Сначала установить механизм хищения
Криминалистическая категория кибермошенничества шире одного состава УК РФ. Статья 159.3 регулирует мошенничество с использованием электронных средств платежа. Статья 159.6 относится к хищению путем вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации либо сетей. В других ситуациях применимы общие нормы о мошенничестве или краже, а при наличии соответствующих действий возможна дополнительная квалификация по применимым нормам главы 28 УК РФ.1, 2, 4
Поэтому расследование начинается не с ярлыка «кибермошенничество», а с реконструкции фактической последовательности. Устанавливают, кто инициировал контакт, что сообщалось потерпевшему, какие данные были введены или изменены, кто распорядился средствами и каким способом деньги вышли из-под контроля владельца.
Типичные исходные ситуации
Потерпевший может сообщить о дистанционном обмане и переводе денег. Банк может выявить несанкционированную операцию. Возможен взлом учетной записи, создание ложного интернет-ресурса либо вмешательство в информационную систему. В каждой ситуации первоочередно определяют, какие цифровые данные могут быстро измениться или быть удалены.
Цифровая фиксация
Сохраняют исходные сообщения, данные приложений, сведения об учетных записях, журналы событий и иные относящиеся к эпизоду цифровые объекты в предусмотренном законом порядке. Скриншот полезен как визуальная фиксация, но обычно не заменяет исследование исходных данных и их контекста.3
При работе с устройствами важно сохранить целостность информации. Копирование и исследование поручают специалистам, когда без специальных знаний существует риск изменить данные или неправильно интерпретировать их.
Финансовая хронология
Восстанавливают путь денежных средств от исходной операции до последующих переводов или приобретений. Каждую операцию связывают с временем, счетом, устройством и заявленным основанием. Номинальный владелец счета может не совпадать с фактическим распорядителем, поэтому движение денег исследуется вместе с цифровыми и иными доказательствами.
Атрибуция цифровых действий
IP-адрес, SIM-карта, устройство или аккаунт являются техническими ориентирами. Чтобы связать действие с человеком, сопоставляют несколько независимых признаков. Значение имеют фактическое владение устройством, авторизация, географические и временные данные, переписка, финансовые операции и другие подтверждения.3
Допрос потерпевшего
Восстанавливают последовательность контакта без подсказывания деталей. Уточняют, что именно потерпевший видел на экране, какие сообщения получал, какие действия выполнял сам и какие сведения передавал. Это помогает отличить обман человека от технического вмешательства в информационную систему.
Экспертизы и специальные знания
Компьютерно-техническая экспертиза может исследовать устройства, программную среду и цифровые следы. Финансово-экономические исследования используются при сложных денежных цепочках. Эксперт отвечает на специальные вопросы и не определяет виновность или окончательную уголовно-правовую квалификацию.
Проверка версии
Итоговая версия должна связать цифровой механизм, имущественный ущерб и конкретного исполнителя. Наличие подозрительного аккаунта или перевод на определенный счет само по себе не завершает доказывание. Необходимо установить фактического пользователя, содержание умысла и роль каждого участника.