ТАКТИЧЕСКИЕ ОСОБЕННОСТИ И АЛГОРИТМИЗАЦИЯ ПЕРВОНАЧАЛЬНОГО ЭТАПА РАССЛЕДОВАНИЯ ПРЕСТУПЛЕНИЙ ТЕРРОРИСТИЧЕСКОГО ХАРАКТЕРА, СОВЕРШАЕМЫХ С ИСПОЛЬЗОВАНИЕМ СЕТИ «ИНТЕРНЕТ»

УДК 343.985: 343.326

TACTICAL FEATURES AND ALGORITHMIZATION OF THE INITIAL STAGE OF INVESTIGATING TERRORIST CRIMES COMMITTED USING THE INTERNET

Ключевые слова: криминалистическая тактика, цифровые следы, преступления террористической направленности, мессенджеры, осмотр, обыск, невербальные следственные действия, блокираторы записи, контрольные суммы, допрос.

Keywords: forensic tactics, digital traces, terrorist crimes, instant messengers, inspection, search, non-verbal investigative actions, write blockers, hash sums, interrogation.

Развитие цифровых технологий, массовое использование интернет-мессенджеров (Telegram, WhatsApp), анонимных сетевых протоколов, электронных платежных систем стали причиной существенной модификации способов совершения преступлений террористической направленности. Вербовка соучастников, распространение призывов к террористической деятельности, передача инструкций изготовления самодельных взрывных устройств, координация диверсионных акций осуществляются дистанционно через закрытые чаты, каналы. И в этих условиях традиционные следственные методики оказываются недостаточно эффективными. Это обусловливает настоятельную необходимость разработки специализированных тактических рекомендаций по собиранию цифровых доказательств, преодолению противодействия со стороны фигурантов.

Анализ типичных следственных ситуаций, механизмов следообразования в цифровой среде позволяет выявить закономерности совершения исследуемых деяний. С.К. Бадамшин и Г.И. Идельбаева обоснованно указывают, что «виртуальное участие в данных Интернет-группах может перетечь в реальную плоскость, выходящую за рамки этого объединения и состоящую в вовлечении новых членов, совершении насильственных или иных противоправных действий, в том числе по распространению данной идеологии» [1, с. 66]. Для сокрытия преступной деятельности организаторы используют многоуровневую систему конспирации: регистрацию виртуальных абонентских номеров на подставных лиц, подключение через общественные Wi-Fi сети и VPN-туннели, шифрование переписки с использованием сквозного шифрования (End-to-End Encryption) и применение функции автоматического удаления сообщений.

На первоначальном этапе расследования следователь чаще всего сталкивается с двумя типичными следственными ситуациями: 1) лицо задержано с поличным при совершении преступления (например, при попытке поджога инфраструктурного объекта или закладки взрывного устройства), при нем обнаружены функционирующие электронные носители информации; 2) факт преступной деятельности (публичные призывы, пропаганда терроризма, вербовка) выявлен в виртуальной среде в ходе оперативно-розыскных мероприятий, однако конкретная личность оператора сетевого профиля на момент возбуждения уголовного дела достоверно не идентифицирована. Каждая из указанных ситуаций определяет специфический алгоритм первоначальных следственных действий, тактику взаимодействия следователя с оперативными подразделениями, с специалистами компьютерной информации [2, с. 117; 3, с. 117–118].

Наиболее критическим элементом первоначального этапа расследования выступает обнаружение, фиксация, изъятие мобильных устройств (смартфонов, планшетов, ноутбуков). Ошибки, допущенные при их изъятии, могут стать причиной необратимой утраты криминалистически значимой информации (в т. ч. удаленному стиранию данных через облачные сервисы Apple Find My, Google Find My Device, Telegram Web). Е.Р. Россинская и И.А. Рядовский справедливо подчеркивают необходимость строгого соблюдения последовательности действий при производстве невербальных следственных действий по сохранению целостности цифровых объектов [4, с. 105, 112].

При производстве обыска (выемки) или личного обыска подозреваемого следователю надлежит реализовывать следующий тактический алгоритм: 1) немедленно перевести обнаруженное мобильное устройство в «авиарежим» (Flight Mode) либо поместить его в экранирующий чехол (клетку Фарадея), блокирующий прием сигналов сотовой связи (GSM/LTE), беспроводных протоколов (Wi-Fi, Bluetooth); 2) если устройство находится в разблокированном состоянии, категорически запрещается его блокировать или перезагружать; необходимо обеспечить непрерывное поддержание активного экрана (изменение настроек таймаута экрана, подключение портативного источника питания – Power Bank); 3) в протоколе следственного действия детально фиксируются текущие системные дата, время устройства, состояние сетевых подключений, запущенные приложения, видимые учетные записи [5, с. 125].

Осмотр изъятых устройств должен производиться с участием специалиста, и для предотвращения непреднамеренной модификации файлов подключение накопителей к криминалистическому стенду осуществляется аппаратными блокираторами записи (Hardware Write Blockers) и ещё до начала анализа данных обязательно создается посекторный криминалистический образ накопителя (криминалистическая копия формата Raw/DD или E01) с фиксацией контрольной суммы по соответствующим алгоритмам SHA-256 или MD-5 [6, с. 100–101]. А все последующие исследовательские манипуляции производятся уже с созданной копией, и таким образом, это исключает претензии защиты о возможной фальсификации доказательств.

Анализ следственной практики свидетельствует о том, что фигуранты уголовных дел о преступлениях террористической направленности, совершаемых с использованием сети «Интернет», часто занимают активную позицию противодействия расследованию [7, с. 38–40], и выделяются три типичные линии защиты подозреваемых: 1) отрицание факта принадлежности изъятого мобильного устройства («нашел на улице», «дали позвонить»); 2) признание факта владения телефоном, но отрицание самого авторства переписки («аккаунт был взломан», «устройством пользовались посторонние лица»); 3) признание факта размещения материалов при ссылке на добросовестное заблуждение или же отсутствие умысла непосредственно на оправдание терроризма («сделал репост для обсуждения», «не вчитывался в текст») [8, с. 250–251].

Для нейтрализации указанных версий следователю целесообразно использовать систему взаимосвязанных тактических приемов, и одним из наиболее эффективных выступает прием «допущение легенды», обоснованный в трудах А.С. Князькова [9, с. 214]. Суть приема заключается в том, что следователем (на первом допросе) не опровергается выдвинутая подозреваемым защитную версию (например, о том, что телефон был случайно найден за час до задержания), а предлагает он максимально подробно детализировать сопутствующие обстоятельства, в том числе время, точное место находки, действия после обнаружения, маршрут передвижения, факт совершения звонков.

И после закрепления в протоколе показаний следователь сопоставляет с объективными цифровыми доказательствами, полученными оперативным путем, детализированную легенду, то есть с данными биллинга сотового оператора о соединениях абонентского номера и географических координатах базовых станций за предшествующие недели, информацией о привязке устройства к домашней сети Wi-Fi подозреваемого, логами авторизации в банковских приложениях и электронных государственных сервисах с данного IMEI-номера [10, с. 41]. Неопровержимое противоречие между протоколом допроса и массивом цифровых следов разрушает защитную позицию и побуждает подозреваемого к отказу от ложных показаний.

В ситуации, когда подозреваемый заявляет о «взломе аккаунта» или использовании мессенджера третьими лицами, применяется тактический прием «поэтапное хронологическое предъявление доказательств». Следователь последовательно предъявляет фигуранту фрагменты цифровой переписки, в которых содержатся сугубо персонализированные сведения, известные только ему (обсуждение семейных бытовых вопросов, пересылка личных фотографий, геолокационные метки мест пребывания), чередуя их с сообщениями террористического содержания. Доказательство единства авторства бытовой и экстремистской переписки исключает возможность ссылки на вмешательство третьих лиц и обеспечивает признание вины.

Наконец, в случаях финансирования терроризма через криптоактивы следователю необходимо сочетать допрос с предъявлением блокчейн-аналитики: выписки из публичного реестра транзакций о движении средств с кошелька подозреваемого на депозитный адрес террористической организации, сведений криптобиржи о верификации аккаунта (KYC-данные, номер паспорта, селфи с документом) и истории входов с конкретных IP-адресов [6, с. 100–101]. Предъявление комплексных цифровых связок лишает фигуранта пространства для маневра и склоняет его к даче правдивых показаний о структуре вербовочного канала.

В заключение подчеркнем, что расследование преступлений террористической направленности в цифровую эпоху требует от следователя комплексного владения научно-техническими методами собирания цифровых следов, обязательного применения аппаратных блокираторов записи, криптографического хеширования файлов (SHA-1, SHA-2, MD-5) и выверенной реализации тактических приемов на допросе. Благодаря этому, для судебного разбирательства гарантируется формирование безупречной доказательственной базы.

Список литературы

1. Бадамшин С.К., Идельбаева Г.И. Обстоятельства, способствующие совершению преступлений экстремистской и террористической направленности с использованием электронных или информационно-телекоммуникационных сетей // Вестник экономической безопасности. – 2020. – № 4. – С. 63⁠–⁠68. – DOI: 10.24411/2414-3995-2020-10231.
2. Семикаленова А.И. Цифровые следы: назначение и производство экспертиз // Вестник Университета имени О.Е. Кутафина (МГЮА). – 2019. – № 5 (57). – С. 115⁠–⁠120. – DOI: 10.17803/2311⁠–⁠5998.2019.57.5.115⁠–⁠120.
3. Россинская Е.Р., Сааков Т.А. Проблемы собирания цифровых следов преступлений из социальных сетей и мессенджеров // Криминалистика: вчера, сегодня, завтра. – 2020. – № 3 (15). – С. 106⁠–⁠123.
4. Россинская Е.Р., Рядовский И.А. Тактика и технология производства невербальных следственных действий по делам о компьютерных преступлениях: теория и практика // Lex russica. – 2021. – Т. 74, № 9 (178). – С. 102⁠–⁠118. – DOI: 10.17803/1729⁠–⁠5920.2021.178.9.102⁠–⁠118.
5. Сааков Т.А. Влияние процесса цифровизации на трансформацию компетенции судебного эксперта // Вестник Университета имени О.Е. Кутафина (МГЮА). – 2024. – № 3 (115). – С. 121⁠–⁠128. – DOI: 10.17803/2311⁠–⁠5998.2024.115.3.121⁠–⁠128.
6. Лозовский Д.Н., Лозовская Н.Н. Особенности первоначального этапа расследования преступлений, связанных с финансированием терроризма // Гуманитарные, социально-экономические и общественные науки. – 2021. – № 3. – С. 99⁠–⁠101. – DOI: 10.23672/b2536-4072-2962-e.
7. Кулешов Р.В. Психолого-криминалистические особенности субъектов преступлений экстремистской и террористической направленности как объект научного изучения // Психопедагогика в правоохранительных органах. – 2016. – № 1 (64). – С. 38⁠–⁠40.
8. Двуличанский А.В. Криминологические особенности личности преступника-террориста // Вестник Саратовской государственной юридической академии. – 2021. – № 6 (143). – С. 247⁠–⁠252. – DOI: 10.24412/2227-7315-2021-6-247-252.
9. Князьков А.С. Наука и следственная практика как источники тактических приемов // Вестник Омского университета. Серия «Право». – 2013. – № 3 (36). – С. 212⁠–⁠217.
10. Архипова И.А. Развитие учения Р.С. Белкина о способе сокрытия преступления и противодействии расследованию // Известия Тульского государственного университета. Экономические и юридические науки. – 2018. – № 1. – С. 38⁠–⁠44.