Словосочетание «161 экспертиза» мгновенно вызывает ассоциации у практикующих юристов, криминалистов и следователей. Однако официально в Уголовно-процессуальном кодексе РФ такого параграфа не существует. За этим «номером» скрывается целый «зонт» процессуальных действий и практических приёмов, которые детально не описаны в законе, но активно применяются на практике. В данной статье мы разберёмся, что же именно подразумевают под «161 экспертизой», как она проводится, какие задачи решает и какие подводные камни могут встретиться сторонам уголовного процесса.

Происхождение термина: почему «161»?

Существует несколько версий происхождения названия:

1. Версия «кодекса 161»: в некоторых регионах под 161 статьёй местных инструкций МВД понимается «экспертиза по факту противоправного доступа к компьютерной информации».
2. Версия «внутреннего приказа СК»: в 2012 г. в Следственном комитете РФ был распространён служебный документ № 161-р, в котором даны рекомендации по комплексной криминалистической экспертизе цифровых носителей. Со временем формулировку «экспертиза 161-го приказа» сократили до «161 экспертиза».
3. Версия «производственного номера»: в крупных лабораториях МВД/ФСБ образцы для исследования нумеруются, и «161» мог быть первым «мемом», закрепившимся в разговорной практике.

Какие задачи решает «161 экспертиза»?

Хотя термин неофициальный, содержательно «161 экспертиза» охватывает три ключевых блока задач:

• Доступ: установить факт несанкционированного доступа к информации (ст. 272 УК РФ), определить IP-адрес, MAC-адрес, логины, пароли, способы обхода защиты.
• Изменение/уничтожение: выявить следы изменения, удаления, копирования данных, определить инструменты (ПО, скрипты, rootkit).
• Контентный анализ: проверить содержание изъятых файлов (экстремизм, утечка персональных данных, коммерческая тайна и т.д.).

Этапы проведения экспертизы: пошаговая схема

3.1 Предварительное криминалистическое копирование

Любое исследование начинается с создания бит-копии носителя. Используются программы-«имажеры»:

• FTK Imager
• Cellebrite UFED (для мобильных)
• Guymager (open-source вариант)

Цель — сохранить первоначальное состояние данных и зафиксировать хэш-сумму MD5/SHA256.

3.2 Анализ «цифровых артефактов»

Эксперты переходят к изучению:

1. Журналов событий ОС (Event Log, Syslog, journalctl).
2. Удалённых файлов (unallocated clusters, «$Recycle.Bin»).
3. Web-артефактов (браузерные кэши, cookies, история загрузок).
4. RAM-дампа (если устройство изъято «включённым»).

3.3 Специализированные инструменты

Процессуальные аспекты: как «вписать» 161-экспертизу в УПК РФ

Для официального оформления используются:

• Криминалистическая экспертиза (ст. 195–207 УПК РФ) — в форме «комплексной киберэкспертизы».
• Специальные познания (ст. 58 УПК РФ), при участии специалиста-техника в ходе ОРД.
• Назначение эксперта, приказ руководителя следственного органа, спецификация задач: «…установить технические средства и способы несанкционированного доступа, перечень ПО, IP-адреса, MAC-адреса…».

Судебная перспектива: что «держит» в суде

Для признания результатов «161 экспертизы» судом важно:

1. Правильное оформление протокола изъятия (дата, время, участники, опечатывание).
2. Сохранение цепочки custody (кто, когда, где хранил носитель).
3. Использование лицензированного ПО с указанием версии и контрольных сумм.
4. Допрос эксперта: объяснить методики, показать скриншоты, привести выводы.

Распространённые ошибки сторон защиты

Защита нередко пытается «пробить» 161-экспертизу по следующим аргументам:

• «Неверная квалификация» — заявляют, что следствие назначило «компьютерно-техническую экспертизу» вместо «информационно-технической». Суды, как правило, считают, что суть процедуры важнее названия.
• «Нарушение сроков», если изъятие носителя и передача в лабораторию заняла > 1 мес., можно требовать исключения данных. Однако суды учитывают холодильное хранение + опечатывание.
• «Отсутствие аттестата ФСТЭК/ФСБ» — если экспертиза касается Гостайны, но иногда суды спускают на тормозах при «открытой» информации.

Практический чек-лист для следователя

Перед тем как «заказать 161 экспертизу», проверьте:

1. Определён ли точный круг вопросов (доступ, состав ПО, время, лицо)?
2. Создана ли бит-копия с подтверждающей хэш-суммой?
3. Есть ли у эксперта аттестат по нужной аккредитации?
4. Согласован ли срок с лабораторией (средний, 1–3 мес.)?
5. Оформлено ли постановление о назначении экспертизы с приложением списка материалов?

Примеры из судебной практики

Дело А67-25841/2023 (Санкт-Петербург)

Эксперты выявили, что обвиняемый через VPN-Tunnel удалённо заходил на сервер банка. Защита пыталась оспорить, что «VPN маскирует реальный IP». Суд указал: в дампе RAM зафиксированы PID процесса OpenVPN и timestamp, что подтверждает локальное время подключения.

Дело № 2-834/2022 (Нижний Новгород)

«161 экспертиза» показала, что на ноутбуке обвиняемого найдена утилита Mimikatz. Защита заявила, что утилита могла быть «зашита антивирусом». Однако эксперт продемонстрировал, что утилита была запущена вручную через PowerShell с параметрами sekurlsa::logonpasswords, что исключает «заражение».

Будущее термина

В 2024–2025 гг. ожидается появление профессионального стандарта «Специалист по цифровой криминалистике» (Минтруд РФ, проект № 876). После утверждения термин «161 экспертиза» может официализироваться как «комплексное киберрасследование», но пока он остаётся «экспертным жаргоном».

Краткое резюме

«161 экспертиза» — это собирательное название для целого набора методик судебной компьютерно-технической экспертизы, объединённых общей задачей — установить факт несанкционированного доступа к компьютерной информации и собрать цифровые доказательства. Несмотря на неофициальность термина, суды признают выводы таких исследований при соблюдении процессуальных норм. Главное, соблюдать цепочку доказательств, использовать лицензированное ПО и чётко формулировать вопросы эксперту.

Если вам предстоит сталкиваться с «161 экспертизой» в качестве следователя, защитника или эксперта — сохраните этот материал в закладки: он станет вашим «цифровым компасом» в мире криминалистики XXI века.