Киберпреступления
Дела о киберпреступлениях объединяет одно: почти все доказательства в них цифровые. Логи серверов, IP-адреса, переписка в мессенджерах, содержимое жёстких дисков, банковские транзакции, данные операторов связи. Обвинение строится на заключении компьютерно-технической экспертизы и на том, как следователь связал цифровые следы с конкретным человеком. Защитник по таким делам должен разбираться в технике достаточно, чтобы увидеть, где эта связь держится на предположении, а где подтверждена объективно.
Ниже разобрано, какие составы относят к киберпреступлениям, как обычно выглядит обвинение, какие доводы есть у защиты и каким должен быть опыт адвоката в этой категории. Отдельно описаны правила изъятия электронных носителей и ошибки, которые обвиняемые совершают при обыске.
Какие дела относят к киберпреступлениям
Узкое понимание киберпреступлений охватывает главу 28 УК РФ о преступлениях в сфере компьютерной информации. Сюда входят неправомерный доступ к компьютерной информации по статье 272, создание и распространение вредоносных программ по статье 273, нарушение правил эксплуатации средств хранения и обработки информации по статье 274, неправомерное воздействие на критическую информационную инфраструктуру по статье 274.1.
На практике к этой категории относят и преступления, совершённые с использованием информационных технологий. Мошенничество в сфере компьютерной информации по статье 159.6 УК РФ, кража с банковского счёта, мошенничество через интернет и телефонные звонки, незаконный сбыт наркотиков через интернет-магазины, распространение запрещённого контента, нарушение тайны переписки, незаконное получение сведений, составляющих коммерческую тайну. Во всех этих делах способ совершения цифровой, и доказывание идёт по тем же законам.
Разъяснения по этой категории дал Пленум Верховного Суда РФ в постановлении от 15 декабря 2022 года № 37. В нём разобраны понятия компьютерной информации, неправомерного доступа, вредоносной программы, а также вопросы квалификации преступлений, совершённых с использованием сети «Интернет». Защитник опирается на эти разъяснения при оценке квалификации.
Особенность категории в разнородности участников. Обвиняемыми становятся программисты, системные администраторы, сотрудники банков и операторов связи, владельцы банковских карт, через которые проходили похищенные деньги, подростки, запустившие скачанную программу. Роль каждого может быть очень разной, а обвинение нередко описывает всех одинаково.
Типовые версии обвинения в делах о компьютерной информации
Обвинение по делам этой категории обычно строится на цепочке: зафиксировано событие, например несанкционированный доступ или списание денег, установлен цифровой след, след связан с устройством, устройство связано с человеком. Слабым может оказаться любое звено.
Распространённые версии обвинения:
- доступ к системе осуществлён с IP-адреса, который принадлежит обвиняемому;
- на изъятом компьютере обнаружена вредоносная программа или её исходный код;
- сотрудник компании скопировал базу данных подзащитных, используя служебный доступ;
- владелец банковской карты получил и перевёл похищенные деньги, значит, участвовал в мошенничестве;
- обвиняемый администрировал канал или сайт, через который совершались преступления.
Каждая из этих версий содержит допущение. IP-адрес указывает на точку подключения, а не на человека. Через один адрес выходят в интернет члены семьи, соседи по открытой сети Wi-Fi, а при использовании VPN и прокси адрес может вообще не относиться к реальному пользователю. Наличие программы на диске не означает, что владелец её создавал, запускал или знал о ней.
Отдельная группа дел связана с использованием служебного доступа. Сотрудник имел законный доступ к системе, а обвинение утверждает, что он использовал его в недопустимых целях. Здесь решающее значение имеют внутренние регламенты компании, должностная инструкция, политика доступа. Если правила не запрещали конкретное действие или не были доведены до сотрудника, неправомерность доступа становится спорной.
Защита по кибероделам: доступ, авторство, роль участника
Первое направление защиты касается установления авторства действий. Защитник выясняет, кто ещё имел доступ к устройству и учётным записям, были ли пароли известны другим людям, не было ли устройство заражено вредоносной программой, через которую им управляли удалённо. Ответы на эти вопросы дают технические исследования и показания свидетелей.
Второе направление связано с понятием неправомерности. Доступ к информации неправомерен, если у человека не было на него права. Специалист по тестированию безопасности, работавший по договору, сотрудник с правами администратора, исследователь, обнаруживший уязвимость в открытой системе: в таких ситуациях защита собирает документы о полномочиях и договорных отношениях.
Третье направление относится к последствиям. Статья 272 УК РФ требует, чтобы доступ повлёк уничтожение, блокирование, модификацию или копирование компьютерной информации. Если последствия не наступили или не доказаны, квалификация по этой статье невозможна. Защита проверяет, как зафиксированы последствия, есть ли логи, подтверждающие копирование, сохранились ли исходные данные.
Четвёртое направление касается роли человека в группе. В делах о мошенничестве через интернет обвиняемые часто занимают нижние позиции: передали свою банковскую карту, сняли деньги по поручению, предоставили сим-карту. Защита устанавливает, знал ли человек о преступном характере действий, что ему было известно о схеме, получал ли он вознаграждение. От этого зависит, будет ли он обвиняемым в мошенничестве в составе группы или свидетелем.
Технические знания, которые нужны защитнику
Защитнику по кибероделам не обязательно быть программистом, но он должен понимать базовые технические понятия. Как работает сеть, что такое IP-адрес и как он присваивается, как устроены логи, что такое хэш-сумма, как работают шифрование, VPN, анонимизирующие сети. Без этого невозможно задать правильные вопросы эксперту и увидеть ошибку в его заключении.
Признаки подходящего опыта:
- Участие в делах по главе 28 УК РФ и по статье 159.6 УК РФ с опубликованными судебными актами.
- Работа с компьютерно-техническими экспертизами и умение формулировать вопросы о методике исследования.
- Взаимодействие с независимыми специалистами в области информационной безопасности.
- Понимание порядка изъятия и копирования электронных носителей по УПК РФ.
- Опыт работы с запросами к операторам связи, банкам и владельцам интернет-сервисов.
Полезно, если адвокат понимает специфику корпоративных IT-систем. Многие дела о неправомерном доступе возникают внутри компаний, и для защиты нужно разобраться в системе прав пользователей, журналах событий, политике безопасности конкретной организации.
Изъятие техники и цифровые доказательства
Порядок изъятия электронных носителей урегулирован статьёй 164.1 УПК РФ. При изъятии участвует специалист. По ходатайству законного владельца носителя или обладателя информации специалист копирует информацию на другие носители, которые передаются владельцу. Это позволяет компании продолжить работу, а защите иметь копию данных для собственного анализа.
| Цифровое доказательство | Как получают | Что проверяет защита |
|---|---|---|
| Образ жёсткого диска или телефона | Изъятие устройства и копирование специалистом | Совпадение хэш-сумм оригинала и копии, целостность упаковки |
| Логи серверов и сервисов | Запрос к владельцу системы, выемка | Полнота, источник, возможность изменения до передачи |
| Сведения от оператора связи | Судебное решение, запрос следователя | Соответствие времени и часового пояса, кто был абонентом |
| Банковские выписки | Запрос в банк, выемка | Кто фактически распоряжался счётом и устройством входа |
| Переписка в мессенджерах | Осмотр устройства, данные сервиса | Принадлежность аккаунта, возможность подделки скриншотов |
Ключевой вопрос по цифровым доказательствам связан с целостностью. Данные легко изменить, и защитник проверяет, как обеспечивалась их неизменность на всех этапах: при изъятии, хранении, исследовании. Если устройство включалось после изъятия без фиксации, если отсутствуют хэш-суммы, если упаковка вскрыта без протокола, достоверность исследования под вопросом.
Компьютерно-техническая экспертиза требует особого внимания. Защита знакомится с постановлением о её назначении, предлагает вопросы, оценивает квалификацию эксперта и применённые программные средства. Если эксперт отвечает на правовые вопросы, например о неправомерности доступа, это выход за пределы его компетенции, и защитник указывает на это в ходатайствах и в суде.
Ошибки при обыске и первых допросах по кибероделу
Первая ошибка касается паролей. Под давлением во время обыска человек сообщает пароли от устройств и учётных записей, после чего следствие получает доступ ко всей его цифровой жизни без ограничений. Решение о предоставлении доступа принимается после консультации с защитником и с пониманием, какая информация там хранится.
Вторая ошибка связана с подписанием протокола обыска без проверки. Нужно убедиться, что в протоколе указаны все изъятые устройства с серийными номерами, описана упаковка, отмечено участие специалиста. Если устройства изъяты без описания или упакованы без опечатывания, это нужно зафиксировать в замечаниях к протоколу.
Третья ошибка касается удаления данных после того, как стало известно о проверке. Удаление переписки, форматирование дисков, смена паролей фиксируются экспертизой и расцениваются как противодействие следствию. Это может стать основанием для заключения под стражу и ухудшить позицию.
Четвёртая ошибка состоит в технических объяснениях без защитника. Специалист начинает подробно рассказывать следователю, как работает система, какие у него были доступы, что он делал. Эти объяснения потом используются для построения обвинения. Давать показания по техническим деталям лучше после изучения материалов вместе с адвокатом.
Как проверить адвоката по делам в сфере IT
Начинать следует с проверки статуса по реестру адвокатов Минюста России и по сведениям адвокатской палаты региона. Соглашение заключается письменно и описывает предмет поручения, стадии и порядок оплаты. Если планируется привлечение специалиста по информационной безопасности, порядок его участия и оплаты тоже стоит оговорить заранее.
Вопросы, которые помогут оценить кандидата:
- как следствие связало цифровые следы с подзащитным и где в этой цепочке слабые звенья;
- соблюдён ли порядок изъятия электронных носителей и копирования информации;
- какие вопросы нужно поставить компьютерно-техническому эксперту;
- нужен ли независимый специалист и какое исследование он проведёт;
- какова роль подзащитного в схеме и есть ли основания говорить об отсутствии умысла.
Подходящий кандидат свободно оперирует техническими понятиями и объясняет их простыми словами. Насторожить должны обещания результата, предложения уничтожить данные или изменить устройства, нежелание разбираться в технических деталях. Цифровые доказательства требуют внимательного анализа, и из плана защиты должно быть понятно, как этот анализ будет проводиться.
Электронная почта редакции сайта: ugolovka@адвокаты-по-уголовным-делам.рф. Контакты адвокатов — участников рейтинга — не размещаются.