Криминалистическая характеристика

Для тех, кто, успешно сдав экзамен по криминалистике, уже все забыл, напомним: криминалистическая характеристика — это система типичных признаков преступления того или иного вида.

Сталкиваясь в очередной раз с преступлением, следователь или оперуполномоченный вспоминает похожие дела из своей практики, предполагает, что данное преступление — типичное и пытается применять те же самые подходы, методы, способы поиска доказательств, которые уже приносили успех в аналогичных делах. Чем более типично данное преступление, тем скорее такой подход принесет успех. Если же личный опыт невелик, следует обратиться к коллективному опыту коллег. Именно такой формализованный опыт, система знаний о типичном преступлении определенного класса и называется криминалистической характеристикой.

Она включает следующее: способ совершения преступления, предмет посягательства; личность вероятного преступника и вероятные его мотивы; личность вероятного потерпевшего; механизм образования следов; обстановка и другие типичные обстоятельства.

В литературе имеется несколько вариантов состава криминалистической характеристики, у разных криминалистов разные представления о необходимой степени ее подробности. Ho все варианты более-менее похожи. Автор будет придерживаться вышеуказанного состава.

Большинство исследователей [8, 12, 41] пишет о криминалистической характеристике трех видов преступлений, деля все рассматриваемые преступления по составам трех статей УК — 272, 273 и 274. Вряд ли стоит настолько обобщать. Одной «компьютерной» статьей УК охватывается сразу несколько преступных деяний, сильно отличающихся по личности

преступника, по способу, по оставляемым следам. Например, психически неуравновешенный программист создал и распустил по Сети вирус, чтобы навредить всему миру, который он ненавидит. Другой пример: сотрудник рекламного агентства использует зомби-сеть* (ботнет) для рассылки спама* в соответствии с полученным заказом.

Некоторые юристы договариваются даже до того, что рассматривают обобщенную криминалистическую характеристику для всех трех упомянутых составов [40].

В российском УК только три статьи, описывающих преступления в сфере компьютерной информации. В украинском УК — тоже три, в белорусском — семь, в казахском — одна, в киргизском — две, в эстонском — семь. При этом составы, по большому счету, одни и те же. Почему же криминалистических характеристик должно быть непременно три?

Разумеется, при анализе отталкиваться надо не от статей УК, а наоборот — группировать преступления по признаку общности их криминалистической характеристики.

Обсудим отдельные элементы криминалистической характеристики, а затем более подробно — криминалистическую характеристику каждого из видов компьютерных преступлений.

Статистика

Поскольку криминалистическая характеристика выводится из опыта, требуется большое количество совершённых и расследованных преступлений каждого типа. С компьютерными преступлениями дело обстоит не так, как с квартирными кражами или угонами автотранспорта. Их совершается относительно немного, а выявляется и расследуется — и того меньше. Поэтому приведенную в источниках статистическую информацию следует воспринимать не как свыше данную истину, а лишь как первое приближение к будущим характеристикам, которые появятся после накопления значительного опыта.

Кстати, об опыте. Некоторые авторы приводят в криминалистической характеристике статистические данные о личности преступника или обстановке. Например, столько-то процентов преступников моложе 25 лет, столько-то процентов из них мужского пола, такая-то часть работает в отрасли ИТ и связи и т.д. Автор считает подобную статистику несостоятельной. Как полагают все эксперты (и критикуемые источники в том числе), большая часть компьютерных преступлений остается латентной.

лениям — и простым, и сложным. Статистика же подсчитывается только по раскрытым.

Возьмем для примера такой сложный вид преступления, как построение зомби-сетей*. Он должен квалифицироваться по статье 273 УК. Однако раскрытий такого рода преступлений в России вообще не было, а по всему миру было 3 или 4 случая. А теперь подумаем, какое значение для поиска «зомбиводов» будет иметь утверждение, что «40% преступников имели среднее специальное образование»? Учитывая, что статистика эта подсчитана только по раскрытым эпизодам ст. 273 УК, а из них около 3/4 — это навешивание 273-й статьи «в нагрузку» к нарушению авторских прав (строго говоря, неправомерное).

В данной работе автор не только отказался от классификации компьютерных преступлений по статьям УК, но и не использует для криминалистической характеристики судебно-следственную статистику. Автор, сам служивший в органах внутренних дел, слишком хорошо знает, как эта статистика пишется...

Личность вероятного преступника

Оценивая вероятного преступника, важнее всего для нас установить уровень его компетенции в области ИТ. Этот параметр является критическим. В технических методах борьбы, в соревнованиях «спрятать-най- ти» или «стереть-восстановить» уровень специальных знаний является решающим.

Когда квалификация подозреваемого неизвестна, ее следует предполагать высокой.

С той же целью специалисту или следователю имеет смысл до поры скрывать свой собственный уровень познаний в ИТ перед подозреваемым.

Приведем пример. Изымая компьютер во время обыска (если застали его включенным), специалист должен решить, следует ли применить штатную процедуру выключения или выключить компьютер грубым прерыванием электропитания. С одной стороны, при грубом обесточивании может пропасть некоторое количество данных, как правило, не очень существенных. Ho лучше бы их сохранить.

Далее приведем описание нескольких типичных образов компьютерных преступников.

«Хакер» (наименование условное). Основной мотивацией этого типа нарушителей являются: исследовательский интерес, любопытство, стремление доказать свои возможности, честолюбие. Средства защиты компьютерной информации, ее недоступность они воспринимают как вызов своим способностям. Некоторые исследователи [12. С. 31-39] полагают необходимой чертой этого типа хорошие знания в области ИТ и программирования. Однако практика опровергла это предположение. Среди обвиняемых по соответствующим составам средний уровень знаний оказался невысок. Другие исследователи [4, 11, 57] наряду с многознающими «хакерами» вводят отдельную категорию «script kiddies*». Это те, кто движим теми же мотивами, но не в состоянии придумать свое и поэтому просто бездумно используют готовые инструменты, сделанные другими. Автор полагает возможным объединить их в единую категорию, поскольку мотивы одинаковы, а знания — вещь наживная.

Первой чертой личностью «хакера» является эскапизм — бегство от действительности, стремление уйти от реальности, от общепринятых норм общественной жизни в мир иллюзий, или псевдодеятельность. Компьютерный мир, особенно вместе с Интернетом, является прекрасным альтернативным миром, в котором возможно найти интересное занятие, защиту от нежелательных социальных контактов, реализовать креативный потенциал и даже заработать денег. С другой стороны, человек, который чем-то сильно увлечен в реальном мире, вряд ли сможет найти достаточное количество времени и сил, чтобы стать хорошим специалистом в специфических областях ИТ.

Эскапизм является предрасполагающим фактором для возникновения компьютерной или сетевой зависимости [13]. Такая зависимость (в слабой или сильной форме) является второй чертой личности вероятного преступника. Компьютерная зависимость (аддикция) может начаться с обычного увлечения, которое аддикцией не является. Зависимость в более тяжелой форме ближе к психической девиации, а в тяжелой форме некоторые полагают такую аддикцию болезнью (причем эпидемического характера), которую следует лечить. Исследованию феномена компьютерной/сетевой зависимости посвящены десятки научных работ, как из области медицины, так и социологии [14-17]. Компьютерная, или сетевая аддикция характеризуется неспособностью человека отвлечься от работы в Сети, раздражительностью при вынужденных отвлечениях, готовностью пренебречь ценностями (материальными и социальными) реального мира ради мира виртуального, пренебрежением своим здоровьем. Исследования показывают, что

страдающие сетевой зависимостью люди в то же время отличаются высоким уровнем абстрактного мышления, индивидуализмом, интрове- ртностью, эмоциональной чувствительностью и некоторой степенью нонконформизма.

Эти черты приводят к тому, что «хакер» имеет узкий круг общения и предпочитает всем другим контактам сетевые. Искать его сообщников и источники информации о нем следует прежде всего среди его виртуальных знакомых. Контакты и социальные связи в реальном мире «хакер» субъективно оценивает как менее комфортные и не склонен доверять своим офлайновым* знакомым.

Другое следствие эскапизма — неуделение внимания многому, что существует лишь в реальном мире и никак не отражено в Сети. Например, такой специалист может довольно чисто уничтожить следы, оставляемые на компьютерных носителях (всевозможные компьютерные логи, временные файлы, информацию в свопе и т.д.), но ему даже не придет в голову мысль про логи телефонных соединений, с помощью которых он выходил в Сеть. Один знакомый автору подозреваемый вполне серьезно утверждал, что его преступление «абсолютно недоказуемо», поскольку все мыслимые следы уничтожены.

Второй чертой личности является некриминальная в общем направленность мыслей «хакера». Исследовательский интерес и честолюбие редко сочетаются с антиобщественными установками, предельной опас- ливостью, боязнью правоохранительных органов. Это, как правило, выливается в уделение малого внимания заметанию следов, непринятие мер конспирации. Часто у него даже отсутствует само осознание того факта, что совершается уголовное преступление.

Следует упомянуть, что эскапизмом и сниженной социализирован- ностью страдает большинство ИТ-специалистов. Собственно, некоторый отрыв от реальной жизни — это побочный эффект большого опыта в компьютерной сфере. Поэтому поиск по указанным критериям даст не только возможного преступника, но и вполне законопослушных ИТ-спе- циалистов.

«Инсайдер» (наименование условное). Несколько более распространенным типом компьютерного злоумышленника является человек, не слишком хорошо владеющий знаниями в области ИТ, зато владеющий доступом в информационную систему (ИС) в силу служебного положения. Уже стало общим местом утверждение, что большая часть «взломов» компьютерных систем совершается изнутри. Это действительно так. По

этому при расследовании неправомерного доступа «инсайдер» — первая версия, которую следует рассматривать. Даже если неправомерный доступ был явно снаружи, скорее всего, он стал возможным из-за сговора с местным сотрудником.

Если для «внешнего» хакера обнаружить уязвимость в информационной системе представляет собой задачу, то для сотрудника предприятия почти все уязвимости видны с самого начала. И если информационная система (ИС) имеет отношение к деньгам, ценностям или платным услугам, то сотрудник постоянно пребывает под искушением. Однако руководители и даже сотрудники службы безопасности, чьим попечениям доверена такая ИС, часто страдают странным дефектом зрения: они опасаются и уделяют внимание защите от внешних злоумышленников и в то же время слепо доверяют собственным сотрудникам, забывая, что разница между первыми и вторыми — только в их возможностях. У сотрудников возможностей напакостить несравненно больше.

Итак, типичный «инсайдер» совершает компьютерное преступление (лично или в форме подстрекательства, совместно с «внешним» соучастником) с использованием сведений, полученных в силу служебного положения. Такие сведения — пароли, знания о конфигурации ИС, знания о ее уязвимостях, о принятых процедурах. В ряде случаев этими сведениями он владеет «официально», то есть они ему необходимы для выполнения работы. Ho чаще бывает, что реальный доступ сотрудников к конфиденциальной информации значительно шире, чем формальный или чем необходимый. То есть «инсайдер» знает об ИС больше, чем ему положено.

Например, в одной компании-операторе связи имел место инцидент с неправомерным доступом в базу данных. Были изменены данные об объеме оказанных клиенту услуг, от чего компания понесла существенные убытки. Как оказалось, преступником являлся один из сотрудников, вступивший в сговор с клиентом, с которого и «списал» часть задолженности за услуги. Он имел свой собственный логин* в указанную базу данных, но предпочел воспользоваться логином своего начальника. Это не составило особого труда, поскольку тот держал пароль на листочке, приклеенном к монитору. Свалить вину на коллег — характерное поведение для «инсайдера».

Указать иные признаки личности вероятного преступника типа «инсайдер» автор не берется. Некоторые исследователи полагают [39, 40, 48], что «инсайдер» непременно должен считать себя обиженным, обойденным по службе, недостойно вознаграждаемым. Как ни странно, но среди современного «офисного планктона» таковыми считают себя почти все. А среди так называемых «топ-менеджеров» (а равно «стук-менеджеров» и «гарк-менеджеров») — через одного. Если есть искушение украсть, и че

ловек этому искушению поддался, он сам себе осознанно или неосознанно найдет «обиды», вспомнит о «недоплате», о социальной розни и сочинит другие оправдания. Поэтому автор полагает, что такая черта личности вероятного преступника, как наличие обид, в криминалистической характеристике является излишней.

«Белый воротничок» (наименование условное). Этот тип преступника представляет собой давно и хорошо известного казнокрада, но только сменившего инструменты своей деятельности на компьютер. Украсть у государства или у частной компании можно сотней способов. Кроме банального хищения здесь возможны взятки, коммерческий подкуп, незаконное использование информации, составляющей коммерческую тайну, различные виды мошенничества и так далее. В отличие от «инсайдера», этот тип злоумышленника имеет минимальную квалификацию в сфере ИТ и компьютер как орудие совершения преступления не использует. Компьютер здесь выступает только как носитель следов, доказательств совершения преступления.

По своим мотивам «белые воротнички» могут быть разделены на три группы: Злоупотребляющие своим служебным положением из чувства обиды на компанию или начальство. Их следует искать среди долго проработавших сотрудников. Причем для возникновения мотива мести совсем не обязательно наличие действительной обиды со стороны работодателя. В значительной части случаев, как отмечалось выше, обиды эти оказываются вымышленными. Такой обиженный, обойденный и недостойно оплачиваемый злоумышленник чаще всего ворует, чтобы «компенсировать» якобы недополученное от работодателя. Ho бывают и бескорыстные мстители, которые не приобретают выгоды от своих незаконных действий либо по этическим соображениям (реже), либо для снижения вероятности раскрытия преступления (чаще). Беспринципные расхитители, не имеющие моральных барьеров и ворующие только потому, что представилась такая возможность. Для подобных «белых воротничков» характерен недолгий срок службы на должности до начала злоупотреблений. Довольно часто за таким имеется криминальное прошлое. Квазивынужденные расхитители, попавшие в тяжелое материальное положение, в материальную или иную зависимость от лица, требующего совершить хищение или мошенничество. Как правило, подобные проблемы трудно скрыть от окружающих — крупный проигрыш, наркомания, семейный кризис, неудачи в бизнесе. Эта группа расхитителей менее осторожна, они не могут долго подготавливать свои преступления, как это делают первые и вторые.

«Е-бизнесмен» (наименование условное). Этот тип вероятного преступника не является квалифицированным ИТ-специалистом и не имеет служебного положения, которым можно злоупотребить. С самого начала он планирует именно криминальное предприятие, отлично осознаёт его противозаконность. Решение совершить правонарушение именно в компьютерной (сетевой) среде, а не в офлайне* он принял не из-за своих особых знаний в этой области и не из-за внутренней тяги к компьютерам, а исключительно на основе рационального анализа. Он посчитал, что так будет выгоднее.

«Выгода» компьютерного преступления обычно связана с его технической или организационной сложностью. На простые уловки попадается мало жертв, от простых средств нападения большинство информационных систем давно защищены. Успешные компьютерные преступления отличаются технической сложностью, участием нескольких сообщников с «разделением труда», многоходовостью. Поэтому чертой личности «е-бизнесмена» является наличие организаторских способностей и предпринимательской инициативы.

Что же касается его незаконопослушности, асоциальное™, нонконформизма, то автор полагает эти характеристики не обязательными. На этапе начального накопления капитала, в условиях так называемой «переходной экономики» многие виды бизнеса предусматривают те или иные нарушения законодательства и асоциальную направленность. С этой точки зрения владелец зала игровых автоматов не более асоциален, чем отмывающий деньги через онлайн-казино. А оптимизатор налоговых платежей не менее законопослушен, чем отмыватель электронных кошельков.

Указанному типу преступников отвечает большинство кардеров*, спамеров* и фишеров*.

«Антисоциальный тип» (наименование условное). Также отмечались интернет-мошенники, которые руководствовались не только извлечением прибыли. Более того, их преступный доход часто бывал меньше, чем средняя зарплата специалиста той же квалификации. Мотивом для совершения мошенничества являлась антисоциальная психопатия (социопатия) таких лиц и их патологическая тяга к ведению подобных «игр». Социопатия признана отдельным видом психического расстройства [61, W27] и зарегистрирована под названием «antisocial personality disorder» или «dissocial personality disorder» в классификаторе болезней ВОЗ (ICD, №F60.2). Обычно такие типы действуют импульсивно и не склонны к планированию, особенно долгосрочному.

Подобное расстройство вообще часто приводит к совершению преступления, не только компьютерного, причем мошенничества чаще, чем насилия. Интернет-мошенничество не требует особых технических зна

ний, вполне достаточно умения пользоваться готовыми программными инструментами.

Оперативность

Некоторые отмечают особое значение оперативности действий при раскрытии и расследовании компьютерных преступлений. Ссылаются на относительно быструю по сравнению с другими видами преступлений утрату доказательств, а также на оперативность связи между сообщниками, которые могут быстро предпринять действия по уничтожению улик и иному воспрепятствованию следственным органам.

Давайте посмотрим, действительно ли это так.

Компьютерная информация бывает короткоживущей. Бывает она и долгоживущей. Даже всерьез говорят [W03] о компьютерной археологии (цифровой археологии), то есть поиске и изучении «древней» компьютерной информации ради получения исторических и обществоведческих сведений. Неоднократно отмечались случаи, когда человек, казалось бы, безвозвратно утративший информацию со своего компьютера, находил ее в Сети и таким образом восстанавливал.

Логи* хранятся не вечно. Ho насколько долго? Здравый смысл подсказывает, что хранить их стоит до тех пор, пока они могут пригодиться. В зависимости от содержания логов, этот период полезности соответствует периодичности подсчета статистики, сроку действия клиентского договора, периодичности оплаты услуг, сроку исковой давности. В некоторых случаях длительность хранения логов установлена нормативными актами. Например, постановление Правительства РФ №538 [L01] устанавливает трехлетний срок хранения сведений об абонентах и их «расчетах за оказанные услуги связи, в том числе о соединениях, трафике и платежах». Многие предприятия хранят логи до истечения сроков исковой давности. Некоторые хранят информацию столько времени, на сколько хватает места на диске. В общем, сроки хранения во многих случаях могут быть весьма значительными и даже превышать сроки хранения бумажных документов. В отличие от бумажных, электронные документы обходятся в хранении и обработке несравненно дешевле.

Что касается оперативной связи между сообщниками по компьютерным преступлениям, то все используемые ими способы связи никак не оперативнее обычного телефона, которым пользуются все преступники на протяжении последних десятилетий. Вспомним также об отнюдь не повсеместном доступе к компьютеру и к Сети, об относительно медленной электронной почте, о разнице во времени между сообщниками из разных стран. Заключим в результате, что для среднего «компьютерного» преступника скорость связи с сообщниками вряд ли отличается от скорости связи для среднего мошенника или взяточника.

Возможность быстрого уничтожения цифровых следов и прочих доказательств в ряде случаев, безусловно, присутствует. Стереть один файл можно столь же быстро, как смыть в унитаз один грамм героина. Ho вот стирание (а тем более, затирание с гарантией от восстановления) содержимого всего диска занимает десятки минут. В случаях, когда информация находится на удаленных компьютерах, добавляется еще время получения доступа к ним. Уничтожить основные доказательства такого занятия, как фишинг*, займет не один час, если не позаботиться обо всем заранее. Вспомним, что могут успеть за один час преступники, совершившие офлайновые преступления: выбросить в реку пистолет, заменить капот и радиатор после наезда на пешехода, отдать родственнику полученные в виде взятки деньги, выстирать испачканную кровью одежду, сжечь фальшивый паспорт, иногда даже убрать сообщника.

Видно, что оперативность действий по фиксации и изъятию доказательств для расследования компьютерных преступлений столь же важна, как для многих иных преступлений. Поэтому отличительной особенностью компьютерных преступлений не является.

Для иллюстрации темы оперативности вот случай, рассказанный сотрудником управления «К» одного из субъектов Федерации.

Был выявлен и доставлен в управление подозреваемый в совершении неправомерного доступа (ст. 272 УК). После установления места его жительства одного из сотрудников срочно отправили туда для проведения неотложного (ч. 5 ст. 165 УПК) обыска и изъятия компьютера — предполагаемого орудия совершения преступления, на котором надеялись обнаружить основные доказательства. Поскольку для задержания (ст. 91- 92 УПК) подозреваемого оснований не нашлось, после допроса он был отпущен домой. На следующее утро оказалось, что в силу некоторых обстоятельств, описывать которые здесь неуместно, упомянутый выше сотрудник так и не произвел обыска в квартире подозреваемого. Разумеется, все подумали, что доказательства с этого компьютера утрачены. Уже без особой спешки, получив судебную санкцию на обыск, отправились к подозреваемому. Была еще слабая надежда, что он по незнанию просто отформатировал свой диск и информацию можно будет восстановить. Каково же было удивление оперативников, когда при обыске они обнаружили не только компьютер подозреваемого с нетронутой информацией, но и еще один компьютер — компьютер сообщника, который подозреваемый принес в свою квартиру, чтобы переписать на него всю ценную информацию со своего. Таким образом, задержка в несколько часов не привела к утрате компьютерной информации, к тому же позволила выявить сообщника.

Конечно, описанный случай не слишком типичный. Ho и не единственный в своем роде.

Автор делает следующий вывод. Необходимость особой быстроты в действиях не является отличительной чертой тактики раскрытия компьютерных преступлений.

Приоритетность расследования

Ввиду большого количества компьютерных преступлений никто уже всерьез не рассчитывает на возможность расследовать их все. На каких именно фактах стоит сосредоточиться правоохранительным органам и службам безопасности, зависит от следующих факторов: Вид и размер ущерба. Очевидно, что более общественно опасными являются те из компьютерных преступлений, которые подразумевают насилие (по сравнению с теми, которые лишь наносят материальный ущерб). Также более приоритетными являются преступления, посягающие на права несовершеннолетних и иных менее защищенных субъектов. Распространенность. Как известно, раскрытие преступления и наказание преступника также в некоторой мере воздействуют на потенциальных правонарушителей. Поэтому раскрывать часто встречающиеся типы преступлений при прочих равных важнее, чем редкие типы преступлений. Количество и квалификация персонала. В зависимости от того, сколько имеется сотрудников и насколько они квалифицированы, стоит браться за те или иные компьютерные преступления. Слишком сложные начинать расследовать бесполезно. Юрисдикция. Предпочтительными являются преступления, не требующие задействовать иностранные правоохранительные органы. Наиболее быстрый результат получается при расследовании преступлений, локализованных в пределах одного города. Политика. В зависимости от текущих политических установок, могут быть признаны более приоритетными некоторые виды компьютерных преступлений. He потому, что они более общественно опасны, но потому, что их раскрытие повлечет больший пиар-эффект или большее одобрение начальства.

Автор вовсе не считает указанную выше приоритезацию целиком правильной, справедливой и подлежащей исполнению. Автор лишь констатирует, как обстоит дело на практике. Потерпевшему, эксперту, специалисту или иному лицу следует учитывать, что правоохранительные органы берутся не за любые компьютерные преступления или проявляют разную степень энтузиазма в зависимости от вышеперечисленных обстоятельств.

Далее рассмотрим самые распространенные виды компьютерных преступлений и дадим их криминалистическую характеристику. Будут описаны лишь те элементы, которые специфичны для рассматриваемого вида компьютерных преступлений.

Как уже указывалось выше, классификация преступлений по статьям УК с научной точки зрения несостоятельна. Одни составы слишком широкие, другие слишком узкие. Например, формулировка статьи 272 охватывает и случай, когда малолетний script kiddie* завладевает копеечным логином* на доступ в Интернет, и случай, когда иностранный шпион получает доступ к компьютеру с государственной тайной. Напротив, статья 187 УК (изготовление или сбыт поддельных кредитных либо расчетных карт и иных платежных документов), казалось бы, специальная статья для кардеров*, охватывает лишь очень незначительную часть кардерской деятельности, в то время как основная деятельность кардеров — это статьи 159 (мошенничество) и 165 (причинение имущественного ущерба путем обмана или злоупотребления доверием).

На основании изложенного автор будет классифицировать компьютерные преступления отнюдь не по статьям УК, а по схожести их криминалистических характеристик.