Изучение архивов электронной почты и ICQ

На персональном компьютере сохраняется вся отправляемая и принимаемая корреспонденция. В зависимости от настроек, она может храниться долго или не очень или стираться сразу по прочтении.

Средний пользователь хранит в архиве одну-две сотни сообщений электронной почты. Более активные пользователи могут хранить несколько тысяч. Вместе с копиями этих сообщений, вместе с удаленными сообщениями может получиться очень много информации. He хватит никакой бумаги, чтобы всю ее распечатать. Поэтому никогда не следует давать задание эксперту найти и отпечатать всю найденную электронную переписку.

С другой стороны, сводить работу эксперта к обнаружению одного- двух заданных писем тоже неверно. Лучше всего поставить перед экспертом вопрос об обнаружении всей переписки как в явном, так и в скрытом (удаленном) виде.

Te сообщения, которые относятся к делу, следует распечатать на бумаге и приложить к заключению. Весь прочий архив переписки имеет смысл записать на компакт-диск. Если окажется, что распечатанного недостаточно, не надо будет проводить повторную экспертизу, достаточно

всего лишь провести осмотр содержимого компакт-диска, записанного экспертом. Для осмотра архива электронной почты или ICQ, записанного в каком-либо распространенном формате (например, текстовом), не требуется специальных знаний. Такой осмотр может провести следователь с понятыми. Кроме того, исследованный компьютер после хранения может оказаться и непригоден для повторного исследования — условия хранения вещественных доказательств у нас не самые оптимальные. А информация на компакт-диске, который приложен к заключению эксперта и хранится прямо в уголовном деле, — это надежнее и проще.

Решать, какая именно часть переписки относится к делу, целесообразно поручить эксперту. Для этого его необходимо ознакомить с материалами дела. В простейших случаях бывает достаточно изложить фабулу дела в постановлении о назначении экспертизы.

Кроме обнаружения архива переписки нужно поставить вопрос о том, принимались ли (отправлялись ли) найденные сообщения. Электронное письмо попадает в архив не только в том случае, когда оно отправлено с данного компьютера или принято на данный компьютер. Оно может быть записано (импортировано) в архив по особой команде пользователя. Оно может быть приложено к другому письму, которое поступило пользователю. Многие люди, когда меняют компьютер, переписывают со старого на новый весь архив электронной почты. Различные следы скажут эксперту, было ли найденное сообщение принято или отправлено при помощи исследуемого компьютера, или оно принималось/отправлялось из другого места, а на исследуемый диск попало каким-то иным путем.

Факт отправки или приема электронного сообщения нельзя строго доказать одним только обнаружением его на компьютере отправителя или получателя в ходе экспертизы. Необходимо подтвердить факт передачи письма «на другом конце» или на промежуточном узле. Иногда второй корреспондент известен. Ho часто местоположение второй копии письма выясняется лишь в ходе проведения экспертизы. В таких случаях бывает полезно поставить перед экспертом вопрос, где еще можно обнаружить копию сообщения или следы его передачи.