В результате осмотра места преступления и осмотра компьютерной сети банка было обнаружено следующее. В программном обеспечении компьютерной сети банка выявлен «вирус». В 10.30 часов из-за «вируса» главный сервер отключил всю компьютерную сеть и заблокировал ее.
В ходе расследования были задержаны гр-не Т. и П. И у них были изъяты мощные компьютеры и программной обеспечение с компьютерными «вирусами».
Предварительный план расследования преступления.
«УТВЕРЖДАЮ»
Прокурор г. Саратова советник
юстиции Демидов Н.М. _________
10 ноября 2002 года
ПЛАН
расследования по уголовному делу №11764,
возбужденному по факту несанкционированного доступа к средствам компьютерной техники коммерческого банка «Альянс»
В целях раскрытия преступления, совершенного в отношении коммерческого банка «Альянс», установления лица (лиц), его совершивших, и проверки следственно-оперативным путем вероятных версий совершения преступления необходимо следующее:
1) Вопросы и обстоятельства, общие для всех версий:
1. Назначить по делу судебно-бухгалтерскую экспертизу для определения, имеются ли нарушения требований положений о документообороте и установления лиц, ответственных за эти преступления.
Исполнители: следователь Срок: 5 декабря 2002 года.
2. Назначить по делу программно-техническую судебную экспертизу для определения места, с которого был произведен несанкционированный доступ в систему, и ряда других технических деталей преступления.
Исполнители: следователь Срок: 5 декабря 2002 года.
3. В случае установления личности подозреваемого назначить по делу дополнительную дактилоскопическую экспертизу по изъятым на месте происшествия отпечаткам пальцев рук.
Исполнители: следователь Срок: в ходе расследования
Версия 1. Несанкционированный доступ совершен с целью хулиганства.
1. Провести осмотр и фиксацию состояния ЭВМ, сетей ЭВМ и машинных носителей, допросы лиц, обеспечивающих работу информационной системы банка.
Исполнители: следователь Срок: до 15 ноября 2002 года.
Версия 2. Несанкционированный доступ произведен из корыстных побуждений (с целью хищения денежных средств или получения информации) бывшим работником банка.
1. Оперативным путем установить и проверить на причастность к совершению преступления лиц, ранее работающих в банке.
Исполнители: следователь Срок: до 20 ноября 2002 года.
Версия 3. Несанкционированный доступ произведен из корыстных побуждений (с целью хищения денежных средств или получения информации) «по найму» сотрудником банка.
1. Оперативным путем установить и проверить на причастность к совершению преступления лиц, работающих в банке.
2. Следственно-оперативным путем установить лиц, из числа сотрудников банка, у которых могут иметься соответствующие компьютерные знания и аппаратура. Провести обыски по месту их жительства.
Исполнители: следователь Срок: до 20 ноября 2002 года.
Следователь прокуратуры
Волжского района г. Саратова
юрист 2 класса Иванов И.П.
3.2. План расследования
«УТВЕРЖДАЮ»
Прокурор г. Саратова советник
юстиции Демидов Н.М. _________
10 ноября 2002 года
ПЛАН
расследования по уголовному делу №11764,
возбужденному по факту несанкционированного доступа к средствам
компьютерной техники коммерческого банка «Альянс»
В целях раскрытия преступления, совершенного в отношении коммерческого банка «Альянс», установления лица (лиц), его совершивших, с учетом данных полученных на первоначальном этапе расследования, следует выдвинуть следующую версию:
Несанкционированный доступ произведен из корыстных побуждений (с целью хищения денежных средств или получения информации) бывшим работником банка Т и его подельником П.
Для проверки следственно-оперативным путем данной версии совершения преступления необходимо:
1. Получить образцы отпечатков пальцев рук подозреваемых гр. Т., П.
Исполнители: следователь Срок: 30 ноября 2002 года.
2. Назначить по делу дополнительную дактилоскопическую экспертизу по изъятым на месте происшествия отпечаткам пальцев рук и проверить их на принадлежность гр. Т., П.
Исполнители: следователь Срок: 30 ноября 2002 года.
3. Следственно-оперативным путем (путем проведения опроса и допросов работников банка и сослуживцев) установить, имелось ли соответствующая аппаратура у гр. Т. Провести обыски по месту жительства Т., П. и принять меры по обнаружению и изъятию аппаратуры.
Исполнители: следователь Срок: 30 ноября 2002 года.
4. Предъявить гр. П. на опознание сослуживцам Т.
5. В случае дачи подозреваемыми признательных показаний провести с их участием проверку показаний на месте совершения преступлений.
Исполнители: следователь Срок: в ходе расследования.
Следователь прокуратуры
Волжского района г. Саратова
юрист 2 класса Иванов И.П.
3.3. Практические особенности отдельных следственных
действий
При расследовании компьютерных преступлений можно выделить три типичные следственные ситуации:
1. Собственник информационной системы собственными силами выявил нарушение целостности / конфиденциальности информации в системе, обнаружил виновное лицо и заявил об этом в правоохранительные органы.
2. Собственник информационной системы собственными силами выявил нарушение целостности / конфиденциальности информации в системе, не смог обнаружить виновное лицо и заявил об этом в правоохранительные органы.
3. Данные о нарушении целостности/конфиденциальности информации в информационной системе и виновном лице стали общеизвестными или непосредственно обнаружены органом дознания (например, в ходе проведения оперативно-розыскных мероприятий по другому делу).
При наличии заподозренного виновного лица первоначальная задача следствия заключается в сборе с помощью собственника информационной системы и процессуальной фиксации доказательств:
а) нарушения целостности/конфиденциальности информации в системе;
б) размера ущерба, причиненного нарушением целостности/конфиденциальности информации;
в) причинной связи между действиями, образующими способ нарушения, и наступившими последствиями путем детализации способа нарушения целостности/конфиденциальности информации в системе и характера совершенных виновным действий;
г) отношения виновного лица к совершенным действиям и наступившим последствиям.
Т.к. подозреваемые задержаны сразу же после совершения преступления, для данной ситуации характерны следующие первоначальные следственные действия:
а) личный обыск задержанных;
б) допрос задержанных;
в) обыск по месту жительства задержанных.
Осмотр и обыск (выемка) по делам данной категории являются важнейшими инструментами установления обстоятельств расследуемого события.
Известно, что главными процессуальными способами изъятия вещественных доказательств являются осмотр, обыск и выемка.
Следует напомнить, что осмотр – это непосредственное обнаружение, восприятие и исследование следователем материальных объектов, имеющих отношение к исследуемому событию. Обыск – следственное действие, в процессе которого производится поиск и принудительное изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства. Выемка – следственное действие, в процессе которого производится изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства, в тех случаях, когда их местонахождение точно известно следователю и изъятие прямо или косвенно не нарушает прав личности.
Носители информации, имеющей отношение к расследуемому событию, могут быть с соблюдением установленного УПК РФ порядка изъяты и приобщены к уголовному делу в качестве вещественного доказательства.
Для участия в обыске и выемке целесообразно приглашать специалиста в области компьютерной техники.
При осмотрах, обысках, выемках, сопряженных с изъятием ЭВМ, машинных носителей и информации возникает ряд общих проблем, связанных со спецификой изымаемых технических средств.
Так, необходимо предвидеть меры безопасности, предпринимаемые преступниками с целью уничтожения вещественных доказательств.
Например, они могут использовать специальное оборудование, в критических случаях создающее сильное магнитное поле, стирающее магнитные записи. Известна легенда о хакере, который создал в дверном проеме магнитное поле такой силы, что оно уничтожало магнитные носители информации при выносе их из его комнаты.
Преступник имеет возможность включить в состав программного обеспечения своей машины программу, которая заставит компьютер периодически требовать пароль, и, если несколько секунд правильный пароль не введен, данные в компьютере автоматически уничтожаются.
Желательно иметь с собой и использовать при обыске и осмотре устройство для определения и измерения магнитных полей.
Вещественные доказательства в виде ЭВМ, машинных носителей требуют особой аккуратности при транспортировке и хранении. Им противопоказаны резкие броски, удары, повышенные температуры, влажность. Все эти внешние факторы могут повлечь потерю данных, информации и свойств аппаратуры.
Не следует забывать при осмотрах и обысках о возможностях сбора традиционных доказательств (скрытых отпечатков пальцев на клавиатуре, выключателях и др., шифрованных рукописных записей и пр.).
Осмотру подлежат все устройства конкретной ЭВМ.
Фактически оптимальный вариант изъятия ЭВМ и машинных носителей информации – это фиксация их и их конфигурации на месте обнаружения и упаковка таким образом, чтобы аппаратуру можно было бы успешно, правильно и точно так же, как на месте обнаружения, соединить в лабораторных условиях или в месте производства следствия с участием специалистов.