Процесс раскрытия и расследования преступлений по своему содержанию представляет собой систему последовательно осуществляемых в порядке, определенном законом, процессуальных, в том числе следственных, действий, направленных на собирание, исследование и использование доказательств. Источниками доказательств являются следы преступлений во всем их разнообразии. В криминалистике принято различать материальные и идеальные следы, соответственно дифференцируются и следственные действия, направленные на получение или собирание криминалистически значимой (доказательственной и розыскной) информации:

материально отображаемой (осмотр, обыск, выемка, освидетельствование);

вербальной (допрос, очная ставка, контроль и запись переговоров);

в) смешанной (следственный эксперимент, проверка показаний на месте и т.п.).

Природа следов преступлений и механизм их отображения обусловливают организационные и тактические особенности производства соответствующих следственных действий в целях их собирания, исследования и использования. Разнообразие возникающих при этом задач предопределяется разнообразием, с одной стороны, сфер преступной деятельности, видов преступлений, способов и средств их совершения, а с другой - возникающих при их расследовании следственных ситуаций, разрешение которых объективно обусловливает необходимость производства различных следственных действий с использованием помощи специалистов.

Все следственные действия различаются по целям, задачам, тактическим приемам, используемым при их производстве специальным знаниям и техническим средствам, но практически всегда осуществляются в рамках определенного алгоритма действий, определяющего содержание их подготовительного, рабочего и заключительного этапов. Участие специалистов характерно для каждого из этих этапов, разумеется, с учетом названных видов следственных действий. Например, те из них, которые направлены на получение материально отображаемой информации, в большей мере характеризуются применением средств криминалистической техники и использованием помощи специалистов-криминалистов.

На подготовительном этапе специалист принимает участие в обсуждении (анализе и оценке) имеющейся информации об обстоятельствах преступления, предопределяющих необходимость производства соответствующего следственного действия с его участием; высказывает суждения о тактических приемах, о целесообразности привлечения других специалистов и использования технических средств; проверяет готовность таких средств к применению.

Рабочий этап осуществляется под руководством следователя и характеризуется согласованностью с ним всех действий специалиста. Однако это не исключает инициативы последнего в выборе технических средств и приемов их применения в целях обнаружения, фиксации и изъятия следов преступлений. Причем специалист при этом не подменяет следователя, а выступает в качестве его помощника, хотя на практике этот вопрос решается не так однозначно, многое зависит от их опыта и профессионализма.

На заключительном этапе производства следственного действия специалист помогает следователю описать в протоколе выявленные с его участием следы преступлений, процесс и результаты применения в этих целях технических средств; оказывает содействие следователю в изъятии и упаковке следов преступлений и иных важных для следствия объектов, соблюдая при этом меры предосторожности, обеспечивающие их сохранность и своевременное направление на исследование.

По изученным нами уголовным делам во всех без исключения случаях следователи, решая вопрос о привлечении специалиста для участия в следственных действиях, руководствовались принципами необходимости и практической целесообразности, учитывая и фактические, и процессуальные основания. Однако реальные потребности следователей в помощи специалистов при производстве многих следственных действий, судя по результатам опроса наших респондентов, удовлетворяются не более чем на треть.

В работе нами на основе анализа криминалистической литературы1 и практики акцентируется внимание на вопросах организации и тактики использования помощи специалистов при производстве тех следственных действий, которые наиболее часто встречаются в изученных нами уголовных делах, а их результаты представляются наиболее значимыми для процесса раскрытия и расследования незаконного оборота наркотиков. В основном это следственные действия, направленные на получение материально отображаемой информации, при производстве которых используется помощь специалистов - осмотр места происшествия, освидетельствование, обыск.

Осмотр места происшествия (ст. 176 УПК РФ) - одно из ключевых следственных действий в получении исходной розыскной и доказательственной информации. Это следственное действие проводилось практически по всем (93%) изученным нами уголовным делам. При этом много нареканий у опрошенных нами следователей и оперативных сотрудников вызывает низкая результативность участия специалистов- криминалистов в осмотрах мест происшествий. Только 25% респондентов оценили ее как очень высокую или хорошую, 27% - как удовлетворительную.

Алиев А.Н Криминалистическая характеристика контрабанды наркотических средств, совершаемой членами организованных преступных формирований (по материалам Республики Таджикистан) : дис. ... канд. юрид. наук. Люберцы, 2013; Гогов Р.А. Методика расследования преступлений, связанных с незаконным оборотом наркотических средств, совершаемых организованными преступными группами : дис. ... канд. юрид. наук. М., 2010; Иванова Е.В Концептуальные основы использования специальных знаний при выявлении и расследовании преступлений, связанных с опасными для здоровья веществами : автореф. ... докт. юрид. наук. Коломна, 2016; Игнатенко Е.А. Методика расследования незаконной пересылки наркотических средств : дис. ... канд. юрид. наук. Благовещенск, 2015; Панферов, Р.Г Особенности первоначального этапа расследования контрабанды наркотических средств, перемещаемых в международных почтовых отправлениях : дис. ... канд. юрид. наук. М., 2015. Присекин, А.В Тайники как способ сокрытия преступлений в сфере оборота наркотических средств, психотропных веществ и их аналогов, а также растений (частей растений), содержащих наркотические средства и психотропные вещества : дис. ... канд. юрид. наук. Владивосток, 2012; Пупцева, А.В. Особенности раскрытия и расследования незаконных перевозки, пересылки наркотических средств и психотропных веществ (по материалам правоохранительных органов Южного федерального округа) : дис. ... канд. юрид. наук. Волгоград, 2012.

Ее показатели, отмечаемые в целом по экспертно-криминалистической службе МВД России, характерны для расследования преступлений, связанных с незаконным оборотом наркотических веществ и психотропных средств.

Кроме того, по изученным нами уголовным делам 12% осмотров мест происшествий, проводившихся с участием специалистов-криминалистов, оказались безрезультатными, 47% завершились изъятием одного объекта, 34% - двух объектов и 7% - трех и более объектов. При этом в литературе справедливо отмечается наличие непосредственной связи между результативностью данного следственного действия и эффективностью в целом института судебных экспертиз, поскольку объектами последних чаще всего является то, что изымается на местах происшествий[1].

Задачи специалиста-криминалиста при осмотре места происшествия по преступлениям, связанным с незаконным оборотом наркотических веществ и психотропных средств, имеют особенности, в частности, обусловливаемые видом и характером преступных действий. Это может быть изготовление соответствующих веществ, их упаковка, хранение, перевозка, сбыт. Причем нередко, а судя по изученным нами уголовным делам, в трех случаях из четырех, осмотр места происшествия осуществляется в связи и на месте задержания соответствующих лиц. При этом специалист может провести экспресс-анализ изымаемого вещества в целях определения его вида (групповой принадлежности), взвешивание (с максимально возможной точностью), осуществить обследование места его обнаружения, осмотр упаковки в целях выявления следов пальцев рук, микроследов и т.д.[2]. Все это имеет чрезвычайно важное значение для последующего доказывания факта преступления и установления виновных в его совершении лиц.

Для обеспечения результативной совместной работы следователя и специалиста на месте происшествия ее организация должна носить комплексный характер, обеспечивая тесное взаимодействие ее участников, объединение всех возможных средств, методов и приемов для достижения целей раскрытия преступления. При необходимости к производству осмотра места происшествия следователь (дознаватель) вправе привлечь специалиста из других областей знания, реализуя принцип дополнительности, о чем уже говорилось ранее. Как свидетельствует анализ практики раскрытия и расследования рассматриваемого вида преступлений, в некоторых случаях это имеет принципиальное значение.

В частности, при расследовании преступлений, связанных с незаконным изготовлением или производством наркотических средств, сущность этого принципа будет заключаться в дополнении знаний специалиста-криминалиста знаниями сотрудника экспертно-криминалистического подразделения, имеющего специальность: «Экспертиза наркотических средств, психотропных и сильнодействующих веществ» (далее - специалист-химик). Последний, прибыв на место происшествия - в нарколаболаторию, может оказать содействие в предварительной оценке, находящихся веществ и материалов на месте происшествия, предположить, на какой стадии находится процесс синтеза, дать рекомендации по упаковке и изъятию химического оборудования (например, реакционного сосуда частей аппарата для перегонки технологических жидкостей; холодильника Либиха; насадки Вюрца; аллонжа; обратного холодильника - шарикового, спирального и т.д.; оборудования для фильтрования; воронки Бюхнера; колбы Бунзена и т.д.).

Кроме того, специалистом-химиком может быть оказана помощь в соблюдении правил безопасности участниками осмотра, так как некоторые химические вещества, а также образующиеся в процессе их реакции пары могут негативно отразиться на здоровье участников осмотра, а иногда и привести к летальному исходу. Невыполнение этих требований может повлечь острые отравления непосредственно при вдыхании продуктов реакций, повреждение органов зрения, химические и термические ожоги разной степени (в случае попадания агрессивных веществ на кожные покровы).

«Содействие специалиста-химика, необходимо и для правильного изъятия так называемых «конструкторов», появившихся в последние годы и представляющих собой набор не находящихся под государственным контролем химических реактивов и материалов, для изготовления какого либо наркотического средства не только в специализированных лабораториях органического синтеза, но и в кустарных условиях»[3].

Так, в ходе следственного осмотра (с участием специалиста-химика) в одной из квартир, арендованной на сутки, был обнаружен большой чемодан, который оказался передвижной нарколабораторией. В нем хранились всевозможные колбы, химические препараты, посуда с остатками реактивов. Также были изъяты 60 свертков с расфасованным амфетамином. В общей сложности в них находилось около 100 граммов наркотика. В преступную группу входили четверо жителей Краснодарского края от 23 до 30 лет, которые и сами являлись наркопотребителями. Трое их них некоторое время подрабатывали в досуговых заведениях.[4].

Специалистом может быть оказана помощь в изъятии не только «конструктора», но и реакционной массы. При этом желательно соблюдать следующие рекомендации:

если реакционная масса обнаружена в стеклянной посуде, не обязательно химической), то следует изъять вместе с посудой;

если реакционная масса обнаружена в металлической эмалированной таре, то следует изъять вместе с тарой;

если реакционная масса обнаружена в металлической не эмалированной таре, то следует ее упаковать в другую емкость;

если реакционная масса обнаружена в полимерной емкости, необходимо установить природу полимера, определиться с устойчивостью данного полимера к агрессивным средам и необходимостью переупаковки.

Для упаковки реакционной массы наиболее подходящей является стеклянная тара. Для дополнительной сохранности объект возможно поместить еще и в полиэтиленовый пакет.

Кроме того, исходя из оперативной информации, имеющейся на момент осмотра, в некоторых случаях целесообразно привлечь и специалиста- взрывотехника, поскольку лаборатории нередко оборудованы устройствами для самоуничтожения.

При производстве осмотра места происшествия по преступлениям, связанным с незаконным культивированием наркосодержащих растений, знания специалиста-криминалиста могут быть дополнены знаниями специалистов агротехника и ботаника.

В частности, агротехник может оказать помощь в выявлении признаков специального посева или посадки (гнездовой или рядовой), что в дальнейшем позволит нейтрализовать версию подозреваемого о том, что растения (например, конопля или мак) выросли сами, без его помощи; следы прищипки на растениях, прополки, полива (например, посредством: установок капельного полива, гидропонной системы и т.д.). Если выращивание осуществлялось в теплицах и парниках - следы специального утепления данного помещения, наличие дополнительного освещения, вентиляции и т.д. Так, по одному из уголовных дел, в процессе осмотра места происшествия, производимого с участием специалиста-агротехника, в подвале гаража, расположенном в г. Десногорске Смоленской области, принадлежащем одному из членов преступной группы, были обнаружены 12 цветочных горшков, в которых взрастал новый урожай голландской конопли, а также 3 килограмма готовой к сбыту марихуаны. Подвал был оборудован необходимым электрическим и вентиляционным оборудованием. Марихуану наркоторговцы, как было установлено в дальнейшем, сбывали розничными и оптовыми партиями наркопотребителям, проживающим не только в Десногорске, но и в других населенных пунктах Смоленской области, при личных встречах и бесконтактным способом (путем закладок)[5].

Специалист-ботаник может оказать содействие в определении стадии вегетации и установлении ботанической принадлежности. «Это представляется особенно важным в связи с тем, что незаконно культивироваться могут растения, не произрастающие на территории нашей страны, такие как кока, кат, гавайская роза и т.д.»[6].

Еще более значимой является помощь указанных специалистов при производстве осмотра места незаконного культивирования галлюциногенных грибов, технология выращивания которых отличается от культивирования растений. Связано это с тем, что для выращивания грибов не требуется больших площадей. Как правило, такие грибы в домашних условиях выращивают в обычных 800-граммовых банках, они не занимают много места и могут находиться на столе, подоконнике и т.д. В начальной фазе развития такие банки помещают в темное место.

Указанные специалисты могут оказать содействие следователю в обнаружении, описании в протоколе и изъятии мицелия (зерен риса, пшеницы, гречки, перловки и т.д.), необходимого для выращивания грибов, шприцев со споровой взвесью, скальпелей для вырезания агара, чашек Петри, в которых агар может находиться, бактерицидных ламп, необходимых для дезинфекции помещения перед началом операции перемещения споров в мицелий; резиновых перчаток и марлевых повязок, необходимых для соблюдения мер предосторожности по недопущению попадания бактерий в мицелий, покровного грунта с содержанием торфа и вермикулита, специальной литературы и т.д.

При производстве осмотра места происшествия по преступлениям, связанным с организацией либо содержанием наркопритонов или систематическим предоставлением помещений для потребления наркотических средств, специалист-криминалист и специалист-химик могут оказать содействие следователю при выявлении объектов, свидетельствующих об употреблении наркотических средств и психотропных веществ в наркопритоне, в частности: наркотических средств; используемых для изготовления сырья, полуфабрикатов, реактивов; отходов изготовления наркотических веществ; посуды или емкости, содержимое которых вызывает подозрение (бурый, буро-зеленый цвет, характерный запах); приспособлений для употребления наркотических средств (бутылок с отверстиями в нижней части, полимерные футляры (ручки) с обожженными краями, шприцев, и т.д.); табачных изделий со следами пропитки гашишным маслом, с добавкой гашиша ил марихуаны и т.д.

Кроме того, специалист-криминалист может оказать помощь в выявлении следов, свидетельствующих о пребывании в данном помещении конкретных лиц. Следы рук могут быть обнаружены как на предметах, используемых для изготовления наркотиков, так и на других объектах, находящихся в данном помещении; банках, ампулах, стеклянных трубках и другой посуде.

Например, обнаруженные и изъятые на поверхности кружки при производстве осмотра места происшествия по одному из уголовных дел следы рук позволили в дальнейшем (после производства дактилоскопической экспертизы) подтвердить показания гр. Е. о том, что она неоднократно посещала квартиру, систематически предоставляемую К. для употребления наркотических средств, где перед употреблением предварительно разводила порошкообразное вещество белого цвета (2-пирролидиновалерофенон) с водой в кружке[7].

Отвары и другие жидкости при их изъятии должны быть помещены в стеклянную посуду с плотной крышкой. Порошки можно поместить в пробирки или коробочки, а другие лекарственные препараты, например таблетки, - в пакет. При упаковке изъятых наркотических средств специалисту, участвующему в осмотре места происшествия, а также другим сотрудникам следует помнить требования к упаковке изъятых наркотических средств. В частности, все наркотические средства и химические вещества упаковывают герметично.

Для недопущения взаимодействия наркотиков и химических веществ в процессе транспортировки и хранения отдельно друг от друга упаковываются: наркотики различных видов; наркотики, обнаруженные в различных местах; органические растворители и содержащие их реакционные смеси; кислоты и реакционные смеси с кислой реакцией среды; металлический натрий или калий и содержащие их смеси (обычно растворители, в которые данные металлы добавляются для удаления следов влаги); ядовитые вещества (цианистый натрий, цианистый калий); тонкостенная посуда, особенно содержащая химические вещества, перед помещением в коробку или ящик оборачивается мягким материалом (вата, тряпка) для предотвращения ее повреждения при транспортировке и хранении; растительные наркотические средства упаковываются в бумажные конверты или картонные коробки с проделанными в них мелкими отверстиями, мешки из легкой ткани или марли.

Производство осмотра отдельных объектов также в ряде случаев практически невозможно без применения принципа дополнительности специальных знаний. Рассмотрим, какова роль специалиста при осмотре и изъятии мобильных абонентских устройств сотовой связи и персонального компьютера.

Осмотр мобильных абонентских устройств сотовой связи. Начало XXI в. характеризуется высокими темпами развития информационнотелекоммуникационных технологий. Средства сотовых систем подвижной (мобильной) связи стандарта GSM 900/1800 МГц приобрели очень большую популярность по всему миру. Сегодня в России насчитываются более 238 млн. абонентов[8].

У пользователей средств мобильной связи наиболее востребованы телефоны, смартфоны и карманные персональные компьютеры (далее - сотовые телефоны). Они предоставляют широкие возможности по обмену информацией, выхода в Интернет, передачи сообщений. Однако в последние годы сотовый телефон все чаще выступает средством совершения преступлений, в том числе в сфере незаконного оборота наркотических средств, психотропных и сильнодействующих веществ. Это, в свою очередь, предполагает, что следователи (дознаватели) должны в совершенстве владеть тактикой осмотра данного объекта, поскольку значимость информации, которая может быть при этом получена, сложно переоценить. В процессе производства данного следственного действия могут быть обнаружены как материальные следы (следы пальцев рук, микрообъекты и т.д.), так и виртуальные (посещения сайтов с рекламой наркотиков, архив переписки пользователя, управления счетами электронных платежных систем, геолокациии т.д.), способствующие формированию полноценной доказательственной базы и изобличающие не только его пользователя, но и иных лиц, причастных к совершению преступления, - курьера, менеджера, кассира, организатора преступной группы[9].

Например, при производстве обыска в феврале 2015 г. по факту сбыта синтетических наркотических средств через сеть интернет-магазинов Siblabs, функционировавших в Барнауле, Бердске, Бийске, сотрудниками ФСКН России по Новосибирской области и Алтайскому краю при координации 2 Департамента ФСКН России были изъяты 15 сотовых телефонов, 27 сим-карт, более 100 килограммов концентрированных синтетических наркотиков, а также автомобили BMV, Chevrolet Camaro и другие объекты. Задержан организатор группы и 12 ее активных членов[10]. Важнейшими источниками доказательств преступной деятельности выступили сведения, извлеченные из сотовых телефонов посредством их осмотра и производства компьютернотехнической экспертизы.

Указанный и множество других примеров судебно-следственной практики свидетельствуют о необходимости проведения теоретических исследований, направленных на разработку алгоритма действий осмотра сотового телефона, и внедрения их в практическую деятельность. Вместе с тем анализ монографий, пособий, методических рекомендаций в области теории уголовного процесса и криминалистики свидетельствует, что имеются лишь единичные работы, посвященные данному вопросу[11].

Исследований, освещающих специфику деятельности по преступлениям, связанным с незаконным оборотом наркотиков, и отражающих при этом роль специалиста до настоящего времени не производилось. В связи с этим появилась необходимость в устранении указанного пробела.

Чем обусловлена сложность производства осмотра данного объекта? И какова специфика участия специалиста по рассматриваемой категории преступлений?

Ответом на первый вопрос являются сформулированные нами в процессе исследования две причины:

отсутствие знаний, необходимых для описания аппаратного и программного обеспечения сотового телефона, связанное с усложнением устройств (на базе операционных систем Android, iOS и WindowsPhone);

отсутствие навыков и умений по извлечению криминалистически значимой информации с использованием аппаратно-программных комплексов (UFED, Мобильный Криминалист, XRY, MOBILedit)[12].

Ответ на второй вопрос можно сформулировать только после детального освещения тактики осмотра сотового телефона на каждом из этапов - подготовительном, рабочем, заключительном.

Производство первого этапа (подготовительного), как правило, сложности не представляет и состоит в выполнении стандартного алгоритма действий, связанных с определением места, времени производства процессуального действия, приглашения специалистов в области компьютерных и высоких технологий и специалиста-криминалиста, других участников, разъяснения им прав и обязанностей, предупреждения об ответственности.

Более сложным и трудоемким является рабочий этап, включающий две стадии - статическую и динамическую.

Сущность статической стадии заключается в:

установлении местоположения сотового телефона. В этом может оказать содействие следователю специалист-криминалист посредством измерения расстояния до двух неподвижных ориентиров, а также при необходимости и осуществить другую консультационную помощь;

изучении внешнего вида сотового телефона. Незаменимыми при выполнении данного элемента являются знания специалиста в области компьютерных и других современных технологий. Именно он сможет оказать помощь при выявлении как общих, так и частных признаков. К первым возможно отнести: наименование предмета, марку телефона (как правило, напечатана на лицевой и обратной сторонах телефона) его размеры, цвет, конструкцию, внешний вид, материал, из которого изготовлен, модель, характеристику клавиатуры, фоновый рисунок, а также и имя владельца на дисплее. К частным - наличие повреждений (царапин, потертостей, сколов на корпусе или дисплее), наклеек или украшений.

При этом следует отметить, что алгоритм действий специалиста в области компьютерных и высоких технологий и следователя при внешнем осмотре обусловлен состоянием телефона. Так, если на момент осмотра он выключен, включать его не рекомендуется. Связано это с возможным наличием программы типа «антивор», которая способна удалить криминалистически значимую информацию и/или полностью заблокировать работу телефона.

Если телефон находится во включенном состоянии, необходимо предпринять действия, направленные на сохранение заряда батареи (поскольку для повторного включения может потребоваться введение пинкода и/или другого пароля, который не всегда известен сотрудникам правоохранительных органов). С этой целью (т.е. для энергосбережения), а также для сохранения имеющихся на нем данных от уничтожения (например, путем удаленного доступа) следователю и/или специалисту необходимо выбрать один из вариантов действий: активировать режим «Полет» (в верхней части экрана слева от знака батареи появится значок в виде самолета,

пропадут знаки антенны и передачи данных) либо положить телефон в клетку Фарадея[13].

На этой же стадии следователем совместно со специалистом в отношении сотового телефона может быть принято одно из двух решений: о необходимости назначения компьютерно-технической экспертизы либо о продолжении следственного действия с участием специалиста в области компьютерных и высоких технологий.

Принятие последнего решения обусловлено тем, что производство компьютерно-технической экспертизы в экспертно-криминалистических подразделениях правоохранительных органов занимает продолжительное время. Связано это, с одной стороны, с сокращением штатной численности сотрудников экспертно-криминалистических подразделений

правоохранительных органов, а с другой - с увеличением количества изымаемых при производстве процессуальных действий и оперативно - розыскных мероприятий сотовых телефонов и других электронных носителей информации, направляемых на исследование. Поэтому одним из вариантов выхода из сложившейся ситуации, представляется полноценное производство динамической стадии рабочего этапа следственного осмотра с участием специалиста в области компьютерных и высоких технологий.

Комплекс действий, выполняемых на динамической стадии можно условно разделить на две части.

Осмотр аппаратного обеспечения, что предполагает:

- определение функциональных элементов - «блока электрического питания, логического блока, радиоблока, блока пользовательского интерфейса»[14];

установление IMEI (англ. International Mobile Equipment Identity - международного идентификатора мобильного оборудования) - число (обычно 15-тизначное), уникальное для каждого использующего его аппарата. Применяется в сотовых телефонах сетей GSM, WCDMA, а также в некоторых спутниковых телефонах. IMEI присваивается телефону во время изготовления на заводе. Он служит для идентификации устройства в сети и хранится в прошивке аппарата. Как правило, IMEI указывается в четырех местах: 1) в самом аппарате (в большинстве случаев его можно вывести на экран набором *#06# на клавиатуре); 2) под аккумуляторной батареей 3) на упаковке 4) в гарантийном талоне. Однако в некоторых телефонах(1Р1юпе. НТО, GoogleNexus и др.) он может быть указан на задней крышке на прозрачной пленке или на металлической рамке держателе СИМ-карты. IMEI играет роль серийного номера аппарата и передается в эфир при авторизации в сети. Для просмотра IMEI специалист и/или следователь могут воспользоваться следующим алгоритмом управления меню: «настройки» - «об аппарате» - «общая информация». Следует учитывать, что номера IMEI могут повторяться у так называемых «серых» телефонов[15];

распознавание модели сотового телефона, серийного номера телефона, операционной системы, версии прошивки, телефонного номера сим-карты, IP адреса, MAC адреса. Наименование модели, как правило, указано под аккумуляторной батареей. Для просмотра модели телефона в ОС Android необходимо зайти «настройки» - «об аппарате» - «общая информация». В данном разделе может располагаться следующая криминалистически значимая информация: IMEI, модель телефона, серийный номер телефона, операционная система, версия прошивки, телефонный номер сим-карты, IP-адрес, MAC адрес.

Обнаружение и изъятие фактических данных программного обеспечения (вторая часть динамической стадии рабочего этапа):

изучение списка контактов, размещенных в телефонной книге, и журнала звонков. В современных сотовых телефонах и смартфонах список контактов может храниться в памяти телефона, на сим-карте, в облачном хранилище (на сайте), на карте памяти (в ОС Android - в виде файла с расширением vcf). При их изучении специалист в области компьютерной техники может установить не только перечень абонентов, с которыми осуществлялось общение, но и выявить дополнительную информацию: фотографии контактов, адреса электронной почты, группы, почтовые адреса, псевдонимы, регистрацию контактов в интернет-мессенджерах, профили в социальных сетях и другое. Для быстрого создания копии списка контактов, например в ОС Android, специалист может подключить телефон к стационарному компьютеру и при необходимости инсталлировать предлагаемую телефоном программу синхронизации. После чего сохранить контакты на компьютере и распечатать на бумажный носитель, отразив данную операцию в протоколе. При этом возможно использовать файл блокировки USB-порта или блокиратор записи;

изучение емс-сообщений. С этой целью специалистом в области компьютерных и высоких технологий могут быть использованы два способа: сплошной - заключается в просмотре всех сообщений в телефоне и выборочный - использование функции поиска или фильтра при большом количестве сообщений. В результате этой деятельности может быть обнаружена информация, относящаяся к преступной деятельности (например, связанная с описанием мест, где осуществлялись закладки; способами оплаты за наркотические средства, кодами активации и восстановления паролей Интернет сайтов и приложений и т.д.);

исследование данных браузера: могут выявлены один или несколько веб-браузеров (например, GoogleChrome, AndroidBrowser, Opera (Blink; Mini, 12); Яндекс.Браузер и другие), установленные на сотовом телефоне. При этом особое внимание следователя должно быть обращено специалистом на наличие программ, обеспечивающих анонимность работы в сети Интернет (браузер Tor, I2P и другие), поскольку их наличие может свидетельствовать об умысле на сокрытие виртуальных следов преступной деятельности[16]. Кроме того, важную криминалистическую информацию, можно получить при изучении истории просмотра веб-страниц и закладок в браузере. В частности, детальному анализу должны быть подвергнуты:

а) социальные сети («ВКонтакте»,«Facebook», «Одноклассники» и т.д.), а также форумы, посредством которых происходило общение. Так, Управлением ФСКН России по Томской области в ходе проведения оперативно-розыскных мероприятий установлено, что одним из организаторов преступной группировки являлся 25-летний житель г. Томска, который вступил с находящимся в КНР гражданином в преступный сговор, направленный на сбыт синтетических наркотических средств с использованием интернет-сайта, путем почтовых отправлений с территории КНР. Денежные средства, полученные от продажи наркотиков, переводились с использованием систем MoneyGram, PerfectMoney, криптовалюты Bitcoin, денежных переводов Wester Union. С целью обналичивания денежных средств житель г. Томска связывался на форумах с так называемыми обменщиками, переводил деньги в криптовалюту Bitcoin, после чего встречался с ними и забирал деньги. При задержании у фигуранта было изъято более 3 миллионов рублей[17];

б) информация с различных сайтов, которые посещал подозреваемый (обвиняемый): содержащих сведения об изготовлении наркотических средств (о химических реактивах, оборудовании, алгоритме действий и т.д.); раскрывающих способы противодействия в процессе уголовного и административного судопроизводства; содержащих рекламу наркотиков и способы продажи; детализирующая схемы легализации денег от наркодоходов и т.д.; описывающих возможности электронных платежных систем.

- изучение приложений. Анализ судебно-следственной практики свидетельствует, что в качестве таковых могут использоваться программы для общения через Интернет (WhatsApp, Viber, Brosix, Telegram и другие). Специалист в области компьютерных и высоких технологий при этом может оказать помощь следователю (дознавателю) по выявлению в них криминалистически значимой информации:

а) о контактах (о связях между оператором и закладчиками, между организатором преступной деятельности и менеджером по региону и т.д.);

б) о содержании переписки между субъектами преступной деятельности (о функциональных обязанностях членов преступной группы, методах конспирации, способах оплаты и т.д.). При этом следует отметить, что в последнее время с целью повышения безопасности коммуникации преступниками осуществляется переход от ICQ, Jabber, Skype к приватному мессенджеру Telegram с более сложным алгоритмом шифрования. Использование Telegram обусловлено встроенной функцией секретных чатов, которые обеспечивают полную анонимность пользователям, а также возможность прикреплять к сообщениям таймер самоуничтожения и очищать историю сообщений удаленно через другие устройства, удаляя таким образом переписку. Популярность данного приложения обусловлена нахождением его серверов за пределами Российской Федерации, что повышает конспиративность. Технические возможности программы Telegram предъявляют дополнительные требования к алгоритму осмотра сотового телефона. В частности, для предотвращения уничтожения переписки целесообразно изменить настройки в чатах: закладка - Setself- destructtimer - с периода времени на off.;

в) о фотографиях, отражающих отдельные факты преступной деятельности (например, мест тайников и закладок, внешнего вида наркотического средства и т.д.). Например, по уголовному делу по факту незаконного сбыта синтетических психоактивных веществ было установлено, что Т. и М., используя информационно-телекоммуникационные сети, получали заказы от потребителей наркотических средств, вели с ними переписку, в которой сообщали реквизиты банковской карты, после чего отслеживали поступление электронных платежей, поступающих в качестве оплаты, и таким же путем в ходе переписки уведомляли о месте закладки наркотического средства, а так же высылали фотографию точного места закладки[18];

г) о видеофайлах (например, совместного времяпровождения участников преступной группы, содержащих информацию о способах изготовления, упаковки наркотических средств и т.д.);

о данных местоположения и маршруте движения согласно GPS/ГЛОНАСС (например, курьера, закладчика во время осуществления преступной деятельности, с точностью до нескольких метров);

е) о наименовании сетей Wi-Fi, к которым телефон ранее подключался, в том числе стационарных (мест пребывания курьера, закладчика и других участников).

Применение средств поиска файлов. При производстве следственного действия следует иметь в виду, что файлы могут находиться как в памяти телефона, так и на картах памяти. В протоколе осмотра следователю (дознавателю) при оказании консультационной помощи специалиста необходимо отразить их производителя, объем и серийный номер карты, при наличии переключателя защиты от записи (замка) - его положение. После этого нужно включить защиту от записи, чтобы исключить модификацию данных, хранящихся на карте.

В некоторых случаях сохраненные файлы могут быть недоступны для просмотра средствами операционной системы сотового телефона, поэтому целесообразно иметь переносной компьютер с USB-проводом, картридером и программами просмотра распространенных форматов файлов (doc, docx, pdf, djvu и т.д.), а также программы подбора паролей для различных типов файлов (например, Advanced Archive Password Recovery).

Контакты, смс-сообщения и файлы в памяти телефона должны быть сохранены специалистом на внешних носителях с помощью соответствующего аппаратного и программного обеспечения. С этой целью может быть использована программа Мобильный Криминалист или программно-аппаратный комплекс UFED. Достоинством последнего являются более широкие возможности использования, позволяющие производить полное извлечение таких данных, как телефонная книга, текстовые сообщения, фотографии, видеоизображения, журналы звонков (исходящих, входящих, пропущенных), звуковые файлы, идентификационные данные телефона и т.д.

Анализ судебно-следственной практики и законодательства позволяет утверждать, что для изучения информационного содержимого с использованием указанной криминалистической техники (UFED, Мобильный Криминалист, а также XRY, MOBILedit) из средств мобильной связи получение судебного решения не требуется.

Е1оследнее утверждение, несмотря на кажущуюся, на первый взгляд, спорность, основано на конкретном прецеденте - жалобе гражданина Тарасова Н.А. на нарушение его конституционных прав ч. 1 ст. 176 и ч. 1 ст. 285 УПК РФ. По мнению заявителя, органы предварительного следствия без вынесения соответствующего судебного решения произвели осмотр мобильного телефона, изъятый у него при заключении под стражу (когда Тарасов Н.А. являлся подозреваемым в совершении преступления), а впоследствии при исследовании в судебном заседании протоколов следственных действий были оглашены судом сведения, содержащиеся в электронной памяти мобильного телефона, что привело к ограничению его прав на тайну телефонных переговоров, на неприкосновенность частной жизни и на судебную защиту, гарантированных ст. 23 (ч. 2), 24 (ч. 1) и 46 (ч. 1) Конституции РФ. Конституционный Суд РФ не усмотрел нарушения конституционных прав заявителя[19].

Исследование средств синхронизации данных. Важная для расследования информация может сохраниться в сети Интернет на

Л

специальных ресурсах, реализующих синхронизации файлов (Dropbox, ScyDrive, ЯндексДиск), даже если подозреваемый удалил ее. В некоторых случаях синхронизация происходит без команды пользователя при подключении телефона к компьютеру. Поэтому при осмотре сотового телефона необходимо обратить внимание на наличие упомянутых программ. Если они будут обнаружены, специалист в области компьютерных технологий должен выяснить учетные данные пользователя и посетить сайты данных систем, чтобы найти криминалистически значимую информацию.

На заключительном этапе следственного осмотра специалист- криминалист и /или специалист в области компьютерных и высоких технологий могут оказать содействие следователю в упаковке осмотренного объекта.

После этого должно быть принято процессуальное решение о приобщении сотового телефона в качестве вещественного доказательства и определении места хранения.

Полагаем, что внедрение предложенного алгоритма, отражающего роль специалиста на каждом их этапов следственного действия, в практическую деятельность позволит получить важную криминалистически значимую информацию при расследовании преступлений, связанных с незаконным оборотом наркотических средств, психотропных и сильнодействующих веществ на первоначальном этапе расследования, в том числе и без производства компьютерно-технической экспертизы.

Осмотр персонального компьютера. Персональный компьютер, так же как и рассмотренный ранее сотовый телефон, выступает одним из средств совершения преступлений, связанных с незаконным оборотом наркотических средств, психотропных и сильнодействующих веществ, совершаемых с использованием информационно-телекоммуникационных сетей. Значимость информации, которая может быть при этом получена, сложно переоценить. Так, в процессе его производства могут быть обнаружены как материальные следы (следы пальцев рук, микрообъекты и т.д.), так и виртуальные (посещения сайтов с рекламой наркотиков, архив переписки пользователя, управления счетами электронных платежных систем и т.д.), способствующие формированию полноценной доказательственной базы и изобличающие не только его пользователя, но и иных лиц, причастных к совершению преступления.

Иллюстративным является следующий пример из судебно-следственной практики. При производстве обследования жилища гр. Ш. по адресу: ул. Кирова д. «..» кв. «..» г. Норильска, выполнявшей функции в организованной преступной группе - «Склада-хранителя», был изъят системный блок, монитор «PHILIPS», ноутбук «ASUS». В ходе следственного осмотра, произведенного с участием специалиста, на диске «С» была обнаружена папка «Ozon77777» с файлами, содержащими текстовые записи представляющими переписку абонентов «Ozon77777», «Ellektra911» за период с 19.10.2013 по 14.12.2013. В ходе расследования было установлено, что под логином «Ellektra911» выступала сама Ш. Логин «Ozon77777» принадлежал лицу, осуществлявшему в организованной преступной группе функции оператора. В результате изучения переписки было установлено, что оператор передавал Ш. партии наркотиков для дальнейшего сбыта, давал указания о производстве закладок с наркотиками, инструктировал Ш. о правилах безопасного осуществления преступной деятельности, а также требованиях к отчетности о количестве приготовленных «закладок» и массе реализуемых наркотиков. Ш. в свою очередь, сообщала оператору адреса и места нахождения приготовленных ею закладок с наркотиками, номера своих QIWI-кошельков для получения денежного вознаграждения - зарплаты от оператора за произведенную Ш. работу по сбыту наркотиков.

На ноутбуке «ASUS» также была обнаружена переписка с использованием программы «Brosix» между «Ellektra911» и «Иван Иванов», а впоследствии «Ozon77777», состоящая в получении заданий по реализации наркотиков.[20]

Несмотря на то, что в значительном количестве диссертационных исследований, методических рекомендаций, пособий детально освещается тактика его производства[21], исследований, раскрывающих роль специалиста при производстве данного следственного действия по преступлениям рассматриваемой категории, до настоящего времени не производилось.

С целью устранения указанного пробела нами был разработан алгоритм действий[22], отражающий роль специалиста на каждом из этапов данного следственного действия: подготовительном, рабочем, заключительном.

Производство подготовительного этапа (как на стадии до выезда на место происшествия и по прибытии на него), как правило, сложности не представляет. Специфика стадии до выезда на место происшествия будет заключаться в приглашении специалиста. При этом следует помнить о том, что «общего понятия «специалист по компьютерной технике» не существует; можно говорить лишь о специалисте, сведущем в конкретной области информационных технологий»[23] [24]. Например, специалист по операционной системе Windows не обязательно будет знаком с операционной системой Мае OS, а поэтому «необходимый профиль знаний конкретного специалиста

следует определять в зависимости от целей и задач осмотра с учетом

з

первоначальных данных о характере преступления» .

По прибытии на место происшествия с необходимо определить границы осмотра, его «узлы» (т.е. места, где максимально может быть сконцентрирована следовая информация), ограничить доступ к средствам компьютерной техники и электропроводке.

Алгоритм действий на рабочем этапе более сложный и трудоемкий. Качественное его производство практически невозможно без использования специальных знаний специалиста в области компьютерных и высоких технологий. Рассмотрим его более детально.

На статической стадии рассматриваемого этапа целесообразно:

- установить местоположение стационарного или мобильного ПК (к последним относятся ноутбуки, планшетные ПК и карманные ПК). Это может

быть сделано посредством описания его расположения с указанием расстояния до двух неподвижных ориентиров;

выявить индивидуальные признаки системного блока, монитора, клавиатуры, мыши и другого периферийного оборудования.

Осмотр ПК, впрочем, как и практически любого объекта, необходимо начать с его внешнего осмотра, указав размер, цвет, маркировочные обозначения, специальные знаки и наклейки, нанесенные на корпус и устройства компьютеров, механические повреждения. В случае если на момент осмотра компьютер оказался включен, необходимо изучить изображение на экране монитора, отразив сведения об этом в протоколе. При этом специалист-криминалист может оказать содействие следователю при фиксации данной информации при помощи фото или /и видеозаписи;

изучить внешние устройства, подключенные к ПК. Это могут быть клавиатура, компьютерная мышь, акустическая система, сканеры, копировально-множительная техника, роутер, модемы, внешние накопители информации (переносные жесткие диски, носители на основе флэш-памяти). Так, при наличии сканера можно предполагать наличие в памяти компьютера графических файлов; а при наличии электронного ключа, устанавливаемого в USB-порт или последовательный порт, - наличие программных средств защиты информации и т.д.

Внешние устройства специалистом-криминалистом и/ или следователем (дознавателем) должны быть сфотографированы. Кроме того, в процессе осмотра может быть изготовлена и приобщена к протоколу схема расположения данных устройств.

На этой же стадии (статической) необходимо обратить внимание на компьютерную литературу, особенно технически сложную, поскольку это свидетельствует о высокой квалификации пользователя и возможном наличии средств для уничтожения информации.

Значительно более трудоемкой является динамическая стадия рабочего этапа осмотра места происшествия. При этом последовательность действий следователя (дознавателя) и оказывающих ему помощь специалиста- криминалиста и специалиста в области компьютерных и высоких технологий может быть следующей.

Применить криминалистические средства (лупа, дактилоскопические порошки и т.д.) для обнаружения на внешних устройствах, подключенных к ПК, материальной информации (следов пальцев рук, микрообъектов).

Изучить аппаратное содержимое ПК. В первую очередь необходимо обратить внимание на жесткий диск и сетевую карту. Обусловлено это тем, что именно на жестком диске хранится информация, которая в дальнейшем может быть исследована. Сетевые карты обладают уникальным номером (МАС-адресом), который используется интернет-провайдерами для идентификации своих клиентов. Остальное аппаратное обеспечение - процессор, материнская плата, оперативная память не сохраняют информацию при выключении питания компьютера и не имеют существенного значения для расследования. В протоколе осмотра необходимо указать производителя и серийный номер данных жесткого диска, сетевой и материнской платы.

Установить операционную систему. Она может быть опознана по характерному виду графического интерфейса и логотипам (MicrosoftWinodws:XP, Vista, 7, 8, 10; Mac OS, операционные системы семейства GNU/Linux и др.). Поскольку следователи (дознаватели) не всегда компетентны в этом вопросе, консультационную помощь может оказать специалист в области компьютерных технологий, которого как мы уже отмечали целесообразно привлечь к производству данного следственного действия.

Установить IP-адрес и физический адрес. IP-адрес присваивается интернет-провайдером и используется для идентификации компьютера в сети Интернет при передаче и приеме информации. Физический адрес (МАС-адрес) задается каждому устройству, предназначенному для работы в компьютерных сетях, на заводе-изготовителе. Он используется, например, интернет- провайдером для идентификации клиентов. Однако следует помнить, что физический адрес может быть «подменен» средствами операционной системы.

Установление IP- и МАС-адреса и сопоставление их с данными, полученными от провайдеров интернет-услуг и платежных систем, позволяет установить причастность пользователя (например, выполняющего функции оператора) к совершению преступления.

Изучить данные браузера. В глобальной сети браузеры используют для запроса, обработки, манипулирования и отображения содержания вебсайтов. Многие современные браузеры также могут использоваться для обмена файлами с серверами ftp, а также для непосредственного просмотра содержания файлов многих графических форматов (gif, jpeg, png, svg), аудиовидео форматов (mp3, mpeg), текстовых форматов (pdf, djvu) и других файлов.

Браузеры распространяются, как правило, бесплатно. Потребителям браузер может быть поставлен в форме самостоятельного (автономного) приложения или в составе комплектного программного обеспечения. К примеру, браузер Internet Explorer поставляется в составе операционной системы Microsoft Windows); Mozilla Firefox - отдельно или в составе дистрибутивов Linux (например, Ubuntu); Safari - в составе операционной системы Mac OS X и в качестве приложения для Microsoft Windows; Google Chrome, Opera и другие браузеры - как самостоятельные программы во множестве вариантов для различных операционных систем.

При осмотре браузера необходимо проявлять осторожность: не закрывать открытые вкладки (это может привести к прекращению сеанса работы с сервисом, требующим ввода пароля), переход по гиперссылкам следует осуществлять в режиме «открыть на новой вкладке».

Существенное значение может иметь информация, полученная при изучении истории просмотра веб-страниц и закладок в браузере. При этом особого внимания заслуживают:

социальные сети («ВКонтакте»,«Facebook», «Одноклассники» и т.д.). Например, при расследовании уголовного дела по обвинению LQ. в совершении контрабанды сильнодействующих веществ, с участием специалиста в области компьютерных и высоких технологий был произведен следственный осмотр системного блока и монитора компьютера. Используя пароль и логин, предоставленный Ш, через браузер Google Chrome был осуществлен вход в социальную сеть «ВКонтакте» где на странице пользователя «Мои сообщения» была обнаружена переписка, которая длилась с 19 марта 2013 г. по 20 марта 2013 г. между Б. и LQ. При этом от имени Б. выступал оперуполномоченный отделения по контролю за легальным оборотом наркотиков управления ФСКН по Псковской области, интернетперепиской установлено, что LQ. в полном объеме имел представление о препаратах, оборот которых запрещен в России, понимал, что через Интернет заказал анаболические стероиды, которые содержат в своем составе сильнодействующие вещества, получил счет для оплаты, перевел оплату за заказанные препараты, получил трек-код посылки, которую отслеживал, после чего при поступлении посылки в отделение почтовой связи, собирался ее получить[25];

информация с различных сайтов, которые посещал подозреваемый (обвиняемый):

а) содержащая сведения об изготовлении наркотических средств (о химических реактивах, оборудовании, алгоритме действий и т.д.). Например, А. и Г. по предварительному сговору посредством сети Интернете с использованием браузера Opera через транспортную компанию ООО « », расположенную в г. Новосибирске по ул. «..», и службу доставки «», расположенную в этом же городе, заказали из ООО «..» и ЗАО «..», расположенных в г. Москве и г. Санкт-Петербурге необходимые для изготовления наркотического средства «..» лабораторное оборудование и

химические реактивы, которые доставили на квартиру А., после чего, обладая познаниями в области химии и используя в качестве пособия статьи о химических реактивах об изготовлении наркотического средства, опубликованные в сети Интернет, незаконно изготовили наркотическое средство В дальнейшем А. и Г. неоднократно осуществляли сбыт

наркотического средства[26];

описывающая действие наркотических средств;

в) раскрывающая способы противодействия в процессе уголовного и административного судопроизводства;

содержащая рекламу наркотиков и способы продажи;

детализирующая схемы легализации денег от наркодоходов и т.д.

Изучая данные браузера можно установить и электронные платежные

системы, которыми пользовался подозреваемый (обвиняемый). Это могут быть платежные системы QIWI, WebMoney, Bitcoin и другие. В последнее время в преступной среде разрабатываются более сложные схемы движения денежных средств, адаптируемые под новые технологии рынка финансовых услуг. В частности, прослеживается тенденция к абсолютному исключению из процесса купли-продажи перечислений в виде реальной валюты (аккумулируемой как в наличной, так и безналичной формах). В основном злоумышленники используют возможности электронной платежной системы QIWI. При этом кроме электронных «кошельков» выявлены случаи использования QIWI Ваучеров при сбыте наркотических средств через интернет-магазины. Использование QIWI Ваучеров предполагает следующую систему взаиморасчетов: покупатель наркотических средств через свой «кошелек» в платежной системе QIWI оформляет любую сумму в виде QIWI Ваучера (доступная сумма от 1 руб. до 15000 руб.), направляет «оператору» интернет

магазина ссылку и код ваучера для активации денежных средств, «оператор», в свою очередь, активирует ваучер и может совершить любую операцию с полученными деньгами. Передача ваучера не представляет трудностей и осуществляется любым доступным способом: по мобильному телефону, программам ICQ, Skype, Jabber, по электронной почте, через социальные сети «ВКонтакте», «Facebook» и т.д. Основным преимуществом такой системы расчетов является анонимность. Согласно данным разработчика, указанный финансовый инструмент разработан с целью повышения конфиденциальности перевода, так как все необходимые данные отправляются с почтового сервера компании, мобильный номер телефона и контактные сведения об отправителе, с «кошелька» которого сгенерирован ваучер, не указываются. Количество операций с ваучерами для отправителей и получателей не ограничено, что позволяет беспрепятственно использовать данный способ оплаты в противоправных целях.

Новым способом оплаты за наркотики является проведение расчетов посредством криптовалюты Bitcoin. Основным преимуществом данной криптовалюты является то, что расчеты в системе Bitcoin децентрализованы. Операции между «клиентами» совершаются напрямую без организаций- посредников в виде банков или платежных систем, обслуживающих операции с денежными переводами, вследствие чего они носят бесконтрольный характер. Во-вторых, для Bitcoin-операций характерна полная анонимность. Несмотря на то, что все транзакции открыты для публичного просмотра, доступ к персональной информации «клиентов» отсутствует. Переводы в системе Bitcoin оформлены посредством «цифровых подписей», которые сгенерированы в виде случайных цифро-буквенных кодов, в связи с чем идентификация отправителя и получателя практически невозможна. Обмен валюты Bitcoin на реальные денежные средства (в том числе рубли) впоследствии осуществляется в специальных сетевых обменных пунктах, предназначенных для конвертации наиболее распространенных видов электронных денег. При осмотре компьютера следователю совместно со специалистом в области компьютерных и высоких технологий целесообразно предпринять усилия обнаружения виртуальных следов посещения сайтов по приобретению и сбыту криптовалюты Bitcoin.

Изучить электронную почту; здесь возможно установить:

историю переписки, которая может содержать сведения о противоправной деятельности и преступных связях подозреваемого, а также контакты других лиц.

б) доступ к другим сетевым службам. Это позволит восстановить (неизвестные правоохранительным органам) пароли доступа к форумам, электронным платежным системам и т.д.

Работа с электронной почтой осуществляется либо через веб-страницу, либо через специальное приложение (Microsoft Outlook, TheBat!, MozillaThunderbird и т.д.).

Исследовать средства синхронизации данных. Помимо локального хранения файлов пользователя все большее распространение получают средства синхронизации файлов на нескольких компьютерах и в сети (Dropbox, OneDrive, Яндекс.Диск), в которых могут быть сохранены файлы (например, фотографии), удаленные из памяти компьютера, контакты и т.п. Такие средства часто называются «облако». Эту возможность не следует недооценивать, так как синхронизация может производиться без команды пользователя, например, при подключении телефона к компьютеру. Например, для осмотра облака Dropbox нужно убедиться, что соответствующая программа запущена (рядом с часами в правом нижнем углу экрана компьютера должен отображаться значок в виде открытой коробки).

Криминалистическое значение исследования средств синхронизации состоит в том, что могут быть получены данные, сохраненные с других устройств подозреваемого (смартфон, ноутбук, планшет) или удаленные им, но сохранившиеся в облаке.

Выявить средства анонимизации. К ним относится программное обеспечение для сокрытия личных данных и следов пребывания пользователя при работе в сети Интернет. Использование данного программного обеспечения свидетельствует об опытности пользователя и/или его желании скрыть следы своей противоправной деятельности. Наибольшее распространение среди средств анонимизации получила система Тог (сокр. от англ. The Onion Router - «луковый роутер»). Это система прокси-серверов, позволяющая устанавливать анонимное шифрованное сетевое соединение, защищенное от прослушивания. С пользовательской точки зрения Тог представляет собой специальный веб-браузер (на основе MozillaFirefox).

С помощью Тог пользователи могут сохранять анонимность при работе в сети Интернет при посещении сайтов, ведении блогов, отправке мгновенных и почтовых сообщений, а также при работе с другими приложениями, использующими сеть Интернет.