В современном цифровом мире смартфон перестал быть просто средством связи. Это персональный хаб, накапливающий колоссальный объем информации: переписки, геолокацию, финансовые транзакции, биометрию, историю поиска и системные логи. Экспертиза данных телефона (часто именуемая мобильной криминалистикой или компьютерно-технической экспертизой мобильных устройств) — это специализированный вид судебной экспертизы, направленный на извлечение, анализ и интерпретацию цифровой информации с мобильных устройств для решения правовых вопросов.

В отличие от товароведческой экспертизы (оценки состояния «железа», наличия заводского брака или механических повреждений, которую предлагают организации вроде НИЦ «Столичный эксперт» по телефону *), экспертиза данных фокусируется исключительно на информационном слое устройства.

Правовая база и основания для назначения

В Российской Федерации проведение экспертизы данных телефона регламентируется:

• Федеральный закон от № 73-ФЗ «О государственной судебной экспертизе в Российской Федерации», основной закон, регулирующий статус эксперта, порядок назначения и производства экспертизы.
• УПК РФ (ст. 195–207), ГПК РФ (ст. 79–86), АПК РФ (ст. 64–70), КоАП РФ (ст. 26.2–26.3) — процессуальные кодексы, определяющие порядок назначения в уголовном, гражданском, арбитражном и административном производстве.
• ФЗ-152 «О персональных данных» и ФЗ-149 «Об информации, информационных технологиях и о защите информации — при извлечении чужой переписки, геолокации, фото/видео.
• Постановление Пленума ВС РФ от № 29 «О судебной экспертизе» — разъясняет порядок оценки судом экспертных заключений.

Основания для назначения:

1. Постановление следователя/дознавателя / определение суда (уголовное/административное дело).
2. Определение суда (гражданское/арбитражное дело).
3. Договор на проведение независимой (досудебной) экспертизы (для досудебного урегулирования, внутренних расследований, страховых споров).

Классификация задач экспертизы данных

Цели исследования делятся на несколько ключевых категорий:

Идентификационные задачи

• Установление личности владельца/пользователя устройства (по учетным записям Google/Apple ID, SIM-карте, биометрии, логам входа).
• Идентификация конкретного устройства как источника данных (по IMEI, MAC-адресам, серийным номерам в бэкапах).
• Связка нескольких устройств в единую экосистему пользователя (телефон + планшет + часы + облако).

Диагностические задачи (анализ содержимого и событий)

• Восстановление удаленной информации: SMS, MMS, переписки в мессенджерах (WhatsApp, Telegram, Viber, Signal), истории звонков, контактов, заметок, календаря.
• Анализ геолокации: восстановление истории перемещений (Google Timeline, Significant Locations iOS, кэш карт, EXIF фото, логи базовых станций из модемного лога).
• Хронология событий: восстановление таймлайна активности пользователя (разблокировки экрана, запуск приложений, подключение к Wi-Fi/Bluetooth, зарядка, режим полета).
• Анализ интернет-активности: история браузеров, закладки, кэш, куки, сессии авторизации, скачанные файлы.
• Финансовые операции: логи банковских приложений, СБП, NFC-платежи, криптокошельки.
• Поиск артефактов вредоносного ПО: следы шпионского ПО (Stalkerware), троянов, руткитов, следы удаленного управления (RAT).

Классификационные и ситуационные задачи

• Определение способа получения доступа к данным (взлом, социальная инженерия, уязвимость ОС).
• Установление факта подделки/подтасовки цифровых доказательств (анализ метаданных, хешей, структуры БД SQLite на предмет редактирования).
• Проверка соответствия ПО лицензионным требованиям / наличию запрещенного контента.

Объекты исследования: что изучает эксперт

Современная экспертиза данных не ограничивается только корпусом телефона.

Методология и этапы проведения экспертизы

Процесс строго стандартизирован для обеспечения приемлемости доказательств в суде (принцип Forensic Soundness, доказательная ценность).

Этап 1: Обеспечение сохранности и идентификация (Seizure & Identification)

• Изъятие по протоколу: Описание внешнего состояния, модели (Settings -> About), IMEI (на корпусе, в меню, на коробке), серийного номера.
• Изоляция от сети: Немедленное включение режима «Самолет» или помещение в фарадейевский мешок/коробку. Критично для предотвращения удаленного стирания (Remote Wipe), получения новых уведомлений (перезапись логов) и синхронизации.
• Сохранение питания: Если телефон включен, держать заряженным (порт зарядки / беспроводная зарядка), чтобы не потерять данные ОЗУ и ключи шифрования из Keychain/Keystore. Если выключен, НЕ ВКЛЮЧАТЬ без эксперта.
• Фиксация хешей: Расчет SHA-256/MD5 для всех извлекаемых образов (images) сразу после получения.

Этап 2: Извлечение данных (Acquisition), от простого к сложному

1. Логическое извлечение (Logical / File System): Через ADB (Android), AFC / lockdown (iOS), MTP. Доступно только то, что дает ОС пользователю/приложениям. Не дает удаленных данных, ключей, системных логов.
2. Файловое извлечение (File System / Full File System): Требует root (Android) или jailbreak/checkm8 (iOS). Дает доступ ко всей файловой системе: базы данных SQLite приложений, системные логи (logcat, unified logs), кэш, ключи шифрования.
3. Физическое извлечение (Physical / Bit-for-bit): Побитовый образ NAND-памяти (eMMC/UFS).
   • Android: EDL Mode (Emergency Download), Fastboot OEM unlock, эксплойты (CVE), ISP (In-System Programming, паяние к тестовым точкам на плате), Chip-Off (снятие чипа памяти).
   • iOS: checkm8 (checkra1n/palera1n) для A5-A11 (iPhone 5s–X), BFU (Before First Unlock) / AFU (After First Unlock) извлечение через AFC2 на джейлбрейке.

   Главное преимущество: возможность восстановления удаленных файлов (carving) и анализ незаписанного пространства (slack space).

Этап 3: Анализ и обработка (Analysis & Processing)

• Парсинг баз данных: SQLite (contacts2.db, mmssms.db, calllog.db, сообщения мессенджеров). Восстановление удаленных записей через анализ freelist pages / WAL-файлов (Write-Ahead Logging).
• Декодирование протоколов: Протобуфы (Protobuf) в WhatsApp/Telegram, специфические форматы Signal (SQLCipher), Viber.
• Криптоанализ: Расшифровка зашифрованных контейнеров (File-Based Encryption Android, Data Protection iOS) с использованием извлеченных ключей (class keys, KEK) или брутфорса пароля (если слабый и позволяет политика попыток).
• Timeline Analysis (Super Timeline): Корреляция событий из разных источников (файловая система, логи ОС, базы приложений, геолокация) в единую хронологию.
• Анализ артефактов злогоумышленника: Поиск индикаторов компрометации (IOC): неизвестные профили конфигурации (MDM/VPN), скрытые приложения, доступы к доступности (Accessibility Services), подписки на системные события.

Этап 4: Формирование экспертного заключения

Согласно ст. 25-26 ФЗ-73 и ст. 204 УПК РФ, заключение должно содержать:

• Реквизиты экспертизы (номер, дата, место, основание, кем назначена).
• Сведения об эксперте (образование, квалификация, стаж, отсутствие заинтересованности).
• Описание объектов исследования (модель, IMEI, S/N, хеш-суммы образов *).
• Описание используемой методики, ПО (версии), оборудования.
• Ход исследования (что делалось, какие барьеры преодолевались).
• Ответы на поставленные вопросы (категоричные, вероятностные или «невозможно установить» с обоснованием).

Программно-аппаратные комплексы (Инструментарий эксперта)

Профессиональная экспертиза немыслима без сертифицированных комплексов. Использование «подручных средств» (ADB pull, iTunes backup) без верификации хешей и блокировки записи недопустимо для суда.

• Cellebrite UFED (Universal Forensic Extraction Device) + Physical Analyzer: Золотой стандарт индустрии. Поддержка наибольшего числа моделей, эксплойты, парсинг приложений, облачные модули.
• Magnet AXIOM / AXIOM Cyber: Мощнейший парсинг артефактов, искусственный интеллект (Magnet.AI) для поиска CSAM, груминга, финансового мошенничества. Отличная работа с облаками и компьютерами.
• Oxygen Forensic Detective: Лидер по извлечению данных из облаков (iCloud, Google, Huawei, Xiaomi, Samsung, Telegram, WhatsApp бэкапы) и парсингу джейлбрейкнутых/рутованных устройств. Удобный KeyScout для ПК.
• MSAB XRY / XAMN: Сильный на физическом извлечении (ISP, Chip-Off, EDL), работа с дронами, IoT, умными часами.
• Belkasoft Evidence Center (Belkasoft X): Отличный парсинг мессенджеров, браузеров, восстановление удаленного, анализ RAM-дампов.
• Open Source / Free: Autopsy / The Sleuth Kit (анализ образов), iLEAPP / ALEAPP (Python-скрипты для парсинга iOS/Android логов), SQLite Browser, Plist Viewer, Android Backup Extractor. Используются для верификации или в бюджетных проектах.

Аппаратное обеспечение: Фарадейевские камеры/мешки (Ramsey, Disklabs), станции паяния/ISP (Z3X, EasyJTAG, MedusaPro), микроскопы для Chip-Off, блокираторы записи (Write Blockers) для SD/USB, серверы для брутфорса паролей (Hashcat, Elcomsoft Distributed Password Recovery).

Ключевые вызовы современной экспертизы (2024–2026 гг.)

Полнодисковое шифрование (FBE / FDE / Data Protection)

На современных Android (10+) и iOS (8+) данные зашифрованы аппаратно. Ключи привязаны к паролю пользователя и аппаратному UID (Unique ID) в Secure Enclave / TEE. Без пароля (или биометрии, если AFU) физический образ — это набор бессмысленных байтов. Обход возможен только: через эксплойты (checkm8, EDL, CVE), зная пароль, или в состоянии AFU (After First Unlock — телефон разблокирован хоть раз после загрузки).

Lockdown Mode (iOS 16+) и Advanced Protection (Google)

Режимы усиленной защиты блокируют большинство векторов атаки: USB-доступ в заблокированном состоянии, сложные форматы сообщений, веб-шрифты, JIT-компиляцию. Это делает извлечение данных с запертых устройств практически невозможным без пароля.

Шифрование мессенджеров (E2EE)

WhatsApp, Signal, Telegram (Secret Chats), Threema, Session используют протокол Signal (Double Ratchet). Ключи хранятся только на устройстве. Даже имея физический образ, прочитать переписку можно только если извлечены ключи из Keychain/Keystore (требует разблокировки) или если анализируется уязвимая версия приложения/ОС.

Антифорензика и самоуничтожение

Приложения-«убийцы» данных (Duress apps), функции «Стереть данные после N неудачных попыток», скрытые контейнеры (Island, Shelter, Secure Folder, Private Space Android 15), таймеры автоудаления сообщений в Telegram/Signal/WhatsApp.

Облачная юрисдикция и 2FA

Доступ к iCloud/Google Account требует логина/пароля + 2FA (SMS, промокод, доверенное устройство). Юридический запрос в Apple/Google (MLAT / запрос прокурора) занимает месяцы. Досудебный доступ возможен только с согласия владельца учетной записи.

Типовые вопросы, решаемые экспертизой данных (Примеры для постановки)

1. Содержит ли устройство информацию, относящуюся к делу № (переписку с Н., фото договора, геолокацию в дату )?
2. Были ли удалены с устройства файлы/сообщения/звонки, имеющие значение для дела? Если да — когда, каким способом и возможно ли восстановление?
3. Каково местоположение абонента в период с по согласно данным GPS/GLONASS, Wi-Fi позиционирования, данных базовых станций (CDR/модемные логи)?
4. Установлено ли на устройстве ПО для удаленного доступа/шпионажа (Stalkerware, RAT, MDM-профили без ведома пользователя)?
5. Соответствует ли содержимое предоставленного скриншота/печати оригиналу на устройстве (признаки редактирования, фотошопа, подмены системного времени)?
6. Какие действия совершал пользователь с файлом * (создание, редактирование, отправка, удаление, печать) и когда?
7. Было ли устройство скомпрометировано (взломано) в период с по ? Каков вектор атаки?

Выбор экспертного учреждения и эксперта: на что обратить внимание

Рынок услуг перенасыщен предложениями. К сожалению, многие организации, позиционирующие себя как экспертные (например, те, что рекламируют «товароведческую экспертизу телефонов» по телефону *), не имеют компетенций и лицензий на компьютерно-техническую экспертизу (КТЭ) или криминалистическую экспертизу компьютерной информации.

Чек-лист надежности:

• Аккредитация/Лицензия: Наличие в реестре аккредитованных организаций (для судебной экспертизы) или членство в СРО экспертов. Направление: «Компьютерно-техническая экспертиза» / «Криминалистическая экспертиза компьютерной информации». Товароведческая экспертиза НЕ подходит для анализа данных.
• Квалификация эксперта: Диплом высшего технического профиля, курсы повышения квалификации (ФСЭ, МВД, ФСБ, коммерческие центры: Cellebrite CMFF/CMEA, Magnet AXIOM Examiner, Oxygen Forensic Certified Examiner, EnCE, GCFA). Опыт выноса заключений в конкретные суды.
• Лабораторная база: Наличие фарадейевской камеры, станций ISP/Chip-Off, лицензий на актуальные версии UFED, AXIOM, Oxygen, Belkasoft. Спросите: «Какие версии ПО используете? Есть ли лицензия на Physical Analyzer / AXIOM Cyber?»
• Методички: Наличие собственных утвержденных методик проведения исследований (согласно ГОСТ Р 70352-2022 / ISO 17025).
• Портфолио/Рецензии: Готовность предоставить анонимизированные образцы заключений или рецензии на чужые заключения.
• Цена и сроки: Адекватные рыночным. Слишком дешево ( руб.) и быстро (1 день) — признак некачественной работы (сделают только логический бэкап без анализа). Сложная физическая экспертиза iPhone 14 Pro / Samsung S24 Ultra с обходом блокировки стоит руб. и занимает 10–30 рабочих дней.

Досудебная (независимая) экспертиза: стратегия и риски

Часто стороны заказывают экспертизу до суда для оценки перспектив или предъявления претензии.

• Плюсы: Инициатива в выборе эксперта, возможность подготовить позицию, использование для переговоров/медиации.
• Риски: Суд может не принять заключение, если нарушена процедура изъятия (нет протокола, не обеспечена цепочка хранения — Chain of Custody), эксперт неаккредитован, или вопросы поставлены некорректно.
• Рекомендация: Проводить досудебную экспертизу по тем же стандартам, что и судебную: протокол осмотра/изъятия с привлечением понятых/нотариуса, фото/видеофиксация, пломбирование, расчет хешей, передача в лабу с цепочкой хранения. Только так заключение станет доказательством по ст. 55 ГПК РФ / ст. 84 УПК РФ.

Перспективы развития: AI, IoT и Post-Quantum

• ИИ в анализе: Автоматическая классификация контента (CSAM, экстремизм, мошенничество), кластеризация переписок, выявление аномалий в поведении пользователя (Magnet.AI, Cellebrite Pathfinder, Nuix).
• Расширение периметра: Экспертиза не «телефона», а «цифровой личности»: умные часы (Apple Watch, WearOS — пульс, сон, падения, Apple Pay), умные колонки, авто (Android Automotive, CarPlay), VR/AR очки, трекеры (AirTag, SmartTag).
• Post-Quantum Cryptography (PQC): Переход на ML-KEM (Kyber) в TLS 1;3, iMessage PQ3, Signal PQXDH. В будущем это усложнит расшифровку перехваченного трафика, но на устройстве ключи всё равно должны храниться в доступном виде.
• Lockdown / Advanced Protection по умолчанию: Тренд на «безопасность по умолчанию» делает форензику запертых устройств всё более сложной, смещая фокус на облачную форензику и анализ уязвимостей цепочки поставок (Supply Chain).

Экспертиза данных телефона, это высокотехнологичный, наукоемкий процесс, требующий глубоких знаний архитектуры ОС (iOS/iPadOS, Android, GrapheneOS), криптографии, файловых систем (APFS, F2FS, ext4), протоколов приложений и судебного процесса. Она кардинально отличается от проверки качества сборки или наличия дефектов экрана.

Ключ к успеху — правильное изъятие и сохранность оригинала (Chain of Custody) и компетентность эксперта, способного не просто нажать кнопку «Extract» в UFED, а интерпретировать артефакты: отличить системный лог от действия пользователя, понять, почему сообщение «удалено» но видно в WAL-файле, и объяснить суду, что значит «AFU state» для возможности расшифровки.

При выборе подрядчика не экономьте на квалификации. Ошибка на этапе извлечения (перезапись ОЗУ, сброс счетчика попыток пароля, утечка данных в сеть) необратима. Доверяйте исследование только аккредитованным лабораториям с профильным направлением «Компьютерно-техническая экспертиза» и сертифицированными экспертами (CMFF, CMEA, AXIOM Examiner, OFCE, EnCE).

Дата актуализации статьи: . Информация носит справочный характер. Для решения конкретных правовых вопросов обратитесь к квалифицированному судебному эксперту или адвокату.