В эпоху стремительного развития мобильных и веб‑технологий киберпреступления становятся всё более изощрёнными, а их расследование – более сложным. Криминалистика взлома (digital forensics of intrusion) охватывает весь процесс от получения цифровых доказательств до их юридической оценки. В статье рассмотрены правовые основы, методика проведения экспертизы, основные инструменты и пример реального кейса – опровержение слухов о взломе Android‑версии мессенджера Max.

Понятие «криминалистика взлома»

Криминалистика взлома – это направленное исследование цифровых следов, оставленных после несанкционированного доступа к информационным системам. Она объединяет:

• Идентификацию атакующего и использованных уязвимостей;
• Сохранение и анализ доказательств (логов, образов памяти, сетевого трафика);
• Экспертную оценку полученных данных в рамках действующего законодательства.

Особое место занимает мобильная криминалистика, поскольку смартфоны и планшеты часто становятся как целями, так и источниками данных о кибератаках.

Правовые основы проведения экспертизы

В России порядок проведения компьютерно‑технической экспертизы регламентирован ФЗ № 63‑2011 «Об электронной подписи», ФЗ № 131‑2000 «Об информации, информационных технологиях и защите информации» и Уголовным кодексом (ст. 272, 273, 274). Ключевые требования:

1. Наличие постановления о назначении экспертизы (суд, следственный орган).
2. Соблюдение цепочки хранения (chain of custody) – документирование всех действий с объектом.
3. Гарантирование независимости и неискажённости полученных данных.
4. Подготовка заключения эксперта в соответствии с требованиями судопроизводства.

Методика проведения экспертизы мобильных устройств

В основе любой экспертизы лежит последовательность из семи стадий, подробно описанных в открытых источниках (см. Codeby.net).

Представление объекта на экспертизу

Подготовка и передача официального постановления, проверка целостности упаковки и соответствия заявленным характеристикам устройства.

Идентификация объекта

Фотографирование, фиксация модели, производителя, IMEI, серийного номера, наличия SIM‑карт и карт памяти.

Подготовка к исследованию

Сбор технической документации, подбор кабелей, драйверов и программных средств, учитывая тип ОС (Android, iOS) и наличие внешних носителей.

Изоляция объекта

Отключение всех радиочастотных модулей (Wi‑Fi, Bluetooth, сотовая связь) с помощью:

• режима «В самолёте»;
• клетки Фарадея;
• специальных изолирующих чехлов.

Это предохраняет устройство от удалённого стирания данных.

Извлечение данных

Существует пять уровней извлечения, каждый из которых даёт различный объём информации:

1. Ручное извлечение – скриншоты, фотосъёмка экрана. Подходит для быстрой проверки, но не позволяет восстановить удалённые файлы.
2. Логический уровень – подключение по USB, использование API производителя. Позволяет копировать файловую систему, но ограничен в восстановлении удалённых записей.
3. Физический уровень – побитовая копия всей внутренней памяти, дающая возможность восстановления удалённых данных. Требует обхода ограничений производителя.
4. Chip‑off – снятие микросхемы памяти и её чтение в специализированных устройствах. Применяется при физическом повреждении телефона.
5. Микроуровень – анализ микросхем и их микроскопическое исследование; используется в редких, особо сложных случаях.

Верификация полученных результатов

Сравнение хеш‑сумм, проверка целостности образов, повторное извлечение для подтверждения.

Составление заключения

Документирование всех действий, выводов и рекомендаций, подготовка отчёта, пригодного для предъявления в суд.

Инструменты и программное обеспечение

Для выполнения вышеуказанных этапов используют как коммерческие, так и бесплатные решения.

• Мобильный криминалист (разработан компанией «МКО Системы»). Позволяет извлекать данные при физическом доступе к устройству. Важно отметить, что согласно официальному заявлению Habr, данный комплекс не имеет доступа к инфраструктуре мессенджера Max и не может «взломать» приложение без физического доступа к устройству.
• «МК Эксперт» и «МК Эксперт Плюс» – наборы модулей для логического и физического извлечения, поддержка Android, iOS, Windows Phone.
• Open‑source инструменты: Autopsy, FTK Imager, ADB (Android Debug Bridge), iTunes backup parser, Volatility (для анализа памяти).
• Аппаратные решения: Cellebrite UFED, XRY, Oxygen Forensic Detective – позволяют выполнять физическое извлечение и анализ за короткое время, но требуют лицензии.

Практический кейс: опровержение слухов о взломе мессенджера Max

В марте 2026 года в сети появились сообщения о том, что программное обеспечение «Мобильный криминалист» может «взломать» Android‑версию мессенджера Max и получить доступ к учётным записям, контактам, чатам и звонкам. Центр безопасности Max официально опроверг эту информацию.

Ключевые положения официального заявления:

• «Мобильный криминалист» не имеет доступа к инфраструктуре Max и не может работать с данными без физического доступа к устройству.
• Разработчики «МКО Системы» подчёркивают, что их продукты предназначены исключительно для легитимных расследований и работают в рамках действующего законодательства.
• Получение данных возможно только при наличии физического доступа к смартфону и в случае, когда устройство находится в исследуемом состоянии (не зашифровано, не защищено паролем, либо пароль известен).

Таким образом, слухи о «взломе» Max являются фейком, а любые попытки использовать «Мобильный криминалист» для несанкционированного доступа к пользовательским данным нарушают закон.

Экспертизы по взлому – это сложный, многоуровневый процесс, требующий строгого соблюдения правовых норм и технической дисциплины. Основные рекомендации для специалистов:

1. Тщательно оформлять цепочку хранения и все этапы экспертизы.
2. Выбирать уровень извлечения в зависимости от целей расследования и доступных ресурсов.
3. Использовать проверенные инструменты, учитывая их ограничения (например, необходимость физического доступа).
4. Всегда проверять достоверность публичных заявлений и слухов – как показал пример с Max, недостоверная информация может нанести ущерб репутации компаний и вызвать правовые риски.

Список использованных источников

• Habr – «В Max опровергли информацию о взломе Android‑версии клиента мессенджера с помощью ПО «Мобильный криминалист»». URL: https://habr.com/ru/news/1011558/ (дата публикации: 18 марта 2026).
• Codeby.net – «Криминалистическая экспертиза мобильных устройств: порядок проведения». URL: https://codeby.net/threads/kriminalisticheskaya-ekspertiza-mobil-nykh-ustroistv-poryadok-provedeniya.67695/ (дата доступа: 04 апреля 2026).
• Официальные документы ФЗ № 63‑2011, № 131‑2000, Уголовный кодекс РФ.
• Техническая документация «МКО Системы» (МК Эксперт, МК Эксперт Плюс).