Типичные следственные ситуации, задачи расследования, программы расследования компьютерных преступлений

Складывающиеся на первоначальном этапе расследования следственные ситуации выделяются по двум признакам — источнику получения первичных материалов, послуживших основанием для возбуждения уголовного дела, и сведениями о подозреваемом в компьютерном преступлении.

Ситуация 1. Потерпевший установил признаки совершения преступления, ему известно лицо, подозреваемое в его совершении.

Ситуация 2. Потерпевший выявил признаки совершения преступления, но не смог установить подозреваемого.

Ситуация 3. Сведения о признаках совершения преступления поступили из правоохранительных органов (материалы оперативно-разыскной деятельности или расследования другого преступления), известен подозреваемый.

Ситуация 4. Сведения о признаках совершения преступления поступили из правоохранительных органов, подозреваемый не установлен.

Основные задачи первоначального этапа расследования: фиксация обстановки места происшествия и следовой картины, включая сведения о технических, программных, организационных, защитных средствах пострадавших компьютеров, информационных системы; выявление свидетелей преступных действий; получение и закрепление сведений о предмете, способе преступления, личности преступника из иных источников (например, материалы служебного расследования и др.); выявление круга лиц и организаций, располагающих сведениями, интересующими следствие; минимизация ущерба и принятие мер к установлению его размера.

Общие версии, выдвигаемые на данном этапе, типичны для расследования большинства преступлений. Специфика выдвижения частных версий определяется особенностями способа преступления и обстановки его совершения. Например, при удаленном доступе к компьютерной информации может возникнуть версия о способе внедрения вредоносной программы в ЭВМ. Комплекс неотложных и первоначальных следственных действий, оперативно-разыскных мероприятий, иных действий следователя в первой следственной ситуации по общему правилу, включает:

• 1) осмотр места происшествия;
• 2) осмотр отдельных вещественных доказательств (компьютеров, съемных машинных носителей информации);
• 3) получение образцов;
• 4) допросы потерпевших и свидетелей, прежде всего очевидцев;
• 5) задержание подозреваемого, в том числе с поличным при совершении преступления;
• 6) обыски по месту жительства, работы подозреваемого, других мест, находящихся в его собственности или законном пользовании, личный обыск;
• 7) опознание (как правило, при совершении преступления непосредственными способами);
• 8) допрос подозреваемого;
• 9) проверку по криминалистическим и иным учетам, в том числе международным;
• 10) выемку и (или) истребование материалов служебной проверки;
• 11) выемки и истребование иных документов, сведений у пострадавшего, у третьих лиц, располагающих интересующей следствие информацией (например, у лиц проводивших информационный аудит потерпевшего, провайдеров);
• 12) контроль и запись телефонных и иных переговоров;
• 13) получение информации о соединениях между абонентами и (или) абонентскими устройствами;
• 14) изучение нормативных актов, правил работы и эксплуатации компьютерной техники, справочных материалов, технической литературы;
• 15) получение консультаций специалистов;
• 16) назначение криминалистических, инженерно-технических, видео-фоноскопических, товароведческих и иных экспертиз;
• 17) назначение экспертизы криминалистической информации и техники (компьютерно-технической экспертизы);
• 18) изучение информации о личности подозреваемого и потерпевшего в социальных сетях;
• 19) оперативно-разыскные мероприятия: снятие информации с технических каналов связи; получение компьютерной информации; негласное наблюдение, прослушивание телефонных переговоров.

Перечисленный комплекс следственных действий, оперативноразыскных мероприятий и иных действий фактически образует типовую программу расследования, применяемую и в других вышеперечисленных следственных ситуациях, но с учетом особенностей последних.

Во второй следственной ситуации, исходя из необходимости установления личности преступника, большое значение приобретает тесное взаимодействие следователя с оперативно-разыскными органами. Возрастает значение экспертизы компьютерной информации, других экспертных исследований ориентированных на получение информации, которая может помочь в поиске преступника.

В третьей и четвертой следственной ситуации могут дополнительно истребоваться материалы соответствующих уголовных и оперативноразыскных дел, допрашиваться и получаться объяснения от лиц, проводивших предварительное следствие или дознание.

Особенности компьютерной информации, постоянное совершенствование информационных технологий обусловливают необходимость тесного сотрудничества следователя и специалиста в области компьютерной информации и компьютерной техники при проведении практически всех следственных действий. Осмотры, обыски, выемки, как правило, осуществляются с участием такого специалиста, при подготовке допросов целесообразно получить его консультацию, в некоторых случаях участие специалиста полезно и при самом допросе, консультация специалиста необходима при назначении экспертиз в области компьютерной информации и техники^[1]. Мнение специалиста учитывается и при взаимодействии с оперативно-разыскными подразделениями (например, консультации оперативников при выполнении поручения следователя по установлению характеристик компьютерной информации и техники подозреваемого). Получение данных о том, что преступление было совершено с помощью компьютера, находящегося на территории иностранного государства, требует оперативного обращения в международные полицейские органы (Интерпол), правоохранительные органы соответствующих государств за оказанием содействия в расследовании. Необходимо использовать международные учеты, ведущиеся Интерполом, странами СНГ для получения информации о способе совершения аналогичных преступлений, лицах, совершающих компьютерные преступления, организованных преступных группах, действующих в этой сфере. Поскольку во многих случаях только проведение экспертных исследований в области компьютерной информации позволяет получить доказательства, в решающей степени определяющие ход расследования, то назначать данные экспертизы надо как можно быстрее, конечно, при наличии данных, позволяющих эксперту провести исследование. В целях более оперативного получения информации можно использовать такую форму, как заключение специалиста.

Одной из специфических задач расследования компьютерных преступлений является обеспечение доступа к зашифрованным данным подозреваемого, получение полного доступа к ресурсам его компьютерной техники, средств связи. Актуальность решения данной задачи обусловлена тем, что современные средства защиты компьютерных данных, зачастую устанавливаемые производителем, позволяют весьма эффективно сохранять конфиденциальность данных. Возможности экспертных исследований по доступу к защищенной компьютерной информации и техники при отсутствии сведения о механизме такой защиты ограничены, сами исследования занимают много времени и не всегда приводят к положительным результатам. Несвоевременное решение указанной задачи может привести к серьезным трудностям в расследовании, а иногда и сделать его невозможным. Для достижения указанной задачи целесообразно проводить тактическую операцию, состоящую из комплекса следственных и оперативно-разыскных действий (последние можно проводить до возбуждения уголовного дела). Такая операция может включать снятие информации с технических каналов связи, получение компьютерной информации, негласное наблюдение, прослушивание телефонных переговоров, отслеживание активности подозреваемого в социальных сетях, обыски, задержание с поличным при совершении преступных действий, допросы и некоторые другие. Последующий этап расследования характеризуется получением детальных сведений о способе совершения преступления, предмете преступного посягательства, установлением личности подозреваемого или установочных данных о нем, конкретизацией и проверкой общих версий. Основные усилия следователь сосредоточивает на сборе доказательств, устанавливающих вину и мотивы подозреваемого, причинно-следственные связи между действиями подозреваемого и последствиями преступления, розыске незаконно полученной информации. В случае совершения преступления преступной группой выявляются ее члены, структура, распределение обязанностей и т. д. Проводятся обыски по месту жительства подозреваемого, его работы (учебы), в иных помещений.

Осмотр места происшествия осуществляется, как правило, для устранения недостатков, допущенных при первоначальном осмотре, если установлены не выявленные ранее эпизоды преступной деятельности. Проводятся осмотры помещений, где установлены промежуточные компьютеры, используемые преступником для совершения преступления, хранения полученной в результате его информации, других операций; отдельных предметов, изъятых ранее в ходе других следственных действий. Как правило, это компьютерная техника, электронные носители информации, средства связи, специальные технические средства (например, прослушивающие устройства).

Осуществляются опознание, следственный эксперимент, истребование и выемка дополнительной информации у потерпевшего, иных вышеперечисленных организаций, контроль и запись телефонных и иных переговоров подозреваемых лиц, потерпевших, других лиц (например, при периодическом незаконном блокировании работы ЭВМ в целях вымогательства). Проводятся допросы подозреваемых (обвиняемых), повторные допросы свидетелей, потерпевших. При необходимости назначаются компьютерная и другие экспертизы, в том числе комплексные. На заключительном этапе расследования полностью формируется доказательственная база, предъявляется обвинение, устанавливается в существенных чертах способ совершения преступления, получается доказательственная информация, содержащаяся в экспертных заключениях, а также в ответах на международные поручения. В связи с получением этих доказательств возможны допросы для уточнения показаний лиц, проведение дополнительных осмотров компьютеров, обыски, назначаются повторные или дополнительные экспертизы.

На данном этапе расследования окончательно устанавливаются обстоятельства, подлежащие доказыванию, принимаются меры по устранению обстоятельств, способствовавших совершению преступлений. В частности, информация о недостатках в системе защиты информации в организациях, о свободном доступе к вредоносным программам в сети Интернет может направляться в органы прокуратуры для принятия мер прокурорского реагирования.

• [1] В УПК РФ предусмотрено обязательно участие специалиста при производствеосмотра, обыска, выемки в случае изъятия электронных носителей информации.