Дата актуализации:
Кто такой мобильный криминалист-эксперт
Мобильный криминалист-эксперт, это специалист, который проводит комплексную цифровую экспертизу мобильных устройств (смартфонов, планшетов, фитнес-браслетов и дронов) с целью:
- извлечения, сохранения и анализа данных;
- установления фактов цифровых происшествий;
- подготовки результатов в виде допустимых доказательств для суда.
Правовые и организационные основания
2.1 Законодательство и нормативы
- УПК РФ ст. 195–201 — назначение экспертизы следователем или судом.
- ГОСТ Р ISO/IEC 27037:2016 — «Информационная безопасность. Руководящие указания по идентификации, сбору, получению и сохранению цифровых доказательств».
- ГОСТ R 56939-2016 — «Электронные доказательства. Требования к методам и средствам извлечения».
2.2 Основания для проведения экспертизы
- Постановление следователя о назначении судебной экспертизы.
- Ходатайство стороны в гражданском процессе.
- Договор с независимым экспертом (Федерация судебных экспертов, МГБТЭ, ЦНЭ «АСПЕКТ»).
Инструментарий эксперта
| Инструмент | Назначение | Особенности |
|---|---|---|
| UFED Premium (Cellebrite) | Извлечение данных на физическом и логическом уровнях | Поддержка 95 % моделей, включая iOS 18 и Android 16 |
| MSAB XRY | Криминалистический анализ, генерация отчётов для суда | Сертификация Европола и ФСТЭК |
| «Мобильный Криминалист Эксперт Плюс» | Российский ПО для взлома iPhone, Huawei, Samsung, облачных сервисов | Восстановление удалённых данных, доступ к резервным копиям iCloud/Google |
| Oxygen Detective Suite | Глубокий парсинг мессенджеров (Signal, Telegram, WhatsApp) | Расшифровка чатов даже после удаления |
Этапы экспертизы: пошаговая инструкция
Этап 1. Приём объекта и оформление
- Акт приёма-передачи (форма № 1-Э).
- Фотофиксация внешнего вида, IMEI/MEID, серийных номеров.
- Запечатывание в антистатичный конверт с нарушением к которому вскрытие фиксируется на видео.
Этап 2. Идентификация и первичная диагностика
- Проверка работоспособности (включение, заряд, экран).
- Анализ индикаторов температуры и влажности (встроенные датчики).
- Фиксация версии ПО, даты последнего обновления, уровня разряда.
Этап 3. Изоляция и защита от дистанционного стирания
- Включение в фарадеевскую камеру или «рукав-консервацию».
- Отключение всех радиоканалов (Airplane Mode + Faraday bag).
- Снятие SIM- и карты памяти в присутствии понятых.
Этап 4. Извлечение данных
4.1 Логическое извлечение
Позволяет получить доступ к файловой системе без вмешательства в NAND-память.
- Резервные копии iTunes (iOS).
- ADB backup (Android).
- Экспорт через протоколы MTP/PTP.
4.2 Физическое извлечение
Требует разбора корпуса и пайки/подключения к test-points.
- ISP (In-System Programming) — чтение eMMC/eUFS чипа напрямую.
- JTAG — подключение к отладочным портам SoC.
- Chip-off, полное выпаяние чипа памяти и чтение на программаторе.
4.3 Ручное извлечение
Фотографирование или скриншоты экрана при включённом устройстве.
Этап 5. Анализ и интерпретация
- Восстановление удалённых SMS, чатов, фотографий.
- Геолокация по кэшу BTS, GPS-трекам.
- Поиск следов специализированных программ (баллистические калькуляторы, взломные утилиты).
- Проверка стеганографии (встроенные изображения/аудио).
Оформление заключения эксперта
5.1 Обязательные части акта
- Вводная часть: сведения о назначившем органе, дата, № дела.
- Исследуемый объект: модель, IMEI, версия ПО.
- Методика: перечень ПО/оборудования, стандарты (ГОСТ ISO/IEC 27037).
- Результаты: хеш-суммы (MD5/SHA-256), цепочка сохранности цифровых копий.
- Приложения: DVD/Blu-ray с образом, отчёт в PDF/A, подпись ЭЦП эксперта.
5.2 Требования к формату цифровых носителей
- Файлы образов — формат E01/DD (Encase).
- Отчёты — PDF/A-2b (долговременное хранение).
- Цепочка сохранности оформляется в Case Management-системе (Autopsy, X-Ways).
Типовые ошибки и как их избежать
| Ошибка | Последствие | Профилактика |
|---|---|---|
| Отключение телефона без Faraday-блокировки | Удаление данных по команде Find My/MDM | Немедленная изоляция сигнала |
| Работа без создания контрольной копии | Недопустимость доказательств | Bit-wise clone до первого анализа |
| Использование несертифицированного ПО | Оспаривание в суде | Только аккредитованные инструменты (FSTEC/Европол) |
Примеры из практики
Пример 1: Хищение коммерческой тайны через WhatsApp
- Объект: iPhone 14 Pro, iOS 17.3.
- Метод: Через UFED Premium получен логический образ, восстановлены удалённые чаты и аудио-записи.
- Результат: 27 МБ документов переданы конкуренту, фиксация — отчёт № 15/26 от . Признан доказательством судом.
Пример 2: Расчёт взрывного устройства в приложении-калькуляторе
- Объект: Xiaomi Redmi 12, Android 15.
- Особенность: Приложение скрыто под иконкой «Калькулятор»; проведён полный JTAG-доступ.
- Результат: Найдены точки закладки и вес тротила. Данные переданы СК РФ.
Сроки и стоимость (российский рынок на 2026 г.)
- Экспресс-логика (до 256 ГБ) — 1–2 дня, от 15 000 ₽.
- Физическое извлечение + восстановление — 5–10 дней, 40 000–90 000 ₽.
- Chip-off + пароль — до 20 дней, от 120 000 ₽.
Контрольный чек-лист эксперта
- У меня есть постановление/договор и акт приёма?
- Создана ли bit-wise копия и рассчитаны MD5/SHA-256?
- Устройство изолировано от сети (Faraday bag + RF-кейс)?
- Используются только сертифицированные инструменты?
- Цепочка сохранности оформлена в Case Management-системе?
- Отчёт подписан ЭЦП и сохранён в PDF/A?
Соблюдая вышеизложенную инструкцию, мобильный криминалист-эсперт обеспечивает:
- Юридическую допустимость — соответствие ГОСТ, УПК, ISO/IEC 27037.
- Техническую полноту — извлечение максимального объёма данных.
- Процессуальную защиту — исключение оспаривания результатов.
Важно! Любое отклонение от процедуры может привести к недопустимости цифровых улик. Используйте только проверенные инструменты и следуйте стандартам.
© 2026 — Справочный материал для мобильных криминалистов-экспертов. Обновляется ежеквартально.