Обстоятельства подлежащие доказыванию по делам о преступлениях в сфере компьютерной информации (5 видео)

Расследование преступлений в сфере компьютерной информации

Содержание

Общая характеристика преступлений в сфере компьютерной информации
Типичные следственные ситуации по делам о компьютерных преступлениях
Особенности первоначального этапа расследования
Последующий этап расследования
Обстоятельства, подлежащие установлению и доказыванию
Методика расследования преступлений в сфере компьютерной информации
Криминалистическая характеристика преступлений в сфере компьютерной информации. Обстоятельства, подлежащие установлению
📸 Видео

Видео:Преступления в сфере экономической деятельностиСкачать

Общая характеристика преступлений в сфере компьютерной информации

К преступлениям в сфере компьютерной информации относятся неправомерный доступ к компьютерной информации (ст. 272 УК РФ), создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК РФ), нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК РФ).

Объектами посягательства по данной категории преступлений будут являться банки и базы данных компьютерных систем и сетей, отдельные компьютеры и файлы, программное обеспечение.

Подробный анализ способов совершения компьютерных преступлений провел Ю.М. Батурин. Он разделил все способы компьютерных преступлений на осуществляемые методами перехвата, методами несанкционированного доступа и методами манипуляции.

1. К методам перехвата он отнес:

непосредственный перехват — его особенностью является то, что подключение производится прямо к коммуникационным каналам либо узлам передачи данных;
электромагнитный перехват, который осуществляется по остаточным излучениям тех или иных устройств (дисплея, принтера, систем коммуникаций), причем на достаточном удалении от объекта излучения.

Э. Мелик дополняет эту группу методом «Уборка мусора» — поиском «отходов» информационного процесса как физического характера (бумаг, счетов, иного мусора), так и электронного (поиск и восстановление удаленных данных).

Нам представляется логичным также дополнение этой группы методом аудиовизуального перехвата и расшифровки данных.

2. Методы несанкционированного доступа подразделяются:

на метод «Следование за дураком» (pigbacking) — несанкционированное проникновение в закрытые зоны следом за законным пользователем или вместе с ним;
метод «За хвост» (between the lines entry) — подключение к линии связи законного пользователя и после прекращения им сеанса связи продолжение осуществления доступа к системе от его имени;
метод «Компьютерный абордаж» (hacking) — подбор регистрационных данных пользователей (как правило, имен и паролей);
метод «Неспешный выбор» (browsing) — выявление и использование слабых мест в защите;
метод «Поиск бреши» (trapdoor entry) — использование случайных ошибок и неудач разработчиков программного обеспечения после анализа работы программы;
метод «Люк» (trapdoor) — использование специально запланированных разработчиками недокументированных функций системы защиты;
метод «Маскарад» (masquerading) — использование чужого имени и кода доступа;
метод «Мистификация» (spoofing) — удержание случайно подключившегося пользователя или системы и получение (обманным путем или с помощью взлома) от него полезной информации;
метод «Аварийный» — использование программ защиты системы от сбоев. При работе таких программ защита от взлома несколько ослабляется;
метод «Склад без стен» — получение доступа в результате системной поломки (случайной или инициированной взломщиком).

3. Методы манипуляции:

подмена данных — ввод неверной информации;
подмена кода — изменение самого процесса ввода, хранения, обработки, вывода информации;
Троянский конь» (Trojan horse) — введение в программу (последующее или на этапе ее разработки) команд, позволяющих осуществлять дополнительные, интересующие злоумышленника, функции;
Салями» (salami attack) — присваивание округляемых остатков на счетах (зачастую является функцией «компьютерных червей» в банковских сетях);
Логическая бомба» (logic bomb) — ввод в программу на этапе разработки или последующего ее изменения специальных команд, срабатывающих при определенных условиях;
Временная бомба» (time bomb) — специальные команды, вводимые в программу, срабатывающие в определенный момент времени или временной интервал;
асинхронная атака, состоящая в смешивании команд большого количества пользователей, с которыми система не может справиться.

4. Нам представляется необходимым дополнить данную классификацию методами умышленной порчи информации. Использование этих методов может являться как самоцелью злоумышленника, так и способом сокрытия иного преступления. К таким методам можно отнести:

запуск программы форматирования (особенно — нижнеуровневого форматирования) винчестера;
программное стирание файлов;
уничтожение следов в реестре и log-файлах (или самих этих файлов);
запуск в компьютерную систему (сеть) или в персональный компьютер различных вирусных и иных вредоносных программ;
запуск программ, присваивающих себе функции администратора компьютера, компьютерной системы или сети.

Обстановка совершения данных преступлений характеризуется тем, что подобные преступления могут совершаться как непосредственно на поражаемом компьютере, так и с удаленного стационарного (а в современных условиях развития компьютерной техники — и перемещающегося) терминала. Данным преступлениям, как правило, способствуют использование самодельных и нелицензионных («взломанных») программ, неэффективность методов защиты, неприменение всех установленных средств и методов защиты и проверки компьютера (системы или сети), несвоевременное обновление кодов и паролей доступа, нарушение правил хранения и уничтожения копий файлов, компьютерных распечаток и иных носителей информации, облегчающих действия злоумышленников, неприменение всех программных средств протоколирования и регистрации действий пользователей.

Субъекты данных преступлений, как правило, характеризуются высоким интеллектуальным уровнем, наличием соответствующего опыта или специальной подготовки в области компьютерных средств. Чем сложнее примененный способ совершения компьютерных преступлений, тем более ограничен круг субъектов. Многие ученые определяют возможный возраст субъектов как 18-60 лет. Однако стоит отметить, что освоение новых технологий и эксперименты с использованием различных функций легче проходят и больше свойственны молодежи. По нашему мнению, основной круг субъектов состоит из лиц 16-35 лет (в некоторых случаях до 45 лет).

Согласно данным Э. Мелик, наиболее распространенными мотивами совершения компьютерных преступлений являются: 1) корыстные соображения — 66%; 2) политические цели — 17%; 3) исследовательский интерес — 7%; 4) хулиганские побуждения и озорство — 5%; 5) месть — 5%.

В качестве следов преступления могут выступать как обычные, трасологические, следы (пальцев рук и т.д.), так и компьютерные носители информации (диски, дискеты и т.д.), документы (записи пользователей, записи злоумышленника, свидетельствующие о разработке преступления, подборе паролей и т.д.), а также «виртуальные» следы в памяти компьютеров и т.д.

Признаками компьютерных преступлений можно считать участившиеся случаи немотивированной перезагрузки компьютера, отказы систем, частые сбои в процессе работы, появление фальшивых данных, исчезновение информации, блокировка действий пользователя и администратора, замедление, ухудшение работы компьютера (а также системы или сети), немотивированное изменение паролей и сетевых адресов, а также телефонов «дозвона» до интернет-провайдера, осуществление отдельных операций без команды пользователя и т.д.

Последствиями преступлений будут: хищение информации, компьютерных программ, баз данных или денежных средств, уничтожение или модификация информации, блокировка работы компьютера, системы или сети, механический выход из строя компьютера (существуют вирусы, повышающие температуру процессора, винчестера или других элементов компьютера, подающие на них повышенное напряжение и «сжигающие» их), автоматическая рассылка пораженным компьютером вирусов и вредоносных программ по адресам «гостевой книги» или иным спискам контактов пользователя, перевод, финансовые потери (при оплате платных сайтов и международных счетов) и т.д.

К обстоятельствам, подлежащим установлению, относятся как обстоятельства, указанные в ст. 73 УПК РФ, подлежащие доказыванию, так и уровень надежности компьютерных средств защиты, используемое программное обеспечение, использование лицензионной продукции, соответствие лицензионной продукции параметрам выданного сертификата, регулярность обновления баз защитных программ, спецификация «пораженного» объекта (модель и показатели персонального компьютера, количество и местоположение компьютеров, объединенных в систему или сеть), количество и персональный состав лиц, имеющих правомерный доступ к компьютеру, лиц, осуществляющих функцию администратора, наличие и персональный состав иных лиц, владеющих компьютерными технологиями и обладающих необходимыми навыками, наличие локальной сети или доступа в Интернет, порядок осуществления смены паролей, порядок хранения и утилизации «отходов» и т.д.

Видео:Россинский С.Б. Видео-лекция «Доказательства и доказывание в уголовном судопроизводстве». Часть 1Скачать

Типичные следственные ситуации по делам о компьютерных преступлениях

Типичные следственные ситуации по данной категории преступлений можно классифицировать по различным основаниям.

По источнику информации выделяют ситуации, когда:

преступление обнаружено самим пользователем;
преступление обнаружено в ходе оперативно-розыскной деятельности;
преступление обнаружено в ходе прокурорских проверок;
преступление выявлено при проведении ревизии;
преступление обнаружено в ходе производства следственных действий по другому уголовному делу.

Наименьшим объемом информации характеризуется первая ситуация, наибольшим — последняя.

Вообще в зависимости от объема информации, имеющейся в распоряжении следствия, можно выделить такие ситуации, как:

отсутствует информация о способе, мотивах, личности злоумышленника, известны только последствия преступного деяния;
известны способ, мотивы и последствия преступного деяния, но неизвестна личность злоумышленника;
имеется информация и о способе, и о мотивах, и о личности злоумышленника.

В зависимости от имеющейся у следствия информации проводится предварительная проверка, в ходе которой должны быть получены: документы, обусловливающие права потерпевшего на компьютерную технику или компьютерную информацию, подвергшуюся атаке; документы, отражающие неправомерно совершенную операцию.

В первых двух ситуациях целесообразно строить расследование по следующей схеме: опрос заявителя и свидетелей — осмотр места происшествия с участием специалистов — проведение ОРМ для установления причин преступления, выявления злоумышленников — допрос свидетелей и потерпевших — выемка и изучение компьютерной техники и документации — задержание злоумышленника — допрос подозреваемого — обыски по месту жительства и работы — назначение и производство судебных экспертиз.

В третьей (максимально информативной) ситуации схема может быть несколько иная: изучение материалов предварительной проверки и возбуждение уголовного дела — осмотр места происшествия — задержание злоумышленника — допрос подозреваемого — обыски по месту жительства и работы подозреваемого — допросы потерпевших и свидетелей — выемка компьютерной техники и документации — назначение экспертиз.

Видео:Статья 159 УК РФ | ВСЁ О МОШЕННИЧЕСТВЕСкачать

Особенности первоначального этапа расследования

Одним из самых важных следственных действий на первоначальном этапе расследования компьютерных преступлений является осмотр места происшествия. К проведению осмотра необходимо привлекать специалистов. Первейшей задачей осмотра является определение местонахождения всех компьютеров, объединенных в систему или сеть. Местоположение компьютеров фиксируется в протоколе и отмечается в составленной схеме. В схеме также фиксируется «иерархия» соединений (одноранговая сеть, компьютеры-администраторы и компьютеры-пользователи и т.д.). Определяются способы объединения (локальная сеть, прямое подключение и т.д.). Выявляются способ связи компьютеров (сетевой кабель связи, контакт через ИК-порты, контакт через выход в Интернет и т.д.), аппаратура, используемая для связи компьютеров, нахождение на момент осмотра. Проверяется нахождение компьютера «в сети» или индивидуальная работа, а также конкретный домен или компьютер, с которым осуществляется контакт. Исследуются кабельные соединения сети на предмет проверки их целостности и определения посторонних включений. Выясняется политика администрирования сети (с какого терминала осуществляется управление). Дальнейший осмотр отдельных персональных компьютеров желательно начинать с компьютера-сервера (администратора сети).

При осмотре персональных компьютеров фиксируется выведенная на дисплей информация (желательно не только описать ее, но и сфотографировать), определяется работающая на момент начала осмотра программа (работающие программы). Выполнение программы должно быть остановлено и зафиксирован результат остановки выполняемой программы. Осматриваются и описываются в протоколе (а также могут быть сфотографированы) подключенные к компьютеру внешние устройства (внешние модемы, сканеры, принтеры, web-камеры и т.д.). Определяются тип и модель компьютера и периферийных устройств, проверяется возможное использование внешних накопителей (внешних винчестеров, «флэшек»). Проверяется наличие в дисководах дискет и дисков. При наличии принтера желательно распечатать «дерево каталогов» (перечень каталогов, содержащихся в компьютере). Некоторые авторы (например, Е.С. Лапин, А.Н. Иванов) предлагают обязательный запуск при осмотре компьютера антивирусных программ, однако нам представляется, что такая проверка не всегда возможна: проверка антивирусными программами пользователя необязательно даст необходимый результат, поскольку у пользователя могут быть устаревшие антивирусные базы; запуск программы с переносного диска серьезно замедляет антивирусную проверку; большой объем винчестера и большое количество файлов на винчестере приведут к слишком продолжительной проверке; вирусы зачастую в первую очередь поражают системную область диска и антивирусные программы. Поэтому нам кажутся возможными осмотр компьютера без антивирусной проверки и последующая загрузка со «спасательной» дискеты. Информация, содержащаяся на компьютере, может быть скопирована на переносные винчестеры. В любом случае копируются на носители системные файлы и файлы протокола (log-файлы). Обязательно проверяются базы программ online- и offline-сетевого общения (электронная почта, mail-агенты, ICQ и т.д.).

Проверяется наличие классических трасологических следов (микрочастиц, следов рук и т.д.). Наиболее вероятные места обнаружения данных следов — клавиши включения и перезагрузки компьютера, кнопки периферийных устройств, клавиатура, розетки, кнопки дисководов и выдвижения дискет, передняя поверхность системного блока, мышь и т.д.

В протоколе фиксируются все манипуляции, произведенные с компьютерными устройствами.

Проверяется возможность отключения компьютера без повреждения обрабатываемых файлов. При отключении компьютеров сети в первую очередь отключается компьютер администратора.

Перед изъятием должен быть решен вопрос об изъятии компьютера целиком или изъятии только жесткого диска компьютера с сохранением на нем данных оперативной памяти. Изымать компьютер целиком (и системный блок, и монитор, и периферийные устройства) желательно, когда исследованию должен быть подвергнут весь компьютер; когда на компьютере установлено уникальное аппаратное обеспечение, с которым связано программное обеспечение (работа компьютера возможна только при его определенной комплектации); когда пользователем установлен пароль на вход (имеется в виду пароль в BIOS); на месте производства следственного действия нет возможности копирования информации жесткого диска и в некоторых иных случаях. При упаковке компьютерной техники фиксируется схема соединений, опечатываются кнопки и разъемы. Каждое устройство упаковывается отдельно в фиксированном положении во избежание повреждений.

Кроме компьютерных устройств, осматриваются и изымаются носители информации: диски, дискеты, съемные винчестеры, «флэшки» и т.д. Описываются их тип, модель, внешний вид, наличие фирменных обозначений, содержащаяся информация, наличие следов пальцев на поверхности носителя. Каждый носитель упаковывается отдельно.

Следует отметить, что любую компьютерную технику и носители следует оберегать от влажности, воздействия высоких или низких температур, электромагнитных полей и т.д.

При осмотре электронных документов определяются их местонахождение (конкретный носитель и «адрес» на носителе, атрибуты файла (архивный, скрытый, системный и т.д.), формат (doc, rtf, html, txt и т.д.), объем файла, время создания и изменения. Далее включается соответствующая программная оболочка (WordPad, Word и т.д.), в которой и открывается файл. В открытом документе изучается содержащаяся информация (по критериям, аналогичным исследованию письменной речи).

Допросы потерпевших и свидетелей. При расследовании данной категории преступлений может быть допрошено руководство организации, на компьютерную технику или компьютерную информацию которой было осуществлено посягательство, или индивидуальные пользователи, технический (программисты, системные администраторы) и обслуживающий персонал, лица, работающие на «пораженном» терминале, а также иные сотрудники организации. В ходе допросов выясняются: время и обстоятельства обнаружения компьютерного преступления; признаки, по которым оно было обнаружено; круг лиц, имеющих доступ к компьютеру; круг лиц, которые могли узнать коды и пароли доступа; круг лиц, обладающих достаточными знаниями и навыками, необходимыми для совершения компьютерного преступления, или интересующихся программированием; используемые на компьютерной технике программы защиты от несанкционированного доступа и антивирусные программы; кто в организации использовал компьютер для целей, не связанных с производственной деятельностью (переписывал игры, программы, фильмы, музыку и т.д.), самостоятельно устанавливал и запускал программы. Следует также установить возможные факты привлечения в организации к решению определенных задач или устранению проблем посторонних нештатных программистов и собрать сведения о них.

При допросе подозреваемого выясняются сведения о его личности, взаимоотношениях с сослуживцами, уровне профессиональной подготовки, опыте по созданию программ конкретного класса, причинах совершения преступления, способе совершения преступления, соучастниках, технических средствах и программном обеспечении, примененных для совершения преступления, источниках финансовых средств для закупки оборудования и программного обеспечения, сведения об источнике получения программного обеспечения и идентификационных данных, способе разработки программ, которыми пользовался злоумышленник, алгоритме их действия, уровне доступа злоумышленника, закрепленных за подозреваемым паролях и терминалах доступа, паролях, кодах доступа к зашифрованной подозреваемым информации и т.д.

Для производства обыска по месту жительства и работы подозреваемого желательно привлечение соответствующего специалиста. Очень важно обеспечить внезапность обыска для воспрепятствования уничтожению информации. После проникновения на объект блокируется доступ пользователей к компьютерам. При обнаружении запущенных программ удаления информации или форматирования выход осуществляется экстренным отключением компьютера. Само изучение компьютерной техники осуществляется аналогично проведению осмотра. Следует учитывать, что подключенные к компьютеру периферийные устройства, а также несколько компьютеров, объединенных в систему или сеть, могут находиться в разных помещениях. При обыске очень важны обнаружение и изъятие не только компьютерной техники и носителей, но также и компьютерных распечаток, отрывочных записей на листах бумаги или в блокноте. При изучении данных записей могут быть обнаружены: план совершения преступления, записи о системе защиты «пораженного» объекта, попытки подбора паролей и имен пользователей и т.д. Обнаруживается и изымается «хакерское», нелицензионное программное обеспечение на дисках и дискетах. Важно также обнаружить телефонные счета (в настоящее время обслуживание доступа в Интернет выделяется в счете отдельной строкой, и по размеру счета можно определить объем использованного интернет-времени).

В ходе обыска следует также обращать внимание на специфическую литературу по программированию, взлому, созданию вредоносных программ и т.д.

Информация о времени доступа в сеть и времени, проведенном в сети, может быть получена путем проведения выемок журналов регистрации или истребования сведений у провайдера.

Видео:Основы методики расследования умышленных убийств: видео лекция. Часть - 1.Скачать

Последующий этап расследования

На последующем этапе расследования компьютерных преступлений могут быть проведены очные ставки, допросы обвиняемых, следственные эксперименты, экспертизы и иные процессуальные действия.

Очные ставки могут быть проведены между соучастниками компьютерного преступления или подозреваемыми (обвиняемыми) и свидетелями или потерпевшими при наличии в их показаниях существенных противоречий.

С помощью следственного эксперимента могут быть проверены профессиональные навыки злоумышленника: способность «взломать» компьютер при удаленном доступе к нему или шифры и пароли доступа при работе на самом «взламываемом» терминале, создать «хакерскую» или вредоносную программу, возможность «взломать» компьютер определенным способом, возможность появления на экране «закрытой» информации вследствие ошибки, программной или администратора, сбоя в компьютерном оборудовании, возможность наступления определенных последствий при нарушении конкретных правил пользования компьютером и т.д. При проведении следственного эксперимента необходимо использовать компьютерную технику и программное обеспечение, аналогичные тем, которые стали объектами преступного посягательства или средствами совершения преступления. С помощью следственного эксперимента может быть также проверена надежность средств защиты.

Назначение экспертиз. При расследовании компьютерных преступлений могут назначаться как традиционные трасологические экспертизы (например, по следам рук), почерковедческие (по записям, использовавшимся при подготовке компьютерного преступления), так и специфические. При наличии на компьютере звуковых и мультимедийных файлов возможно производство судебной фоноскопической экспертизы. Для определения размера, причиненного незаконными действиями, ущерба возможно назначение финансово-экономической экспертизы.

К числу специфических экспертиз при расследовании компьютерных преступлений можно отнести компьютерно-техническую экспертизу. Е.Р. Россинская обоснованно выделяет в классе компьютерно-технических экспертиз аппаратно-компьютерную экспертизу; программно-компьютерную экспертизу; информационно-компьютерную экспертизу (данных); компьютерно-сетевую экспертизу.

Аппаратно-компьютерная экспертиза предназначена для исследования аппаратных компьютерных средств, определения вида, типа, модели, технических показателей, параметров, функционального предназначения и функциональных возможностей конкретного компьютера в сети или системы, первоначального технического состояния и конфигурации аппаратного средства, а также состояния и конфигурации на момент исследования и т.д.

Программно-компьютерная экспертиза исследует программное обеспечение с целью определения: общей характеристики программного обеспечения и его компонентов, функционального предназначения программы, наименования, типа, версии и вида представления программы, реквизитов разработчика и законного владельца, даты создания, объема программы, аппаратных требований, совместимости программы с программными оболочками и иными программами на конкретном компьютере, работоспособности программы, алгоритма программного средства, программных средств, применяемых при разработке исследуемой программы, вносились ли в исследуемую программу изменения, время, цели, состав изменения, новые свойства, которые приобрела программа после изменений, и т.д.

Информационно-компьютерная экспертиза исследует пользовательскую информацию и информацию, созданную программами. В ходе информационно-компьютерной экспертизы определяются: вид записи данных на носителе, физическое и логическое размещение данных, свойства, характеристики, вид и параметры данных на носителе информации, тип данных на носителе, доступность данных, наличие средств защиты, признаков преодоления защиты, состояние данных, их свойства и назначение, данные о пользователе, содержание информации, ее первоначальное состояние, произведенные с данными операции (копирование, модификация, блокирование, стирание и т.д.) и хронология этих операций и т.д.

Компьютерно-сетевая экспертиза предназначена для изучения сетевых технологий и сетевой информации. Согласно Е.Р. Россинской, судебная экспертиза этого рода производится для решения таких задач, как: определение свойств и характеристик аппаратного средства и программного обеспечения, установление места, роли и функционального предназначения исследуемого объекта в сети; выявление свойств и характеристик вычислительной сети, установление ее архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным; определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии, определение принадлежности средства к серверной или клиентской части приложений; определение фактического состояния и исправности сетевого средства, наличия физических дефектов, состояния системного журнала, компонент управлением доступа; установление первоначального состояния вычислительной сети в целом и каждого сетевого средства в отдельности, возможного места покупки (приобретения), уточнение изменений, внесенных в первоначальную конфигурацию; определение причин изменения свойств вычислительной сети (например, по организации уровней управления доступом), установление факта нарушения режимов эксплуатации сети, фактов (следов) использования внешних («чужих») программ и т.п.; определение свойств и состояния вычислительной сети по ее отображению в информации носителей; определение структуры механизма и обстоятельства события в сети по его результатам; установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения.

Видео:Правила конкретизации бланкетных признаков состава при квалификации преступленияСкачать

Обстоятельства, подлежащие установлению и доказыванию

С учетом вышеизложенного и того, что содержание криминалистической характеристики конкретной категории преступлений должно охватывать те особенности элементов предмета доказывания, которые характерны именно для их расследования, выделим следующие основные обстоятельства, подлежащие установлению при расследовании преступлений в сфере компьютерной информации.

Факт совершения преступления: не является ли событие следствием непреодолимых факторов — погодных условий, природных катастроф, самопроизвольных технических аварий, поломок, неполадок и разрушений отдельных элементов СВТ.

Характеристика компьютерной информации, подвергшейся преступному воздействию:

2.1. Содержание и назначение (документированная или недокументированная; общедоступная или охраняемая законом; название информации (тайны) со ссылкой на соответствующий федеральный закон);
2.2. Форма представления (файл, программа для ЭВМ, база данных, иная).
2.3. Количественные и качественные характеристики — реквизиты формы (название файла, программы или базы данных; объем (размер) памяти, занимаемый информацией на МНИ; индивидуальные признаки расположения информации на МНИ — в обычном или архивированном виде, в форме инсталляции, только для чтения, скрыта от визуального просмотра и др.).
2.4. Индивидуальные признаки машинного носителя информации (название, заводской или учетный (регистрационный) номер либо рабочая частота, место хранения (нахождения) или условия существования (характеристики канала электросвязи) и др.).

Характеристика компьютерной информации, которая содержится на МНИ вместе с предметом преступления.

Непосредственная причина нарушения безопасности компьютерной информации и орудий ее обработки.

Время (период) совершения преступления.

Место совершения преступления.

Способ совершения преступления и средства, используемые для его реализации:

доступа к предмету преступления;

преодоления защиты компьютерной информации;

преступного воздействия на компьютерную информацию (уничтожение, блокирование, копирование, модификация).

8. Режим работы с компьютерной информацией, средствами ее обработки и защиты.
9. С помощью каких конкретно СВТ совершено преступление (тип, вид, модификация, функциональное назначение, техническое состояние и другие признаки).

Конкретный терминал или участок сети (абонентский (регистрационный) номер, код, шифр, рабочая частота), с помощью которого было совершено преступление, режим его работы, ответственное лицо пли собственник (владелец, пользователь).

Имела ли место утечка конфиденциальной информации (какой именно, откуда, при каких обстоятельствах).

Размер материального ущерба:

собственная стоимость охраняемой законом компьютерной информации;

стоимость сил и средств, затраченных на ее защиту;

стоимость ее машинного носителя (с учетом амортизации и износа);

оценочный размер неполученной прибыли, вызванный невозможностью использования по назначению компьютерной информации, подвергшейся преступному воздействию.

С какими служебными действиями, операциями технологического процесса связано преступление, кто из должностных лиц или работников несет ответственность и имеет непосредственное отношение к ним в силу технологии производства, должностных инструкций (обязанностей) или командно-административного управления.

Наличие квалифицирующих признаков:

совершено группой лиц по предварительному сговору или организованной группой;

совершено лицом с использованием своего служебного положения;

совершено лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети;

преступные деяния повлекли по неосторожности тяжкие последствия (утрату особо ценной информации; вывод из строя ЭВМ, системы ЭВМ или их сети, обеспечивающих функционирование основных технологических процессов (систем) режимных объектов информатизации; повлекшие несчастные случаи с людьми, аварии и катастрофы).

15. Сведения о субъекте (субъектах) преступления:

Анкетные: Ф.И.О.; год рождения; место рождения; образование (гражданское и военное); специальность (гражданская, военная — ВУС и специальная — для сотрудников правоохранительных органов); какие учебные заведения окончил или где в настоящее время обучается; род занятий; специальное (воинское) звание или классный чин; название должности по последнему месту работы; место жительства и регистрации; реквизиты паспорта и военного билета; семейное положение; хобби; характеристика с места работы, учебы и жительства; условия жизни и воспитания (для несовершеннолетнего).

Учетные в органах внутренних дел: сведения о совершенных правонарушениях (преступлениях).

Физические: рост; телосложение; физическая сила; признаки внешности; отпечатки пальцев рук.

Физиологические: группа крови; состав слюны; наличие заболеваний.

Психолого-психические: уровень сформированности личности, самооценки и интеллектуального развития; тип нервной системы; устойчивые привычки; профессионально выработанные навыки и умения; потребности, интересы и наклонности; уровень компьютерной фобии и зависимости.

Оформление внешности (сталь одежды) и иные детали.

Круг связей лица (соседи, сослуживцы, друзья, родственники, знакомые).

16. Наличие соучастников: анкетные данные; индивидуальные признаки; роль в преступлении (исполнитель, организатор, подстрекатель, пособник); механизм действий каждого соучастника.
17. Признаки организованной преступной группы (ОПГ):

Устойчивость функционирования (время образования, срок функционирования).

Корыстная направленность деятельности.

Внутригрупповое распределение ролей (обязанностей).

Наличие процессов управления внутри группы (сообщества):

предварительное гласное и (или) негласное изучение места, условий хранения и режима защиты компьютерной информации — предмета преступного посягательства либо ее машинного носителя;

принятие решений, в том числе планирование преступлений (определение места, времени, способа, исполнителей, материально-технического обеспечения и т.д.);

организация исполнения принятых решений (подбор исполнителей и помощников, их инструктаж, оплата труда, подготовка средств совершения преступления, разработка способов сокрытия преступления и методов использования предмета преступного посягательства);

контроль за исполнением принятых решений и их корригирование.

Наличие и поддержание внутренней системы поощрения и наказания членов ОПГ.

Использование для общения специального языка (жаргонных слов и выражений).

Наличие и поддержание межрегиональных и международных преступных связей (определенные субъекты, характер, направленность, вид, формы, методы и каналы связи).

Общие денежные, транспортные и иные материальные средства.

Вооруженность и техническая оснащенность (вид, название, количество, каналы приобретения, места хранения и лица, ответственные за использование оружия, специальных технических средств и средств связи).

18. Наличие и поддержание коррумпированных связей с сотрудниками властных структур, правоохранительных, проверяющих (инспектирующих) и лицензирующих органов.
19. Цели и мотивы совершения преступления.
20. Кто является потерпевшим (физическое или юридическое лицо).
21. Сведения о потерпевшем:
21.1. Юридическом лице: название; адрес; форма собственности; . вид хозяйственной деятельности; сведения о руководителе (-ях) и главном бухгалтере; данные о лице, ответственном за получение, хранение, обработку, передачу, уничтожение или защиту компьютерной информации, подвергшейся преступному воздействию, либо ее машинных носителей;
21.2. Физическом лице: анкетные; учетные; физические; физиологические; психолого-психические; оформление внешности; круг связей лица.

Вид и размер ущерба (физического, материального, морального), кому причинен и обстоятельства его возмещения.

Виновность лица, совершившего преступление.

Причины и условия, способствовавшие совершению и сокрытию преступления, что усугубило их проявление — не обусловлено ли это нарушениями нормативных актов, положений, инструкций, правил, организации работы другими лицами, кем именно и по каким причинам.

В случаях, когда лицо, совершившее преступление в сфере компьютерной информации, неизвестно, дополнительно необходимо установить:

Сведения о преступлениях данной категории, совершенных ранее аналогичным способом.

Сведения о лицах, «проходивших» по этим преступлениям.

Факты о всех случаях нарушения должностных инструкций, правил поведения, внутреннего распорядка, обработки (использования) и защиты компьютерной информации, подвергшейся преступному воздействию, либо циркулирующей в СВТ на месте происшествия.

Факты, указывающие на недовольство некоторых лиц, работающих на месте происшествия, проводимой кадровой политикой или сложившейся там производственной обстановкой:

непризнание научных, профессиональных или организаторских способностей должностных лиц (руководителей) отдельными работниками;

конфликты на почве личной неприязни;

недовольство зарплатой, временем отпуска, режимом работы и ограничениями, вызванными необходимостью защиты информации;

задержка с продвижением по службе, научным или профессиональным ростом;

Совпадение либо несовпадение сведений о вышеуказанных лицах с имеющимися в деле сведениями о преступнике.

Местонахождение представляющего интерес лица в момент совершения преступления (причины отсутствия по месту работы, учебы, проживания, постоянного время препровождения или заранее назначенной с кем-либо встречи).

Выявление вышеуказанных обстоятельств происходит в результате проведения следственных действий, оперативно-розыскных и иных мероприятий, о планировании и организации проведения которых пойдет речь в следующей главе настоящей работы.

Видео:2. Методика расследования убийствСкачать

Методика расследования преступлений в сфере компьютерной информации

Видео:Доказательства в уголовном делеСкачать

Криминалистическая характеристика преступлений в сфере компьютерной информации. Обстоятельства, подлежащие установлению

Преступления в сфере компьютерной информации – это неправомерный доступ к компьютерной информации (ст. 272 УК РФ), создание, использование и распространение вредоносных программ для ЭВМ (ст. 273 УК РФ) и нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274 УК РФ). Однако при внедрении высоких технологий практически во все сферы жизни и хозяйственной деятельности неправомерный доступ к охраняемой законом компьютерной информации перестал быть самоцелью правонарушителей. Компьютерные технологии все чаще становятся не только орудием, но и способом и средством совершения так называемых традиционных преступлений: хищений путем растраты и присвоения, мошенничества, причинения имущественного ущерба путем обмана или злоупотребления доверием, изготовления фальшивых денег и документов, поддельных пластиковых платежных карт, нарушений авторских прав на программы для ЭВМ и базы данных и многих других.

В результате распространения глобальных сетей компьютерные преступления стали транснациональными. Интернет широко используется при совершении хищений чужого имущества, изготовлении и распространении порнографии, ложных сообщений об актах терроризма, вымогательства под угрозой блокирования или уничтожения баз данных, принадлежащих крупным корпорациям и общественным организациям, при распространении компрометирующих материалов в отношении физических и юридических лиц и т.д.

Предметом преступного посягательства является компьютерная информация, т.е. документированные сведения о лицах, предметах, фактах, событиях, явлениях и процессах, хранящиеся на машинных носителях, в ЭВМ, системе или сети ЭВМ либо управляющие ЭВМ.

ЭВМ – это комплекс электронных устройств, позволяющий осуществлять предписанные программой (или пользователем) информационные процессы: сбор, обработку, накопление, хранение, поиск и распространение информации. Систему ЭВМ можно определить как комплекс, в котором хотя бы одна ЭВМ является элементом системы либо несколько ЭВМ составляют систему. Целью системы является повышение эффективности работы ЭВМ. Сеть ЭВМ представляет собой компьютеры, объединенные между собой линиями (сетями) электросвязи, т.е. технологическими системами, обеспечивающими один или несколько видов передач (телефонную, телеграфную, факсимильную, передачу данных и других видов документальных сообщений, включая обмен информацией между ЭВМ, телевизионное, звуковое и иные виды радио- и проводного вещания) [1] . К машинным носителям компьютерной информации относятся устройства памяти ЭВМ, периферийные устройства связи, сетевые устройства и сети электросвязи.

На материальных носителях информация находится непосредственно в файлах, которые имеют стандартные свойства: тип информации (текст, графика, программный код, числа и пр.), местонахождение информации на физическом носителе, имя, объем информации, время создания и изменения, атрибуты информации (архивная, скрытая, только для чтения и пр.). При передаче файлов и сообщений (информации) в других формах (в виде сигналов) по системам, например, электросвязи, они не теряют своих индивидуальных свойств. Именно поэтому в числе носителей сведений, составляющих государственную тайну, указаны и физические поля, в которых сведения находят свое отображение в виде символов, образов, сигналов, технических решений и процессов.

Компьютерная информация может быть массовой, если она предназначена для неограниченного круга лиц, или конфиденциальной, если принадлежит определенному собственнику или ее распространение и доступ к ней ограничены специальной нормой права, например персональные данные о субъектах, государственная, коммерческая, врачебная тайна и т.п. Доступ к такой информации ограничен и требует специального допуска. Если последний отсутствует, доступ к такой информации является неправомерным.

Состав преступления образует не всякий неправомерный доступ, а лишь такой, при котором наступили вредные последствия для обладателя информации, затруднившие или сделавшие невозможным для потерпевшего использование компьютерной информации. К таковым относятся: уничтожение, блокирование, модификация или копирование информации.

Способ совершения преступления включает подготовку, непосредственное совершение преступления и его сокрытие. Непосредственное совершение – это, например:

1) неправомерный доступ к компьютерной информации, направленный на нарушение конфиденциальности информации, – получение возможности знакомиться и осуществлять операции с чужой информацией, находящейся в ЭВМ, системах ЭВМ и их сетях, а также на магнитных носителях;
2) создание, использование и распространение вредоносных программ, приводящих к нарушению целостности или конфиденциальности информации;
3) нарушение порядка использования технических средств, повлекшее нарушение целостности и конфиденциальности информации.

Преступления, в частности, совершаются путем:

– модификации компьютерных программ с целью проводки подложных электронных документов для создания резерва денежных средств с их последующим перечислением на счета юридических и физических лиц, обналичиванием и изъятием;
– изменения программ по начислению заработной платы и зачисления ее на лицевые счета сотрудников с автоматическим списанием части наличных сумм на свой счет и на счета соучастников;
– произведения незаконных начислений денежных выплат с последующим их хищением путем подделки подписи получателей в оформленных платежных документах;
– создания файлов с вымышленными вкладчиками, зачисления и проводки по их счетам фиктивных денежных сумм с последующим переводом на свой счет и их хищением;
– получения в базах данных кредитно-финансовых учреждений номеров банковских карт и ПИН-кодов с последующим использованием в расчетах денежных средств клиентов банка;
– искажения реквизитов электронных платежных документов, касающихся адресата получателя денег, с переводом их на свой счет или счета соучастников;
– занижения суммы выручки торговых предприятий путем установки специальных вредоносных программ на контрольно-кассовые аппараты, являющиеся ЭВМ, для совершения налоговых преступлений и хищений;
– внесения ложных сведений в электронные базы данных, управляющие учетом, для завышения расхода топлива, сырья, материалов и сокрытия недостачи, образовавшейся в результате хищения, и др.

Основными средствами неправомерного доступа и преодоления информационной защиты являются: хищение ключей и паролей, использование несовершенства защиты информации, использование визуальных, оптических и акустических средств наблюдения за ЭВМ, использование недостатков программного обеспечения, операционных систем, несанкционированное подключение к основной и вспомогательной аппаратуре ЭВМ, внешним запоминающим устройствам, периферийным устройствам, линиям связи и пр.

Способ совершения преступления, предусмотренного ст. 273 УК РФ, заключается в постановке задачи, определении цели программы, выборе средств и языка реализации программы, написании текста программы, ее отладке и запуске, а также ее использовании, т.е. в создании вредоносной программы. Вредоносной является любая программа, специально разработанная или модифицированная для несанкционированного собственником информационной системы уничтожения, блокирования, модификации либо копирования информации, нарушения обычной работы ЭВМ.

Программы могут создаваться непосредственно на ЭВМ в подвергшейся воздействию компьютерной системе, а также в любом другом месте, где субъект имеет доступ к персональному компьютеру и обладает необходимыми для разработки программы оборудованием, временем и средствами. Наказуемо и применение разработанной, в том числе иным лицом, вредоносной программы при эксплуатации ЭВМ и обработке информации.

Способом совершения преступления является и распространение вредоносных программ, которое выражается в предоставлении доступа к воспроизведенной в любой материальной форме программе для ЭВМ или базе данных. Оно может осуществляться путем перезаписи на магнитные носители и продажи с рук или через торговые предприятия, сдачи в прокат, взаймы, путем обмена, дарения и т.п. Распространение может осуществляться и сетевыми способами. Все эти действия могут выполняться одним лицом или несколькими, действующими как в группе по предварительному сговору, так и индивидуально.

Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети совершается путем выполнения действий или бездействия, нарушающих порядок их использования, установленный инструкциями по эксплуатации компьютерного оборудования. Выделяются активный и пассивный способ совершения этого преступления. Правила эксплуатации устанавливаются разработчиками оборудования, а также собственником и владельцем информационных ресурсов. Их нарушение в равной мере недопустимо, если это повлекло вредные последствия в виде уничтожения, блокирования или модификации компьютерной информации. Ответственность за такую деятельность предусматривается только для лиц, имеющих официальный доступ к ЭВМ, их системе или сети.

Для всех преступлений в сфере компьютерной информации характерно, что место и время совершения противоправных действий не совпадает с местом и временем неправомерного доступа к информации и наступления вредных последствий. Это означает, что действия, совершаемые в одной местности, могут повлечь доступ к информации в нескольких других местах, значительно удаленных, а вредные последствия могут наступить в третьем. Наиболее ярким примером этого могут являться хищения путем незаконного электронного перевода денежных средств со счетов граждан путем использования номеров их банковских счетов с обналичиванием денег через подставных лиц в иной местности.

Субъекты преступлений в сфере компьютерной информации весьма специфичны. Способ совершения посягательства, как правило, отражает особенности и мотивы преступников. Следственная практика показывает: чем сложнее в техническом отношении способ проникновения в компьютерную систему или сеть, тем легче выделить подозреваемого, поскольку круг специалистов, обладающих соответствующими способностями, обычно весьма ограничен. Зачастую преступники имеют высшее или среднее специальное техническое образование, занимают административные и бухгалтерские должности либо относятся к инженерно-техническому персоналу, многие по роду службы правомерно пользуются служебной компьютерной техникой и постоянно имеют свободный доступ к ней. Наряду с этим распространены случаи совершения таких преступлений несовершеннолетними, а также группами, в том числе организованными (каждое третье преступление совершено организованной преступной группой с распределением ролей и соответствующей подготовкой). Уже регистрируются случаи использования «компьютерных взломщиков» организованными группами, совершающими тяжкие преступления, в том числе финансовые, а также террористическими организациями.

По делам о преступлениях в сфере компьютерной информации установлению подлежат следующие обстоятельства:

– факт неправомерного доступа к компьютерной информации;

физические или юридические лица, потерпевшие от преступления;

– место совершения преступления;

время совершения преступления, а также время наступления вредных последствий;

– орудия преступления, т.е. компьютерные и телекоммуникационные средства, а также программное обеспечение, которые использовались преступником;
– способ совершения преступления;
– вредные последствия преступления, их оценка обладателем компьютерной информации, характер и размер вреда, возможно – наступление тяжких последствий;
– субъект преступления, наличие у него доступа к ЭВМ, системе ЭВМ или их сети, наличие преступной группы, распределение ролей между ее участниками;
– виновность каждого субъекта преступления, форма вины, мотив преступной деятельности;
– обстоятельства, характеризующие личность каждого субъекта;
– обстоятельства, исключающие преступность и наказуемость деяния;
– обстоятельства, смягчающие и отягчающие наказание, предусмотренные ст. 61, 63 УК РФ;
– обстоятельства, которые могут повлечь за собой освобождение от уголовной ответственности и наказания;
– причины и условия, способствовавшие совершению преступления.