Смартфон сегодня — это не просто средство связи, а полноценный цифровой следователь. В руках специалистов экспертно-криминалистической службы (ЭКС) телефон превращается в источник доказательств, который способен «рассказать» о преступлении даже больше, чем свидетель или сам обвиняемый. Ниже — подробный разбор того, как именно работает ЭКС телефона, чем она отличается от обычной «цифровой разборки» и какие технологии используются на каждом этапе.

Что такое ЭКС телефона в уголовном процессе?

Экспертно-криминалистическая служба телефона — это комплексная процедура извлечения, анализа и интерпретации цифровых следов, хранящихся в мобильном устройстве. Результаты оформляются в виде экспертного заключения, которое затем приобщается к материалам уголовного дела.

• Обязательное судебное разбирательство. Исследование проводится только по постановлению следователя или определению суда.
• Квалифицированные специалисты. Работают либо сотрудники ФКУ «Главное экспертно-криминалистическое управление Следственного комитета РФ», либо аккредитованные частные лаборатории.
• Полный диапазон данных. От самого файла контактов до «обломков» удалённых сообщений и временных меток GPS.

Почему именно телефон — главный свидетель?

Локация и перемещения

Даже если владелец отключил GPS, антенные логи сотовых вышек фиксируют приблизительные координаты каждого сеанса связи. Построив тепловую карту перемещений, эксперт может:

1. Установить алгоритм движения подозреваемого.
2. Сопоставить его с маршрутами камер видеонаблюдения.
3. Опровергнуть или подтвердить алиби.

Коммуникации и контакты

Современные мессенджеры (WhatsApp, Telegram, Signal) хранят частичные следы даже после удаления чатов:

• SQLite-файлы с «мусором» в виде неперезаписанных страниц.
• Кэшированные миниатюры медиа-файлов.
• Push-уведомления, приходившие на экран (оставляют текстовые обрывки в журнале).

Метаданные медиа

Фото и видео содержат EXIF-информацию: точную дату/время, координаты, модель камеры. Это позволяет:

• Установить, где именно был снят снимок;
• Проверить, не был ли файл отретуширован.
• Сопоставить хронологию происходящего.

Этапы экспертно-криминалистического исследования телефона

Изъятие и первичная фиксация

Ключевое правило: устройство изымается в выключенном состоянии и помещается в RF-изоляционный конверт (Faraday bag). Это блокирует удалённый wipe-команды и предотвращает изменение данных.

Пример протокола:
- Дата/время изъятия
- IMEI / SN устройства
- Фото места изъятия
- Подписи понятых

Клонирование и создание цифрового дубликата

На этом этапе делается бит-ту-бит копия внутренней памяти. Для Android это:

• ISP-подключение (In-System Programming) к eMMC/UFS чипу.
• Bootloader-level дамп через Qualcomm Sahara/MTK режимы;

Для iPhone:

• Checkra1n/​palera1n эксплойт для A7–A11.
• GrayKey или Cellebrite UFED Premium для актуальных моделей.

Анализ логических и физических данных

Восстановление повреждённых или зашифрованных разделов

Используються:

• Brute-force GPU-станции для перебора пароля (hashcat, John).
• Квантовые атаки на Keychain (для старых iOS).
• Фотограмметрический анализ повреждённых eMMC, если чип физически деформирован (декапсуляция + BGA-перепайка).

Составление экспертного заключения

Документ включает:

1. Цель и задачи экспертизы (запрос следователя).
2. Использованное оборудование и ПО с версиями/хеш-суммами.
3. Методология (ISO/IEC 27037, RFC 3227).
4. Результаты: таблицы, скриншоты, тепловые карты, хронологию.

Типичные сложности и способы обхода

Защита OEM-разблокировки

Новые флагманы Samsung/Google Pixel отключают доступ к download mode без официального сервис-ключа. Решение:

• EISP (eMMC In-System Programming) через TP-площадки.
• Firehose-стоковые XML-профили от производителя.

File-Based Encryption (FBE)

В Android 10+ каждый файл шифруется своим DEKE (Device Key Encryption). Подход:

1. Извлечение KeyMaster KeyBlob из TEE.
2. Перебор PIN/пароля на сервере Tesla K80 (GPU-ускорение).

Облачные резервные копии

iCloud и Google Drive хранят шифрованные архивы. Юридический механизм — MLAT (Mutual Legal Assistance Treaty) или запрос по 40-ФЗ «О связи» к оператору.

Правовой аспект

Данные, полученные ЭКС телефона, признаются доказательствами по ст. 89 УПК РФ при условии:

• Соблюдения цепочки сохранности (chain of custody).
• Использования лицензированного ПО (ФСТЭК/ФСБ).
• Присутствия понятых при изъятии и первичном анализе.

Советы пользователям и юристам

Если вы сторонник конфиденциальности:

• Всегда используйте hardware-шифрование + длинный пароль (более ).
• Отключайте USB-отладку и OEM-разблокировку после перепрошивки.
• При задержании требуйте протокол Faraday и постановление на изъятие.

Если вы следователь/адвокат:

1. Запрашивайте не только логические дампы, но и полный физический.
2. Фиксируйте время последнего включения — важно для «альтернативных» версий.
3. Требуйте видеозапись процесса изъятия и первичного клонирования.

Будущее ЭКС телефона

К 2026 году ожидается внедрение on-device AI-аналитики, которая будет:

• Определять признаки преступлений в реальном времени.
• Автоматически отправлять цифровой след в доверенные реестры (blockchain).

Это усилит роль ЭКС-специалистов: им предстоит не только извлекать данные, но и объяснять суду логику работы алгоритмов ИИ.