Современное уголовное расследование немыслимо без работы с цифровыми доказательствами. Смартфон, это не просто средство связи‚ а хранилище геолокации‚ переписок‚ финансовых операций‚ биометрии и истории перемещений. Экспертиза изъятого телефона в рамках уголовного дела представляет собой критически важный процесс для сбора‚ анализа и представления цифровых доказательств‚ которые могут оказать решающее влияние на исход дела. Данный процесс требует безусловного соблюдения строгих юридических и технических стандартов (ГОСТ‚ МВД‚ ФСБ методички)‚ чтобы гарантировать‚ что доказательства будут признаны достоверными и допустимыми в суде.

Правовая основа и основания для назначения

Процессуальная база для проведения экспертизы закреплена в Уголовно-процессуальном кодексе РФ (УПК РФ):

• ст. 195 УПК РФ — Основания для назначения судебной экспертизы.
• ст. 196 УПК РФ — Порядок назначения и производства судебной экспертизы.
• ст. 204 УПК РФ — Права и обязанности эксперта.
• ст. 81 УПК РФ, Изъятие предметов и документов (в т.ч. гаджетов).
• ФЗ № 73 «О судебной экспертной деятельности в РФ» — регулирует статус экспертов и организаций.

Основания для назначения: необходимость установления фактов‚ имеющих значение для дела‚ которые требуют специальных знаний в области информатики‚ криминалистики‚ радиоэлектроники или криптографии.

Ключевые принципы проведения экспертизы

1. Юридическая значимость (Допустимость): Экспертиза должна соответствовать процессуальным требованиям. Результаты могут быть использованы в суде только при соблюдении цепочки хранения доказательств (Chain of Custody) и правильном документировании всех действий с момента изъятия до предъявления в суде.
2. Конфиденциальность и защита ПДн: Все данные‚ извлеченные из устройства‚ подлежат обработке с соблюдением ФЗ-152 «О персональных данных» и ст. 23-24 Конституции РФ (тайна связи‚ личной и семейной тайны). Доступ к нерелевантным данным (фото семьи‚ медицинские данные‚ банковские приложения‚ не касающиеся дела) должен быть ограничен.
3. Сохранность данных (Целостность): Копирование данных должно выполняться без изменения оригинала. Применяется принцип «только чтение» (Write Blocking) и создание бит-по-бит образа (forensic image). Любое вмешательство в память телефона (даже включение/выключение) фиксируется в протоколе.
4. Независимость и объективность: Эксперт не заинтересован в исходе дела и отвечает за достоверность заключения (ст. 307 УК РФ — заведомо ложное заключение).

Этапы экспертного исследования телефона

Этап 1; Процессуальное изъятие и оформление (Досудебное расследование)

Это критический момент. Ошибки на этом этапе часто ведут к признанию доказательств недопустимыми (ст. 75‚ 89 УПК РФ).

• Основание: Постановление следователя/допросчика об изъятии (ч. 1 ст. 182 УПК РФ) или ордер суда (для изъятия у адвоката‚ врача‚ священника‚ депутата).
• Процедура: Изъятие производится в присутствии двух понятых (ст. 170 УПК РФ)‚ при необходимости, специалиста (IT-специалиста).
• Документирование (Протокол осмотра/изъятия): Обязательно фиксируются:
  • Дата‚ время‚ место изъятия.
  • Модель‚ бренд‚ IMEI (на корпусе‚ коробке‚ в меню *#06#)‚ серийный номер.
  • Состояние устройства: включено/выключено‚ заряд батареи‚ наличие повреждений‚ наличие SIM-карт/карт памяти (их ICCID/IMEI).
  • Действия по изоляции: извлечение SIM-карт (или перевод в режим «Самолет»/Faraday bag)‚ отключение биометрии/FaceID (если возможно без разблокировки).
  • Фото/видеофиксация устройства в контексте места нахождения.
• Упаковка: Устройство помещается в антистатический пакет / фарадеевский мешок / специальный контейнер для предотвращения удаленного стирания (Remote Wipe)‚ получения push-уведомлений или случайного доступа.

Этап 2. Передача на экспертизу и назначение

• Следователь издает Постановление о назначении судебной экспертизы (образец по Приказу Минюста РФ).
• В постановлении формулируются вопросы к эксперту (см. раздел 5).
• Материалы дела (протоколы‚ потертые/обвиняемые‚ устройства) передаются в экспертное учреждение (ГЭБ МВД‚ ФСИН‚ негосударственная организация‚ внесенная в реестр).
• Составляется Акт передачи предметов на экспертизу (в 2-х экземплярах) с описанием пломбировки упаковки.

Этап 3. Исследовательская часть (Лабораторные работы)

Проводится в сертифицированной лаборатории (ISO/IEC 17025) с использованием лицензионного ПО (Cellebrite UFED‚ Magnet AXIOM‚ Oxygen Forensic‚ MSAB XRY‚ Belkasoft Evidence Center‚ Elcomsoft и др.).

Идентификация и диагностика «железа» (Hardware)

• Проверка соответствия IMEI корпусу/материнке (выявление «сборных» телефонов‚ подмены IMEI).
• Оценка физического состояния: окисление‚ механические повреждения‚ работа контроллеров питания/памяти.
• Определение версии ОС‚ загрузчика (Bootloader)‚ состояния Knox/Warranty Bit (Samsung)‚ Secure Boot (Apple/Android).

Извлечение данных (Acquisition) — по уровням сложности

Обход защиты (Lockscreen & Encryption)

• Пин/Паттерн/Пароль: Брутфорс оффлайн (на образе)‚ использование биометрии (если зарегистрирована и телефон не перезагружался)‚ эксплойты (checkm8 для iOS до iPhone X‚ EDL для Qualcomm).
• FBE (File-Based Encryption) / FDE: Ключи шифрования привязаны к аппаратному модулю (Secure Enclave / TEE / StrongBox). Без пароля/биометрии расшифровка пользовательских данных (CE — Credential Encrypted) часто невозможна. Доступны только DE (Device Encrypted) области (системные логи‚ настройки Wi-Fi‚ алarme).
• MDM / Корпоративные профили: Проверка на наличие профилей управления (MDM)‚ которые могут блокировать извлечение или стирать данные при неверных попытках.

Анализ содержимого (Analysis & Parsing)

• Коммуникации: SMS‚ MMS‚ RCS‚ логи звонков (входящие/исходящие/пропущенные‚ длительность‚ VoIP).
• Мессенджеры: WhatsApp‚ Telegram‚ Viber‚ Signal‚ Threema‚ Wire‚ Discord‚ Skype‚ TamTam. Анализ локальных БД (msgstore.db‚ cache4.db)‚ восстановление удаленных чатов‚ анализ медиа‚ стикеров‚ реакций‚ редактирования сообщений.
• Соцсети и Почта: Кэш VK‚ OK‚ Instagram‚ Facebook‚ TikTok‚ Gmail‚ Яндекс.Почта — токены авторизации‚ черновики‚ кэш профилей.
• Геолокация и хронология: Google Maps Timeline / Apple Significant Locations / Яндекс.Карты‚ EXIF фото/видео (GPS координаты‚ время съемки‚ модель камеры)‚ логи Wi-Fi/Bluetooth (BSSID/MAC, привязка к местам)‚ базы данных cell towers (Cell ID) из модемного лога.
• Финансы и Крипта: Приложения банков (Сбер‚ Тинькофф‚ Альфа и др.) — логи входов‚ скрины чеков (в кэше/галерее)‚ криптокошельки (Trust Wallet‚ MetaMask‚ Ledger Live‚ Tonkeeper) — сид-фразы (если сохранены в заметках/скринах)‚ адреса кошельков‚ история транзакций.
• Веб-активность: История браузеров (Chrome‚ Safari‚ Яндекс‚ Firefox)‚ закладки‚ куки‚ автозаполнение‚ пароли (если доступен Keychain/Keystore)‚ загрузки‚ инкогнито (восстановление через кэш/файлы восстановления сессий).
• Системные артефакты (Артефакты активности):
  • KnowledgeC / Biome (iOS) / UsageStats / AppOps (Android): время запуска приложений‚ время на экране‚ уведомления.
  • Powerlog / Batterylog: режимы сна/бодрствования‚ зарядка.
  • Unified Logs (iOS) / Logcat / Dropbox (Android): системные ошибки‚ краши‚ сетевая активность.
  • Keychain / Keystore / BiometricPrompt: сохраненные пароли‚ токены‚ ключи шифрования.
• Восстановление удаленных данных (Carving / SQLite Recovery): Поиск заголовков файлов (JPEG‚ PNG‚ MP4‚ PDF‚ DOCX‚ SQLite pages) в неразмеченном пространстве (Unallocated Space) и в свободных страницах БД (Freeblocks). Восстановление удаленных записей из Write-Ahead Logs (WAL) и Rollback Journals.
• Анализ метаданных: Временные метки (MACB: Modified‚ Accessed‚ Created‚ Birth/Entry modified)‚ авторство документов‚ GPS-теги‚ данные об редактировании файлов.

Этап 4. Формирование экспертного заключения

Согласно ст. 204 УПК РФ и ФЗ-73‚ заключение должно содержать:

1. Вводная часть: Дата‚ место‚ основание (постановление)‚ ФИО эксперта(ов)‚ наименование организации (*)‚ вопросы‚ поставленные следователем‚ перечень предоставленных материалов (модель‚ IMEI‚ пломбы‚ хэш-суммы образов).
2. Исследовательная часть: Описание методик (ГОСТ‚ методички ФСЭ‚ ISO)‚ используемого ПО (версии)‚ оборудования. Описание процесса извлечения (успешно/частично/неуспешно)‚ преодоления защиты. Хэш-суммы (SHA-256‚ MD5) полученных образов для подтверждения неизменности.

Этап 5. Хранение и возвращение

• Оригинал телефона возвращается следователю под расписку (Акт возвращения) после завершения экспертизы (или по ходатайству защиты).
• Экспертное учреждение хранит копии образов и заключение в течение срока‚ установленного внутренними регламентами (обычно не менее 5-10 лет или до вступления приговора в законную силу).
• Цепочка хранения доказательств (Chain of Custody Log) ведется непрерывно: кто‚ когда‚ зачем и на каких условиях имел доступ к оригиналу или образам.

Виды экспертиз (Классификация по объекту и методам)

В практике часто назначают комплексную экспертизу‚ но формально выделяют:

• Компьютерно-техническая экспертиза (КТЭ): Основной вид. Объект, информация на носителе (файлы‚ ОС‚ приложения‚ логи‚ метаданные‚ восстановление удаленного). Задачи: что‚ когда‚ кем‚ как создано/изменено/удалено/передано.
• Экспертиза средств связи / Радиоэлектронная экспертиза: Объект — «железо» (материнка‚ модем‚ антенны‚ контроллеры). Задачи: идентификация устройства (IMEI‚ серийники)‚ факт подделки/перепрошивки IMEI‚ определение технической исправности‚ способности к совершению действий (звонки‚ интернет‚ фото)‚ анализ прошивок (stock/custom)‚ определение страны/партии производства.
• Криптографическая / Криминалистическая экспертиза: Анализ алгоритмов шифрования‚ стойкости паролей‚ электронных цифровых подписей (ЭЦП)‚ блокчейна‚ анонимайзеров (Tor‚ VPN)‚ стеганографии.
• Комплексная экспертиза: Объединение КТЭ + Радиоэлектронной + Транспортно-транспортной (если телефон был в ДТП) + Психолого-лингвистической (анализ текстов сообщений на предмет умысла‚ шантажа‚ экстремизма).

Типовые вопросы к эксперту (Примеры для постановления)

Вопросы должны быть конкретными‚ не носить правовой природы (кто виновен?) и соответствовать компетенции эксперта.

1. Какова модель‚ производитель‚ IMEI‚ серийный номер предоставленного устройства? Соответствуют ли они заявленным/документальным?
2. Является ли устройство исправным? Имеет ли оно техническую возможность совершать звонки‚ отправлять/принимать SMS‚ подключаться к интернету‚ фотографировать/видеозаписывать на момент изъятия/представления?
3. Обнаружены ли следы вмешательства в программное обеспечение (root-права‚ кастомные прошивки‚ сброс настроек‚ перепрошивка IMEI‚ установка шпионского ПО‚ удаление системных приложений)?
4. Какие учетные записи (Google Account‚ Apple ID‚ Samsung Account‚ Huawei ID) были авторизованы на устройстве? Каковы их идентификаторы (email‚ телефон)?
5. Содержит ли память устройства информацию‚ относящуюся к событию [описание события: дата‚ место‚ участники]? Если да‚ приведите ее содержание (переписки‚ фото‚ видео‚ аудио‚ геолокация‚ историю браузера).
6. Каковы временные метки (создания‚ изменения‚ доступа‚ отправки‚ получения‚ удаления) выявленных файлов/сообщений/звонков? Соответствуют ли они реальному времени событий (с учетом часового пояса и синхронизации времени)?
7. Установлено ли место нахождения владельца/устройства в определенный временной промежуток (по данным GPS‚ Wi-Fi‚ базовых станций‚ EXIF фото‚ Timeline)?
8. Обнаружены ли на устройстве следы использования приложений [название: Telegram‚ WhatsApp‚ Signal‚ браузер Tor‚ VPN-клиенты‚ криптокошельки]? Каковы идентификаторы аккаунтов (username‚ phone number‚ user ID)?
9. Возможно ли восстановление удаленной информации (файлов‚ переписок‚ истории звонков‚ геолокации)? Если да‚ восстановите и представьте ее.
10. Обнаружены ли на устройстве средства защиты информации (пароль‚ графический ключ‚ биометрия‚ шифрование диска‚ контейнеры VeraCrypt‚ скрытые папки/приложения)? Применялись ли они на момент изъятия?
11. Производилось ли подключение устройства к внешним носителям (USB OTG‚ ПК‚ зарядкам с передачей данных) или к другим устройствам по Bluetooth/Wi-Fi Direct в период [даты]? Каковы идентификаторы подключенных устройств?
12. Содержит ли устройство вредоносное ПО‚ программы для удаленного управления (RAT‚ Spyware: Pegasus‚ Predator‚ Chrysaor‚ коммерческие сталкервары)‚ ключи доступа к корпоративным сетям/VPN?

Типичные проблемы и вызовы на практике (2024-2026 гг.)

• Full Disk Encryption (FBE) + StrongBox/TEE/Secure Enclave: На современных Android (10+) и iOS (8+) без пароля/биометрии получить пользовательские данные (фото‚ чаты‚ заметки) практически невозможно. Эксперт пишет: «Доступ к пользовательскому разделу зашифрован‚ ключи в TEE‚ извлечение без авторизации невозможно».
• Lockdown Mode (iOS 16+) / Advanced Protection (Google): Блокируют большинство векторов атаки (USB-аксессуары‚ профили конфигурации‚ входящие FaceTime/звонки от незнакомцев‚ сложные веб-технологии).
• Самоуничтожение / Auto-reboot: iOS перезагружается через ~72 часа без разблокировки (BFU — Before First Unlock). Android (Pixel‚ Samsung), авто-перезагрузка через 3-7 дней бездействия. Перевод в BFU делает ключи недоступными.
• E2EE (End-to-End Encryption) в мессенджерах: Signal‚ WhatsApp‚ Telegram (Secret Chats)‚ Threema‚ Wire‚ iMessage (Advanced Data Protection). Ключи только на устройствах участников. Дамп с телефона одного участника дает открытый текст‚ но метаданные (кто‚ когда‚ сколько) часто доступны на сервере/у оператора.
• Облачные данные vs Локальные: Удаление чата на телефоне не удаляет его из iCloud/Google Drive Backup (если бэкап включен) или с сервера Telegram Cloud. И наоборот: локально может быть кэш‚ которого нет в облаке.
• Антифорензика: Приложения-очистители (CCleaner‚ SD Maid)‚ шифрованные контейнеры (VeraCrypt‚ Cryptomator)‚ скрытые пространства (Second Space Xiaomi‚ Secure Folder Samsung‚ Private Space Android 15)‚ автоудаление сообщений (Disappearing Messages)‚ сброс к заводским настройкам (Factory Reset), делает восстановление крайне сложным/невозможным (TRIM на SSD/UFS).
• eSIM и отсутствие физической SIM: Сложнее идентифицировать абонента по ICCID‚ проследить историю смен номеров. Нужно анализировать профили eSIM в модеме (EID‚ SM-DP+ адреса).
• Объемы данных: 256 Гб ─ 1 Тб памяти. Полный физический образ = терабайты данных. Анализ занимает недели. Необходимость таргетированного извлечения (Selective Extraction) по ключевым словам/хешам/датам.

Процессуальные права участников (Ст. 198‚ 204 УПК РФ)

• Право ознакомиться с постановлением о назначении и задать вопросы эксперту (до начала исследования).
• Право ходатайствовать о recusation (отводе) эксперта (заинтересованность‚ некомпетентность‚ предвзятость).
• Право присутствовать при производстве экспертизы (защитнику‚ потерпевшему‚ обвиняемому, с разрешения следователя‚ ст. 198 УПК РФ). Часто реализуется через видеофиксацию процесса в лаборатории.
• Право получить копию заключения сразу после его составления (ч. 7 ст. 204 УПК РФ).
• Право ходатайствовать о назначении дополнительной или повторной экспертизы (ст. 207 УПК РФ)‚ если заключение неполное‚ неясное‚ противоречивое или есть основания сомневаться в его правильности.

Оценка заключения судом и защитой

Согласно ст. 88 УПК РФ‚ доказательства оцениваются судом по внутреннему убеждению‚ но экспертное заключение имеет процессуальную форму. Защита должна проверять:

1. Компетенцию эксперта: Соответствует ли его профиль (информатика‚ радиоэлектроника‚ криминалистика) поставленным вопросам. Есть ли аттестат/свидетельство‚ вход в реестр ФСЭ/Минюста.
2. Законность изъятия и передачи: Есть ли постановление об изъятии? Соблюден ли порядок (понятые‚ протокол‚ пломбировка)? Нет ли нарушений ст. 75 УПК РФ (недопустимые доказательства).
3. Целостность цепочки хранения: Совпадают ли хэш-суммы (SHA-256) образа‚ полученного в лаборатории‚ с хэшем‚ зафиксированным при изъятии/передаче? Не было ли доступа к оригиналу посторонних лиц.
4. Методологию и инструменты: Использованы ли сертифицированные/общепризнанные методы (ГОСТ Р 70982-2023‚ ISO 27037‚ методички ФСЭ/МВД)? Версии ПО актуальны? Использованы ли эксплойты (checkm8‚ EDL) — легально ли это в рамках УПК? (Спорный момент: взлом защиты — это «незаконный доступ» ст. 272 УК РФ или профессиональное действие эксперта ст. 204 УПК РФ? Позиция Пленума ВС РФ: действия эксперта в рамках назначения законны).
5. Полноту ответов: Ответы даны на все вопросы? Они категоричны («Да/Нет»‚ «Установлено‚ что…») или вероятностные («Вероятно»‚ «Не исключено» — это слабое доказательство)?
6. Обоснованность выводов: Есть ли ссылки на конкретные артефакты (пути‚ оффсеты‚ записи БД)? Может ли другой эксперт воспроизвести результат (воспроизводимость)?
7. Работа с метаданными: Указан ли часовой пояс (UTC/Local)? Учтена ли синхронизация времени (NITZ‚ NTP‚ GPS time)? Не подменены ли часы на телефоне пользователем?
8. Альтернативные гипотезы: Рассмотрены ли версии: доступ к телефону имел посторонний человек‚ SIM-карта использовалась в другом телефоне‚ аккаунт взломан/куплен‚ геолокация неточна (Wi-Fi positioning error)‚ удаленные данные — это фрагменты кэша‚ а не цельные файлы.

Выбор экспертного учреждения (Государственное vs Негосударственное)

Ст. 196 УПК РФ дает право следователю/суду выбирать организацию. Обе стороны могут ходатайствовать о конкретном учреждении.

• Государственные (ГЭБ МВД‚ ЭЦ МВД‚ ФСИН‚ ЦНИ КР МВД‚ СЭЦ СК РФ): Высокий авторитет для суда‚ доступ к базам МВД (паспортные столы‚ ЕРАИ‚ АИС «Поиск»‚ базы IMEI)‚ работа с гостайной. Минусы: огромные очереди (сроки 2-6+ месяцев)‚ консерватизм методик‚ редко берутся за сложные физические извлечения (Chip-off‚ ISP)‚ закрытость процесса для защиты.
• Негосударственные (НЭО, Негосударственные экспертные организации‚ внесенные в реестр Минюста): Более гибкие сроки (2-4 недели)‚ современное оборудование (Cellebrite Premium‚ GrayKey‚ MSAB‚ Oxygen‚ Magnet‚ Belkasoft‚ Elcomsoft)‚ готовность к сложным задачам (Chip-off‚ ISP‚ JTAG‚ облачные токены‚ парсинг редких приложений)‚ открытость для присутствия защиты/видеофиксации. Минусы: нет доступа к закрытым базам МВД (только открытые источники OSINT)‚ иногда суд/следствие скептически относятся (требуют повторной в ГЭБ)‚ стоимость (оплачивает сторона‚ инициировавшая‚ или за счет бюджета по ходатайству).

Рекомендация: Для сложных задач (обход блокировки‚ Chip-off‚ парсинг экзотических мессенджеров‚ крипта‚ большие объемы), НЭО с аккредитацией ISO 17025 и опытными экспертами (сертификаты Cellebrite CCO/CCPA‚ Magnet CMFE‚ Oxygen COFE‚ EnCE‚ GCFA). Для идентификации IMEI‚ работы с базами МВД‚ стандартных логических извлечений, ГЭБ. Идеально — комплексная экспертиза в НЭО с привлечением специалиста-радиоэлектронщика (если нужна работа с «железом»).

Резюме: чек-лист для следователя / адвоката

• [ ] Телефон изят по постановлению‚ в присутствии понятых‚ с фото/видеофиксацией.
• [ ] Устройство изолировано (Faraday bag / режим «Самолет» + выключение) до передачи эксперту.
• [ ] Зафиксированы IMEI (корпус‚ меню‚ коробка)‚ серийник‚ состояние экрана/корпуса‚ % заряда‚ наличие SIM/SD.
• [ ] Постановление о назначении экспертизы содержит конкретные‚ релевантные вопросы (не «кто виновен?»).
• [ ] Выбрано компетентное экспертное учреждение (ГЭБ или НЭО из реестра Минюста) с нужным оборудованием/ПО.
• [ ] Обеспечено присутствие защиты/специалиста при производстве (по ходатайству).
• [ ] Получено заключение с хэш-суммами образов‚ описанием методик‚ категоричными выводами и приложениями (дампы в читаемом виде).
• [ ] При необходимости — ходатайство о допросе эксперта в суде (ст. 279 УПК РФ) или назначении повторной/дополнительной экспертизы.

---

Экспертиза телефона — это не «просто сдача в лабораторию»‚ а сложный инженерно-процессуальный процесс. Качество изъятия‚ грамотность формулировки вопросов‚ выбор компетентного эксперта и понимание технических ограничений современных ОС (шифрование‚ защита загрузчика‚ E2EE) определяют‚ станет ли цифровой след решающим доказательством или останется «черным ящиком». В 2026 году ключевыми вызовами остаются аппаратное шифрование (Secure Enclave / StrongBox / TEE)‚ режимы Lockdown/Advanced Protection‚ облачная синхронизация и антифорензика. Успешная работа требует синергии следователя‚ IT-специалиста (специалиста по изъятию) и судебного эксперта-компьютерщика/радиоэлектронщика.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированному адвокату или процессуальному руководителю. Контакты специализированных организаций: * (телефон)‚ * (адрес)‚ эксперт * (фамилия).