственности: но и разглашение сведений о частной жизни
граждан: имущественный ущерб в виде прямых убытков и неполученных доходов:
потеря репутации фирмы: различные виды нарушений нормальной деятельности
предприятия: отрасли и т? д? Поэтому совершенно оправданно то: что
преступления данного вида помещены в раздел IX «Преступления против
общественной безопасности и общественного порядка»? Таким образом: если
исходить из учения о четырехзвенной структуре объекта преступления: общим
объектом компьютерных преступлений будет выступать совокупность всех
общественных отношений: охраняемых уголовным законом* родовым -
общественная безопасность и общественный порядок* видовым - совокупность
общественных отношений по правомерному и безопасному использованию
информации* непосредственный объект трактуется: исходя из названий и
диспозиций конкретных статей? Чаще всего непосредственный объект основного
состава компьютерного преступления сформулирован альтернативно: в
квалифицированных составах количество их: естественно: увеличивается?
Практически все анализируемые преступления относятся к преступлениям
средней тяжести: т? е? их максимальная наказуемость в виде лишения свободы
не превышает 5 лет? Исключением является лишь создание использование и
распространение вредоносных программ для ЭВМ: повлекшее по неосторожности
тяжкое последствие: которое наказывается лишением свободы на срок от 3 до 7
лет и поэтому относится к тяжким преступлениям? При характеристике
объективной стороны рассматриваемых составов: отмечается: что большинство
из них конструктивно сформулированы как материальные: поэтому предполагают
не только совершение общественно опасного деяния: но и наступление
общественно опасных последствий: а также установление причинной связи между
этими двумя признаками? Однако в силу ч? 2 ст? 9 временем совершения
каждого из этих преступлений будет признаваться время окончания именно
деяния независимо от времени наступления последствий? Сами же общественно
опасные деяния чаще всего выступают здесь в форме действий и лишь иногда -
как бездействие? В одном случае такой признак объективной стороны состава
преступления: как способ его совершения: сформулирован в качестве
обязательного признака основного и квалифицированного составов? В остальных
он: а также время: место: обстановка: орудия: средства совершения
преступления могут быть учтены судом в качестве смягчающих или отягчающих
обстоятельств?
Из всех признаков субъективной стороны значение будет иметь только
один - вина? При этом: исходя из ч? 2 ст? 24: для всех преступлений данного
вида необходимо наличие вины в форме умысла: и лишь два квалифицированных
состава предусматривают две ее формы: умысел по отношению к деянию и
неосторожность в отношении наступивших общественно опасных последствий?
Факультативные признаки субъективной стороны так же: как и в вопросе о
стороне объективной: не будут иметь значения для квалификации преступления?
Так: мотивами совершения таких деяний чаще всего бывают корысть либо
хулиганские побуждения: но могут быть и соображения интереса: чувство
мести* не исключено совершение их с целью скрыть другое преступление и т?
д? Естественно: что особую трудность вызовет проблема отграничения
неосторожного и невиновного причинения вреда: что связано с повышенной
сложностью и скрытностью процессов: происходящих в сетях и системах ЭВМ?
Субъект нескольких составов является специальным? В остальных случаях
им может стать: в принципе: любой человек: особенно если учесть
всевозрастающую компьютерную грамотность населения? Ответственность за
преступления против компьютерной безопасности наступает с 16 лет (ст? 20
Диспозиции статей 28-й главы описательные: зачастую - бланкетные или
отсылочные? Так: для применения ряда их необходимо обратиться к ст? 35 УК:
к нормативно-правовому акту об охране компьютерной информации: правилам
эксплуатации ЭВМ и т? п?
Санкции - альтернативные: за исключением двух квалифицированных
составов: где они - в силу тяжести последствий преступления - «урезаны» до
относительно-определенных?
2 Уголовно-правовой анализ ст? 272 гл? 28 УК РФ (Неправомерный доступ к
компьютерной информации(
Эта статья: которая: как и последующие: состоит из 2 частей: содержит
достаточно много признаков: обязательных для объекта: объективной и
субъективной сторон состава преступления? Непосредственным объектом ее
являются общественные отношения по обеспечению безопасности компьютерной
информации и нормальной работы ЭВМ: их системы или сети? Предметом
преступления будет компьютерная (машинная(информация: содержащаяся на
машинном носителе: в ЭВМ: их системе или сети: охраняемая законом: т?е?
изъятая из открытого оборота на основании закона: иного нормативного
правового акта: а также правил внутреннего распорядка: основанных на
названных правовых актах?
Состав преступления сформулирован как материальный: причем если деяние
в форме действия определено однозначно (неправомерный доступ к охраняемой
законом компьютерной информации(: то последствия хотя и обязательны: могут
быть весьма разнообразны: 1(уничтожение информации: 2(ее блокирование: 3(
модификация: 4(копирование: 5(нарушение работы ЭВМ: 6(то же - для
системы ЭВМ: 7(то же- для их сети? Деяние: как видно из диспозиции статьи:
предполагает наличие двух обязательных признаков - информация должна
охраняться законом: а доступ к ней должен быть неправомерен: т? е?
пользователь ЭВМ не имел права вызывать ее: знакомиться с ней: а тем более
распоряжаться ею? Среди способов совершения такого доступа можно назвать:
использование чужого имени: изменение физического адреса технического
устройства: подбор пароля: нахождение и использование (пробелов(в
программе: любой другой обман системы защиты информации? Вопрос о том:
когда окончено данное деяние: должен решаться так? Моментом окончания его
является момент отсылки пользователя компьютеру последней интерфейсной
независимо от наступления дальнейших последствий? Однако преступлением это
деяние станет только лишь при наличии последнего условия? Все действия:
выполненные до подачи последней команды: будут образовывать состав
неоконченного преступления? Что касается преступных последствий: то под
уничтожением информации следует понимать такое изменение се состояния: при
котором она перестает существовать в силу утраты основных качественных
признаков: под блокированием - невозможность доступа к ней со стороны
законного пользователя: под модификацией - видоизменение: характеризующееся
появлением новых (очевидно: нежелательных(свойств: под копированием -
получение точного или относительно точного воспроизведения оригинала (опять-
таки без соответствующей санкции(: под нарушением работы - остановку
действия программы: ее зацикливание: замедление работы: нарушение порядка
выполнения команд: ущерб самой аппаратной части и другие последствия?
Субъективная сторона основного состава характеризуется виной в форме
умысла: прямого или косвенного: лицо должно осознавать общественную
опасность своего действия: предвидеть возможность или неизбежность
наступления общественно опасных последствий и желать их наступления: либо
сознательно допускать их: либо относиться к ним безразлично? Естественно:
установление наличия в деянии виновного умысла: а не неосторожности: будет
существенно затруднено: хотя бы потому: что при различных состояниях
вычислительной системы (причем часто неизвестных преступнику(одни и те же
действия могут приводить к разным последствиям?
Субъектом преступления: указанного в ч? 1 ст? 272: может быть любое
вменяемое физическое лицо: достигшее 16 лет: кроме: конечно: легального
пользователя данной компьютерной информации?
Санкция основного состава альтернативно предусматривает три вида
наказаний: штраф: исправительные работы и лишение свободы? Первый: в свою
очередь: может быть двух видов: кратный минимальному размеру оплаты труда
(от 200 до 500(и кратный размеру зарплаты или иного дохода осужденного
(период от 2 до 5 месяцев(? Исправительные работы могут быть назначены в
размере от 6 месяцев до 1 года: а лишение свободы - от 6 месяцев до 2 лет?
Часть 2 ст? 272 предусматривает в качестве квалифицирующих признаков
несколько новых: характеризующих объективную сторону и субъект состава? Это
совершение деяния: 1(группой лиц по предварительному сговору* 2(
организованной группой* 3(лицом с использованием своего служебного
положения* 4(лицом: имеющим доступ к ЭВМ: их системе или сети? Если
описание первых двух признаков дано в ст? 35 УК: то специальный субъект
двух последних можно трактовать как отдельных должностных лиц:
программистов: операторов ЭВМ: наладчиков оборудования: специалистов-
пользователей автоматизированных рабочих мест и т? д Заметим: однако: что
вряд ли оправданно отнесение слов (те же действия(- т? е? неправомерный
доступ - к лицам: имеющим доступ к ЭВМ: системе: сети: поскольку их
обращение к компьютерной информации: чаще всего: правомерно? Санкция за
квалифицированные виды данного преступления ужесточена: в нее введен новый
вид наказания (арест на срок от 3 до 6 мес?(: размеры остальных увеличены:
штраф от 500 до 800 минимальных размеров оплаты труда или зарплаты за
период от 5 до 8 месяцев* исправительные работы от 1 года до 2 лет* лишение
свободы до 5 лет?
3 Уголовно-правовой анализ ст? 273 гл? 28 УК РФ (Создание: распространение
и использование вредоносных программ для ЭВМ(
Статья 273 явилась преемницей ст? 269 проекта УК (Создание:
использование и распространение вирусных программ(? Смена дефиниций
произошла от того: что термин “вирусная программа” “компьютерный вирус”
понимается в теории программирования несколько в ином значении: более
узком? В случае принятия только такого типа программ в качестве средства
совершения данного преступления произошло бы неоправданное смещение в
понимании такого средства? Во первых: компьютерный вирус может быть
безвредным и карать за его внесение при помощи уголовного закона было бы
бессмысленным: а во вторых: существует множество программ другого типа:
приводящих к столь же нежелательным последствиям: как и в случае действия
вредоносных вирусов?
Непосредственным объектом данного преступления являются общественные
отношения по безопасному использованию ЭВМ: ее программного обеспечения и
информационного содержания?
Обязательными признаками объективной стороны ч? 1 ст? 273 будут два:
характеризующих способ и средство совершения преступления Это: во-первых:
то: что последствия должны быть несанкционированными: во-вторых: наличие
самой вредоносной программы или изменения в программе?
С субъективной стороны преступление: предусмотренное ч? 1 ст? 273 К:
может быть совершено только с прямым умыслом? Виновный сознает: что он
создает вредоносную компьютерную программу или вносит соответствующие
изменения в существующую: а равно использует либо распространяет такую
программу или машинный носитель с ней? Желает этого? Мотив и цель при этом
не имеют значения: но могут быть Учтены при назначении наказания? Если же
совершение данного преступления происходит с целью совершить другое
преступление: например: хищение материальных средств: повреждение или
уничтожение компьютерной сети и т?д?: то содеянное подлежит квалификации по
совокупности ст? 273 и соответствующей статьи УК РФ?
Субъектом данного преступления может быть любое лицо: достиг шее 16-
летнего возраста?
Санкция предусматривает один основной вид наказания (лишение свободы
на срок до 3 лет(и один дополнительный (штраф в размере 200-500
минимальных размеров оплаты труда или зарплаты либо иного дохода лица за
период 2-5 мес?(? Частью 2 ст? 273 криминализируется более опасное
преступление: те же деяния: повлекшие тяжкие последствия? Это -
преступление с материальным составом и с двумя формами вины: по отношению к
действиям присутствует умысел: а к общественно опасным последствиям -
неосторожность: легкомыслие или небрежность?
Санкция данной части - относительно-определенная: лишение свободы на
срок от 3 до 7 лет? Таким образом: именно это преступление из всей главы
(Тяжкие последствия(- оценочное понятие: наличие их в каждом
конкретном случае определяется: исходя из особенностей дела? Так: в данном
случае под тяжкими последствиями можно понимать смерть одного или
нескольких человек: причинение тяжкого вреда здоровью: катастрофы:
серьезную дезорганизацию работы: крупный материальный ущерб и т? п?
4 Уголовно-правовой анализ ст? 274 гл? 28 УК РФ (Нарушение правил
эксплуатации ЭВМ, системы ЭВМ или их сети(
Целью действия ст? 274 должно быть предупреждение невыполнения
пользователями своих профессиональных обязанностей: влияющих на сохранность
хранимой: и перерабатываемой информации? Непосредственный объект
преступления: предусмотренного этой статьей:- отношения по соблюдению
правил эксплуатации ЭВМ: системы или их сети: т? е? конкретно аппаратно-
технического комплекса? Под таковыми правилами понимаются: во-первых:
Общероссийские временные санитарные нормы и правила для работников
вычислительных центров: во-вторых: техническая документация на
приобретаемые компьютеры: в-третьих: конкретные: принимаемые в определенном
учреждении или организации: оформленные нормативно и подлежащие доведению
до сведения соответствующих работников правила внутреннего распорядка?
Нарушение этих правил (несоблюдение: ненадлежащее соблюдение либо прямое
нарушение(может быть осуществлено путем как активного действия: так и
бездействия? Состав ч? 1 сформулирован как материальный? При этом
общественно опасные последствия заключаются в одновременном наличии двух
факторов: 1(уничтожения: блокирования или модификации охраняемой законом
информации ЭВМ* 2(вызванного этим существенного вреда? Поскольку речь идет
о правилах эксплуатации именно ЭВМ: т? е? аппаратно-технической структуры:
то и нарушение их должно затрагивать только техническую сторону
несоблюдения требований безопасности компьютерной информации: а не
организационную или правовую?
С субъективной стороны преступление: предусмотренное ч? 1 ст? 274:
может быть совершено умышленно - как с прямым: так и с косвенным умыслом?
Мотив и цель виновного для квалификации содеянного значения не имеют: но
могут быть учтены при назначении наказания?
Субъект данного преступления специальный -лицо: имеющее доступ к ЭВМ:
системе ЭВМ или их сети (программист: оператор ЭВМ: техник по обслуживанию
Санкция ч? 1 ст? 274 состоит из трех альтернативных видов наказания:
лишение права занимать определенную должность или заниматься определенной
деятельностью на срок до 5 лет: обязательные работы от 180 до 240 часов и
ограничение свободы до 2 лет? Часть 2 ст? 274 - состав с двумя формами
вины: предусматривающий в качестве квалифицирующего признака наступление по
неосторожности тяжких последствий? Содержание последних: очевидно:
аналогично таковому для ч? 2 ст? 273? Санкция нормы существенно отличается
от предыдущей: только (лишение свободы до 4 лет(?
РАССЛЕДОВАНИЕ?
1 Понятие: значение и виды предварительного расследования
Расследование (предварительное расследование(: стадия уголовного
процесса: осуществляемая в форме дознания или предварительного следствия? В
ходе расследования осуществляется процессуальная деятельность: направленная
на выяснение обстоятельств совершения преступления: виновных в нем лиц и т?
д??: т? е? на доказывание всех тех фактов и обстоятельств: которые входят в
предмет доказывания по делу расследование завершается принятием итогового
процессуального решения (прекращение уголовного дела: направление
уголовного дела в суд) или приостанавливается по основаниям: указанным в
Расследование уголовных дел часто называют предварительным
расследованием? Обусловлено это тем: что оно приводит к предварительным
выводам и предшествует разбирательству в суде уголовных дел?
Предварительное расследование представляет собой деятельность особо
уполномоченных государством органов по установлению события преступления:
по розыску и изобличению виновного или виновных в совершении преступления:
по возмещению причиненного преступлением ущерба и принятию мер по
устранению причин совершенного преступления и предупреждению новых ?
Стадия предварительного расследования следует непосредственно за
стадией возбуждения уголовного дела? Ее содержанием является деятельность
органа дознания: следователя и прокурора: направленная на то: чтобы с
помощью производства следственных действий по собиранию доказательств
быстро и полно раскрыть преступление: всесторонне и объективно установить
обстоятельства дела: изобличить виновных в совершении данного преступления:
обеспечить привлечение их к уголовной ответственности и подготовить
материалы уголовного дела для судебного разбирательства? Кроме этого: по
конкретному уголовному делу необходимо выяснить причины и условия:
способствовавшие совершению преступления: принять меры к их устранению: а
также принять меры к возмещению причиненного преступлением ущерба?
Расследование определяется как предварительное потому: что оно
осуществляется до судебного разбирательства дела: в ходе которого: как
известно: решается вопрос о виновности лица в совершении преступления и
назначается наказание за совершенное деяние? Однако в судебном заседании
исследуются в основном материалы: собранные на предварительном следствии?
Поэтому: для того: чтобы суд имел возможность разрешить уголовное дело и
вынести законный: обоснованный и справедливый приговор: орган расследования
должен собрать достаточные доказательства: которые могут быть положены в
основу приговора? Помимо этого: на предварительном следствии могут быть
установлены обстоятельства: дающие основание прекратить уголовное дело?
Предварительное расследование проводится по подавляющему большинству
дел: направляемых для разбирательства в суд? Особый порядок прохождения
уголовных дел предусмотрен лишь по делам частного обвинения (ст? 27 УПК) и
по делам с протокольной формой досудебной подготовки материалов (гл? 34
УПК)? Однако и по ним в определенных случаях также может быть проведено
предварительное следствие или дознание?
Предварительное расследование по действующему уголовно-процессуальному
законодательству происходит в двух формах - предварительное следствие и
дознание? Основной формой расследования является предварительное следствие?
Это определяется: во-первых: тем: что законодатель относит к этой сфере
производство по большинству уголовных дел (ст? 128 УПК): а во-вторых: тем:
что предварительное следствие может проводиться и по делам: относимым к
компетенции органов дознания: если это признает необходимым суд или
прокурор? Осуществление всей этой деятельности возложено на ряд специально
уполномоченных органов ?
2 Понятие: и виды следственных действий
Процессуальные действия: совершаемые в ходе дознания и
В. Голубев
Выступление 26 февраля 2003 г.
на Southeast Cybercrime Summit
в Атланте, США
Расследование компьютерных преступлений существенно отличаются от расследований других "традиционных" преступлений. По данным уголовным делам чаще всего допускаются ошибки, что зачастую объясняется отсутствием надлежащего уровня теоретической и практической подготовки оперативных работников и следователей. Изучение уголовных дел этой категории дает основание полагать, что одной из существенных причин низкого качества следствия является отсутствие систематизированных и отработанных методик расследования компьютерных преступлений, а также ошибки, которые совершаются при проведении следственных действий в отношении компьютерной информации либо самих компьютеров.
Результаты анализа практической деятельности правоохранительных органов по расследованию компьютерных преступлений свидетельствуют о том, что исследование компьютерной техники целесообразно проводить в условиях криминалистической лаборатории, где эту работу выполняют специалисты с необходимой профессиональной подготовкой.
Доказательства, связанные с компьютерными преступлениями и изъятые с места происшествия, могут быть легко изменены, как в результате ошибок при их изъятии, так и в процессе самого исследования. Представление подобных доказательств в судебном процессе требует специальных знаний и соответствующей подготовки. Здесь нельзя недооценивать роль экспертизы, которая может дать квалифицированный ответ на поставленные вопросы.
Однако экспертиза требует какого-то времени не только на ее проведение, но и на поиск соответствующих специалистов, а при изъятии компьютерной техники существенным фактором, позволяющим сохранить необходимую доказательную информацию, является неожиданность и оперативность. Именно поэтому изъятие компьютеров и информации приходится проводить теми силами, которые в настоящее время проводят следственные действия. В данном случае именно следователь не застрахован от ошибок, обусловленных недостаточностью знаний, что потом достаточно умело, используется защитой в суде.
Поставленная проблема имеет два аспекта: общие ошибки, которые допускаются работниками правоохранительных органов при расследовании компьютерных преступлений, и технические аспекты, связанные с защитой информации, которая устанавливается на компьютерах их непосредственными пользователями.
Как известно, обнаружение, осмотр и изъятие компьютеров и компьютерной информации в процессе следственных действий могут совершаться не только при следственном осмотре (ст. 190 КПК), но и при проведении других следственных действий: обыски (ст. 178 КПК); выемки (ст. 179 КПК); воспроизведения обстоятельств и обстановки происшествия (ст.194 КПК).
Следует выделить некоторые правила работы с компьютерами, изъятыми при расследовании преступлений в сфере компьютерной информации, а также предложить общие рекомендации, которые могут быть полезными при обработке компьютерных доказательств.
Рассмотрим некоторые типичные ошибки, наиболее часто совершаемые при проведении следственных действий в отношении компьютерной информации либо самих компьютеров.
Ошибка 1. Ошибочная работа с компьютером.
Первое и основное правило, которое должно неуклонно выполняться, состоит в следующем: никогда и ни при каких условиях не работать на изъятом компьютере. Это правило допускает, что изъятый компьютер - прежде всего объект исследования специалиста. Поэтому до передачи экспертам его желательно даже не включать, поскольку категорически запрещено исполнять любые операции на изъятом компьютере, не обеспечив необходимых мер защиты (например, защиты от модификации или создания резервной копии). Если на компьютере установлена система защиты (например - пароль), то его включение может вызвать уничтожение информации, которая находится на жестком диске. Не допускается загрузка такого компьютера с использованием его собственной операционной системы.
Подобная мера объясняется достаточно просто: преступнику не составляет особого труда установить на своем компьютере программу для уничтожения информации на жестком или гибком магнитном дисках, записав такие "ловушки" через модификацию операционной системы. Например, простая команда DIR, которая используется для отображения каталога диска, может быть легко изменена, чтобы отформатировать жесткий диск.
После того, как данные и сама разрушительная программа уничтожены, никто не сможет сказать наверняка, был ли "подозреваемый" компьютер оборудован такими программами специально, или это результат небрежности при исследовании компьютерных доказательств?
Ошибка 2. Допуск к компьютеру владельца (пользователя) компьютера.
Серьезной ошибкой является допуск к исследуемому компьютеру владельца для оказания помощи в его эксплуатации. Известны многие случаи из практики, когда подозреваемые на допросах, связанных с компьютерными доказательствами, допускались к работе на изъятом компьютере. Позже они рассказывали своим знакомым, как шифровали файлы "прямо под носом у полицейских", а те об этом даже не догадывались. Учитывая такие последствия, компьютерные специалисты стали делать резервные копии компьютерной информации прежде, чем допускать к работе над ней.
Еще одна проблема связанна с возможностью опровержения в суде идентичности предъявленного на процессе программного обеспечения тому, которое находилось на данном компьютере на момент изъятия. Чтобы избежать подобных ситуаций, компьютер, следует опечатать в присутствии понятых, не включая. Если работник правоохранительных органов принимает решение об осмотре компьютера на месте, первое, что необходимо сделать, это снять копию с жесткого магнитного диска и любой дискеты, которая будет изыматься как вещественное доказательство. Это означает, что до проведения каких-либо операций с компьютером, необходимо зафиксировать его состояние на момент проведения следственных действий.
Ошибка 3. Отсутствие проверки компьютера на наличие вирусов и программных закладок.
С целью проверки компьютера на наличие вирусов и программных закладок, необходимо загрузить компьютер не с его операционной системы, а со своей загодя подготовленной дискеты, либо со стендового жесткого диска. Проверке подвергаются все носители информации - дискеты, жесткий диск и другие носители. Эту работу следует проделать привлеченному к участию в следственных действиях специалисту с помощью специального программного обеспечения.
Нельзя допустить, чтобы у суда появилась возможность обвинения следствия в умышленном заражении компьютера вирусами, в некомпетентности при проведении следственных действий, либо просто в небрежности, поскольку доказать, что вирус находился в компьютере до момента исследования, вряд ли возможно, а подобное обвинение поставит под сомнение всю работу эксперта и достоверность его выводов.
Такие наиболее типичные ошибки, которые часто встречаются при исследовании компьютера в делах, связанных с расследованием компьютерных преступлений. Однако рассмотренный перечень не охватывает всех ошибок, возникающих в процессе изъятия и исследования компьютерной информации. Этому можно легко дать объяснение: отсутствие достаточного опыта в подобных делах в нашей стране. В то же время в странах Западной Европы и США уже накоплен богатый опыт расследования сложных компьютерных преступлений. Необходимо более тщательно его изучить, что позволит избежать многих из них.
Во избежание ошибок при проведении следственных действий на начальном этапе расследования, которые могут привести к потере или искажению компьютерной информации, следует придерживаться некоторых предохранительных мер.
В процессе обыска и выемки, связанных с изъятием компьютера, магнитных носителей и информации, возникает ряд общих проблем, связанных со спецификой изымаемых технических средств. В первую очередь необходимо предусмотреть меры безопасности, которые совершаются преступниками с целью уничтожения компьютерной информации. Они, например, могут использовать специальное оборудование, в критических случаях образующее сильное магнитное поле, которое стирает магнитные записи.
На протяжении обыска все электронные доказательства, находящиеся в компьютере либо в компьютерной системе должны быть собраны таким образом, дабы они потом могли быть признанными судом. Мировая практика показывает, что в большинстве случае под давлением представителей защиты в суде электронные доказательства не принимаются во внимание. Чтобы гарантировать их признание в качестве доказательств, необходимо строго придерживаться уголовно-процессуального законодательства, а также стандартизированных приемов и методик их изъятия.
Обычно компьютерные доказательства сохраняются путем создания точной копии с оригинала (первичного доказательства), прежде чем делается какой-либо их анализ. Но делать копии компьютерных файлов, используя только стандартные программы резервного копирования, недостаточно. Вещественные доказательства могут существовать в виде уничтоженных либо спрятанных файлов, а данные, связанные с этими файлами, можно сохранить только с помощью специального программного обеспечения. В самом простом виде это могут быть программы типа - SafeBack, а для гибких дискет бывает достаточно программы DOS Discopy.
Магнитные носители, на которые предусматривается копировать информацию, должны быть заранее подготовленные (необходимо убедиться, что на них отсутствует какая-нибудь информация). Носители следует сохранять в специальных упаковках либо заворачивать в чистую бумагу. Необходимо помнить, что информация может быть повреждена влажностью, температурным влиянием или электростатическими (магнитными) полями.
Многие текстовые редакторы и программы управления базами данных создают временные файлы как побочный продукт нормальной работы программного обеспечения. Большинство пользователей компьютера не осознают важности создания этих файлов, потому что обычно они уничтожаются программой в конце сеанса работы. Однако данные, находящиеся внутри этих уничтоженных файлов, могут оказаться наиболее полезными. Особенно, если исходный файл был кодированный или документ подготовки текстов был напечатан, но никогда не сохранялся на диске, такие файлы могут быть восстановлены.
Популярность Microsoft Windows принесла некоторые дополнительные средства, касающиеся исследования компьютерной информации. Swap File функционируют как дисковая память, огромная база данных и множество разных временных фрагментов информации. В этом Swap File может быть обнаружен даже весь текст документа.
Часто дубли текстовых файлов можно обнаружить на жестком либо гибком магнитных дисках. Это могут быть незначительные изменения между версиями одного документа, которые могут иметь доказательную ценность. Расхождения можно легко идентифицировать с помощью наиболее современных текстовых редакторов.
Приступая к осмотру компьютера, следователь и специалист, непосредственно производящий все действия на ЭВМ, должны придерживаться следующего:
- перед выключением компьютера необходимо по возможности закрыть все используемые на компьютере программы. Следует помнить о том, что некорректный выход с некоторых программ может вызвать уничтожение информации или испортить саму программу;
- принять меры по установлению пароля доступа к защищенным программам;
- при активном вмешательстве сотрудников предприятия, стремящихся противодействовать следственной группе, необходимо отключить электропитание всех компьютеров на объекте, опечатать их и изъять вместе с магнитными носителями для исследования информации в лабораторных условиях;
- в случае необходимости консультаций персонала предприятия, получать их следует у разных лиц путем опрашивания или допроса. Подобный метод позволит получить максимально правдивую информацию и избежать умышленного вреда;
- при изъятии технических средств, целесообразно изымать не только системные блоки, но и дополнительные периферийные устройства (принтеры, стримеры, модемы, сканеры и т.п.);
- при наличии локальной вычислительной сети необходимо иметь нужное количество специалистов для дополнительного исследования информационной сети;
- изымать все компьютеры (системные блоки) и магнитные носители;
- тщательно осмотреть документацию, обращая внимание на рабочие записи операторов ЭВМ, ибо часто именно в этих записях неопытных пользователей можно обнаружить коды, пароли и другую полезную информацию;
- составить список всех внештатных и временных работников организации (предприятия) с целью выявления программистов и других специалистов в области информационных технологий, работающих в данном учреждении. Желательно установить их паспортные данные, адреса и места постоянной работы;
- записать данные всех лиц, находящихся в помещении на момент появления следственной группы, независимо от объяснения причин их пребывания в данном помещении;
- составить список всех сотрудников предприятия, имеющих доступ к компьютерной технике либо часто пребывающих в помещении, где находятся ЭВМ.
Если возможен непосредственный доступ к компьютеру и исключены все нежелательные ситуации, приступают к осмотру. Причем следователь и специалист должны четко объяснять все свои действия понятым.
При осмотре должны быть установлены:
- конфигурация компьютера с четким и подробным описанием всех устройств;
- номера моделей и серийные номера каждого из устройств;
- инвентарные номера, присваиваемые бухгалтерией при постановке оборудования на баланс предприятия;
- другая информация с фабричных ярлыков (на клавиатуре ярлык обычно находится на обратной стороне, а на мониторе и процессоре - сзади). Такая информация вносится в протокол осмотра вычислительной техники и может быть важной для следствия.
Фотографирование и маркирование элементов компьютерной системы - важный первый шаг при подготовке системы к транспортировке. Документирование состояния системы на данном этапе необходимо для правильной сборки и подключения всех элементов системы в условиях лаборатории. При фотографировании следует исполнить снимки системы крупным планом ее передней и задней частей. Фотографирование и маркирование элементов изымаемой компьютерной системы дает возможность в точности воссоздать состояние компьютерной техники в лабораторных условиях исследования. Некоторое оборудование типа внешних модемов может иметь множество мелких переключателей, фиксирующих его состояние, которые при транспортировке могут быть изменены, что создаст дополнительные проблемы для эксперта.
В заключение необходимо подчеркнуть, что при проведении любых следственных действий, связанных с расследованием преступлений в сфере использования компьютерных технологий (особенно выемка информации и компьютерного оборудования) целесообразно с самого начала привлечение специалиста в области информационных технологий. До начала следственных действий следует также иметь определенную информацию, касающуюся: марки, модели, компьютера, операционной системы, периферийных устройств, средств связи и любые другие ведомости о системе, которая является объектом расследования. Целенаправленная деятельность следователя, оперативных работников, особенно на первичном этапе расследования, обеспечивает успех дальнейшего расследования компьютерных преступлений.
Статьи на эту тему
Электронная коммерция и национальная безопасность
Разграничение информации в современном коммерческом предприятии
Юридические меры охраны конфиденциальных сведений как составная часть корпоративной системы защиты информации
Обеспечение защиты информации от непреднамеренного воздействия техническими средствами
§ 1. Родовая криминалистическая характеристика преступлений
Массовая компьютеризация, начавшаяся в России в конце 80-х – первой половине 90-х годов (несколько позже, чем в США и Западной Европе), привела к развитию рынка компьютеров и программного обеспечения, повышению профессиональной подготовки пользователей, увеличению потребностей организаций в совершенствовании технологий обработки данных, значительно расширила сферу применения ЭВМ, кᴏᴛᴏᴩые все чаще подключаются к сетям широкого доступа. Активно внедряется автоматизированная обработка бухгалтерской и иной производственной документации, "безбумажные" технологии. Информация, содержащаяся в компьютере, зачастую вообще не хранится на бумаге. Компьютер стал практически обязательным элементом рабочего стола не только руководителей, но и рядовых сотрудников.
Важно заметить, что одним из следствий ϶ᴛᴏго процесса явилась криминализация сферы оборота компьютерной информации, что вызвало необходимость законодательно регламентировать уголовную ответственность за совершение преступлений в данной сфере. Так, УК РФ определяет как преступления:
неправомерный доступ к компьютерной информации, повлекший за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272);
создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами (ст. 273);
нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если ϶ᴛᴏ деяние причинило существенный вред (ст. 274)
Важно знать, что большинство таких преступлений совершается в кредитно-финан-совой сфере, однако эта уголовно-правовая категория далеко не охватывает всего спектра применения ЭВМ в криминальных целях. Компьютерную информацию нередко используют и в таких "традиционных" преступлениях, как приϲʙᴏение, мошенничество, фальшивомонетничество, лжепредпринимательство и др., например для: фальсификации платежных документов; хищения наличных и безналичных денежных
средств путем перечисления на фиктивные счета; "отмывания" денег; вторичного получения уже произведенных выплат; совершения покупок с использованием фальсифицированных или похищенных электронных платежных средств (кредитных карт); продажи секретной информации и пр.
Дать криминалистическую характеристику преступлений в данной сфере невозможно без определения понятия компьютерной информации. Федеральный закон "Об информации, информатизации и защите информации" определяет ее как "сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления". "Документированная информация;– зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать"1. При этом под криминалистически значимой информацией понимается совокупность знаний о совершенном преступлении. Как мы уже упоминали в главе 21, она может быть актуальной и потенциальной.
Компьютерная информация – информация на машинном носителе, в ЭВМ, системе или сети ЭВМ – также может быть криминалистически значимой, при расследовании и компьютерных преступлений, и посягательств, где ЭВМ выступает как объект (кража компьютера, незаконное использование машинного времени) или средство совершения преступления (использование ЭВМ для накопления информации, подделки документов и пр.) Программные продукты тоже могут использоваться и в качестве объекта преступления (незаконное копирование, причинение ущерба применением разрушающих программ – вирусов), и в качестве инструмента совершения преступления (несанкционированное проникновение в компьютерную систему, искажения и подлоги информации)
Компьютерная информация применительно к процессу доказывания может быть определена как фактические данные, обработанные компьютером и полученные на его выходе в форме, доступной восприятию ЭВМ либо человека или передающиеся по телекоммуникационным каналам, на базе кᴏᴛᴏᴩых в определенном законом порядке устанавливаются обстоятельства, имеющие значение для правильного разрешения дела2.
Источниками компьютерной информации служат: машинная распечатка; накопители на магнитных, оптических и иных носителях; база данных (фонд) оперативной памяти ЭВМ или постоянного запоминающего, устройства. Информация в ЭВМ вводится через стандартные (клавиатуру и накопители – на гибких (НГМД) и (или) на жестких магнитных дисках (НЖМД)) и нестандартные (мышь, модем, дигитайзер, сканер, аналого-цифровой преобразователь и др.) устройства ввода. Блок устройств вывода информации позволяет получить результаты работы
1 Федеральный закон "Об информации, информатизации и защите информации". Комментарий. М., 1996.
2 При подготовке раздела использованы материалы канд. дисс. Касаткина А. В. Тактика собирания и использования компьютерной информации при расследовании преступлений. М., 1997.
компьютера в привычном для пользователя виде. Стандартные устройства вывода – монитор (дисплей) и НГМД (НЖМД), нестандартные – принтер, модем, плоттер (графопостроитель) и др. Стоит сказать, для долговременного и надежного хранения данных создано множество устройств: магнитные и магнитооптические дисковые накопители, накопители на магнитной ленте и т. д.
Важно заметить, что одним из основных элементов криминалистической характеристики, особенно важным при расследовании преступлений в сфере движения компьютерной информации, будет способ совершения и сокрытия преступлений. Остановимся подробнее на способах использования вычислительной техники для достижения преступной цели:
1. Создание компьютерной базы данных, содержащей информацию о преступлении. В наибольшей степени типичным будут, например, базы данных о девушках, занимающихся проституцией, учета поступивших заказов, а также доходов от ϲʙᴏдничества, кᴏᴛᴏᴩые ведутся в диспетчерских ϲᴏᴏᴛʙᴇᴛϲᴛʙующих подпольных фирм.
2. Использование ЭВМ и периферийных устройств в качестве полиграфической базы для проектирования и изготовления фальсифицированных (подложных) документов, денежных знаков, кредитных карточек и т. д.
3. Использование электронных средств доступа (компьютерные, телекоммуникационные системы, кредитные карточки и т. д.) в целях хищения (приϲʙᴏения и кражи)
По оценкам отечественных и зарубежных исследователей, уровень латентности компьютерных преступлений составляет около 90%, а из оставшихся 10% выявленных раскрывается только 1%. Как показывает практика расследования других видов преступлений, использование компьютерной информации позволяет примерно в 50% случаев предъявить обвинение, а в 35% – оказывает существенную помощь в розыске преступников, достоверно устанавливая механизм совершения преступления.
Способы совершения компьютерных преступлений1 можно сгруппировать следующим образом.
I. Методы перехвата.
1. Непосредственный перехват – старейший из используемых способов. Требующееся оборудование можно приобрести в магазинах: микрофон, радиоприемник, кассетный диктофон, модем, принтер. Перехват данных осуществляется либо непосредственно через телефонный канал системы, либо подключением к компьютерным сетям. Вся информация записывается. Объектами подслушивания будут различные систе-мы – кабельные и проводные, наземные микроволновые, спутниковой и правительственной связи.
2. Электромагнитный перехват. Используются перехватывающие устройства, работающие без прямого контакта. Можно уловить излучение центральным процессором, дисплеем, телефоном, принтером, линиями микроволновой связи, считывать данные с дисплейных терминалов при помощи доступных каждому простейших технических средств
1 Использованы классификации Ю. М. Батурина и В. Б. Вехова.
§ 1. Криминалистическая характеристика преступлений
(дипольной антенны, телевизора) Преступники, находясь в автомашине или просто с приемником в портфеле на некᴏᴛᴏᴩом расстоянии от здания, могут, не привлекая к себе внимания, легко узнавать данные, хранящиеся в памяти ЭВМ или используемые в процессе работы. Во время экспериментов удавалось получать сведения, кᴏᴛᴏᴩые выводились одновременно на 25 дисплейных терминалах, расположенных в непосредственной близости друг от друга, и отделять выведенные на каждый экран данные. В случае если к телевизору подключить видеомагнитофон, то информацию можно не только накопить, но и спокойно проанализировать позднее.
3. Использование "жучков" ("клопов"), заключается в установке
микрофона в компьютере с целью прослушивания разговоров персонала.
Простой прием, обычно используемый как вспомогательный для полу
чения информации о работе компьютерной системы, о персонале, о
мерах безопасности и т. д. -
4. "Уборка мусора" – поиск данных, оставленных пользователем после работы с компьютером. Включает физический вариант – осмотр содержимого мусорных корзин и сбор оставленных за ненадобностью распечаток, деловой переписки и т. п. Электронный вариант основан на том, что последние из сохраненных данных обычно не стираются после завершения работы. Другой пользователь записывает только небольшую часть ϲʙᴏей информации, а затем спокойно считывает предыдущие записи, выбирая нужную ему информацию. Таким способом могут быть.обнаружены пароли, имена пользователей и т. п.
II. Методы несанкционированного доступа.
1. "За дураком" – используется для вхрда в закрытые для доступа помещения или терминалы. Физический вариант состоит в том, ɥᴛᴏбы, взяв в руки как можно больше предметов, связанных с работой на компьютере, прохаживаться с деловым видом возле запертой двери, за кᴏᴛᴏᴩой находится терминал, и, когда появится законный пользователь, уверенно пройти в дверь вместе с ним. Электронный вариант проходит, когда компьютерный терминал незаконного пользователя подключается к линии законного через телефонные каналы (Интернет) или когда пользователь выходит ненадолго, оставляя терминал в активном режиме. Не стоит забывать, что вариантом будет прием "за хвост": незаконный пользователь тоже подключается к линии связи, а затем дожидается сигнала, обозначающего конец работы, перехватывает его и входит в систему, когда законный пользователь заканчивает активный режим.
2. Компьютерный "абордаж". Хакеры1, набирая на
удачу один номер за другим, дожидаются, пока на другом конце провода не
отзовется чужой компьютер. После ϶ᴛᴏго телефон Подключается к приемнику
сигналов в собственной ПЭВМ, и связь установлена.
Стоит отметить, что остается угадать код (а
слова, кᴏᴛᴏᴩые служат паролем, часто банальны и берутся из руководства по
пользованию компьютера) и можно внедриться в чужую компьютерную систему.
1 Хакер (от англ, "hack" – разрубать) – программист или квалифицированный пользователь ЭВМ, занимающийся поиском способов получения несанкционированного (самовольного) доступа к компьютерной информации и техническим средствам.
Глава 56. Преступления в сфере компьютерной информации
3. Неспешный выбор – несанкционированный доступ к файлам законного пользователя через слабые места в защите системы. Важно заметить, что однажды обнаружив их/нарушитель может не спеша исследовать содержащуюся в системе информацию, копировать ее, возвращаться к ней много раз.
4. "Маскарад" или "самозванство" – некто проникает в компьютерную систему, выдавая себя за законного пользователя. Системы, кᴏᴛᴏᴩые не обладают средствами аутентичной идентификации (например, по физиологическим характеристикам: по отпечаткам пальцев, по рисунку сетчатки глаза, голосу и т. п.), оказываются без защиты против ϶ᴛᴏго, приема. Самый простейший путь его осуществления – получить коды и другие идентифицирующие шифры законных пользователей. Так, группа студентов послала всем пользователям университетского компьютера сообщение, что изменился его телефонный номер, и в качестве нового назвала номер, запрограммированный так, ɥᴛᴏбы отвечать в точности, как университетская ЭВМ. Стоит сказать - пользователь, посылая вызов, набирал ϲʙᴏй личный код, и студенты смогли составить перечень кодов и использовать его в ϲʙᴏих целях.
5. Мистификация. Стоит сказать - пользователь с удаленного терминала случайно подключается к чьей-то системе, будучи абсолютно уверенным, что он работает с той системой, с какой и намеревался. Владелец ϶ᴛᴏй системы, формируя правдоподобные отклики, может какое-то время поддерживать ϶ᴛᴏ заблуждение, получая одновременно некᴏᴛᴏᴩую информацию, в частности коды.
6. "Аварийный". Использует тот факт, что в любом компьютерном центре имеется особая программа, применяемая в случае возникновения сбоев или других отклонений в работе ЭВМ. Именно такая программа – мощный и опасный инструмент в руках злоумышленника. Этим способом была совершена крупная кража в банке Нью-Джерси.
7. "Склад без стен". Несанкционированный доступ осуществляется в результате системной поломки. К примеру, если некᴏᴛᴏᴩые файлы пользователя остаются открытыми, он может получить доступ к не принадлежащим ему частям банка данных.
III. Методы манипуляции.
1. Подмена данных – изменение или введение новых данных осуществляетсятрадиционно при вводе или выводе информации с ЭВМ. К примеру, служащий одного нью-йоркского банка, изменяя входные данные, похитил за 3 года 1,5 млн. долларов. В Пенсильвании (США) клерк мебельного магазина, введя с терминала фальшивые данные, украл товаров на 200 тыс. долларов.
2. Манипуляции с пультом управления компьютера – механическое воздействие на технические средства машины создает возможности манипулирования данными.
3. "Троянский конь" – тайный ввод в чужую программу команд, позволяющих, не изменяя работоспособность программы, осуществить определенные функции. Этим способом преступники обычно отчисляют на ϲʙᴏй счет определенную сумму с каждой операции. Не стоит забывать, что вариантом будет "Салями", когда отчисляемые суммы малы и их потери практически незаметны (например, по 1 доллару с операции), а накопление осуществляется за счет большого количества операций. Это один из простейших и безопасных способов, особенно если отчисляются небольшие
§ 1. Криминалистическая характеристика преступлений
дробные суммы, поскольку в данных случаях обычно все равно делается округление. Но когда сумма мала в процентном отношении от значительных денежных переводов, вероятность раскрытия значительно повышается. Служащий американского банка, решив накопить деньги побыстрее, начал отчислять сразу по 100 долларов, но с очень крупных счетов и был раскрыт всего после 41 такой операции.
" 4. "Бомба" – тайное встраивание в программу набора команд, кᴏᴛᴏᴩые должны сработать (или каждый раз срабатывать) при определенных условиях или в определенные моменты времени. К примеру, в США получила распространение форма компьютерного вандализма, при кᴏᴛᴏᴩой "троянский конь" разрушает через какой-то промежуток времени все программы, хранящиеся в памяти машины. Во многих поступивших в продажу компьютерах оказалась "временная бомба", кᴏᴛᴏᴩая "взрывается" в самый неожиданный момент, разрушая всю библиотеку данных.
5. Моделирование процессов, в кᴏᴛᴏᴩые преступники хотят вмешаться, и планируемые методы совершения и сокрытия посягательства для оптимизации способа преступления. Важно заметить, что одним из вариантов будет реверсивная модель, когда создается модель конкретной системы, в кᴏᴛᴏᴩую вводятся реальные исходные данные и учитываются планируемые действия. Из полученных правильных результатов подбираются правдоподобные желательные. Затем путем прогона модели назад, к началу, выясняют результаты и устанавливают, какие манипуляции с исходными данными нужно проводить. Таких операций может быть несколько. После ϶ᴛᴏго остается только осуществить задуманное. Бухгалтер пароходной компании в Калифорнии (США) в целях подготовки хищения смоделировал всю бухгалтерскую систему компании и установил, сколько фальшивых счетов ему крайне важно и какие операции следует проводить. Модель бухгалтерского баланса подсказала ему, что при имеющихся пробелах в ревизионной службе 5% искажений не будут заметны. Стоит сказать, для создания видимости реальной ситуации он организовал 17 подставных компаний, обеспечил каждую из них ϲʙᴏим счетом и начал денежные операции, кᴏᴛᴏᴩые оказались настолько успешными, что в первый год он похитил 250 тыс. долларов без какого-либо нарушения финансовой деятельности компании. К тому времени, когда увеличенные выплаты вызвали подозрение – даже не у самой компании, а у,ее банка, сумма хищения составила миллион долларов.
6. "Воздушный змей" – способ, кᴏᴛᴏᴩый весьма часто используется в России. В двух банках (но можно и в нескольких) открывают по небольшому счету и переводят деньги из одного банка в другой и обратно с постепенно повышающимися суммами. Хитрость заключается в том, ɥᴛᴏбы до момента, когда в банке обнаружится, что поручение о переводе не обеспечено необходимой суммой, приходило бы извещение о переводе в ϶ᴛᴏт банк, так, ɥᴛᴏбы общая сумма покрывала требование о первом переводе. Цикл повторяется много раз до тех пор, пока на счете не оказывается приличная сумма. Тогда деньги быстро снимаются и владелец счетов исчезает. На практике в такую игру включают большое число банков: так сумма накапливается быстрее и число поручений о переводе не достигает подозрительной частоты. Этим способом служа-
Глава 56. Преступления в сфере компьютерной информации
щий банка в Лос-Анджелесе со ϲʙᴏими сообщниками, кᴏᴛᴏᴩые давали поручения о переводе, похитил 21,3 млн. долларов.
Как правило, компьютерные преступления совершаются с помощью того или иного сочетания приемов.
Следующим элементом криминалистической характеристики будет личность преступника. В литературе уже можно считать устоявшимся деление лиц, совершающих преступления в сфере компьютерной информации, на три группы.
1. Появление компьютерной преступности тесно связано с хакерами. Их целью может быть сначала чисто спортивный интерес, связанный с решением трудной задачи "взлома" защиты программного продукта или создание компьютерных вирусов только для того, ɥᴛᴏбы потешить ϲʙᴏе самолюбие, пошутить. Хакеры и составляют первую группу. Их отличает высокий профессионализм в сочетании со специфическим компьютерным фанатизмом. Следует подчеркнуть, что характерной особенностью преступников ϶ᴛᴏй группы будет отсутствие у них четко выраженных противоправных намерений. Практически все действия совершаются ими с целью проявления ϲʙᴏих интеллектуальных способностей. К ϶ᴛᴏй же группе примыкают профессиональные программисты, многие из кᴏᴛᴏᴩых обладают незаурядным интеллектом и отличаются нестандартным мышлением. Разработка мер безопасности для собственных компьютерных систем и "взлом" чужих средств защиты будут для них двуединой задачей и интересны сами по себе. Постепенно некᴏᴛᴏᴩые из них переориентируются на извлечение из ϲʙᴏей работы некᴏᴛᴏᴩой материальной выгоды (в России ϶ᴛᴏму нередко способствует тяжелое материальное положение научных работников); она может быть сопряжена и с разработкой новых вирусов и одновременно борющихся с ними программ, кᴏᴛᴏᴩые иначе не будут находить сбыта. К числу особенностей, указывающих на совершение компьютерного преступления лицами рассматриваемой категории, можно отнести следующие1:
отсутствие.целеустремленной, продуманной подготовки к преступлению;
оригинальность способа;
использование в качестве орудий преступления бытовых технических средств и предметов;
непринятие мер к сокрытию преступления; - .
факты немотивированного озорства.
2. Психически больные лица, страдающие так называемыми компьютерными фобиями (информационными болезнями) Кстати, эта категория заболеваний связана с нарушениями в информационном режиме человека под воздействием внешних или внутренних дестабилизирующих факторов как врожденного, так и приобретенного ϲʙᴏйства. Вследствие ускоряющегося ритма жизни, информационного взрыва, к кᴏᴛᴏᴩому многие
§ 1. Криминалистическая характеристика преступлений
люди оказались неподготовлены, интенсификации труда за счет
компьютерных1 технологий многие служащие попадают в различные стрессовые
ситуации, некᴏᴛᴏᴩые из кᴏᴛᴏᴩых заканчиваются формированием компьютерных фобий и
неврозов (страха перед потерей контроля над ϲʙᴏими действиями) По существу,
϶ᴛᴏ есть не что иное, как профессиональное заболевание.
Стоит отметить, что основные симптомы его
проявления: быстрая утомляемость, резкие скачки артериального давления при
контакте с компьютерной техникой, повышенное потоотделение, головокружение и
головные боли, дрожь в конечностях, затрудненность дыхания, обмороки и т.
д..Действия, совершаемые лицами ϶ᴛᴏй категории, в основном направлены на
физическое уничтожение либо повреждение средств компьютерной техники без
наличия преступного умысла с частичной или полной потерей контроля над ϲʙᴏими
действиями.
3. Профессиональные преступники, в деяниях кᴏᴛᴏᴩых ярко выра
жены корыстные цели. Обладают устойчивыми преступными навыками.
Преступления, кᴏᴛᴏᴩые носят серийный, многоэпизодный характер,
совершают многократно, обязательно"сопровождают действиями по со
крытию. Это обычно высококвалифицированные специалисты с высшим
математическим, инженерно-техническим,или экономическим образо
ванием, входящие в организованные преступные группы и сообщества,
прекрасно оснащенные технически (нередко специальной оперативной
Среди мотивов и целей совершения посягательств можно выделить: корыстные (приϲʙᴏение денежных средств и имущества), политические (шпионаж, деяния, направленные на. подрыв финансовой и денежно-кредитной политики, валютной системы страны), исследовательский интерес, хулиганские побуждения и озорство, месть и иные побуждения.
Существенную роль в структуре криминалистической характеристики играют обобщенные сведения о потерпевшей стороне. Информация о ней будет безусловно криминалистически значимой, поскольку помогает полнее охарактеризовать личность преступника, его мотивы, точнее очертить круг лиц, среди кᴏᴛᴏᴩых его следует искать. Преступник обычно не случайно избирает потерпевшую сторону объектом ϲʙᴏего посягательства.
Глава 56. Преступления в сфере компьютерной информации
Согласно данным международного комитета по компьютерной преступности, подобные деяния представляют собой серьезную угрозу. Так, вывод из строя электронно-вычислительной системы в результате возникновения нештатной технической ситуации или преступления может привести к финансовому краху даже самый крупный банк за четверо суток, а более мелкое учреждение – за сутки. Пока в качестве потерпевшей стороны обычно выступает юридическое лицо. При этом массовая компьютеризация, внедрение глобальной сети Интернет в скором времени, видимо, изменит эту ситуацию.
Потерпевших можно подразделить на три основные группы: собственники компьютерной системы, клиенты, пользующиеся их услугами, иные лица. Потерпевшая сторона, особенно ᴏᴛʜᴏϲᴙщаяся к первой группе, часто неохотно сообщает (или не сообщает) правоохранительным органам о преступных фактах в сфере движения компьютерной информации по следующим причинам: из-за некомпетентности сотрудников правоохранительных органов в данном вопросе; боязни, что убытки от расследования превысят сумму причиненного ущерба и к тому же будет подорван авторитет фирмы; боязни раскрытия в ходе судебного разбирательства системы безопасности организации; -боязни выявления собственных незаконных действий; боязни должностных лиц, что одним из итогов расследования станут выводы об их профессиональной непригодности (некомпетентности); правовая неграмотность; непонимание истинной ценности имеющейся информации. Эти обстоятельства безусловно способствуют совершению преступных акций данного рода.
§ 2.
При расследовании преступлений в данной сфере можно выделить (как и по другим категориям) три типичные следственные ситуации. Преступление, связанное с движением компьютерной информации произошло:
в условиях очевидности – характер и его обстоятельства известны (например, какой вирус и каким способом введен в компьютерную сеть) и выявлены потерпевшим собственными силами, преступник известен и задержан (явился с повинной);
известен способ совершения, но механизм преступления в полном объеме неясен, например произошел несанкционированный доступ к файлам законного пользователя через Интернет, через слабые места в защите компьютерной системы, преступник известен, но скрылся;
налицо только преступный результат-, например дезорганизация компьютерной сети банка, механизм преступления и преступник неизвестны.
В первом случае крайне важно установить, имелась ли причинно-следственная связь между несанкционированным проникновением в компьютерную систему и наступившими последствиями (сбоями в работе, занесением компьютерного вируса и пр.), определить размеры ущерба. Во втором – первоочередной задачей, наряду с указанными выше, являет-
§ 2.
Стоит отметить, что особенности тактики следственных действий.
ся розыск и задержание преступника. И наконец, в наименее благоприятной (третьей) ситуации крайне важно установить механизм преступления.
Остановимся подробнее на особенностях тактики отдельных следственных действий, в ходе кᴏᴛᴏᴩых производится обнаружение, фиксация, изъятие компьютерной информации, а именно: осмотра места происшествия (местности, помещений, предметов, документов), -обыска (в т.ч. личного, на местности и в помещении), выемки (предметов, документов, почтово-телеграфной корреспонденции, документов, содержащих государственную тайну), прослушивания телефонных и других переговоров. При производстве данных следственных действий крайне важно тактически правильно производить поиск информации в компьютере, что позволит избежать ее уничтожения или повреждения; найти требуемое; зафиксировать и изъять его в ϲᴏᴏᴛʙᴇᴛϲᴛʙии с процессуальными нормами. Современное развитие электроники позволяет хранить огромные массивы информации в незначительных по объему устройствах.
При подготовке к осмотру, обыску или выемке следователь решает вопрос о необходимости изъятия компьютерной информации. На эту необходимость, помимо признаков состава преступления в сфере движения компьютерной информации, могут указывать:
наличие у подозреваемого (обвиняемого) или потерпевшего (в некᴏᴛᴏᴩых случаях свидетелей) специального образования в области вычислительной техники и информатики, а также компьютерной техники в личном пользовании;
присутствие в материалах дела документов, изготовленных машинным способом (ответы на запросы, справки, полученные от обвиняемого или потерпевшей стороны);
хищение носителей компьютерной информации;
данные об увлечении вышеуказанных лиц вычислительной техникой, информатикой и программированием или об их частых контактах с людьми, имеющими такие увлечения.
На подготовительном этапе осмотра или обыска необходимо получить достоверные данные о виде и конфигурации используемой ЭВМ; о том, подключена ли она к локальной или глобальной сети (типа Интернет); наличии службы информационной безопасности и защиты от несанкционированного доступа; системе электропитания помещений, где установлена вычислительная техника; квалификации пользователей; собрать сведения о сотрудниках, обслуживающих вычислительную технику (взаимоотношениях в коллективе, его возможной криминализации и т. д.) Владение такой информацией облегчит следователю доступ к хранящимся в компьютере информации и максимально повысит ее доказательственную силу.
Часто решающее значение имеет внезапность обыска (неотложность осмотра), поскольку компьютерную информацию можно быстро уничтожить. В случае если получены сведения о том, что компьютеры организованы в локальную сеть, следует заранее установить местонахождение всех средств компьютерной техники, подключенных к ϶ᴛᴏй сети, и организо-
Глава 56. Преступления в сфере компьютерной информации
вать групповой обыск одновременно во всех помещениях, где
установлены ЭВМ. Перед началом обыска (осмотра) принимаются меры, кᴏᴛᴏᴩые
предотвратят возможное повреждение или уничтожение информации. Стоит сказать, для ϶ᴛᴏго
следует обеспечить контроль за бесперебойным электроснабжением ЭВМ в момент
осмотра, удалить всех посторонних лиц с территории, на кᴏᴛᴏᴩой производится
осмотр или обыск, прекратить дальнейший доступ; принять меры к тому, ɥᴛᴏбы
оставшиеся лица не имели возможности прикасаться к средствам вычислительной
техники и к источникам электропитания. В случае если на объекте находятся взрывчатые,
легковоспламеняющиеся, едкие вещества, посторонние источники электромагнитного
излучения и другие предметы и аппаратура, способные привести к аварии ЭВМ,
эвакуировать их.
Стоит отметить, что осмотр или обыск целесообразно производить с участием
специалиста в области информатики и вычислительной техники. Желательно и в
качестве понятых приглашать лиц, знакомых с работой ЭВМ.
Не следует ограничиваться поиском информации только в компью
тере; крайне важно внимательно осмотреть имеющуюся документацию,
вплоть до записей на клочках бумаги, поскольку программисты часто,
не надеясь на ϲʙᴏю память, оставляют записи о паролях, изменениях
конфигурации системы, особенностях построения информационной базы
компьютера. Многие пользователи хранят копии ϲʙᴏих файлов на диске
тах во избежание утраты их при выходе компьютера из строя. По϶ᴛᴏму
любые обнаруженные носители информации должны быть изъяты и
изучены. .
Только после перечисленных подготовительных мер следует приступать к рабочему этапу следственного действия. Изучение" практики показывает: несоблюдение элементарных правил ведет к тому, что деятельность следователя по сбору компьютерной информации не достигает ϲʙᴏей цели. Так, присутствующий при обыске подозреваемый незаметно от членов следственно-оперативной группы всего-навсего изменил положение тумблера переключателя рабочего напряжения ПЭВМ, расположенного на задней стенке системного блока, с 220 на 115 вольт. При включении блок питания через некᴏᴛᴏᴩое время вышел из строя, что привело к неисправности всего компьютера.
Тактика поиска компьютерной информации должна избираться исходя из, во-первых, степени защищенности данных, во-вторых – функционального состояния компьютера и периферийных устройств на момент производства следственного действия.
О высокой степени защищенности компьютера может свидетельствовать наличие специальных систем защиты информации от несанкционированного доступа и (или) сертифицированных средств защиты; постоянная охрана территории и здания, где размещается компьютерная система, с помощью технических средств и специального персонала, использование строгого пропускного режима, специальное оборудование помещений; наличие администратора (службы) защиты информации, нормальное функционирование и контроль работы.
Низкая степень защищенности определяется наличием простого алгоритма ограничения доступа (например, данные защищены только
§ 2.
Стоит отметить, что особенности тактики следственных действий
паролем), получением достоверных данных о его преодолении, при ϶ᴛᴏм нет необходимости применять специальные средства доступа к данным.
Деятельность следователя по преодолению защиты компьютера от несанкционированного доступа – одна из самых ответственных. Именно при некорректном обращении защищенные данные могут быть самоуничтожены, искажены, спрятаны и т. д. с помощью специальных программ. Чтобы ϶ᴛᴏго не произошло, при подготовке к проведению следственного действия крайне важно как можно более точно и полно определить степень защищенности компьютера, средства защиты, пароли, ключевые слова и т. д.
,
С одной точки зрения, по общему мнению специалистов в области
вычислительной техники и программирования, на сегодняшний день нет
программно-технических средств, способных на 100% гарантировать защиту. Отсюда
следует, что, в принципе, возможно преодолеть любую преграду при поиске
информации. С другой стороны, существующие средства защиты настолько
разнообразны, используют различные алгоритмы и принципы построения защиты, что
для их преодоления может понадобиться немало времени. В среде хакеров именно
преодоление защиты от несанкционированного доступа будет одним из высших
подтверждений мастерства.
Причины защиты данных в компьютере различны. Кроме цели противодействия раскрытию и расследованию преступления, пользователи защищают данные от некомпетентности и неаккуратности при выполнении работ на ЭВМ. Защита компьютерной информации осуществляется путем идентификации (пользователь сообщает ϲʙᴏе имя) и,аутентификации (проверки подлинности) – вторая сторона убеждается, что субъект действительно тот, за кого себя выдает. Подлинность подтверждается знанием пароля, личного идентификационного номера, криптографического ключа и пр.; личной карточкой или иным устройством аналогичного назначения; голосом, отпечатками пальцев и другими биометрическими характеристиками и т. д.
Пароли давно встроены в операционные системы и другие сервисные программы. При правильном использовании они могут обеспечить приемлемый для многих организаций уровень безопасности. Важно заметить, что однако, при всем этом, по совокупности характеристик их следует признать самым слабым средством проверки подлинности. Надежность паролей базируется на способности помнить их и хранить в тайне. Чтобы пароль был запоминающимся, его зачастую делают простым, однако простой пароль не трудно угадать, особенно если заранее изучить пристрастия, увлечения, круг интересов законного пользователя. Иногда пароли с самого начала не будут тайной, так как имеют стандартные значения, указанные в документации, и далеко не всегда после установки с"истемы производится их смена. Ввод пароля можно определить и с помощью оптических приборов, приборов перехвата электромагнитного излучения процессора и монитора. Статья 6 Федерального закона "Об оперативно-розыскной деятельности" определяет среди прочих оперативно-розыскных мероприятий снятие информации с технических каналов связи. Проведение указанного мероприятия предусматривает знание оперативным работником каналов возможного снятия (перехвата) компьютерной информа-
Глава 56. Преступления в сфере компьютерной информации
ции, способов несанкционированного доступа, умения применять специальные технические средства.
Анализ парольной защиты при осмотре или обыске компьютерной техники позволит следователю с большей вероятностью определить истинного владельца криминалистически значимой информации, найденной в компьютере. Иначе говоря, чем выше надежность парольной системы, тем с большей уверенностью можно определить ее истинного владельца и тем выше доказательственная сила обнаруженной информации.
Другим средством аутентификации служат токены – предметы или устройства, владение кᴏᴛᴏᴩыми подтверждает подлинность пользователя. Самыми распространенными из них будут карточки с магнитной полосой. Обычно пользователь набирает на клавиатуре ϲʙᴏй идентификационный номер, после чего процессор проверяет его совпадение с тем, что записан на карточке, а также подлинность самой карточки. Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера.
Безбумажная технология дает целый ряд преимуществ при обмене документами по сети связи или на машинных носителях. Но при ϶ᴛᴏм возникает проблема идентификации автора документа и самого документа. В традиционной (бумажной) технологии она решается за счет того, что информация в документе жестко связана с физическим носителем (бумагой) На машинных носителях такой связи нет. Отметим, что технически эта проблема частично решена с помощью применения цифровой подписи. Отметим, что технология состоит по сути в том, что лицо, составившее документ, кодирует его с помощью специальной программы – электронного ключа. При ϶ᴛᴏм применяется два ключа. Важно заметить, что один из них, не секретный, используется для шифровки и может публиковаться вместе с адресом пользователя, другой – секретный, применяется для расшифровки и известен только определенному лицу. Кстати, эта программа хранится на отдельной дискете, обычно у автора документа или стороны, кᴏᴛᴏᴩой тот направлен. Цифровая подпись реализует две функции – гарантирует целостность сообщения и удостоверяет личность автора документа. Криптографическая защита считается одним из наиболее мощных средств обеспечения конфиденциальности информации в компьютере или на магнитных носителях. Необходимо помнить, что даже в том случае, когда в распоряжении следствия имеется компьютер или магнитный носитель, но электронный ключ не обнаружен, "прочитать" информацию и идентифицировать ее автора (владельца) не представится возможным.
Помимо использования криптоалгоритмов, существует еще целый набор программных средств, позволяющих шифровать информацию и учитывающих различные условия анализа шифротекста при попытке его вскрытия. К ним, в частности, можно отнести и общеизвестную программу Diskreet из пакета Norton Utilities, позволяющую кроме шифрования магнитных носителей информации выполнять функцию блокировки клавиатуры и экрана ЭВМ (гашение" изображения ценной информации), а также предусматривающую защиту информационных объектов на уровне файлов или виртуальных (логических) дисков винчестера. Стоит сказать, для возобновления нормальной работы в ЭВМ требуется ввести пароль.
§ 2.
Стоит отметить, что особенности тактики следственных действий
Все программы защиты, управляющие доступом к машинной информации, функционируют по принципу ответа на вопросы: кто может выполнять, какие операции и над какими данными. Доступ "может быть определен как:
общий (безусловно предоставляемый каждому пользователю);
отказ (безусловный отказ, например, разрешение на удаление порции информации);
зависимый от события (управляемый событием); предусматривает блокировку обращения пользователя, например, в определенные интервалы времени или при обращении к компьютерной системе с определенного терминала;
зависимый от содержания данных (в ϶ᴛᴏм случае решение о доступе базируется на текущем значении данных, например, некᴏᴛᴏᴩым пользователям запрещено читать те или иные данные);
зависимый от состояния (динамического состояния компьютерной системы); осуществляется в зависимости от текущего состояния компьютерной системы, управляющих программ и системы защиты;
частотно-зависимый (например, доступ разрешен пользователю только один или определенное число раз – таким образом предотвращается возможность динамического управления событиями)-
по имени или другим признакам пользователя (например, пользователю должно быть более 18 лет);
зависимый от полномочий (предусматривает обращение пользователя к программам, данным, оборудованию в зависимости от предоставленного режима, например, может быть разрешено "только чтение", "чтение и запись", "только выполнение");
зависимый от предыстории обращений и учитывающий семантические связи между данными в сочетании с управлением доступом, зависящим от полномочий (программой проводится анализ контекста, включающего предыдущие запросы, их обработку, среду текущего запроса и семантические отношения между данными);
по разрешению (паролю или другому идентификатору: карточка, значок и т. д.), где под идентификацией понимается процедура установления подлинности пользователя, осуществляющего доступ к компьютерной системе;
по процедуре (в ϶ᴛᴏм случае система имеет ϲʙᴏю собственную процедуру: автоматически генерирует собственные правила обеспечения безопасности данных)
К новой электронной технологии относится применение электронных ключей. Электронный ключ – ϶ᴛᴏ устройство с памятью, выполненное на специализированной микросхеме размером не более спичечного коробка. В случае если при осмотре компьютера запустить защищенную программу, то она проверит наличие ϲʙᴏего ключа. Когда такой ключ найден, программа выполняется; иначе выдается информация об ошибке и работа прерывается. Сам ключ вводится в порт компьютера, предназначенного для подключения принтера, и легко выводится.
Исходя из всего выше сказанного, мы приходим к выводу, что очевидно, что наличие и использование оперативной информации зачастую может сыграть решающую роль при поиске в ЭВМ. При этом успешное преодоление защиты еще не решает все про-. блемы собирания доказательств в компьютере. Тактические особенности
Глава 56. Преступления в сфере компьютерной информации
поиска компьютерной информации зависят также от функционального состояния ЭВМ и ее периферийных устройств на момент осмотра или обыска. Информация может быть либо зафиксирована на постоянном носителе, либо храниться в ЭВМ только в период ее работы, по϶ᴛᴏму следователю необходимо выбирать различные тактические приемы поиска в зависимости от того, работает компьютер на момент начала следственного действия или отключен.
При включении компьютера в работу электронные устройства образуют в нем определенный объем так называемой "оперативной памяти" (ОЗУ), кᴏᴛᴏᴩая предназначена для операционных действий над информацией и программами и сохраняет их в процессе работы. При включении компьютера и (или) окончании работы с конкретной программой или данными ОЗУ очищается и готово для ввода новых. В процессе работы компьютера ОЗУ специальными программными средствами расчленяется на специальные области, предназначенные для раздельного хранения программ и данных. Среди таких-областей, по желанию пользователя, может быть выделена специальная, кᴏᴛᴏᴩая имитирует внешнее устройство – накопитель информации. Этот накопитель (так называемый "виртуальный диск" или "псевдодиск") отличается высокой скоростью доступа и позволяет выполнять специфические операции по обмену программами (данными) с устройствами ЭВМ. О работающем компьютере свидетельствуют положение тумблеров, мигание или горение индикаторов на передней панели системного блока, изображение на дисплее, небольшая вибрация и чуть слышный шум работающих внутри вентиляторов.
В случае, если компьютер на момент начала осмотра оказался включен, крайне важно оценить информацию, изображенную на дисплее. Прежде всего определить, какая программа" исполняется на данный момент. В случае работы стандартного программного продукта (например, на экране изображены, окна операционных оболочек Norton Commander или Windows) – не приступать к каким-либо манипуляциям на входе без предварительного визуального осмотра технических средств. Экран дисплея крайне важно сфотографировать. Отключить все телефонные линии, подсоединенные к компьютеру. Уместно отметить, что описать все соединения на задней стенке системного блока. В случае если необходимо, вскрыть кожух системного блока и визуально определить конфигурацию ЭВМ, описать месторасположение электронных плат. Следование данным правилам позволит обезопасить поиск информации от различного рода устройств повреждения или уничтожения как аппаратных средств, так и информационной базы. Этими устройствами могут быть электронные ключи, радиозакладки-шумоподавителя и др. В случае, если при осмотре аппаратных средств выявлены неизвестные участникам осмотра (обыска) устройства (платы расширения, нестандартные соединения и т. д.), компьютер крайне важно сразу.выключить. При ϶ᴛᴏм следует не отключать тумблер блока питания, а вынуть вилку из розетки. Затем (до отсоединения проводов) крайне важно промаркировать всю систему подключения, все порты и разъемы, ɥᴛᴏбы потом можно было осуществить точную реконструкцию расположения кабелей, плат расширения и других устройств.
§ 2.
Стоит отметить, что особенности тактики следственных действий
В случае если конфигурация процессора стандартна, следует корректно завершить работу исполняемой в данный момент программы. Либо дождаться завершения ее работы до выдачи дополнительных, возможно искомых, данных. Присутствующим при осмотре (обыске) крайне важно разъяснять все действия следователя и специалиста в ходе манипуляций с ЭВМ. Недопустимо вмешательство в информационную базу без наглядного и доступного комментария ϲʙᴏих действий. Объяснено должно быть любое нажатие на клавиатуру, передвижение мыши и т. д.
В случае если для поиска информации задействуются программные продукты, не находящиеся в компьютере, а используемые следователем, ϶ᴛᴏ крайне важно отметить в протоколе осмотра или обыска. Нужно помнить, такие программы должны быть стандартными. Необходимо обеспечить наглядность контроля, т. е. все ключевые этапы работы программы изображаются на экране дисплея, а следователь либо специалист комментирует происходящее. Максимально активное участие понятых при поиске информации важно еще и потому, что результатом выполнения искомой программы может явиться не текстовой или графический документ, а аудио-или видеоролик (вербальная или визуальная информация) Такой итог работы программы, являясь уникальным (неповторимым), фиксируется с помощью протокола (не считая фото- и видеосъемки)
В случае обнаружения искомой информации текущее изображение экрана дисплея также крайне важно сфотографировать, после чего стандартными средствами переписать информацию на постоянный носитель (обычно – магнитный диск) либо распечатать.
Включать и выключать компьютеры, производить с ними какие-то манипуляции может только специалист в области вычислительной техники. В случае если на объекте было отключено электроснабжение, например, в связи с пожаром или взрывом, до его включения следует проверить, находятся ли все компьютеры и периферийные устройства в отключенном состоянии. Изымать крайне важно сразу все имеющиеся на объекте компьютеры (или хотя бы блоки памяти) и магнитные носители. Нельзя оставлять их на ответственное хранение на самом объекте или в другом месте, где к ним могут иметь доступ посторонние лица. Содержащаяся на магнитных носителях информация может быть легко уничтожена преступником, например, с помощью источника электромагнитного излучения. При ϶ᴛᴏм визуально определить ϶ᴛᴏ невозможно.
Компьютеры и их комплектующие опечатываются: на разъемы налагают лист бумаги, закрепляя его края на боковых стенках компьютера густым клеем или клейкой лентой, ɥᴛᴏбы исключить возможность работы с ними в отсутствие "владельца или эксперта.. Магнитные носители упаковываются, хранятся и перевозятся в" специальных экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, ɥᴛᴏбы исключить разрушающее воздействие различных электромагнитных и магнитных полей и наводок, направленных излучений. Уместно отметить, что опечатываются только контейнеры или футляры. Пояснительные надписи наносятся на специальные самоклеящиеся данныекетки для дискет, причем сначала делается надпись, а потом данныекетка наклеивается на предназначенный для ϶ᴛᴏго участок. В случае если на дис-
Глава 56. Преступления в сфере компьютерной информации
кете уже имеется данныекетка с какой-либо надписью, проставляется только порядковый номер, а пояснительные надписи под данным номером делаются на отдельном листке, кᴏᴛᴏᴩый вкладывается в коробку. Недопустимо приклеивать что-либо непосредственно к магнитным носителям, пропускать через них бечеву, пробивать отверстия, наносить подписи, пометки, печати и т. д.
В протоколе следственного действия описываются основные физические характеристики изымаемых устройств, магнитных и других постоянных носителей информации, серийные номера аппаратуры, их видимые индивидуальные признаки. Машинные распечатки оформляются как приложение к протоколу.
Поскольку помимо информационных на аппаратных средствах зачастую оказываются традиционные для криминалистики следы, к участию в осмотре целесообразно привлекать специалиста-криминалиста. Из следственной практики известны случаи обнаружения следов пальцев рук, металлообрабатывающих инструментов, ручной пайки на внутренних элементах компьютерных средств.
При осуществлении допросов подозреваемых и обвиняемых необходимо учитывать данные криминалистической характеристики о личности предполагаемого преступника. Не стоит забывать, что важной будет подготовка к допросу, в процессе кᴏᴛᴏᴩой крайне важно постараться хотя бы условно выбрать, к какой группе относится подозреваемый или обвиняемый, и на ϶ᴛᴏм основывать, тактику допроса. При первоначальном допросе необходимо, побуждая лицо к деятельному раскаянию, выяснить, какие изменения в работу компьютерных систем были внесены, какие вирусы использовались, есть ли с позиции подозреваемого (обвиняемого) возможность быстро устранить или уменьшить вред, причиненный несанкционированным проникновением в систему. Какие сведения и кому передавались.
При первоначальных допросах свидетелей и потерпевших крайне важно выяснить назначение и функции компьютерной системы, кто имел доступ к ней и в помещения, где располагалась компьютерная техника, не появлялись ли там посторонние лица, какие средства защиты использовались. В случае если часть информации была закрытой, то кто санкционировал доступ к ней и кто реально был допущен. Какой вред (имущественный, неимущественный) причинен преступлением и имеются ли способы его уменьшить.
§ 3. Возможности судебных экспертиз при расследовании преступлений в сфере движения компьютерной информации
Выше уже отмечалось большое значение, кᴏᴛᴏᴩое имеет по делам данной категории участие специалиста в собирании доказательственной информации. Но наиболее важен ее дальнейший анализ, исследование доказательств в ходе экспертных исследований.
Основной род экспертиз – компьютерно-технические. В ϲᴏᴏᴛʙᴇᴛϲᴛʙии с их задачами и спецификой объектов исследования в настоящее время в рамках ϶ᴛᴏго рода экспертиз можно выделить два вида:
§ 3. Возможности судебных экспертиз при расследовании преступлений
техническая экспертиза компьютеров и их комплектующих, ко
торая проводится в целях изучения конструктивных особенностей и со
стояния компьютера, его периферийных устройств, магнитных носите
лей и пр., компьютерных сетей, а также причин возникновения сбоев в
экспертиза данных и программного обеспечения, осуществляемая в целях изучения информации, хранящейся в компьютере и на магнитных носителях.
Вопросы, выносимые на разрешение компьютерно-технической эк-/епертизы, можно, по ее виду, также подразделить на две группы. Вопросы, разрешаемые технической экспертизой компьютеров и их комплектующих (диагностические):
1) компьютер какой модели представлен на исследование; каковы технические характеристики его системного блока и периферийных устройств; каковы технические характеристики данной вычислительной сети;
2) где и когда изготовлен и собран данный компьютер и его комплектующие; осуществлялась ли сборка компьютера в заводских условиях или кустарно;
3) ϲᴏᴏᴛʙᴇᴛϲᴛʙует ли внутреннее устройство компьютера и периферии прилагаемой технической документации; не внесены ли в конструкцию компьютера изменения (например, установка дополнительных встроенных устройств: жестких дисков, устройств для расширения оперативной памяти, считывания оптических дисков и пр., иные изменения конфигурации);
4) исправен ли компьютер и его комплектующие; каков их износ; каковы причины неисправности компьютера и периферийных устройств; не содержат ли физических дефектов магнитные носители информации;
5) не производилась ли адаптация компьютера для работы с ним специфических пользователей (левша, слабовидящий и пр.);
6) каковы технические характеристики иных электронных средств приема, накопления и выдачи информации (пейджер, электронная записная книжка, телефонный сервер); исправны ли данные средства; каковы причины неисправностей.
Вопросы, разрешаемые экспертизой данных и программного обеспечения (диагностические):
1) какая операционная система использована в компьютере;
2) каково содержание информации, хранящейся на внутренних и внешних магнитных носителях, в т.ч. какие программные продукты там находятся; каково назначение программных продуктов; каков алгоритм их функционирования, способа ввода и вывода информации; какое время проходит с момента введения данных до вывода результатов при работе данной компьютерной программы, базы данных;
3) будут ли данные программные продукты лицензионными (и-ли несанкционированными) копиями стандартных систем или оригинальными разработками;
4) не вносились ли в программы данного системного продукта какие-либо коррективы (какие), изменяющие выполнение некᴏᴛᴏᴩых операций (каких);
Глава 56. Преступления в сфере компьютерной информации
5) ϲᴏᴏᴛʙᴇᴛϲᴛʙует ли данный оригинальный компьютерный продукт техническому заданию; обеспечивается ли при его работе выполнение всех предусмотренных функций;
6) использовались ли для ограничения доступа к информации паро- i ли, скрытые файлы, программы защиты и пр.; каково содержание скрытой информации; не предпринимались ли попытки подбора паролей, взлома защитных средств и иные попытки несанкционированного доступа;
7) возможно ли восстановление стертых файлов, дефектных магнитных носителей информации; каково содержание восстановленных файлов;
8) каков механизм утечки информации из локальных вычислительных сетей, глобальных сетей и распределенных баз данных;
9) имеются ли сбои в функционировании компьютера, работе отдельных программ; каковы причины данных сбоев; не вызваны ли сбои" в работе компьютера влиянием вируса (какого); распространяется ли негативное.влияние вируса на большинство программ или он действует только на определенные программы; возможно ли восстановить в полном объеме функционирование данной программы (текстового файла), поврежденной вирусом;
10) каково содержание информации, хранящейся на пейджере, в электронной записной книжке и пр.; имеется ли в книжке скрытая информация и каково ее содержание;
11) когда производилась последняя корректировка данного файла или инсталляция данного программного продукта;
12) каков был уровень профессиональной подготовки в области программирования и работы с компьютерной техникой лица, произведшего данные действия.
С помощью компьютерно-технических экспертиз возможно разрешение и некᴏᴛᴏᴩых вопросов идентификационного характера:
" 1) имеют ли комплектующие компьютера (печатные платы, магнитные носители, дисководы и пр.) единый источник происхождения;
2) не написана ли данная компьютерная программа определенным лицом (решается комплексно при производстве компьютерно-технической и автороведческой экспертиз)
Объектами компьютерно-технической экспертизы явля-ются:
компьютеры в сборке, их системные блоки;
периферийные устройства (дисплеи, принтеры, дисководы, модемы, клавиатуры, сканеры, манипуляторы типа "мышь", джойстики и пр.), коммуникационные устройства компьютеров и вычислительных сетей;
магнитные носители информации (жесткие и флоппи-диски, оптические диски, ленты);
распечатки программных и текстовых файлов;
словари поисковых признаков систем (тезаурусы), классификаторы и иная техническая документация, например технические задания и отчеты;
электронные записные книжки, пейджеры, иные электронные носители текстовой или цифровой информации, техническая документация к. ним.
§ 3. .Возможности судебных экспертиз при расследовании преступлений
По делам данной категории могут назначаться экспертизы других классов и родов: трасологические – для анализа следов взлома, дактилоскопические –- следов рук, как на внешних, так и на внутренних поверхностях компьютеров и их комплектующих. Судебно-экономичес-кие экспертизы, в частности, финансово-экономические и бухгалтерские, назначаются, когда, например, преступления в сфере движения компьютерной информации связаны с преступлениями в кредитно-фи-нансовой сфере. Весьма распространены технико-криминалистические экспертизы документов, когда компьютер используется как средство для изготовления поддельных документов, фальшивых денежных билетов и пр. При использовании средств прослушивания переговоров назначаются фоноскопические экспертизы.
В динамичных условиях XX в. общество постоянно сталкивается с проблемами различного характера, порождение которых зачастую вызвано стремлением общества к созданию более совершенных и эффективных моделей своего существования. Сказанное в полной мере относится и к такой специфической сфере, как область применения электронной техники и информационных технологий.
Создание электронно-вычислительной техники последних поколений с практически неограниченными возможностями, их широкое распространение в экономической, социальной и управленческой сферах, появление в быту значительного количества персональных ЭВМ явились не только новым свидетельством технического прогресса, но и с неизбежностью повлекли за собой и негативные последствия, связанные со злоупотреблениями при использовании средств ЭВМ и информационных технологий.
Обвальное появление в России большого числа персональных компьютеров импортного производства и построение на их базе компьютерных сетей, имеющих прямой доступ к глобальным информационным системам, заставляет пристальнее приглядеться к подлинным и мнимым опасностям, которые таит в себе современная информатизация общества, оценить ущерб от взлома широкого класса компьютерных сетей - от локальных до глобальных телекоммуникационных систем.
Общественная опасность противоправных действий в области электронной техники и информационных технологий выражается в том, что они могут повлечь за собой нарушение деятельности автоматизированных систем управления и контроля различных (включая и жизнеобеспечивающие) объектов, серьезное нарушение работы ЭВМ и их систем.
Несанкционированные действия по уничтожению, модификации, искажению, копированию информации и информационных ресурсов, иные формы незаконного вмешательства в информационные системы способны вызвать тяжкие и необратимые последствия, связанные не только с имущественным ущербом, но и с физическим вредом людям. Опасность компьютерных преступлений многократно возрастает, когда они совершаются в отношении функционирования объектов жизнеобеспечения, транспортных и оборонных систем, атомной энергетики.
Вышеприведенные факты убедительно свидетельствуют о действительной остроте проблемы с преступлениями в сере компьютерной информации. Преступления данной категории причиняют как серьезный экономический ущерб, так и непосредственную угрозу даже существованию человечества.
Практическим работникам следственных органов довольно сложно расследовать данную категорию дел. Необходимо владеть знаниями компьютерной технологии, а также механизма обработки компьютерных данных.
Цель данной статьи - изучение тактики и методики расследования преступлений в сфере компьютерной информации.
Для этого были поставлены следующие задачи:
Ø изучение основных понятий по данному вопросу, а именно понятие преступления в сфере компьютерной и понятие расследования;
Ø изучение производства следственных действий по делам рассматриваемой категории, последовательность их проведения;
Ø выработать план расследования преступлений в сфере компьютерной информации,
Ø на практическом примере рассмотреть конкретную тактику и методику расследования данного вида преступлений.
1. Правовое регулирование отношений в области компьютерной информации
Научно-техническая революция повлекла за собой серьезные социальные изменения, наиболее важным из которых является появление нового вида общественных отношений и общественных ресурсов - информационных. Последние отличаются от известных ранее сырьевых, энергетических ресурсов целым рядом особенностей, а именно:
Ø они непотребляемы и подвержены не физическому, а моральному износу;
Ø они по своей сущности нематериальны и несводимы к физическому носителю, в котором воплощены;
Ø их использование позволяет резко сократить потребление остальных видов ресурсов, что в конечном итоге приводит к колоссальной экономии средств;
Ø процесс их создания и использования осуществляется особым способом - с помощью компьютерной техники.
Информация стала первоосновой жизни современного общества, предметом и продуктом его деятельности, а процесс ее создания, накопления, хранения, передачи и обработки в свою очередь стимулировал прогресс в области орудий ее производства: электронно-вычислительной техники, средств телекоммуникаций и систем связи.
Появление на рынке в компактных и сравнительно недорогих персональных компьютеров, по мере совершенствования которых стали размываться границы между мини- и большими ЭВМ, дали возможность подключаться к мощным информационным потокам неограниченному кругу лиц. Встал вопрос о контролируемости доступа к информации, ее сохранности и доброкачественности. Организационные меры, а также программные и технические средства защиты оказались недостаточно эффективными.
Особенно остро проблема несанкционированного вмешательства дала о себе знать в странах с высокоразвитыми технологиями и информационными сетями. Вынужденные прибегать к дополнительным мерам безопасности, они стали активно использовать правовые, в том числе уголовно-правовые средства защиты.
Российские правоведы уже давно ставили вопрос о необходимости законодательного закрепления правоотношений, вытекающих из различных сфер применения средств автоматической обработки информации. Определенным этапом на пути реализации этих пожеланий стало принятие в 1992 г. Закона РФ «О правовой охране программ для электронно-вычислительных машин и баз данных». Закон содержал положение о том, что выпуск под своим именем чужой программы для ЭВМ или базы данных либо незаконное воспроизведение или распространение таких произведений влечет уголовную ответственность. Однако соответствующих изменений в УК РСФСР так и не было внесено.
В 1994 году был принят Гражданский кодекс, который содержит ряд норм, связанных с компьютерной информацией, в 1995 году - Федеральный закон об информации, информатизации и защите информации. Логическим развитием правовой системы, создающей условия безопасности компьютерной информации, стала разработка в УК РФ 1996 года группы статей, предусматривающих основания уголовной ответственности за так называемые компьютерные преступления. Определим некоторые основные понятия, используемые в данной работе.
Законодательство России в области «компьютерного права» также включает следующие основные законы: «О средствах массовой информации», « Патентный закон РФ», «О правовой охране топологий интегральных микросхем», «О правовой охране программ для электронных вычислительных машин и баз данных», «О товарных знаках, знаках обслуживания и наименования мест происхождения товаров», «Основы законодательства об Архивном фонде РФ и архивах», «Об авторском праве и смежных правах», «О государственной тайне», «Об обязательном экземпляре документов», «О связи», «Об информации, информатизации и защите информации», «Об участии в международном информационном обмене».
Значительный пласт компьютерного права составляют указы Президента РФ, которые касаются, прежде всего, вопросов формирования государственной политики в сфере информатизации (включая организационные механизмы), создания системы право вой информации и информационно-правового сотрудничества с государствами СНГ, обеспечения информацией органов государственной власти: мер по защите информации (в частности, шифрования).
Конституция РФ непосредственно не регулирует отношения в области производства и применения новых информационных технологий, но создает предпосылки для такого регулирования, закрепляя права граждан свободно искать, получать, передавать, производить и распространять информацию любым законным способом (ч. 4 ст. 29), право граждан на охрану личной тайны (ч. 1 ст. 24 и другие обязанности государства, в частности по обеспечению возможности ознакомления гражданина с документами и материалами, непосредственно затрагивающими его права и свободы (ч. 2 ст. 24). Соответствующее законодательство формирует механизмы реализации этих норм.
Компьютерная информация - в соответствии со ст. 2 закона «Об информации, информатизации и защите информации» под информацией понимаются - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления, но применительно к комментируемым статьям под компьютерной информацией понимаются не сами сведения, а форма их представления в машиночитаемом виде, т.е. совокупность символов зафиксированная в памяти компьютера, либо на машинном носителе (дискете, оптическом, магнитооптическом диске, магнитной ленте либо ином материальном носителе). При рассмотрении дел следует учитывать, что при определенных условиях и физические поля могут являться носителями информации.
Под компьютерными преступлениями следует понимать предусмотренные уголовным законом общественно опасные действия, в которых машинная информация является объектом преступного посягательства. В данном случае в качестве предмета или орудия преступления будет выступать машинная информация, компьютер, компьютерная система или компьютерная сеть.
2. Общая характеристика преступлений в сфере компьютерной информации
В Уголовном кодексе Российской Федерации впервые в нашей стране криминализирован такой вид правонарушений, как компьютерные преступления.
Как видно из предыдущей главы под компьютерными преступлениями понимаются те предусмотренные уголовным законом общественно опасные деяния, в которых машинная информация представляет собой предмет преступного посягательства.
Преступления, имеющие своим предметом только лишь аппаратно-технические средства вычислительных машин (хищение, уничтожение), подпадают под совершенно другой тип уголовных правонарушений, закрепленных в главе 21 «Преступления против собственности». В принципе, можно предположить случаи, когда вредоносное воздействие на ЭВМ осуществляется путем непосредственного влияния на нее информационных команд. Это возможно, если преступнику удастся ввести движущиеся части машины (диски, принтер) в резонансную частоту, увеличить яркость дисплея или его части для прожигания люминофора, зациклить работу компьютера таким образом, чтобы при использовании минимального количества его участков произошел их разогрев и вывод из строя. В этих случаях квалификация содеянного должна проводиться по совокупности статей глав о преступлениях против собственности и компьютерных преступлениях, поскольку в данной ситуации страдают два объекта уголовно-правовой охраны. Равно и при использовании в качестве орудия совершения противоправного деяния не информационной, а одной аппаратно-технической части (нанесение телесных повреждений принтером и т. п.) последнюю можно расценивать наравне с такими предметами, как нож, пистолет, веревка и другие вещи материального мира. В целом же 28-я глава УК РФ «Компьютерные преступления» имеет своей целью охрану именно информационной безопасности - и только в силу этого защиту и аппаратно технических средств, которые являются материальными носителями информационных ресурсов. Последствия неправомерного использования информации могут быть самыми разнообразными: это не только нарушение неприкосновенности интеллектуальной собственности, но и разглашение сведений о частной жизни граждан, имущественный ущерб в виде прямых убытков и неполученных доходов, потеря репутации фирмы, различные виды нарушений нормальной деятельности предприятия, отрасли и т.д. Поэтому совершенно оправданно то, что преступления данного вида помещены в раздел IX «Преступления против общественной безопасности и общественного порядка».
Таким образом, общим объектом компьютерных преступлений будет выступать совокупность всех общественных отношений, охраняемых уголовным законом; родовым - общественная безопасность и общественный порядок; видовым - совокупность общественных отношений по правомерному и безопасному использованию информации; непосредственный объект трактуется, исходя из названий и диспозиций конкретных статей. Чаще всего непосредственный объект основного состава компьютерного преступления сформулирован альтернативно, в квалифицированных составах количество их, естественно, увеличивается.
Является ли компьютерная информация только лишь предметом преступлений такого вида или же она может выступать и их средством, когда электронно-вычислительная техника используется с целью совершения другого противоправного посягательства на иной объект. Последняя точка зрения высказывалась ранее некоторыми авторами.
Однако принять ее означало бы слишком расширить рамки понятия «компьютерное преступление» и затруднить работу, как законодателя, так и правоприменителя.
Разработчики нового УК пошли по первому пути, сформулировав составы главы 28 таким образом, что информация ЭВМ в каждом случае является лишь предметом совершения компьютерного преступления.
Однако при использовании машинной информации в качестве средства совершения другого преступления отношения по ее охране страдают неизбежно, т. е. она сама становится предметом общественно опасного деяния. Невозможно противоправно воспользоваться информацией, хранящейся в ЭВМ, не нарушив при этом ее защиты, т.е. не совершив одного из действий, перечисленных в ст. 20 Федерального закона «Об информации, информатизации и защите информации»: утечки, утраты, искажения, подделки, уничтожения, модификации, копирования, блокирования и других форм незаконного вмешательства в информационные ресурсы и системы. Даже если не пострадают сведения конкретной ЭВМ, правомерно употребляемые ее законным пользователем, практически неизбежно подвергнутся ущербу те, с которыми она связана сетью. Таким образом, даже при совершении такого классического преступления, как электронное хищение денег, ответственность за это должна наступать по правилам идеальной совокупности преступлений.
Почти все составы главы 28 относятся к преступлениям небольшой и средней тяжести, и только один - к тяжким преступлениям. Характеризуя объективную сторону рассматриваемых составов, заметим, в первую очередь, что даже большинство из них конструктивно сформулированы как материальные, поэтому предполагают не только совершение общественно-опасного деяния, но и наступление общественно-опасных последствий, а также установление причинной связи между этими двумя признаками.
Однако нельзя не признать, что уничтожение, блокирование, модификация и копирование информации не исключают совершения самостоятельных действий. В учебной литературе указывается, что правильнее было бы рассматривать основанием уголовной ответственности за неправомерный доступ к компьютерной информации случаи, когда неправомерный доступ сопряжен с уничтожением, блокированием и т.д. (т.е. такому доступу следовало бы придать значение не только причины, но и необходимого условия).
В силу ч. 2 ст. 9 УК РФ временем совершения каждого из этих преступлений будет признаваться время окончания именно деяния независимо от времени наступления последствий. Сами же общественно опасные деяния чаще всего выступают здесь в форме действий и лишь иногда - как бездействие. В одном случае такой признак объективной стороны состава преступления, как способ его совершения, сформулирован в качестве обязательного признака основного и квалифицированного составов. В остальных он, а также время, место, обстановка, орудия, средства совершения преступления могут быть учтены судом в качестве смягчающих или отягчающих обстоятельств.
Из всех признаков субъективной стороны значение будет иметь только один - вина. При этом, исходя из ч. 2 ст. 24 УК, для всех преступлений данного вида необходимо наличие вины в форме умысла, и лишь два квалифицированных состава предусматривают две ее формы: умысел по отношению к деянию и неосторожность в отношении наступивших общественно-опасных последствий. Факультативные признаки субъективной стороны так же, как и в вопросе о стороне объективной, не будут иметь значения для квалификации преступления. Так, мотивами совершения таких деяний чаще всего бывают корысть либо хулиганские побуждения, но могут быть и соображения интереса, чувство мести; не исключено совершение их, с целью скрыть другое преступление и т.д. Естественно, что особую трудность вызовет проблема отграничения неосторожного и невиновного причинения вреда, что связано с повышенной сложностью и скрытностью процессов, происходящих в сетях и системах ЭВМ.
Субъект нескольких составов является специальным. В остальных случаях им может стать, в принципе, любой человек, особенно если учесть всевозрастающую компьютерную грамотность населения. Ответственность за преступления против компьютерной безопасности наступает с 16 лет (ст. 20 УК).
Диспозиции статей 28-й главы описательные, зачастую - бланкетные или отсылочные. Для их применения необходимо обратиться к ст. 35 УК, к нормативно-правовому акту об охране компьютерной информации, правилам эксплуатации ЭВМ и т. п. Санкции - альтернативные, за исключением двух квалифицированных составов, где они - в силу тяжести последствий преступления - «урезаны» до относительно-определенных.
Первоначально в проекте УК РФ глава о компьютерных преступлениях содержала 5 статей. Однако в дальнейшем в силу замечаний, высказанных как теоретиками уголовного права, так и практиками компьютерного дела, первые три статьи были объединены, и в настоящее время глава предстает в следующем составе:
Ø ст. 272. Неправомерный доступ к компьютерной информации;
Ø ст. 273. Создание, использование и распространение вредоносных программ для ЭВМ;
Ø ст. 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.
3. Расследование преступления
3.1. Фабула и предварительный план расследования
10 ноября 2002 г. членами организованной преступной группы был осуществлен несанкционированный доступ к средствам компьютерной техники коммерческого банка «Альянс». И в течение суток банк не смог нормально осуществлять все операции по платежам. Только прямой ущерб составил около 60 тысяч рублей.
Предварительный план расследования преступления.
«УТВЕРЖДАЮ»
10 ноября 2002 года
ПЛАН
возбужденному по факту несанкционированного доступа к средствам компьютерной техники коммерческого банка «Альянс»
В целях раскрытия преступления, совершенного в отношении коммерческого банка «Альянс», установления лица (лиц), его совершивших, и проверки следственно-оперативным путем вероятных версий совершения преступления необходимо следующее:
1) Вопросы и обстоятельства, общие для всех версий:
1. Назначить по делу судебно-бухгалтерскую экспертизу для определения, имеются ли нарушения требований положений о документообороте и установления лиц, ответственных за эти преступления.
2. Назначить по делу программно-техническую судебную экспертизу для определения места, с которого был произведен несанкционированный доступ в систему, и ряда других технических деталей преступления.
Исполнители: следователь Срок: 5 декабря 2002 года.
3. В случае установления личности подозреваемого назначить по делу дополнительную дактилоскопическую экспертизу по изъятым на месте происшествия отпечаткам пальцев рук.
Исполнители: следователь Срок: в ходе расследования
Версия 1. Несанкционированный доступ совершен с целью хулиганства.
1. Провести осмотр и фиксацию состояния ЭВМ, сетей ЭВМ и машинных носителей, допросы лиц, обеспечивающих работу информационной системы банка.
Исполнители: следователь Срок: до 15 ноября 2002 года.
Версия 2. Несанкционированный доступ произведен из корыстных побуждений (с целью хищения денежных средств или получения информации) бывшим работником банка.
1. Оперативным путем установить и проверить на причастность к совершению преступления лиц, ранее работающих в банке.
Исполнители: следователь Срок: до 20 ноября 2002 года.
Версия 3. Несанкционированный доступ произведен из корыстных побуждений (с целью хищения денежных средств или получения информации) «по найму» сотрудником банка.
1. Оперативным путем установить и проверить на причастность к совершению преступления лиц, работающих в банке.
2. Следственно-оперативным путем установить лиц, из числа сотрудников банка, у которых могут иметься соответствующие компьютерные знания и аппаратура. Провести обыски по месту их жительства.
Следователь прокуратуры
юрист 2 класса Иванов И.П.
3.2. План расследования
«УТВЕРЖДАЮ»
Прокурор г. Саратова советник
юстиции Демидов Н.М. _________
10 ноября 2002 года
ПЛАН
расследования по уголовному делу №11764,
возбужденному по факту несанкционированного доступа к средствам
компьютерной техники коммерческого банка «Альянс»
В целях раскрытия преступления, совершенного в отношении коммерческого банка «Альянс», установления лица (лиц), его совершивших, с учетом данных полученных на первоначальном этапе расследования, следует выдвинуть следующую версию:
Несанкционированный доступ произведен из корыстных побуждений (с целью хищения денежных средств или получения информации) бывшим работником банка Т и его подельником П.
Для проверки следственно-оперативным путем данной версии совершения преступления необходимо:
1. Получить образцы отпечатков пальцев рук подозреваемых гр. Т., П.
Исполнители: следователь Срок: 30 ноября 2002 года.
2. Назначить по делу дополнительную дактилоскопическую экспертизу по изъятым на месте происшествия отпечаткам пальцев рук и проверить их на принадлежность гр. Т., П.
3. Следственно-оперативным путем (путем проведения опроса и допросов работников банка и сослуживцев) установить, имелось ли соответствующая аппаратура у гр. Т. Провести обыски по месту жительства Т., П. и принять меры по обнаружению и изъятию аппаратуры.
Исполнители: следователь Срок: 30 ноября 2002 года.
4. Предъявить гр. П. на опознание сослуживцам Т.
5. В случае дачи подозреваемыми признательных показаний провести с их участием проверку показаний на месте совершения преступлений.
Исполнители: следователь Срок: в ходе расследования.
Следователь прокуратуры
Волжского района г. Саратова
юрист 2 класса Иванов И.П.
3.3. Практические особенности отдельных следственных действий
При расследовании компьютерных преступлений можно выделить три типичные следственные ситуации:
1. Собственник информационной системы собственными силами выявил нарушение целостности / конфиденциальности информации в системе, обнаружил виновное лицо и заявил об этом в правоохранительные органы.
2. Собственник информационной системы собственными силами выявил нарушение целостности / конфиденциальности информации в системе, не смог обнаружить виновное лицо и заявил об этом в правоохранительные органы.
3. Данные о нарушении целостности/конфиденциальности информации в информационной системе и виновном лице стали общеизвестными или непосредственно обнаружены органом дознания (например, в ходе проведения оперативно-розыскных мероприятий по другому делу).
При наличии заподозренного виновного лица первоначальная задача следствия заключается в сборе с помощью собственника информационной системы и процессуальной фиксации доказательств:
а) нарушения целостности/конфиденциальности информации в системе;
б) размера ущерба, причиненного нарушением целостности/конфиденциальности информации;
в) причинной связи между действиями, образующими способ нарушения, и наступившими последствиями путем детализации способа нарушения целостности/конфиденциальности информации в системе и характера совершенных виновным действий;
г) отношения виновного лица к совершенным действиям и наступившим последствиям.
Т.к. подозреваемые задержаны сразу же после совершения преступления, для данной ситуации характерны следующие первоначальные следственные действия:
а) личный обыск задержанных;
б) допрос задержанных;
в) обыск по месту жительства задержанных.
Осмотр и обыск (выемка) по делам данной категории являются важнейшими инструментами установления обстоятельств расследуемого события.
Известно, что главными процессуальными способами изъятия вещественных доказательств являются осмотр, обыск и выемка.
Следует напомнить, что осмотр - это непосредственное обнаружение, восприятие и исследование следователем материальных объектов, имеющих отношение к исследуемому событию. Обыск - следственное действие, в процессе которого производится поиск и принудительное изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства. Выемка - следственное действие, в процессе которого производится изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства, в тех случаях, когда их местонахождение точно известно следователю и изъятие прямо или косвенно не нарушает прав личности.
Носители информации, имеющей отношение к расследуемому событию, могут быть с соблюдением установленного УПК РФ порядка изъяты и приобщены к уголовному делу в качестве вещественного доказательства.
Для участия в обыске и выемке целесообразно приглашать специалиста в области компьютерной техники.
При осмотрах, обысках, выемках, сопряженных с изъятием ЭВМ, машинных носителей и информации возникает ряд общих проблем, связанных со спецификой изымаемых технических средств.
Так, необходимо предвидеть меры безопасности, предпринимаемые преступниками с целью уничтожения вещественных доказательств.
Например, они могут использовать специальное оборудование, в критических случаях создающее сильное магнитное поле, стирающее магнитные записи. Известна легенда о хакере, который создал в дверном проеме магнитное поле такой силы, что оно уничтожало магнитные носители информации при выносе их из его комнаты.
Преступник имеет возможность включить в состав программного обеспечения своей машины программу, которая заставит компьютер периодически требовать пароль, и, если несколько секунд правильный пароль не введен, данные в компьютере автоматически уничтожаются.
Желательно иметь с собой и использовать при обыске и осмотре устройство для определения и измерения магнитных полей.
Вещественные доказательства в виде ЭВМ, машинных носителей требуют особой аккуратности при транспортировке и хранении. Им противопоказаны резкие броски, удары, повышенные температуры, влажность. Все эти внешние факторы могут повлечь потерю данных, информации и свойств аппаратуры.
Не следует забывать при осмотрах и обысках о возможностях сбора традиционных доказательств (скрытых отпечатков пальцев на клавиатуре, выключателях и др., шифрованных рукописных записей и пр.).
Осмотру подлежат все устройства конкретной ЭВМ.
Фактически оптимальный вариант изъятия ЭВМ и машинных носителей информации - это фиксация их и их конфигурации на месте обнаружения и упаковка таким образом, чтобы аппаратуру можно было бы успешно, правильно и точно так же, как на месте обнаружения, соединить в лабораторных условиях или в месте производства следствия с участием специалистов.
Указанные следственные действия могут производиться с целями:
а) осмотра и изъятия ЭВМ и ее устройств;
б) поиска и изъятия информации и следов воздействия на нее в ЭВМ и ее устройствах;
в) поиска и изъятия информации и следов воздействия на нее вне ЭВМ.
По прибытии на место осмотра или обыска следует принять меры к обеспечению сохранности информации на находящихся здесь компьютерах и магнитных носителях. Для этого необходимо:
1) не разрешать кому бы то ни было из лиц, работающих на объекте обыска, прикасаться к работающим компьютерам, магнитным носителям, включать и выключать компьютеры;
2) самому не производить никаких манипуляций с компьютерной техникой, если результат этих манипуляций заранее не известен;
3) при наличии в помещении, где находятся СКТ и магнитные носители информации, взрывчатых, легковоспламеняющихся, токсичных и едких веществ или материалов как можно скорее удалить эти вещества в другое помещение.
Особенности производства осмотров и обысков
Если компьютер работает, ситуация для следователя, производящего следственное действие без помощи специалиста, существенно осложняется, однако и в этом случае не следует отказываться от оперативного изъятия необходимых данных.
В данной ситуации:
а) определить, какая программа выполняется. Для этого необходимо изучить изображение на экране дисплея и по возможности детально описать его.
После остановки программы и выхода в операционную систему иногда при нажатии функциональной клавиши «F3» можно восстановить наименование вызывавшейся последний раз программы.
Можно осуществить фотографирование или видеозапись изображения;
б) остановить исполнение программы. Остановка осуществляется одновременным нажатием клавиш Ctrl-C, либо Ctrl-Break;
в) зафиксировать (отразить в протоколе) результаты своих действий и реакции компьютера на них;
г) определить наличие у компьютера внешних устройств - накопителей информации на жестких магнитных дисках и виртуального диска;
д) определить наличие у компьютера внешних устройств удаленного доступа к системе и определить их состояние (отразить в протоколе), после чего разъединить сетевые кабели так, чтобы никто не мог изменить или стереть информацию в ходе обыска (например, отключить телефонный шнур из модема);
е) скопировать программы и файлы данных. Копирование осуществляется стандартными средствами ЭВМ или командой DOS COPY;
ж) выключить подачу энергии в компьютер и далее действовать по схеме «компьютер не работает».
Если компьютер не работает, следует:
а) точно отразить в протоколе и на прилагаемой к нему схеме местонахождение ПК и его периферийных устройств;
б) точно описать порядок соединения между собой этих устройств с указанием особенностей (цвет, количество соединительных разъемов, их спецификация) соединительных проводов и кабелей; перед разъединением полезно осуществить видеозапись или фотографирование мест соединения;
в) с соблюдением всех мер предосторожности разъединить устройства компьютера, предварительно обесточив его;
г) упаковать раздельно носители на дискетах и магнитных лентах и поместить их в оболочки, не несущие заряда статического электричества;
д) упаковать каждое устройство и соединительные кабели, провода;
е) защитить дисководы гибких дисков согласно рекомендации изготовителя (вставить новую дискету или часть картона в щель дисковода);
ж) особой осторожности требует транспортировка винчестера.
Поиск и изъятие информации и следов воздействия на нее в ЭВМ и ее устройствах
В компьютере информация может находиться непосредственно в оперативном запоминающем устройстве (ОЗУ) при выполнении программы, в ОЗУ периферийных устройств и на внешних запоминающих устройствах (ВЗУ).
Наиболее эффективным и простым способом фиксации данных из ОЗУ является распечатка на бумагу информации, появляющейся на дисплее.
Если компьютер не работает, информация может находиться в ВЗУ и других компьютерах информационной системы или в «почтовых ящиках» электронной почты или сети ЭВМ.
Необходимо произвести детальный осмотр файлов и структур их расположения; лучше это осуществить с участием специалиста в лабораторных условиях или на рабочем месте следователя.
Следует обращать внимание на поиск так называемых «скрытых» файлов и архивов, где может храниться важная информация.
Периферийные устройства ввода-вывода могут также некоторое время сохранять фрагменты программного обеспечения и информации, однако для вывода этой информации необходимы глубокие специальные познания.
Осмотр компьютеров и изъятие информации производится в присутствии понятых, которые расписываются на распечатках информации, изготовленных в ходе осмотра.
В ходе осмотров по делам данной категории могут быть обнаружены и изъяты следующие виды важных документов, которые могут стать вещественными доказательствами по делу:
а) документы, носящие следы совершенного преступления, - телефонные счета, пароли и коды доступа, дневники связи и пр.;
б) документы со следами действия аппаратуры. Всегда следует искать в устройствах вывода (например, в принтерах) бумажные носители информации, которые могли остаться внутри их в результате сбоя в работе устройства;
в) документы, описывающие аппаратуру и программное обеспечение;
г) документы, устанавливающие правила работы с ЭВМ, нормативные акты, регламентирующие правила работы с данной ЭВМ, системой, сетью, доказывающие, что преступник их знал и умышленно нарушал;
д) личные документы подозреваемого или обвиняемого.
Комплекс неотложных следственных действий обязательных для первоначального этапа расследования также включает:
1. Проведение обыска в служебном помещении, на рабочем месте подозреваемого с целью обнаружения и изъятия физических носителей машинной информации и других документов, имеющих или возможно имеющих отношение к несанкционированному отношению программного обеспечения или носящих иные следы подготовки к хищению денежных средств.
2. Исследование:
Ø журналов сбойных ситуаций, рабочего времени ЭВМ, по передачи смен операторами;
Ø средств защиты и контроля банковских компьютерных систем, регистрирующих пользователей, моменты включения (активации) системы либо подключение к ним абонентов с определенным индексом или без такового;
Ø протоколов вечернего решения, представляющих собой копию действий операторов, отображенную на бумажном носителе в ходе вечерней обработки информации, которая проводится по истечении каждого операционного дня;
Ø контрольных чисел файлов;
Ø всего программного обеспечения ЭВМ;
Ø «прошитых» микросхем постоянно запоминающих устройств, микропроцессоров и их схемного исследования.
3. Истребование и анализ технических указаний по обработке ежедневной бухгалтерской информации с перечнем выходящих форм.
4. Допрос лиц из числа инженеров-программистов, занимавшихся разработкой программного обеспечения и его сопровождением, специалистов отвечающих за защиту информации и специалистов электронщиков, занимающихся эксплуатацией и ремонтов вычислительной техники.
5. Назначение комплексной судебно-бухгалтерской и программно-технической экспертизы с привлечением специалистов правоохранительных органов, специалистов в области средств компьютерной техники, по ведению банковского учета с использованием средств компьютерной техники, документообороту, организации бухучета и отчетности, специалистов по обеспечению безопасности информации в компьютерных системах.
В ходе судебно-бухгалтерской экспертизы должно быть установлено, имеются ли нарушения требований положений о документообороте при отображении первичных документов в регистрах бухгалтерского учета и отчетности зафиксированных на машинном носителе, установлены их причины (с целью совершения преступления, злоупотребления или ошибки), ответственных лиц за эти нарушения.
Результаты программно-технической экспертизы должны быть оформлены как заключение экспертов для того, чтобы они могли играть роль доказательств в процессе суда. В настоящее время с помощью таких экспертиз могут решаться следующие задачи:
1. Воспроизведение и распечатка всей или части информации, содержащейся на физических носителях. В том числе находящихся в нетекстовой форме.
2. Восстановление информации, ранее содержавшейся на физических носителях и в последствии стертой или измененной по различным причинам.
3. Установление времени ввода, изменение, уничтожение либо копирование той или иной информации.
4. Расшифровка закодированной информации, подбор паролей и раскрытие систем защиты.
5. Установление авторства, места, средства, подготовки и способа изготовления документов (файлов, программ).
6. Выяснения возможных каналов утечки информации из компьютерной сети и помещений.
7. Выяснение технического состояния, исправности программно-аппаратных комплексов БИВС, возможности их адаптации под конкретного пользователя.
8. Установления уровня профессиональной подготовки отдельных лиц, проходящих по делу в области программирования и в качестве пользователя.
3.4. Вынесение постановления о назначении необходимых экспертиз
Постановление
о назначении программно-технической судебной экспертизы
Следователь прокуратуры Волжского района г. Саратова юрист 2 класса Иванов И.П., рассмотрев материалы уголовного дела № 11764,
Установил:
10 ноября 2002 г. членами организованной преступной группы был осуществлен несанкционированный доступ к средствам компьютерной техники коммерческого банка «Альянс». В течение суток банк не смог нормально осуществлять все операции по платежам. Прямой ущерб составил около 60 тысяч рублей.
В результате осмотра места преступления и осмотра компьютерной сети банка было обнаружено следующее. В программном обеспечении компьютерной сети банка выявлен «вирус». В 10.30 часов из-за «вируса» главный сервер отключил всю компьютерную сеть и заблокировал ее.
В ходе расследования были задержаны гр-не Т. и П. И у них были изъяты мощные компьютеры и программной обеспечение с компьютерными «вирусами».
На основании изложенного и руководствуясь ст.195 (196) и 199 УПК РФ,
Постановил:
Назначить программно-техническую судебную экспертизу, производство которой поручить эксперту ЭКО г. Саратова.
Поставить перед экспертом вопросы:
1. Какова конфигурация и состав компьютерных средств и можно ли с помощью этих средств осуществить действия, инкриминируемые обвиняемым?
2. Какие информационные ресурсы находятся в данной ЭВМ?
3. Не являются ли обнаруженные файлы копиями информации, находившейся на конкретной ЭВМ?
4. Не являются ли представленные файлы с программами, зараженными вирусом, и если да, то каким именно?
5. Не являются ли представленные тексты на бумажном носителе записями исходного кода программы, и каково назначение этой программы?
6. Подвергалась ли данная компьютерная информация уничтожению, копированию, модификации?
7. Какие правила эксплуатации ЭВМ существуют в данной информационной системе, и были ли нарушены эти правила?
8. Находится ли нарушение правил эксплуатации в причинной связи с уничтожением, копированием, модификацией?
Предоставить в распоряжение эксперта материалы:
- копию настоящего постановления;
- материалы настоящего уголовного дела;
- возможность экспертного осмотра места происшествия и ЭВМ.
4. Поручить разъяснить эксперту права и обязанности, предусмотренные ст. 57 УПК РФ, и предупредить его об уголовной ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения.
Следователь Иванов И.П.
Права и обязанности, предусмотренные ст. 57 УПК РФ, мне разъяснены 12 ноября 2002 г. Одновременно я предупрежден об уголовной ответственности по ст. 307 УК РФ за дачу заведомо ложного заключения.
Эксперт ______________
ЗАКЛЮЧЕНИЕ
В ходе изучения действующего уголовного законодательства в области регулирования компьютерного права и специфики расследования преступлений в сфере компьютерной информации были сделаны определенные обобщения:
Преступления в области компьютерной информации являются частью информационных преступлений: объединенных единым инструментом обработки информации - компьютером. Практически все преступления относятся к преступлениям средней тяжести. Исключением является лишь преступления, квалифицируемые ч. 2 ст. 273, относящиеся к тяжким преступлениям. Для всех преступлений данного вида необходимо наличие вины в форме умысла. Субъектом преступления может стать любой человек старше 16 лет, особенно если учесть всевозрастающую компьютерную грамотность населения.
Известные на сегодня способы совершения компьютерных преступлений отличаются значительным и постоянно расширяющимся разнообразием. Совершают преступления данной категории чаще всего люди со специальной подготовкой в области автоматизированной обработки информации, причем более половины из их числа в составе преступных групп. Основная опасность исходит от внутренних пользователей - ими совершается более 90% преступлений.
Типичными следственными действиями, применяющимися при расследовании преступлений в сфере компьютерной информации, являются следственный осмотр, допрос (свидетеля, потерпевшего, обвиняемого, подозреваемого), производство судебных информационно-технических экспертиз, обыск и выемка, а также следственный эксперимент.
При расследовании преступлений в сфере компьютерной информации следственные задачи решаются в следующей последовательности:
Ø Установление факта совершения преступления: времени его совершения: способа и других обстоятельств, знание которых необходимо для успешного проведения расследования;
Ø установление лица (или лиц), совершившего преступное деяние: виновности и мотивов преступления;
Ø установление вредных последствий преступления и выявление обстоятельств, способствовавших преступлению.
При производстве следственных осмотра объектов преступления в целях обнаружения следов преступления, выяснения обстановки происшествия и иных значимых для дела обстоятельств целесообразно привлекать к ним технических специалистов с достаточно высокой степенью компетенции. Соответствующие специалисты призываются также для участия при производстве обыска (последующего осмотра изъятого) и следственного эксперимента.
Вышеуказанные участники следственных действий должны оказать помощь следователю при установлении факта совершения преступления, времени его совершения, способа совершения и обстоятельств, способствовавших преступлению. Весьма важным является значение проведения судебных информационно-технических экспертиз.
В соответствии с источниками рекомендуется предусмотреть в форме плана расследования следующие данные:
Ø наименование дела;
Ø дату его возбуждения;
Ø срок окончания расследования;
Ø графы: доверсионные вопросы (нуждающиеся в выяснении еще до выдвижения какой-либо версии), версии, подлежащие выяснению вопросы, необходимые мероприятия (применительно к каждой версии и каждому выясняемому вопросу), срок выполнения каждого мероприятия, исполнитель каждого мероприятия, отметка о выполнении мероприятия.
БИБЛИОГРАФИЯ
1. Божкова Н.Р. и др. Следственная (криминалистическая) тактика. - Саратов, 1996.
2. Быстряков Е.Н., Иванов А.Н., Климов В.Л. Расследование компьютерных преступлений. - Саратов, 2000.
3. Волчинская Е.К. Есть ли в России компьютерное право? //Российская юстиция. - 1997. - ?6.
4. Гульбин Ю. Преступления в сфере компьютерной информации.// Российская юстиция № 10, 1997.
5. Криминалистика / Под. ред. Белкина Р.С. - М., 1999.
6. Криминалистика: Учебник. / Отв.ред. Н.П. Яблоков. - М.: Юристъ, 1999.
7. Ляпунов Ю., Максимов В. Ответственность за компьютерные преступления. //Законность №1. - 1997.
8. Рачук Т. Компьютерные преступления - новое в уголовном законодательстве России. // Материалы Национальной службы новостей, 1997.
9. Россинская Е.Р. Судебная экспертиза в уголовном, гражданском, арбитражном процессе. - М., 1996.
10. Уголовное право. Особенная часть. Учебник. Под ред. И.Я. Козаченко, - М.: ИНФРА-М-НОРМА, 1997.
11. Уголовно-процессуальный кодекс Российской Федерации от 18 декабря 2001 г. №174-ФЗ
