Расследование преступлений, совершаемых с использованием кмпьютерных технологий

На рабочей (исследовательской) стадии осмотра места происшествия каждый объект подлежит тщательному  обследованию. В этот период времени  важно установить, не содержится ли на компьютере информация, которая может способствовать более плодотворному и целенаправленному осмотру (различные планы помещений, участков местности, пароли, коды доступа, шифры и т.п.). Для этого специалистом проводится экспресс-анализ компьютерной информации путем просмотра содержимого дисков. Интерес могут представлять также файлы с текстовой или графической информацией.

В этот период обращается внимание не только на наличие (отсутствие) физических повреждений компьютерной техники, магнитных носителей и т.п., но и на состояние окон, дверей и  запорных устройствах на них.

На рабочей стадии осмотра  фиксируется текущее состояние  компьютерной информации, делается вывод  о произошедшем событии и его  последствиях: уничтожение, блокирование, модификация, копирование информации, нарушение работы ЭВМ, их системы  или сети; устанавливается способ совершения преступления. Для этого  с помощью специалиста наблюдается  действие программ, содержимое текстовых  файлов и баз данных. При этом особое внимание следует уделить  изучению имеющихся в большинстве  компьютерных систем файлов регистрации. Какое бы событие не произошло  в системе, информация о нем (в  том числе, кто инициировал его, когда и в какое время оно  произошло, какие при этом были затронуты  файлы) регистрируется в этих файлах.

Магнитные носители машинной информации должны перемещаться в пространстве и храниться только в специальных  опломбированных и экранированных контейнерах или в стандартных  дискетных или иных алюминиевых  футлярах заводского изготовления, исключающих  разрушающее воздействие различных  электромагнитных и магнитных полей, направленных излучений.

В ходе осмотра компьютера необходимо полностью откопировать содержимое жесткого диска с помощью  специальных программ. Если в осмотре  принимает участие специалист, эта  работа поручается ему. Кроме того, необходимо сделать распечатки информации о содержании всего жесткого диска либо всю информацию об этом переписать от руки. Все листы с такой информацией должны быть подписаны специалистом, который проводил запись информации, следователем, понятыми и представителем организации (пользователем), где производится осмотр, и прилагаться к протоколу следственного действия.

Изъятие средств компьютерной техники производится только в выключенном  состоянии. При этом должны быть выполнены  и отражены в протоколе следующие  действия:

1. установлено включенное состояние оборудования и зафиксирован порядок его отключения;
2. описано точное местонахождение изымаемых предметов и их расположение относительно друг друга и окружающих предметов (с приложением необходимых схем и планов);
3. описан порядок соединения между собой всех устройств с указанием особенностей соединения (цвет, количество, размеры, характерные индивидуальные признаки соединительных проводов, кабелей, шлейфов, разъемов, штеккеров и их спецификация);
4. определено отсутствие либо наличие компьютерной сети, используемый канал (каналы) связи и телекоммуникаций. В последнем случае установлен тип связи, используемая аппаратура, абонентский номер, позывной либо рабочая частота;
5. произведено разъединение (с соблюдением всех необходимых мер предосторожности) аппаратных частей (устройств) с одновременным опломбированием их технических входов и выходов;
6. определен вид упаковки и транспортировки изъятых предметов.

Промедление с осмотром места  происшествия или игнорирование  принципа неотложности может привести к негативным последствиям, так как некоторые электронные документы, которые, возможно, будут иметь впоследствии значение для дела, и даже видеозапись с камер наблюдения могут храниться несколько дней.

Следующим неотложным следственным действием является допрос потерпевшего, в ходе которого следователю необходимо установить обстоятельства, могущие  иметь отношение для дела. Умелый, своевременно проведенный допрос потерпевшего дает сведения для быстрого установления механизма преступления и выдвижения версий.

Общие положения тактики  допроса потерпевшего, в том числе  тактики допроса по конкретным видам  преступления достаточно широко освещены в юридической литературе. Процессуальный порядок производства следственного действия изложен в статьях 187-191 УПК РФ. Вместе с тем допрос потерпевших о преступлениях, совершенных с использованием компьютерных технологий, имеет свою специфику. Как правило, допрос потерпевшего проводится незамедлительно после возбуждения уголовного дела. Неотложность данного следственного действия в данном случае не вызывает сомнения, однако это не дает возможности следователю качественно к нему подготовиться.

Следует иметь в виду, что, в силу специфики данный категории  преступлений, непосредственный контакт преступников и потерпевшего в большинстве случаев не происходит. Это объясняет отсутствие к моменту возбуждения уголовного дела сведений о лицах, предположительно совершивших преступление. Тем не менее, к допросам потерпевших следует приступать немедленно, так как он представляет собой важный источник информации. По делам анализируемой категории на первоначальном этапе расследования, как правило, допрашиваются лица - держатели банковских карт, сотрудники банка-эмитента, и иные лица, у которых были похищено имущество с применением компьютерных технологий. В ходе допроса потерпевших выясняются: данные о самом преступлении (в первую очередь обстоятельства обнаружения общественно опасных последствий -хищения денежных средств, имущества, программного обеспечения, информации); данные о лицах, которые могли быть свидетелями преступления, данные о круге лиц, имевших доступ к месту хранения банковской карточки, автомобиля, компьютеру и т.п., и их характеристику, данные о личности лица, которое потерпевший подозревает в совершении преступления.⁴⁸ 

Для разоблачения преступной группы важны любые сведения, которые  могут сообщить потерпевшие. Впоследствии, при осмотре видеозаписи, изъятой из терминала или в помещении сервисного обслуживания, можно установить, то ли лицо, которое фактически совершило хищение или другое.

После проведения неотложных следственных действий и оценки следственной ситуации перед следователем возникает следующая задача- выдвижение следственных версий и составление плана расследования уголовного дела.

Исходя из имеющейся информации выдвигаются следующие следственные версии:

1. преступление совершенно лицом, обладающим специальными познаниями в области компьютерных технологий, либо группой лиц с привлечением такого лица;
2. преступление совершено лицом, ранее судимым за мошенничество либо за компьютерные преступления;
3. преступление совершенно сотрудником предприятия (банка, автопарковки, установщика сигнализации, сотового оператора и т.п.) либо с его помощью.

Следующим этапом в работе следователя является составление плана по проверке выдвинутых следственных версий. Следственной версии присущ временный, промежуточный характер. Она предназначена для поиска новых данных, необходимых для устранения имеющейся неопределенности и обоснования вывода о том, какое же из возможных объяснений является единственно достоверным. Поэтому в ходе раскрытия и расследования преступления следственная версия должна быть либо доказана, либо опровергнута и тогда она прекращает свое существование.⁴⁹

При проверке первой версии необходимо уделить особое внимание изучению способа совершения преступления и средств, которые использовались при этом. Именно благодаря правильной оценке и осмотру примененного преступниками компьютерного устройства, особенно выполненного вручную, специалистом может быть дана информация о лице либо о способе его изготовления, так как часто это узкий круг специалистов, которые в свою очередь поддерживают контакты с лицами, приобретающими у них данные специальные устройства. Так же следователю при проверке данной версии необходимо запросить информацию  из технических ВУЗов о лицах наиболее занятых в сфере компьютерных технологий.  Необходимо получить информацию от оперативного подразделения, специализирующегося на компьютерных преступлениях, о лицах, обладающих специальными познаниями в области компьютерных технологий, так называемых «хакерах».  Полученный круг лиц следует проверят с привлечением сил и средств органа дознания.

При проверке второй версии следователю необходимо нацелить свою деятельность на отработку лиц, ранее  судимых за мошенничества  с кредитными картами, интернет- мошенничества, «сотовых»  мошенников и иных лиц, ранее судимых  за аналогичные преступления. Необходимо направить соответствующие поручения  участковым о лицах, состоящих на учете как ранее судимые за компьютерные преступления, выяснить, чем они занимаются, какой образ жизни ведут, проживают ли по мету регистрации. Все эти и иные данные могут косвенно свидетельствовать о причастности либо непричастности данных лиц к совершению преступлений.

К мероприятиям по проверке третьей версии можно отнести допрос руководителя предприятия, предпочтительнее руководителя службы безопасности организации. Именно он обладает сведениями о лицах, обладающих доступом к определенной информации и обладающих специальными познаниями. Определив круг данных лиц следует приступить к их допросам, определению их круга общения,  за лицами, проявляющими нервозность, молчаливость, скрытность, необходимо установить наблюдение, контроль телефонных переговоров.