Судебная или независимая экспертиза мобильного телефона — это сложная процедура‚ результат которой зависит от правильно поставленных целей и задач. Независимо от того‚ являетесь ли вы истецом‚ ответчиком‚ следователем или просто покупателем б/у устройства‚ грамотно составленный список вопросов эксперту, залог получения правомерного и полного заключения.

В этой статье мы подробно разберем‚ какие вопросы нужно задавать на разных этапах и для разных типов экспертиз.

Подготовительный этап: вопросы организационного характера

Прежде чем передавать устройство‚ необходимо уточнить процедурные нюансы. Это сэкономит время и предотвратит нарушение процедуры изъятия и пломбирования.

Компетенция и аккредитация

• Есть ли у эксперта/организации аккредитация в реестре судебных экспертов (для судебных экспертиз) или лицензия/сертификаты (для внесудебных)?
• Какая у эксперта специализация? (например: «исследование мобильных устройств»‚ «компьютерно-техническая экспертиза»‚ «экспертиза фото/видео/аудио материалов»).
• Имеет ли эксперт опыт работы с конкретной моделью телефона и версией ОС (iOS/Android)?
• Какое оборудование и ПО используется? (например: Cellebrite UFED‚ Magnet AXIOM‚ Oxygen Forensic‚ XRY‚ аппаратные программируемые чипы для JTAG/ISP/Chip-off).

Процедура передачи и сохранности

• Как оформляется акт приема-передачи предмета исследования? (фиксируются IMEI‚ серийный номер‚ внешнее состояние‚ наличие пломб‚ уровень заряда батареи).
• Как обеспечивается цепочка сохранности (Chain of Custody)? Кто имеет доступ к устройству в лаборатории?
• Будет ли сделан полный битовый образ (forensic image) носителя информации до начала анализа? Работа должна вестись только с образом‚ оригинал должен оставаться в неизменном виде.
• Каковы сроки проведения и стоимость? Есть ли доплаты за срочность‚ извлечение удаленных данных или расшифровку зашифрованных разделов.

Технические вопросы: «Железо» и идентификация устройства

Этот блок важен для подтверждения факта принадлежности телефона конкретному лицу‚ выявления подмены устройства или несанкционированного вскрытия.

Идентификационные номера и модули

1. Соответствуют ли IMEI на коробке‚ в меню телефона (*#06#)‚ на корпусе (под батареей/в лотке для SIM) и на материнской плате? (Выявление «перепрошивки» IMEI или сборки телефона из запчастей).
2. Соответствует ли серийный номер (S/N) заявленному производителем для данной модели и региона?
3. Есть ли следы вскрытия корпуса? (поврежденные пломбы‚ следы от отвертки‚ отсутствие заводских клеевых слоев‚ переклеенные швы).
4. Соответствуют ли внутренние компоненты (материнская плата‚ дисплей‚ батарея‚ камеры‚ модули связи) заводским спецификациям данной модели? (Выявление неоригинальных запчастей‚ рефурбиша).
5. Какой статус блокировок? (Sim-lock‚ MDM-профиль‚ FRP/Google Lock‚ iCloud Activation Lock‚ Carrier Lock).

Состояние памяти и аппаратных интерфейсов

• Какой тип памяти используется (eMMC‚ UFS‚ NVMe) и каков ее физический объем? Соответствует ли заявленному?
• Есть ли физические повреждения контроллера памяти или BGA-контактов? (Требуется для методов JTAG‚ ISP‚ Chip-off).
• Работают ли аппаратные тестовые точки (Test Points) для доступа в режим EDL (Emergency Download) / DFU / Fastboot?

Программно-логические вопросы: Данные‚ ОС и приложения

Это основной блок для большинства гражданских и уголовных дел. Вопросы должны быть конкретными‚ привязанными ко времени и событиям.

Доступ и извлечение данных

• Каков метод извлечения данных? (Логический / Файловый системный / Физический / Облачный). Важно: физическое извлечение дает максимум данных‚ включая удаленные.
• Удалось ли обойти блокировку экрана (PIN‚ пароль‚ биометрия)? Каким методом (брутфорс‚ эксплойт‚ снятие пароля через TEE/SEP)?
• Была ли зашифрована файловая система (FBE / FDE)? Удалось ли расшифровать? Использовался ли ключ из Secure Enclave / TEE?
• Полный ли образ получен? Есть ли пропуски (bad blocks)‚ не прочитанные сектора?

Анализ коммуникаций и контента

• Какие мессенджеры установлены и активны? (WhatsApp‚ Telegram‚ Viber‚ Signal‚ Threema‚ Session и др.).
• Извлечена ли история переписки (включая удаленные сообщения) из баз данных SQLite мессенджеров?
• Доступны ли медиафайлы (фото‚ видео‚ аудио‚ голосовые сообщения)‚ отправленные и принятые в чатах? Сохранены ли метаданные (EXIF: время съемки‚ GPS-координаты‚ модель камеры)?
• Извлечены ли журналы звонков (входящие‚ исходящие‚ пропущенные‚ заблокированные‚ VoIP-звонки через мессенджеры) с временными метками и длительностью?
• Есть ли данные о контактах (телефонная книга‚ синхронизация с Google/iCloud‚ скрытые/удаленные контакты)?

Геолокация и перемещения

• Какие источники геолокации доступны? (GPS/GLONASS/Galileo‚ Wi-Fi positioning‚ Cell ID (базовые станции)‚ Bluetooth beacons);
• Извлечена ли история перемещений (Google Timeline / Significant Locations / Frequent Locations / Карты Яндекса / Навигаторы)?
• Есть ли геотеги во вложениях (фото/видео) и сообщениях («Поделиться геопозицией»)?
• Можно ли восстановить маршрут перемещений на конкретный период (дату/время)?

Интернет-активность и системные логи

• Какова история посещений браузеров (Chrome‚ Safari‚ Яндекс‚ Firefox)? (URL‚ заголовки‚ таймстемпы‚ кэш‚ куки‚ загрузки‚ режим инкогнито — если логи не очищены системой).
• Какие приложения устанавливались/удалялись и когда? (Логи Package Manager / App Store / Play Market).
• Есть ли записи о подключении к Wi-сетях (SSID‚ BSSID‚ время подключения/отключения‚ пароли в Keychain/Keystore)?
• Зафиксированы ли события включения/выключения телефона‚ перезагрузки‚ режима «Самолет»‚ зарядки? (System logs: kernel log‚ logcat‚ unified logs‚ powerlog).
• Были ли попытки взлома‚ рутинга (Root)‚ джейлбрейка‚ установки кастомных рекавери/прошивок?

Удаленные и скрытые данные (Carving / File Carving)

• Проведен ли файловый вырез (carving) по сигнатурам заголовков файлов (JPEG‚ PNG‚ MP4‚ PDF‚ DOCX‚ SQLite‚ APK‚ IPA)?
• Восстановлены ли удаленные базы данных SQLite (Freeblocks‚ WAL-файлы‚ Rollback journals)? Это критично для восстановления переписок.
• Проверен ли нераспределенный пространство (Unallocated Space) и Slack Space?

Специализированные блоки вопросов (по типам дел)

А) При покупке б/у телефона (предварительная проверка / внесудебная экспертиза)

• Соответствует ли состояние телефона заявленному продавцом (нет ли скрытых дефектов матрицы‚ контроллера заряда‚ аудиокодека‚ модемов)?
• Не находится ли телефон в черных списках (Lost/Stolen/Blocked по IMEI в базах GSMA‚ операторов‚ iCloud/Google FRP)?
• Является ли устройство рефурбишем (восстановленным производителем/сервисом) или «сборкой»?
• Есть ли следы попадания влаги (индикаторы сработали)‚ ударов‚ перегрева?
• Каков реальный износ батареи (циклы заряда‚ Design Capacity vs Full Charge Capacity)?

Б) Судебные дела: Развод‚ имущественные споры‚ наследование

• Можно ли получить доступ к облачным резервным копиям (iCloud‚ Google Drive‚ Samsung Cloud‚ Яндекс.Диск) с согласия владельца или по решению суда?
• Есть ли на устройстве доказательства скрытого дохода‚ недвижимости‚ счетов в банках (приложения банков‚ криптокошельки‚ скрины чеков)?
• Зафиксированы ли факты удаления критически важных данных за последние дни/месяцы (анализ логов удаления‚ времени последнего доступа к файлам)?

В) Уголовные дела: Мошенничество‚ кража‚ экстремизм‚ ДТП

• Принадлежит ли телефон конкретному лицу? (Анализ учетных записей‚ биометрии‚ фото в галерее‚ контактов‚ геолокации места жительства/работы).
• Были ли совершены действия с телефона в конкретное время? (Активность экрана‚ нажатия‚ разблокировки‚ запуск приложений‚ звонки).
• Можно ли восстановить удаленные фото/видео/документы‚ являющиеся corpus delicti?
• Есть ли следы использования анонимайзеров‚ VPN‚ Tor‚ прокси‚ зашифрованных контейнеров (VeraCrypt‚ LUKS‚ скрытые папки)?
• Производился ли удалённый сброс (Factory Reset) или стирание через «Найти iPhone» / «Find My Device»? Когда именно?

Г) Трудовые споры / Корпоративная безопасность (MDM / COPE / BYOD)

• Был ли установлен MDM-профиль (Mobile Device Management)? Какие политики применялись (шифрование‚ запрет камеры‚ запрет установки приложений‚ контейнерizzazione)?
• Были ли скопированы корпоративные данные на личные облака‚ флешки‚ отправлены по личной почте/мессенджерам?
• Есть ли логи подключения к корпоративной VPN/Wi-Fi‚ доступ к внутренним ресурсам?
• Сделан ли бэкап корпоративного контейнера перед удалением профиля MDM?

Вопросы к эксперту о методологии и достоверности (для суда)

Эти вопросы задаются уже по ходу экспертизы или при допросе эксперта в суде для оценки качества заключения.

• Какие методики (ГОСТ‚ ISO/IEC 27037‚ NIST SP 800-101‚ внутренние методички) использовались? Соответствуют ли они актуальным стандартам?
• Использовалось ли лицензионное ПО? Есть ли хеш-суммы (MD5‚ SHA-1‚ SHA-256) полученного образа и отчета для подтверждения неизменности?
• Как документировались действия эксперта? (Протокол исследований‚ скринкасты‚ логи ПО извлечения‚ фотографии процесса).
• Были ли использованы методы‚ изменяющие исходный объект? (Например‚ установка агента для логического извлечения на заблокированном телефоне — это изменение системы). Если да‚ как это обосновано?
• Как интерпретируются временные метки? (UTC vs Local Time‚ Timezone offsets‚ Clock drift‚ NITZ time от оператора). Ошибка в часовых поясах — частая причина оспаривания доказательств.
• Каков уровень достоверности выводов? (Достоверно / Вероятно / Возможно / Недостаточно данных).

Типичные ошибки при формулировке вопросов (Чек-лист «Чего НЕ делать»)

Практический образец петиции о назначении экспертизы (фрагмент)

Пример правильной формулировки вопросов для ходатайства в суд:

Прошу назначить компьютерно-техническую экспертизу мобильного телефона Apple iPhone 13 Pro (IMEI: 35XXXXXXXXXXXXX‚ S/N: XXXXXXXXXX) с постановкой следующих вопросов:

1. Каково текущее программное состояние устройства: версия iOS‚ наличие джейлбрейка‚ статус блокировки iCloud (Activation Lock)‚ MDM-профилей?
2. Удалось ли получить физический образ пользовательского раздела (Data partition) с расшифровкой (FBE)? Если нет — укажите причину и объем доступных логических данных.
3. Содержит ли устройство (или его облачные бэкапы iCloud‚ привязанные к Apple ID‚ обнаруженному на устройстве) историю переписки в приложении «WhatsApp» с абонентом +7 (XXX) XXX-XX-XX за период с по ‚ включая удаленные сообщения и вложения?
4. Каковы географические координаты (широта‚ долгота) и временные метки (в UTC и местном времени) точек значимых мест (Significant Locations) и истории геолокации Google Maps / Apple Maps за период с по ?
5. Были ли на устройстве установлены приложения для скрытия данных (калькуляторы-сейфы‚ Vault‚ Parallel Space‚ Secure Folder) или инструменты для удаленного управления/стирания? Если да — когда они устанавливались и использовались?
6. Зафиксированы ли в системных логах (unified logs‚ powerlog‚ knowledgeC) факты разблокировки экрана (Face ID / Passcode)‚ подключения к зарядке‚ включения/выключения режима «В самолете» в период с 22:00 по 06:00 (местное время)?
7. Соответствуют ли IMEI/Serial Number на материнской плате‚ в меню и на корпусе заводским? Есть ли следы вскрытия‚ замены модулей (дисплей‚ батарея‚ плата) на неоригинальные запчасти?

В качестве специализированных знаний требуются: знания в области архитектуры iOS‚ файловой системы APFS‚ шифрования FileVault/FBE‚ форматов баз данных SQLite‚ протоколов мессенджеров‚ стандартов извлечения мобильных устройств (NIST SP 800-101).

Качественная экспертиза телефона начинается не в лаборатории‚ а в голове инициатора — в момент составления списка вопросов. Главные принципы: конкретика‚ привязка ко времени‚ учет современных технологий шифрования и облачного хранения‚ понимание ограничений «железа» и ПО.

Не стесняйтесь консультироваться с экспертом до официального назначения (предварительная консультация) — это позволит отсечь нереальные вопросы и сфокусироватся на том‚ что реально можно извлечь и доказать.

Данная статья носит информационный характер и не является юридической консультацией. Для решения конкретных правовых вопросов обратитесь к адвокату или судебному эксперту.