Тактико-организационные основы розыскной деятельности следователя по делам о преступлениях в сфере компьютерной информации
Современная концепция розыскной деятельности следователя исходит из ее понимания как комплекса процессуальных и непроцессуальных действий лица, производящего расследование, направленных на установление известных (следователю) объектов, имеющих значение для расследования по делу[1]. Розыскная работа выступает важным элементом поисковой деятельности следователя, с которой она соотносится как частное с общим.
Розыскная деятельность следователя по своей сущности является процессуальной. Она предусмотрена уголовно-процессуальным законодательством и, в зависимости от реализуемых средств, осуществляется:
а) по уголовному делу, по которому ведется предварительное следствие, но не вынесено постановление о привлечении лица в качестве обвиняемого. В этот период следователь реализует все средства, предусмотренные уголовно-процессуальным законодательством, кроме поручения розыска органу дознания. Последнее не исключает производства розыскных действий по поручению следователя (ст. 119 УПК РСФСР);
б) по уголовному делу, по которому ведется предварительное следствие, вынесено постановление о привлечении лица в качестве обвиняемого и избрана мера пресечения. На этом этапе следователь реализует все средства, предусмотренные уголовно-процессуальным законодательством, в том числе правомочен, при неизвестности места нахождения обвиняемого, поручить его розыск органу дознания (в соответствии со ст. 196 УПК РСФСР);
в) по уголовному делу, по которому вынесено постановление о привлечении лица в качестве обвиняемого, избрана мера пресечения, но предварительное следствие приостановлено (п.1, 3 ст. 195 УПК РСФСР). При этом следователь поручает розыск органу дознания (о таком поручении указывается в постановлении о приостановлении предварительного следствия или выносится специальное постановление), а сам осуществляет процессуальные и организационные мероприятия по розыску скрывшегося обвиняемого без производства следственных действий[1].
Особенности розыскной деятельности следователя проявляются применительно к отдельным видам и категориям преступлений. Не исключением являются и преступления в сфере компьютерной информации. В этой связи представляется необходимым рассмотреть вопрос о содержании розыскной деятельности следователя в целом и применительно к специфике рассматриваемой категории преступлений.
Содержательную сторону розыска составляют его организация и планирование, розыскные мероприятия следователя и розыскные возможности следственных действий[1].
Думается, что при организации и планировании розыскной деятельности в обязательном порядке должна учитываться сложившаяся на этот момент времени обстановка расследования (следственная ситуация). Определяющее значение при этом играют исходные ситуации расследования компьютерных преступлений, выделяемые по характеру исходной информации о лице, совершившем преступление, и иных объектах розыска.
Ситуация 1. Преступник задержан в момент совершения преступления. Эта ситуация складывается в случаях, когда преступник задержан в момент неправомерного доступа к компьютерной информации или в процессе реализации технических носителей, содержащих вредоносные программы. В такой ситуации предпосылки розыскной деятельности возникают не всегда, а только в случаях, когда объектом розыска могут быть задержанные соучастники преступления, технические или иные средства подготовки к преступлению, технические носители, содержащие интересующее органы следствия программное обеспечение.
Ситуация 2. Преступник не задержан, но имеется обширная информация о его личности и местонахождении. Данная ситуация наиболее благоприятна для осуществления розыскной деятельности.
Информация, позволяющая осуществлять эффективный розыск преступника, разнообразна. Например, в отдельных случаях для установления местонахождения лица, совершившего компьютерное преступление, достаточно знать лишь номер телефона, с которого был осуществлен неправомерный доступ. Именно таким образом в г. Екатеринбург был установлен и задержан Ф., который, используя домашний персональный компьютер, через телефонную сеть распространял вредоносные программы для ЭВМ. Определив номер телефона, с которого распространялись вредоносные программы, сотрудники милиции через Екатеринбургскую ГТС в кратчайшие сроки установили адрес и фамилия проживающего по нему лица[1].
Ситуация 3. Сведения о лице, совершившем компьютерное преступление, незначительны, но имеется информация о личности его соучастников. Такая ситуация характерна для случаев, когда компьютерное преступление имело целью получение информации или создание условий, необходимых для совершения иного преступления, как правило мошенничества, в ходе которого злоумышленники были задержаны. Так, например, по подозрению в мошенничестве с акциями были задержаны С. и Т., которые по поддельным паспортам на основании фальшивых выписок из реестра акционеров АО «Саратовэнерго» продавали «свои акции» коммерческим предприятиям. В процессе расследования было установлено, что поддельные выписки из реестра акционеров изготавливал юрисконсульт АО «Саратовэнерго» П., который, пользуясь своим служебным положением, проникал в компьютер, находящийся в юридическом отделе предприятия, и вносил изменения в хранящийся на нем банк данных акционеров компании, путем внесения изменений в фамилии, паспортные данные акционеров и количество принадлежащих им акций[1].
Ситуация 4. Информация о личности преступника незначительна, однако имеются сведения о возможных местах его появления. Такая ситуация представляет собой случаи, когда установлено место, откуда преступником периодически совершается удаленный доступ к компьютерной информации (компьютерные центры, клубы, учебные классы, помещения коммерческих фирм и т.д.). Данная ситуация обусловливает необходимость проведения сложного комплекса мероприятий по сбору розыскной информации розыскного характера, а также имеющих блокирующий и «сторожевой» характер.
Ситуация 5. Информация о лице, совершившем преступление, отсутствует. Такая ситуация носит наиболее неблагоприятный для расследования характер и предполагает проведения всего комплекса розыскных мероприятий по делу.
Сбор первоначальной информации о преступлении, лицах, его совершивших, осуществляется в ходе проверочных действий, проводимых следователем в стадии возбуждения уголовного дела (получение объяснений, истребование необходимых материалов, осмотра места происшествия) а так же оперативно-розыскных мероприятий, предшествовавших возбуждению уголовного дела.
Когда первоначальная следственная ситуация проста, образование целей и задач расследования не представляется трудным делом. Другое дело, если в ходе расследования складывается информационная неопределенность. Она вынуждает следователя осуществлять поиск цели, конструируя свои действия на основе последовательно получаемой информации об интересующих объектах. По мере раскрытия системы связей и отношений, в которых находится исследуемый объект, следователь начинает замечать новые, неизвестные признаки, а это, в свою очередь, приводит к выявлению и осознанию новой проблемы, формулированию новой задачи[1]. В этой связи говорить о решениях следователя по делу, как о тактических, можно только в том случае, когда они основаны на всестороннем анализе сложившейся следственной ситуации по делу.
В ходе розыскной деятельности по делам о преступлениях в сфере компьютерной информации принципиальное значение имеют тактические решения: о начале розыска; об объектах розыска; о характере розыскных приемов и их комбинаций, применяемых при установлении местонахождения искомых объектов (средств и методов тактического воздействия на ситуацию); о субъектах и сроках их производства.
Принятое решение может быть облечено в процессуальную форму или отражено в плане расследования.
Организация розыска предполагает учет и расстановку наличных сил и средств, определение форм и методов взаимодействия с оперативными аппаратами органов внутренних дел[1], анализ исходной информации[1]. Основу организации расследования по любой категории дел составляет его планирование, осуществляемое на основе криминалистических версий. В основе планирования розыскной деятельности следователя лежат соответственно розыскные версии. Как отмечено в криминалистической литературе, розыскная версия играет роль фактора, детерминирующего поведение субъекта розыска[1].
Розыскная версия, являющаяся разновидностью криминалистической версии, по делам о преступлениях в сфере компьютерной информации представляет собой обоснованное предположения лица, производящего расследование, о местонахождении лица, совершившего компьютерное преступление, орудий преступления (компьютерного оборудования), программного обеспечения, использованного при совершении преступления, похищенной компьютерной информации, а также иных разыскиваемых объектов, при условии, что следователю известны индивидуализирующие объект (а в некоторых случаях лишь определяющие его групповую принадлежность) признаки. При этом в обоснование версии могут быть положены фактические данные, полученные как процессуальным путем (в ходе следственных действий, результаты экспертных исследований), так и в ходе оперативно-розыскных мероприятий.
Обоснованность версии является важным признаком логической обоснованности розыска в целом. Логическая обоснованность розыска заключается в логической непротиворечивости планируемых мер, логичности плана розыска и вносимых в него по ходу изменений, обоснованности розыскных версий, принимаемых в процессе розыска решений, в логическом анализе действий противостоящей стороны[1].
Выдвинутые следователем предположения розыскного характера, а также мероприятия, направленные на их проверку, получают отражение в плане. Плановость - важнейшее организационное требование, предъявляемое к розыску[1].
Направления и средства розыска могут получить отражение в общем плане расследования, однако, учитывая специфику розыскной работы по делам о преступлениях в сфере компьютерной информации, более целесообразным представляется составление отдельного плана розыска.
Содержание плана розыска, также как и розыскных версий, зависит от объектов розыска. Представляется, наиболее подходит под особенности розыскной деятельности по делам о преступлениях в сфере компьютерной информации следующая форма план розыскных мероприятий (см.таблицу 2).
Планирование розыскной работы предполагает согласованность между элементами розыскной деятельности следователя и оперативно-розыскными мерами органов внутренних дел. Для расследования преступлений в сфере компьютерной информации это тем более важно, поскольку в рамках Министерства внутренних дел России создано специальное управление по борьбе с преступлениями в сфере высоких технологий и его подразделения на местах.
Таблица 4
Согласованность розыскной деятельности следователя и оперативно-розыскной деятельности данных подразделений может выражаться:
в единстве целей розыскных мероприятий, осуществляемых в процессе розыска, дополнительном характере тех и других по отношению друг к другу, комплексность их планирования и проведения;
в тесном взаимодействии и деловом непрерывном сотрудничестве между субъектами розыскной деятельности в целом - следователем и оперативными работниками[1].
В частности, такое взаимодействие может выражаться в обмене информацией, полученной в ходе следственных действий или оперативно-розыскных мероприятий, совместном выдвижении розыскных версий, оперативно-розыскном (в том числе и оперативно-техническом) обеспечении производства следственных действий и иных розыскных мероприятий, работе оперативных подразделений по розыскному поручению следователя, совместном производстве тактических операций.
В этой связи можно говорить об обязательном участии в расследовании компьютерных преступлений в целом и розыскной работе по таким делам в частности оперативных работников региональных управлений (отделов) «Р». Получив от следователя постановление о производстве розыска, оперативный работник осуществляет местный розыск преступника.
В случаях, когда требуется произвести розыскные мероприятия в других регионах (например, если имел место удаленный доступ к компьютерной информации, либо преступник скрывается где-то на территории страны) следователь может привлекать к розыску подразделения по борьбе с преступлениями в сфере высоких технологий и другие органы дознания иных субъектов федерации.
Практика борьбы с компьютерными преступлениями показывает, что сегодня с помощью манипуляций с компьютерным оборудованием, находящимся в одной стране, можно получить необходимую информацию, хранящуюся в банке данных компьютерной системы другой страны, и перевести ее в третью страну, достигнув при этом поставленную корыстную или иную цель. Совершение подобных преступлений на территории России и участие в них российских граждан в последние годы не редкость. Первым опытом сотрудничества отечественных и международных правоохранительных органов в раскрытии компьютерного преступления и розыске лиц, его совершивших, выступило уголовное дело, возбужденное в отношении группы Левина, совершавшей хищения денежных средств в крупных размерах, принадлежащих «Ситибанку» в Нью-Йорке. С июля по сентябрь 1994 года преступники похищали денежные средства со счетов клиентов названного банка и переводили на счета лиц, входящих в состав преступной группы, проживающих в шести странах: США, Великобритании, Израиле, Швейцарии, ФРГ, России.
В случаях, когда среди членов преступных групп, совершивших компьютерные преступления, есть граждане иностранных государств, либо если субъект преступления, совершенного на территории России, находится за рубежом, либо имеются достоверные данные о выезде разыскиваемых лиц за рубеж, при розыске преступников необходимо обращаться за помощью к международным правоохранительным организациям, в частности национальному центральному бюро Интерпола в России. Согласно п. 12 раздела 2 Положения о национальном центральном бюро Интерпола в России[1] одной из основных функций названного бюро выступает принятие, обработка и направление в Генеральный секретариат Интерпола и национальные центральные бюро Интерпола иностранных государств запросы, следственные поручения и сообщения правоохранительных и иных государственных органов Российской Федерации для осуществления розыска, ареста и выдачи лиц, совершивших преступления, а также для осуществления розыска, ареста перемещенных за границу доходов от преступной деятельности, похищенных предметов и документов, проведения иных оперативно-розыскных мероприятий и процессуальных действий по делам, находящихся в производстве этих органов.
Согласно разделу 4 Инструкции о порядке исполнения и направления органами внутренних дел Российской Федерации запросов и поручений по линии Интерпола[1], используя систему международного розыска в рамках Интерпола, подразделения органов внутренних дел России имеют возможность:
получить информацию о месте пребывания в зарубежных странах и роде занятий разыскиваемых лиц, подозреваемых в совершении преступлений, а также обвиняемых и осужденных, уклоняющихся от уголовной ответственности или отбывания наказания;
установить местонахождение лица, выехавшего за рубеж, и пропавшего без вести;
идентифицировать разыскиваемое лицо;
установить контроль за деятельностью и передвижением лиц, скрывающихся от правоохранительных органов за пределами России.
В процессе расследования преступлений в сфере компьютерной информации общее руководство розыскной деятельностью осуществляет следователь. При этом он должен обладать:
профессиональным розыскным опытом, желательно приобретенным в процессе практической деятельности по рассматриваемой категории уголовных дел;
знанием оперативной обстановки в том районе, где совершено преступление: состояния преступности в сфере высоких технологий в конкретный период; способов совершения и сокрытия компьютерных преступлений, уклонению преступников от следствия;
знанием психологии лиц, совершающих преступления в сфере компьютерной информации;
знанием методики раскрытия и расследования компьютерных преступлений;
навыками и умениями работы с компьютерным оборудованием и программным обеспечением, хотя бы на уровне профессионального пользователя;
знанием сленга (жаргона), используемого в среде лиц, увлекающихся компьютерными технологиями, занимающихся их разработкой и распространением.
Основными средствами розыскной деятельности следователя остаются процессуальные действия. В числе процессуальных выделим следственные действия, а также иные процессуальные действия, направленные не на сбор доказательств по делу, а на объявление розыска, дачу поручений о розыске органам дознания, привлечению к розыску общественности. В числе розыскных следственных действий традиционно выделяются осмотр места происшествия, обыск, выемка, задержание и проверка и уточнение показаний на месте. Остальные следственные действия рассматриваются как информационно-обеспечивающие розыскную деятельность[1]. Однако специфика преступлений в сфере компьютерной информации позволяет в некоторых случаях говорить о розыскном характере таких следственных действий как назначение компьютерно-технической экспертизы[1] и следственный эксперимент.
В числе розыскных задач по делу, решить которые можно путем назначения и производства компьютерно-технической экспертизы, назовем:
установление факта тождества между разыскиваемыми и обнаруженными элементами компьютерного оборудования;
установление факта нахождения искомой компьютерной информации на представленных на экспертизу ее технических (машинных) носителях;
получение иной информации, необходимой для дальнейшего эффективного розыска интересующих следователя объектов.
Задачи первой и второй групп обусловлены ситуацией, когда в ходе следственных действий факт установления местонахождения именно разыскиваемого компьютерного оборудования либо факт нахождения на обнаруженных технических носителях именно искомой компьютерной информации подтверждается лишь предположительно.
Для решения первой группы задач перед экспертом могут быть поставлены следующие основные вопросы:
каковы основные технические характеристики и возможности представленного на экспертизу компьютерного оборудования;
соответствует ли представленное на экспертизу компьютерное оборудование его описанию[1];
не совершались ли в отношении компьютерного оборудования, представленного на экспертизу, действия, направленные на сокрытие следов преступления (какие);
какое из представленного на экспертизу компьютерного оборудования было использовано (могло быть использовано) для создания представленных файлов, документов.
Для решения второй группы розыскных задач целесообразна постановка следующих вопросов:
имеется ли на жестком диске компьютера, иных технических носителях компьютерная информация, соответствующая представленному образцу или описанию?
не вносились ли в программы, файлы какие-либо изменения? Какое влияние внесенные изменения оказывают на работу и характеристики программы (файла)?
имеются ли на жестком диске компьютера, ином техническом носителе следы уничтожения информации? Возможно ли восстановление стертых файлов? Какое содержание восстановленных файлов?
имеются ли на жестком диске компьютера, ином техническом носителе скрытые, закодированные или зашифрованные файлы? Какое их содержание?
какие из имеющихся на представленных на экспертизу технических носителях программ использованы (могли быть использованы) для создания представленных файлов, документов?
Третья группа задач обуславливает постановку перед экспертом вопросов, ответы на которые, во-первых, создадут необходимую информационную базу для эффективного розыска интересующих следствие объектов, и, во-вторых, обусловят появление новых объектов розыска, о которых следователь не знал ранее либо не обладал достаточной информацией об их признаках. К числу таких вопросов, на наш взгляд, следует отнести:
не составлена ли представленная на экспертизу программа определенным лицом[1]?
каковы характеристики технических средств, программного обеспечения, необходимых для изготовления (составления) представленных на экспертизу документов?
какое время создания (изменения) интересующей компьютерной информации;
какие иные технические средства могли быть подключены к предоставленному компьютерному оборудованию?
какие иные технические средства (кроме представленных) были необходимы для совершения данного преступления?
каков уровень знаний лица, совершившего преступление, в области компьютерной техники и технологий?
Розыскной аспект следственного эксперимента заключается в возможности установления факта нахождения определенной информации на машинном носителе, при условии, что нет необходимости назначения экспертизы. В этой связи можно согласиться с позицией ряда ученых -криминалистов, считающих, что в определенных случаях производство экспертизы можно заменить другим следственным действием, в частности, следственным осмотром или следственным экспериментом, поскольку не во всех случаях нужны специальные познания, чтобы обосновать розыскную версию[1]. Представляется, что такая замена при определенных обстоятельствах целесообразна, поскольку даст следователю значительный выигрыш во времени.
Можно назвать следующие виды следственного эксперимента применительно к делам о преступлениях в сфере компьютерной информации, несущие определенную розыскную нагрузку:
1. По установлению соответствия функциональных признаков разыскиваемого программного обеспечения и находящеюся на имеющихся технических носителях. В ходе такого следственного эксперимента осуществляется опытный запуск интересующей следствие программы. При этом изучаются и оцениваются все ключевые стадии ее работы. Фиксируются все ключевые этапы запуска и работы программы. Процедуру запуска программы целесообразно повторить несколько раз, поскольку, как отмечается в криминалистической литературе, «мы можем говорить о достоверности результатов следственного эксперимента лишь тогда, когда все проделанные опыты привели к одному и тому же результату, который является в данных условиях необходимым , а не случайным и отражает внутренние глубокие связи между экспериментально проверяемыми явлениями, относительное постоянство формы этих связей, неизбежность проявления этих связей»[1].
В последующем, оценивая полученные в результате эксперимента результаты, следователь может сделать вывод о тождестве проверенной опытным путем программы и разыскиваемого программного объекта, иными словами, достичь цель розыска.
2. По проверке факта нахождения разыскиваемой компьютерной информации на имеющихся технических носителях в архивированном (неинсталлированном) состоянии. Обнаружение в ходе расследования подобных программных объектов не редкость. Однако далеко не всегда можно сразу определить содержание архивного файла либо неинсталлированной программы. Производство следственного эксперимента в этой ситуации представляет собой разархивирование или инсталляцию программного объекта с помощью имеющихся программных средств. Полученные файлы просматриваются, в необходимых случаях - распечатываются, после чего изымаются.
В последующем может быть произведен следственный эксперимент по проверке функциональных признаков разархивированных или инсталлированных программ.
3. По установлению факта нахождения искомой компьютерной информации в глобальных компьютерных сетях (на сайтах). Ознакомиться с информацией, хранящейся в глобальной сети «Интернет», возможно лишь путем доступа к ней с использованием необходимой компьютерной техники и программного обеспечения. Такой доступ осуществляется в процессе следственного эксперимента. Информация, находящаяся на интересующем следствие компьютерном сайте просматривается и при необходимости копируется.
Во всех случаях проведения таких следственных экспериментов обязательно участие специалистов в области компьютерного оборудования и компьютерных технологий.
Помимо процессуальных действий в системе розыскной деятельности следователя выделяются и непроцессуальные мероприятия. К их числу относят действия, имеющие конечной целью установление местонахождения известного объекта, незакрепленные в процессуальном законе и не направленные на получение доказательств по делу. Круг таких мероприятий различается в зависимости от специфики расследуемых преступлений. В системе розыскной деятельности следователя по делам о преступлениях в сфере компьютерной информации можно назвать следующие непроцессуальные мероприятия:
составление и рассылка розыскных ориентировок;
проверка по криминалистическим и иным учетам;
использование в целях розыска средств массовой информации;
технико-криминалистических и компьютерных средств и технологий для обнаружения искомого объекта;
блокирующие мероприятия, засады;
запросы в учреждения и организации с целью проверки отдельных обстоятельств дела, связанных с установлением преступника;
проверки в местах изготовления, и реализации компьютерной техники, программного обеспечения.
В процессе розыскной деятельности следователем могут быть спланированы и реализованы различные тактические комбинации (операции). Назовем ряд розыскных задач, для решения которых могут быть разработаны тактические комбинации (операции):
задержание лица, совершившего компьютерное преступление;
создание условий, побуждающих разыскиваемого действовать в затруднительной для него ситуации;
склонение разыскиваемого к явке с повинной;
установление местонахождения преступника в момент совершения нового компьютерного преступления;
установление местонахождения разыскиваемой компьютерной техники и компьютерной информации и др.
Круг действий, составляющих те или иные тактические комбинации, может быть различен и зависит, прежде всего, от сложившийся следственной ситуации по делу. Особое внимание следует уделять разработке тактических комбинаций (операций), направленных на установление и розыск лиц, совершивших компьютерные преступления.