Информация на изъятом компьютере во время экспертизы меняться не должна: эксперт не загружает с него систему, а подключает диск через блокиратор записи и работает с точной копией. Совпадение контрольных сумм — цифровых отпечатков копии и диска — показывает, что копия точная. Менялся ли диск до копирования, видно по сумме, посчитанной при изъятии, или по журналам компьютера.
Обычное включение меняет многое: система пишет журналы, обновляет отметки времени, может поставить обновления. Блокиратор записи — устройство, которое пропускает чтение и не пропускает запись. С диска снимают побитовую копию и считают контрольную сумму — строку, которая меняется, если изменить хотя бы один байт. Сумму записывают в заключение, и любая сторона может пересчитать её на копии.
Но сумма эксперта говорит лишь о том, что копия равна диску в день копирования. Промежуток после изъятия закрывает только сумма из протокола изъятия или журналы компьютера.
С телефонами сложнее: данные часто извлекают из включённого устройства, и часть служебных записей меняется. Тогда эксперт описывает, какие действия выполнил и что они затронули.
Что проверить в заключении
- указаны ли контрольные суммы диска и копии и совпадают ли они;
- считали ли сумму при изъятии и совпадает ли она с суммой эксперта;
- описано ли, как подключали носитель и чем защищали его от записи;
- нет ли в журналах загрузок системы после даты изъятия;
- целы ли упаковка и печати, описанные в протоколе изъятия.
Необъяснённое включение после изъятия — повод вызвать эксперта в суд для пояснений.
Электронные носители по уголовному делу изымают с участием специалиста, и законный владелец вправе попросить скопировать информацию на свои носители, если это не помешает расследованию и не грозит утратой информации (ч. 2 ст. 164.1 УПК РФ). С такой копией потом можно сравнить то, что исследовал эксперт.
Подозреваемый, обвиняемый и потерпевший, сами или через защитника и представителя, могут прочитать постановление об экспертизе и попросить добавить вопрос: вносились ли изменения в информацию на носителе после даты изъятия.
Из нашей практики
К нам обращались с USB-накопителем: нужно было выяснить временные атрибуты файлов, согласуются ли внутренние метаданные документов с данными файловой системы и нет ли признаков редактирования PDF после создания. Специалист работал с побитовой копией накопителя и рассчитал контрольные суммы, чтобы любое последующее изменение было заметно. Разбор: метаданные и признаки монтажа файлов.
Юристу: ч. 2 ст. 164.1, ст. 198 УПК РФ; ст. 16 закона № 73-ФЗ — объекты не изменяют существенно без разрешения назначившего экспертизу; ГОСТ Р ИСО/МЭК 27037-2014 — работа с цифровыми доказательствами.
Читайте также
- Экспертиза ноутбука и компьютера
- Информационно-компьютерная экспертиза
- Можно ли установить подписание электронной подписью задним числом
Похожие вопросы
- Можно ли установить, что документ подписали электронной подписью задним числом?
- Можно ли вызвать эксперта в суд, чтобы он пояснил своё заключение?
- Что делать, если владелец телефона отказывается дать его для экспертизы?
Актуализировано 30.10.2026