Компьютерная
криминалистика

Цифровая форензика превращает самоуверенность людей, нажавших кнопку «Удалить для всех», в разбитые иллюзии и проигранные миллионы. За годы в расследованиях я видел десятки персонажей, искренне веривших, что очищенный диалог хоронит тайну навсегда.

Но когда на кону раздел имущества, опека над детьми или скрытые криптокошельки, в игру вступает криминалистический анализ. Ниже – разбор того, почему удаление переписки не спасает, где именно прячутся цифровые следы и как этот массив данных превращается в судебный приговор.

Иллюзия чистой кнопки: почему данные не исчезают

Большинство обывателей представляют удаление файла как физическое сжигание бумаги. В архитектуре современных операционных систем (iOS, Android, Windows, macOS) это устроено иначе.

Когда вы нажимаете «Удалить», система делает лишь одну вещь: меняет статус записи в таблице размещения или служебной базе данных на free (свободно для перезаписи). Сами байты никуда не деваются. Они остаются в микросхемах флеш-памяти ровно до тех пор, пока поверх них не ляжет свежий мем с котиком или обновление прошивки.

Если устройство не забили терабайтами случайного мусора сразу после удаления, извлечь исходный текст – вопрос базовой криминалистической техники.

Где форензик находит «похороненные» улики

Даже если пользователь параноидально зачистил основной чат, экосистема современных девайсов работает против него. Переписка дублируется в десятках мест, о существовании которых дилетанты даже не догадываются:

• SQLite и WAL-файлы. Telegram, и Signal используют базы данных SQLite. При удалении сообщения оно исчезает из основного интерфейса, но остается в журналах упреждающей записи (.wal и .shm), откуда эксперт вытаскивает сырые строки без малейших усилий.
• Фрагменты оперативной памяти и Swap. Закрыли приложение? Отлично, но до перезагрузки куски открытых чатов, пароли и токены сессий оседают в pagefile, swap или дампе RAM.
• Кэш миниатюр и превью. Человек стёр компрометирующее фото из чата, но забыл про кэш предпросмотра операционной системы. Миниатюра (thumbnail) лежит в изолированной системной директории, намертво привязанная к дате создания.
• Локальные и облачные бэкапы. Автоматическая синхронизация с iCloud, Google Drive или локальной копией iTunes сохраняет snapshot устройства за вчерашний день, когда переписка еще цвела и пахла.
• Уведомления и системные логи. Пуши от мессенджеров логируются службами уведомлений (Notification Center / Android Notification Listener), сохраняя превью текста даже после уничтожения исходного сообщения.

Как это работает в реальных разводах

В бракоразводных баталиях форензика применяется по двум главным направлениям: деньги и репутация.

text[Подозрение на вывод активов] 
             │
             ▼
[Изъятие / законный доступ к носителю] 
             │
             ▼
[Побитовый образ (Bit-stream Image) + Хеш SHA-256] 
             │
             ▼
[Парсинг артефактов: SQLite, кэш, геометки, транзакции] 
             │
             ▼
[Экспертное заключение для суда]

Типичный сценарий: супруг заявляет, что его бизнес прогорел, а денег на счетах нет. Форензик снимает образ с домашнего планшета или рабочего ноутбука, оставленного в квартире, и вытаскивает удаленную переписку годовой давности.

В ней фигурируют покупка USDT, перевод коммерческой недвижимости на подставного родственника и бронь отеля на Мальдивах с новой пассией. При грамотной подаче судья видит не просто «слова обиженной стороны», а заверенный технический таймлайн с метаданными: кто, кому, когда и с какого IP-адреса отправил указания юристам.

Судебная допустимость: грань между победой и уголовной статьёй

Найти данные – это только половина дела. Вторая половина – сделать так, чтобы судья приобщил их к материалам, а не отправил инициатора под суд по статье о нарушении тайны переписки или неправомерном доступе к информации.

Если вы тайком установили на телефон партнера шпионское ПО или взломали его облако через фишинг, поздравляю: в суде эти данные будут отклонены, а вам придется объясняться со следователем. Легальный форензик работает строго с носителями, находящимися в правовом поле, либо по судебному запросу.

Финал иллюзий

Запомните железное правило: цифровой мир не забывает ничего, пока физический носитель не прошел через измельчитель или печь. Любая попытка скрыть активы или неверность через кнопку «удалить чат» – это русская рулетка с криминалистическим софтом.

Поэтому не повторяйте чужих ошибок: не пытайтесь самостоятельно ломать чужие устройства (это чревато статьями УК РФ) и не надейтесь, что ваши удаленные сообщения растворились в эфире без следа. В суде говорит не память свидетелей, а контрольная сумма дампов.

Натянуть балаклаву и надвинуть капюшон – излюбленный трюк дилетантов, свято верящих в собственную анонимность. Однако современная форензика вычисляет фигуранта даже с наглухо закрытым лицом благодаря неизменным анатомическим пропорциям и уникальной биомеханике движения.

Геометрия скелета против балаклавы

Лицо можно спрятать, но собственный скелет никуда не денешь. Отношение длины бедра к голени, размах плеч относительно роста и высота тазобедренного сустава формируют неизменную геометрическую матрицу. Эксперты-габитоскописты накладывают на силуэт параметрические трехмерные каркасы, вытягивая костные ориентиры из-под любого мешковатого худи.

Даже тяжелая зимняя куртка не способна обмануть фотограмметрию. При ходьбе ткань неизбежно натягивается в точках локтевых и коленных сочленений, обнажая шарнирные узлы. Отслеживание этих ориентиров на ключевых фазах движения восстанавливает костную структуру с погрешностью до миллиметров.

Кинематика походки и динамика

Человеческая походка столь же индивидуальна, как отпечаток пальца. Алгоритмы компьютерного зрения разбирают оптический поток на составляющие векторы и отслеживают маятниковые колебания центра масс. Человек способен контролировать походку первые тридцать шагов, после чего мозжечок неизбежно возвращает тело к врожденной двигательной автоматике.

Криминалистический анализ динамики опирается на ряд устойчивых параметров:

• Период и фазовый темп одиночного цикла шага.
• Динамические углы между бедром, голенью и стопой в фазе отталкивания.
• Траектория вертикального смещения плечевого пояса относительно таза.
• Индивидуальный угол разворота стоп при постановке ноги.

Сравнение методов деанонимизации

Ловушки оптики и дисторсии

Главный враг эксперта при исследовании записей наружного наблюдения – оптическая дисторсия. Бюджетные объективы купольных камер растягивают пространство по краям кадра, искажая реальные соотношения длины конечностей и визуальный рост.

Любое доказательное исследование требует обязательной пространственной калибровки. Эксперт выезжает на локацию, снимает геометрические параметры сцены лазерным дальномером и математически компенсирует кривизну линзы. Без точного воссоздания фокусного расстояния и высоты подвеса камеры выводы рассыпаются при первом же вопросе в зале суда.

Доказательная база для суда

В криминалистике антропометрия без лица редко выносится в категорический вывод в качестве единственной улики. Однако в составе комплексной портретно-видеотехнической экспертизы она образует железобетонную цепь доказательств. Совпадение комплекса скелетных индексов и кинематического профиля отсекает любые случайные совпадения.

Попытки собрать подобный анализ на коленке с помощью бесплатных скриптов из сети обычно разбиваются о неучтенный ракурс и артефакты сжатия видеопотока. Не повторяйте это дома без калибровочной аппаратуры: я серьезно, превращение пикселей в юридический факт требует беспощадной математики, а не веры в технологии.

Спутниковый снимок – это не «картинка из Гугла». Это документ с датой, разрешением, углом съёмки и тенями, и по нему можно установить факты. Если вы умеете его читать, это доказательство. Если не умеете, это красивые обои. Не повторяйте это дома в серых зонах, я серьёзно: работаем только с открытыми данными.

Зачем это нужно

GEOINT (геопространственная разведка) входит в OSINT. Он анализирует спутниковые снимки, панорамы Street View, Яндекс Карты и Mapillary, и по ним можно найти физическое расположение объектов инфраструктуры. Снимки бывают оптические, инфракрасные и радиодиапазонные, и получить их можно в один клик. Их используют в расследованиях, в проверке новостей и в анализе конфликтов. В открытых материалах о современных конфликтах спутниковые снимки названы среди источников, которые могут выдавать расположение войск.

Инструментарий

• Sentinel Hub / EO Browser. Бесплатный таймлапс между двумя датами. Есть кастомные скрипты визуализации, например подсветка пожаров и разрушений, и индекс влажности.
• Google Earth и Яндекс Карты. Исторические снимки и быстрая привязка к местности.
• SunCalc. Определяет время съёмки по положению теней.
• Wikimapia и OpenStreetMap. Подписи объектов и контекст.
• Mapillary и Street View. Наземная сверка того, что вы увидели сверху.
• Обратный поиск изображений и EXIF. Проверка сопутствующих фото и видео.

Методика в пять шагов

1. Цель. Сформулируйте гипотезу: «здесь построили объект между июлем и октябрём», а не «посмотрю, что там».
2. Сбор. Возьмите снимки за несколько дат из разных источников. Один источник ничего не доказывает.
3. Анализ изменений. Сравнивайте до и после. Ищите новые дороги, техника, котлованы, выгоревшие участки, изменение береговой линии.
4. Хронолокация. Тени, состояние растительности, снег и уровень воды дают время съёмки. Проверяйте это в SunCalc.
5. Верификация и документирование. Перекрёстно проверяйте данные и фиксируйте источник, время сбора и методы, чтобы результат можно было воспроизвести. Одна находка – ещё не истина.

Типичные ошибки

• Снимок старее, чем вы думаете. На картографических сервисах он может быть многомесячным. Всегда смотрите дату.
• Тени и дата. Не совпали с заявленным временем – разбирайтесь, а не подгоняйте.
• Облака, ракурс и разрешение. Из-за них «техника» легко превращается в кучу камней.
• Предвзятость подтверждения. Вы ищете доказательства своей версии и видите их даже там, где их нет.
• Пропущенный контекст. Один снимок без наземных подтверждений (фото, видео, документы) слаб.

Этика и закон

OSINT законен, пока вы не нарушаете границы Уголовного кодекса РФ и не получаете несанкционированный доступ к закрытым системам. Разглядывать чужой забор можно. Использовать результат для слежки за конкретным человеком или для навредивших действий нельзя. Публикуя расследование, взвешивайте риски для людей на снимке и не выдавайте точные координаты объектов, где это может кому-то навредить.

Пример кейса: в материале на Хабре разбирают Мьянму. Таймлапс в EO Browser показывает, как населённые пункты уничтожались, а на их месте возводились новые объекты. Достаточно бесплатной регистрации и двух дат.