Особенности возбуждения уголовного дела. 
Типичные ситуации первоначального этапа расследования и действия следователя

Поводами для возбуждения уголовных дел о преступлениях в сфере компьютерной информации являются:

• — заявления граждан и организаций, являющихся владельцами и законными пользователями компьютерной информации, подвергшейся преступному воздействию. Заявления оформляются и регистрируются в соответствии с требованиями ст. 140 УПК РФ;
• — сообщения о совершенном или готовящемся преступлении, полученные из различных источников. Уполномоченное лицо, получившее такое сообщение, составляет рапорт об обнаружении признаков преступления в сфере компьютерной информации в соответствии с требованиями ст. 143 УПК РФ. В основном такими источниками являются данные, полученные в результате проведения оперативно-розыскных мероприятий специализированными подразделениями «К» УСТМ МВД России;
• — явка с повинной (встречается крайне редко).

Решение вопроса о возбуждении уголовного дела требует тщательной проверки и оценки имеющихся данных в соответствии со ст. 144 УПК РФ. Исключение составляют случаи задержания правонарушителей с поличным.

Тогда уголовное дело должно быть возбуждено немедленно для производства неотложных следственных действий и иных мероприятий, к которым относятся: задержание с поличным, личный обыск подозреваемого, осмотр места происшествия, обыск по месту нахождения компьютерного оборудования и иных объектов, имеющих отношение к совершенному преступлению.

В ходе предварительной проверки должны найти подтверждение факты:

• — нарушения целостности (конфиденциальности) информации в ЭВМ, системе или сети ЭВМ;
• — наступления вредных последствий в виде копирования, уничтожения, модификации, блокирования информации, нарушения работы ЭВМ, за исключением дел о создании, использовании и распространении вредоносных программ для ЭВМ;
• — наличия причинной связи между неправомерными действиями и наступившими последствиями;
• — размер ущерба или существенность вреда, причиненного в результате преступных действий.

В зависимости от ситуации на стадии проверки заявления могут быть проведены различные мероприятия и такое неотложное следственное действие, как осмотр места происшествия. Их цель — не только выявить криминалистические признаки совершенного преступления, но и зафиксировать и изъять следы преступления, определить круг свидетелей, подлежащих допросу.

К моменту возбуждения уголовного дела в ходе проверки заявления должны быть собраны следующие документы:

• — заявление или сообщение о совершенном или готовящемся компьютерном преступлении;
• — рапорт уполномоченного лица об обнаружении признаков преступления;
• — объяснения заявителя и других лиц, которым известно о совершенном или готовящемся компьютерном преступлении;
• — правила эксплуатации ЭВМ, системы ЭВМ, сети ЭВМ, инструкции по работе с компьютерными средствами, журналы регистрации сбоев, справки о происшедшем неправомерном доступе в организации и другие документы, относящиеся к совершению компьютерного преступления, его последствиям или субъекту правонарушения;
• — документы, подтверждающие распространение вредоносных программ через торговые предприятия: приходные накладные, кассовые чеки, инвентаризационные описи, товарно-денежные отчеты и др.;
• — материалы органов, осуществлявших оперативнорозыскную деятельность по рассматриваемому факту: протоколы проверочных закупок носителей с вредоносными программами, оперативного наблюдения, перехвата и регистрации информации электронной почты, оперативных экспериментов и других оперативно-розыскных мероприятий, проводимых по данному факту, стенограммы прослушивания телефонных переговоров и иных сообщений (радиообмена, пейджинговых, модемных), отчеты о перехвате информации с иных канатов связи, свидетельствующие о неправомерной деятельности подозреваемых лиц, и других оперативнорозыскных мероприятиях, проводившихся в ходе ОРД;
• — постановление начальника органа, осуществляющего ОРД, о рассекречивании полученной информации;
• — постановление начальника органа, осуществляющего ОРД, о представлении результатов ОРД органу дознания, следователю или прокурору.

Организация начального этапа расследования зависит от характера следственной ситуации, сложившейся к моменту возбуждения уголовного дела.

Для начального этапа расследования преступлений в сфере компьютерной информации наиболее типичны следующие ситуации:

• 1) собственник или обладатель компьютерной информации самостоятельно выявил факт преступления и обнаружил лицо, его совершившее. В таких случаях проводятся:
  • — задержание подозреваемого;
  • — допрос подозреваемого;
  • — обыск по месту работы (службы) и жительства подозреваемых или иных лиц, где могут находиться объекты, имеющие значение для расследования;
  • — осмотр места происшествия;
  • — осмотр изъятых носителей информации;
  • — допрос свидетелей;
  • — назначение судебных экспертиз;
  • — следственный эксперимент;
• 2) собственник или обладатель компьютерной информации самостоятельно выявил факт преступления, но преступник неизвестен. Для этой ситуации характерны:
  • — допрос заявителя;
  • — признание собственника или правообладателя потерпевшим;
  • — осмотр места происшествия;
  • — поручение органу, осуществляющему оперативнорозыскную деятельность, о поиске преступников и фактов, имеющих значение для дела;
  • — допрос свидетелей;
  • — анализ обстановки и выдвижение версий по каждому обстоятельству, подлежащему установлению;
  • — назначение экспертиз;
  • — установление субъекта преступления и его задержание;
• 3) преступление выявлено органом дознания в результате оперативно-розыскной деятельности. При этом обычно проводятся:
  • — осмотр места происшествия;
  • — допрос свидетелей;
  • — обыск с изъятием документов и носителей информации;
  • — следственный эксперимент;
  • — прослушивание телефонных переговоров;
  • — назначение судебных экспертиз.

Анализ исходной информации, независимо от ситуации, осуществляется на основе обобщения имеющихся сведений о криминалистических признаках, указывающих на совершение компьютерного преступления, которые могут быть следующими:

• — сбои в работе ЭВМ, системе ЭВМ или локальной вычислительной сети;
• — изменения заданной в предыдущем сеансе работы с ЭВМ структуры файловой системы, в том числе: переименование каталогов и файлов; изменения размеров и содержимого файлов; изменения стандартных реквизитов файлов; появление новых каталогов и файлов и т. п.;
• — изменения в заданной ранее конфигурации^[1] компьютера, в том числе: изменение картинки и цвета экрана при включении; изменение порядка взаимодействия с периферийными устройствами, например принтером, модемом и т. п.); появление новых и удаление прежних сетевых устройств и др.;
• — уничтожение, блокирование, модификация или копирование компьютерной конфиденциальной информации;
• — утрата значительных массивов информации или баз данных;
• — необычные проявления в работе ЭВМ: замедленная или необычная загрузка операционной системы, замедление работы машины с внешними устройствами, неадекватные реакции ЭВМ на команды пользователя и пр.;
• — копии чужих файлов в файловой системе правообладателя;
• — файлы с вредоносными программами и др.

Анализируя указанные признаки, следователь выдвигает общие и частные типовые версии. Основными из них являются следующие:

• — имело место преступление в сфере компьютерной информации, обладатель информации правильно отразил в заявлении его обстоятельства;
• — совершено иное преступление, сбой компьютерного оборудования применен для запутывания следов преступления;
• — имеет место оговор или ложное заявление о преступлении с целью отвести подозрение от себя или избавиться от нежелательного лица;
• — имеет место заблуждение или ошибка заявителя.

Одновременно выдвигаются типовые частные версии по каждому из обстоятельств, подлежащих доказыванию, в зависимости от того, какие из них не установлены к данному моменту. После этого в результате сопоставления обстоятельств, подлежащих установлению и уже установленных, формулируются задачи расследования и определяются средства их решения, т. е. те следственные действия и иные мероприятия, в результате проведения которых предполагается установить неизвестные еще обстоятельства совершения преступления. В результате формируется план расследования по делу в целом, по проверке отдельных эпизодов и обстоятельств.

• [1] Термин «конфигурация компьютера» имеет несколько наиболее употребительных значений: сочетание различных, в том числе периферийных, электронных устройств ЭВМ; состав и сочетание электронных устройств конкретного компьютера; сочетание свойств отдельных устройств и программ ЭВМ. Следует учитывать, что соответствующим программным обеспечением предусмотрена возможность изменения конфигурации таких устройств.