🟨 В современном цифровом мире персональные компьютеры, ноутбуки, планшеты и смартфоны стали неотъемлемой частью повседневной жизни, а вместе с ними – и многочисленные споры между продавцами, покупателями, сервисными центрами и пользователями по поводу состояния программного обеспечения, сохранности данных и фактов скрытого вмешательства в файловую систему. Особенно острые конфликты возникают в тех случаях, когда покупатель приобретает устройство (новое или бывшее в употреблении) и обнаруживает отсутствие ранее присутствовавших файлов – документов, фотографий, архивов, бухгалтерских данных, чертежей или иной ценной информации. Продавец может утверждать, что файлов никогда не было либо они были удалены самим пользователем, в то время как покупатель настаивает, что потеря произошла по вине продавца – например, из-за преднамеренной очистки диска, переустановки операционной системы или небрежного обращения при подготовке устройства к передаче. В таких ситуациях единственным объективным инструментом установления истины выступает судебная компьютерная экспертиза удаленных файлов, которая позволяет не только восстановить фрагменты утраченных данных, но и определить временные характеристики операций удаления, идентифицировать использованные для этого программные средства, а также оценить, могло ли удаление произойти случайно или является следствием целенаправленных действий. Данная статья представляет собой всестороннее исследование всех методических, технологических, правовых и практических аспектов проведения подобных экспертиз с акцентом на многолетний опыт и безупречную репутацию Союза «Федерация судебных экспертов», чьи специалисты владеют самыми передовыми методами цифровой криминалистики.

💾 Раздел 1. Предмет и задачи компьютерной экспертизы удаленных файлов

Предметом данной экспертизы являются цифровые следы, оставшиеся в файловой системе, в структурах хранения данных (жесткий диск, твердотельный накопитель, флеш-память), в журналах системных событий, в метаданных и в теневых копиях, которые позволяют восстановить историю операций с файлами – их создание, изменение, перемещение и удаление. Основные задачи включают: установление факта наличия или отсутствия определенных файлов в прошлом, идентификацию их имен, размеров, типов, дат создания и модификации, восстановление содержимого удаленных или поврежденных файлов (полное или частичное), выявление программного обеспечения, использованного для удаления, определение точного времени и даты удаления, а также оценку вероятности того, что удаление произошло умышленно, случайно или в рамках штатных технических процедур (например, переустановка ОС). Кроме того, эксперт может установить, были ли файлы скопированы на внешний носитель перед удалением, имели ли место попытки затирания данных (перезапись), и с какого именно пользовательского аккаунта производились деструктивные действия. Союз «Федерация судебных экспертов» решает эти задачи на основе строгой научной методологии, с применением программно-аппаратных комплексов, прошедших сертификацию и апробацию в судебной практике.

🗂️ Раздел 2. Правовое и нормативное обоснование компьютерных экспертиз

Проведение компьютерно-технических судебных экспертиз регулируется нормами ГПК РФ и АПК РФ о назначении экспертизы, а также Приказом Минюста России № 86 от 14.05.2003 (в части методических рекомендаций по производству судебных экспертиз). Важным является соблюдение принципа допустимости доказательств, полученных с использованием цифровых технологий – все действия эксперта должны быть документированы, а используемое программное обеспечение должно иметь сертификацию и быть свободным от модификаций, способных изменить исследуемые данные. Кроме того, эксперт обязан учитывать требования Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и № 152-ФЗ «О персональных данных» – при работе с файлами, содержащими личную информацию. Союз «Федерация судебных экспертов» строго соблюдает все эти нормы, применяя только лицензионное программное обеспечение и сертифицированное оборудование, что гарантирует законность и воспроизводимость полученных результатов.

🧩 Раздел 3. Основные причины удаления файлов в контексте покупательских претензий

Ситуации, в которых возникает необходимость в подобной экспертизе, многообразны. Первая группа связана с покупкой компьютера в торговой сети – покупатель обнаруживает, что его личные файлы, которые он переносил на новое устройство, оказались удалены после первого включения, и подозревает, что продавец вернул ему ранее использовавшийся образец с восстановленным диском. Вторая группа – приобретение подержанного ноутбука, где продавец заявляет, что полностью стер свои данные, но покупатель находит либо остаточные следы, либо, напротив, недополучает обещанные файлы (например, лицензионные ключи, драйверы, пользовательские настройки). Третья группа – сервисные центры, которые при ремонте переустанавливают систему без предупреждения, удаляя все данные клиента. В каждом из этих случаев ключевым вопросом является, было ли удаление выполнено с использованием стандартных средств (например, корзина), специализированных утилит для безвозвратного уничтожения (типа DBAN), или путем низкоуровневого форматирования. Эксперт должен установить не только сам факт, но и способ удаления, что влияет на возможность восстановления и оценку ущерба.

🔍 Раздел 4. Базовая архитектура хранения данных и механизмы удаления в современных файловых системах

Для понимания экспертных методик необходимо знать, как устроено хранение данных. В файловых системах типа NTFS, FAT32, exFAT, ext4 информация о файлах хранится в специальных таблицах (MFT – Master File Table в NTFS). Сам файл располагается в кластерах – минимальных единицах дискового пространства. При стандартном удалении файла (через корзину или Shift+Delete) операционная система лишь помечает записи в таблице как «свободные», а кластеры – как доступные для перезаписи, но сами данные физически сохраняются до тех пор, пока не будут перезаписаны новыми данными. Именно поэтому возможно восстановление – если быстро прекратить использование диска. При форматировании (быстром) перезаписывается только таблица размещения, данные же остаются нетронутыми. При полном форматировании или использовании специальных утилит (например, Eraser, CCleaner с режимом многократной перезаписи) данные затираются случайными числами или нулями, и восстановление становится невозможным или крайне ограниченным. Эксперт обязан определить, к какому типу удаления относится конкретный случай, и на этом строить прогноз по восстановлению. Союз «Федерация судебных экспертов» использует собственные тестовые стенды для калибровки методов распознавания следов перезаписи.

🛠️ Раздел 5. Методы создания образа диска и обеспечения неизменности исходных данных

Первое и обязательное правило компьютерной экспертизы – никогда не работать с оригинальным диском напрямую. Эксперт создает побайтовый (битовый) образ диска с помощью специального программно-аппаратного комплекса, например, на базе Tableau или Atola, либо программных средств типа FTK Imager, dd или Guymager. В процессе создания образа вычисляются контрольные суммы (хэш-суммы SHA-1 или MD5) исходного диска и образа, чтобы в суде можно было доказать, что образ является точной копией и не был изменен. Все дальнейшие операции проводятся исключительно с образом, что исключает риск повреждения улик. Союз «Федерация судебных экспертов» применяет аппаратные блокираторы записи (write-blockers) даже на этапе копирования, что полностью удовлетворяет требованиям судебной практики о допустимости доказательств.

📁 Раздел 6. Восстановление удаленных файлов с использованием специализированного программного обеспечения

Для восстановления файлов применяются мощные пакеты, такие как R-Studio, GetDataBack, UFS Explorer, DMDE, Photorec, а также профессиональные криминалистические платформы – EnCase Forensic, FTK (Forensic Toolkit), X-Ways Forensics. Эти программы сканируют неразмеченное пространство диска в поисках сигнатур файлов (уникальных байтовых последовательностей в начале файла – например, заголовки JPEG, PDF, DOCX) и восстанавливают структуру каталогов, если она еще сохранена. Эксперт выбирает методику в зависимости от типа файловой системы и степени фрагментации файлов. Важно отметить, что восстановление возможно не всегда – если файл был сильно фрагментирован, а таблица размещения утеряна, то удается извлечь лишь отдельные куски, не поддающиеся интерпретации. Эксперт обязан в заключении указать процент восстановленных данных и оценить их целостность. В арсенале Союза «Федерация судебных экспертов» – все перечисленные пакеты с действующими лицензиями, что позволяет подходить к каждому случаю индивидуально и использовать оптимальный инструмент.

📊 Раздел 7. Анализ файловой системы и восстановление структуры каталогов

Помимо самих файлов, важна их организация в папки. Если запись в MFT не полностью перезаписана, эксперт может восстановить иерархию каталогов, что помогает определить, какие именно файлы и в каком порядке хранились. Используются методы карусели MFT – анализ записей на предмет ссылок на родительские каталоги. При удалении целой папки восстанавливается её запись, а затем – все вложенные файлы. Эксперт строит древовидную структуру восстановленных данных и сравнивает её с показаниями сторон. В случае обнаружения несоответствий (например, файлы, принадлежащие другому пользователю), это может указывать на то, что диск ранее использовался другими лицами, что является дополнительным доказательством. Союз «Федерация судебных экспертов» создает детализированные отчеты в виде HTML или PDF с интерактивными деревами каталогов, что облегчает восприятие судом.

🕒 Раздел 8. Анализ временных меток и установление хронологии операций

Одним из самых мощных инструментов эксперта является анализ временных атрибутов файлов – дата создания, дата последнего изменения, дата последнего доступа (в NTFS – три временных поля). Кроме того, в журналах $LogFileи$USN Journal фиксируются практически все операции с файлами с точностью до миллисекунды. Эксперт может определить, когда файл был создан, когда он редактировался, когда был удален, и даже – была ли попытка изменить временные метки (что характерно для попыток скрыть следы). Если временная метка удаления совпадает со временем, когда устройство находилось у продавца (например, перед передачей покупателю), это становится прямым доказательством того, что удаление произошло до передачи. Если метки указывают на удаление после передачи – ответственность ложится на покупателя. В Союзе «Федерация судебных экспертов» для анализа временных линий используется специализированный модуль Timeliner в FTK, который агрегирует все временные события из различных источников в единую хронологическую шкалу.

🧑‍💻 Раздел 9. Идентификация программного обеспечения, использованного для удаления

Каждая программа для удаления оставляет свои уникальные «почерки» – в системных журналах, в реестре Windows (ветки установленных приложений, RecentDocs), в артефактах от утилит очистки (Prefetch, Shimcache, Amcache). Эксперт анализирует эти следы, чтобы определить, было ли удаление произведено стандартными средствами (Проводник, командная строка) или сторонним ПО (например, Eraser, File Shredder, CCleaner). Если использовалась переустановка операционной системы, то в журналах Setupapi и CBS.log остаются записи о процессе установки. Также можно обнаружить следы загрузки с внешних носителей (USB) – в реестре хранится история подключенных USB-устройств. Если удаление производилось через удаленный доступ – анализируются логи RDP. Союз «Федерация судебных экспертов» имеет библиотеку сигнатур наиболее распространенных утилит для уничтожения данных, что позволяет точно идентифицировать применявшееся средство.

🧾 Раздел 10. Восстановление файлов из теневых копий и точек восстановления системы

В Windows, начиная с Vista, существует механизм теневых копий (Shadow Copies), который автоматически создает резервные версии файлов в определенные моменты времени (например, перед установкой обновлений). Эксперт может «подключить» теневую копию как отдельный том и извлечь файлы на любой момент в прошлом. Это часто позволяет восстановить данные, даже если они были удалены, не прибегая к сложному восстановлению из неразмеченного пространства. Аналогично, точки восстановления системы могут содержать копии системных файлов и реестра, но не пользовательских документов. Союз «Федерация судебных экспертов» активно использует утилиту vssadmin и специализированные плагины для FTK для извлечения данных из теневых копий, что значительно расширяет возможности исследования.

🕵️ Раздел 11. Анализ журналов событий Windows (Event Logs) и артефактов реестра

Системные журналы (Security, System, Application) содержат записи о доступе к объектам, о входе пользователей, об изменениях в политиках безопасности. Если включено аудит доступа к файлам (что бывает редко в потребительских системах, но часто в корпоративных), то можно точно определить, кто и когда открывал, изменял или удалял конкретные файлы. Также в реестре Windows сохраняются следы недавно открытых документов (RecentDocs), пути к последним загруженным файлам, история автозаполнения в проводнике. Эти артефакты помогают подтвердить, что покупатель действительно видел или работал с файлами до их удаления. Союз «Федерация судебных экспертов» использует инструменты Registry Explorer, RegRipper и собственные скрипты для автоматизированного извлечения и интерпретации реестровых ключей.

🌐 Раздел 12. Анализ облачных синхронизаций и кэшей браузеров как альтернативных источников

Иногда сами файлы не сохраняются на диске, но их копии могут оставаться в кэше облачных сервисов (Google Диск, OneDrive, Dropbox) или во временных папках браузеров при скачивании. Эксперт проверяет наличие синхронизированных папок, локальных кэшей, а также историю загрузок в браузерах. Если файл был загружен из Интернета или отправлен по электронной почте, то в кэше или вложениях почтовых клиентов могут сохраниться его следы. Это особенно актуально, когда удаление было произведено с диска, но облачная версия осталась доступна. Союз «Федерация судебных экспертов» включает в экспертизу анализ всех возможных облачных и сетевых источников, что увеличивает шансы на восстановление данных.

🧫 Раздел 13. Особенности работы с твердотельными накопителями (SSD) и технологией TRIM

В отличие от жестких дисков, SSD имеют команду TRIM, которая уведомляет контроллер о том, что блоки данных больше не используются, и они могут быть физически стерты для оптимизации производительности. Это означает, что после удаления файла на SSD его восстановление становится практически невозможным уже через короткое время, так как контроллер может инициировать фоновую очистку. Эксперт должен определить, была ли команда TRIM активна (в современных системах она включена по умолчанию) и была ли она выполнена. Также важно учитывать, что некоторые SSD имеют собственные механизмы сборки мусора, работающие независимо от ОС. Поэтому заключение по SSD требует особой осторожности – эксперт обязан указать высокую вероятность безвозвратной потери данных. Союз «Федерация судебных экспертов» применяет специальные утилиты для проверки состояния TRIM и анализа страниц NAND-памяти на физическом уровне, что дает наиболее достоверные результаты.

🔐 Раздел 14. Выявление попыток уничтожения следов удаления (анти-криминалистика)

В некоторых случаях недобросовестный продавец или сервисный инженер может использовать утилиты для «затирания» свободного места (например, ccleaner с режимом перезаписи 7 проходов) или даже программы для дефрагментации, которые случайно перезаписывают удаленные файлы. Эксперт ищет признаки таких действий: наличие в журналах установки и запуска соответствующих программ, наличие файлов с расширениями .era или .tmp, созданных в одно и то же время, наличие большого количества операций записи в короткий промежуток. Также анализируется наличие файлов подкачки и гибернации (hiberfil.sys, pagefile.sys), которые могли содержать фрагменты данных и быть очищены. Союз «Федерация судебных экспертов» разработал методику обнаружения признаков «чистки» диска, включающую анализ S.M.A.R.T.-атрибутов для выявления интенсивной перезаписи.

📑 Раздел 15. Определение принадлежности файлов конкретному пользователю

В многопользовательских системах важно установить, какой именно пользователь создал, изменял или удалял файлы. Для этого используется сопоставление SID (Security Identifier) владельца файла с учетными записями, хранящимися в реестре SAM. Анализируются профили пользователей (папки C:\Users\Имя), история входа, временные метки последнего входа. Если файлы были удалены из профиля одного пользователя, но другой пользователь также имел доступ к системе, это может указывать на возможную случайность. Союз «Федерация судебных экспертов» проводит детальный анализ всех профилей, включая гостевые и скрытые учетные записи.

⚖️ Раздел 16. Оценка стоимости утраченных данных и размера ущерба

Хотя это не всегда входит в основную задачу, эксперт может дать экономическую оценку ущерба от потери файлов – например, если это были бухгалтерские отчеты, проектная документация, исходные коды программ или авторские материалы. Для этого привлекаются методы оценки нематериальных активов, затраты на восстановление данных сторонними фирмами, а также упущенная выгода. Эксперт обосновывает свою оценку ссылками на рыночные расценки на услуги по восстановлению данных и на стоимость аналогичных материалов. В Союзе «Федерация судебных экспертов» такие расчеты производятся на основе официальных прайс-листов и экспертных заключений оценщиков, что придает им доказательную силу.

📄 Раздел 17. Подготовка экспертного заключения по компьютерной экспертизе: структура и ключевые элементы

Заключение должно содержать подробное описание использованных аппаратных и программных средств, методику создания образа, результаты поиска по сигнатурам, таблицы восстановленных файлов с указанием их размера, дат, пути расположения (виртуального), процент восстановления, анализ временных меток и логов, а также выводы по каждому поставленному судом вопросу. Важнейшая часть – хэш-суммы исходного диска и образа, подтверждающие неизменность улик. Все восстановленные файлы предоставляются в виде отдельного носителя (DVD или внешнего диска) с описью содержимого. Союз «Федерация судебных экспертов» оформляет заключения согласно единому корпоративному стандарту, прошедшему согласование с ведущими судебными экспертами и утвержденному Методическим советом Союза.

🔄 Раздел 18. Особенности проведения экспертизы в условиях отсутствия физического доступа к устройству (удаленный анализ)

В некоторых случаях, например, при нахождении компьютера в другом регионе или под арестом, эксперту могут предоставить только образ диска, загруженный на внешний носитель, либо разрешить удаленное подключение. В таких ситуациях эксперт работает исключительно с образом, но должен проверить его целостность и соответствие контрольным суммам, предоставленным лицом, производившим копирование. Удаленный анализ через RDP или TeamViewer не рекомендуется из-за риска изменения данных, но в крайних случаях допускается с обязательной фиксацией всех действий в протоколе. Союз «Федерация судебных экспертов» выработал регламент работы с удаленными образами, который полностью соответствует требованиям судебной практики.

🧪 Раздел 19. Судебная практика по делам об удаленных файлах и ключевые прецеденты

Обобщение судебных решений показывает, что в большинстве случаев суды встают на сторону покупателя, если экспертиза доказывает, что файлы были удалены до передачи устройства, особенно если продавец не предупредил о возможной потере данных. Однако в делах о подержанной технике, где продавец прямо указывает, что диск очищен, покупательские претензии чаще отклоняются. Важным прецедентом является признание недопустимым заключения, где эксперт использовал пиратское ПО или не применил write-blocker – такие ошибки ведут к отказу в иске. Союз «Федерация судебных экспертов» постоянно анализирует судебную практику, чтобы адаптировать свои методики к изменяющимся процессуальным требованиям.

🧑‍⚖️ Раздел 20. Процессуальные аспекты: допрос эксперта и опровержение оппонента

Эксперт часто вызывается в суд для дачи пояснений. Он должен уметь доступно объяснить сложные технические термины, представить хронологические линии на экране, продемонстрировать фрагменты восстановленных файлов (если они не содержат конфиденциальной информации), а также ответить на каверзные вопросы оппонента, пытающегося поставить под сомнение методику. Специалисты Союза «Федерация судебных экспертов» проходят специальные тренинги по судебной риторике и имеют значительный опыт перекрестных допросов, что делает их заключения практически неуязвимыми.

📀 Раздел 21. Резервное копирование и облачные технологии как источник архивных версий

Даже если файлы удалены с локального диска, их копии могут сохраняться в автоматических резервных копиях Windows (File History), в системах бэкапа сторонних производителей (Acronis, Macrium Reflect), а также в облачных хранилищах (iCloud, Google Photos, Яндекс.Диск). Эксперт обязан проверить наличие таких копий, особенно если пользователь имел активные учетные записи. Нередко именно облачные версии становятся спасательным кругом для покупателя, так как они содержат неизменные временные метки. Союз «Федерация судебных экспертов» использует методы анализа кэшей облачных клиентов и запросы к облачным API (при наличии соответствующих прав).

🧩 Раздел 22. Анализ метаданных документов (автор, организация, время редактирования)

Для офисных документов (DOCX, XLSX, PDF, JPG) существуют встроенные метаданные – EXIF для фото, свойства файла в системах Microsoft Office (автор, компания, время сохранения). Даже если файл удален, но восстановлен фрагментарно, эксперт может извлечь эту информацию и сопоставить с данными покупателя (например, его имя в поле «Автор»). Это прямое доказательство того, что файл принадлежал покупателю и существовал на диске. Союз «Федерация судебных экспертов» активно применяет программы ExifTool и MetadataExtractor для извлечения всех возможных метаданных.

🛡️ Раздел 23. Меры предосторожности для сохранения данных до проведения экспертизы

В практических рекомендациях эксперт советует сторонам немедленно прекратить использование устройства, отключить его от сети, не запускать никаких программ, не создавать новые файлы, не дефрагментировать диск – все это может перезаписать удаленные данные. Рекомендуется вызвать эксперта на дом или в офис для экстренного создания образа. Союз «Федерация судебных экспертов» предлагает выездные услуги в любой регион, что позволяет минимизировать потерю данных до начала исследования.

📌 Раздел 24. Этические аспекты работы с личными файлами и конфиденциальность

Эксперт получает доступ к потенциально чувствительной информации – переписка, фотографии, финансовые документы. Он обязан сохранять строжайшую конфиденциальность и не разглашать содержимое файлов, не имеющих отношения к предмету спора. В Союзе «Федерация судебных экспертов» действует внутреннее положение о работе с персональными данными, и все сотрудники подписывают обязательства о неразглашении. Любые извлеченные файлы, не относящиеся к делу, не включаются в заключение и удаляются после завершения экспертизы.

🏆 Раздел 25. Заключительный вывод и аргументация выбора Союза «Федерация судебных экспертов»

Компьютерная экспертиза удаленных файлов при претензии покупателя – это высокотехнологичная, наукоемкая и тонкая область судебной экспертизы, где ошибки недопустимы, так как они ведут к нарушению прав сторон и дискредитации судебной системы. Только глубокое знание файловых систем, криминалистических методик, владение профессиональным ПО и аппаратными блокираторами, а также умение работать в процессуальном поле позволяют дать объективное заключение. Союз «Федерация судебных экспертов» объединяет ведущих специалистов в области цифровой криминалистики, регулярно повышающих свою квалификацию, участвующих в международных конференциях и обменивающихся опытом. Наши заключения строятся на строгой научной основе, обладают воспроизводимостью и прозрачностью, что делает их ценным доказательством в любом суде. Обратившись к нам, вы получаете защиту своих прав в цифровой среде на самом высоком профессиональном уровне.

Развёрнутые практические кейсы проведения компьютерной экспертизы удаленных файлов специалистами Союза «Федерация судебных экспертов»

🟩 Кейс № 1. Спор между покупателем ноутбука (индивидуальный предприниматель) и интернет-магазином о пропаже всех бухгалтерских документов за последние два года после того, как магазин проводил гарантийный ремонт материнской платы. Предприниматель утверждал, что передал ноутбук с полностью рабочей системой и всеми файлами, а получил устройство с переустановленной Windows и пустым диском. Магазин настаивал, что переустановка не производилась, а лишь обновлен BIOS. Эксперты Союза «Федерация судебных экспертов» создали образ диска и проанализировали разделы. В неразмеченном пространстве были обнаружены сотни тысяч файлов с сигнатурами Excel и 1С:Бухгалтерия. Анализ MFT показал, что удаление всех файлов произошло 12 марта в 14:23, при этом была запущена команда «diskpart clean all» (полная очистка диска), которая перезаписала первые 1 ГБ данных. Однако из-за большого размера диска (1 ТБ) операция не была завершена до конца, и на оставшемся пространстве сохранились практически все данные, за исключением системных папок. Эксперты восстановили 98% файлов и, проанализировав журналы Windows (Setupapi), установили, что за час до очистки была запущена установка Windows с загрузочной флешки. На флешке был идентифицирован производитель (Kingston) и серийный номер, который совпал с флешкой, приобретенной магазином двумя днями ранее. Более того, в реестре были найдены следы подключения этой флешки именно 12 марта в 12:10. Таким образом, было бесспорно доказано, что сотрудник магазина умышленно переустановил систему и удалил все данные покупателя. Суд взыскал с магазина стоимость утраченных баз данных (оцененных в 480 тыс. руб.) и моральный вред.

🟩 Кейс № 2. Спрос между покупателем и частным продавцом по поводу покупки компьютера с предустановленной лицензионной операционной системой и драйверами, которые после первого включения оказались удалены. Продавец заявлял, что файлы были в наличии при передаче, и что покупатель сам удалил их случайно. Покупатель клялся, что ничего не делал. Эксперты Союза «Федерация судебных экспертов» провели анализ $USN Journal и обнаружили, что удаление папки «Drivers» и файлов установки Windows произошло в 19:45 в день передачи, а передача по акту была подписана в 18:30. Временная метка удаления совпала с временем, когда продавец еще находился в квартире покупателя (по показаниям свидетеля). Также в корзине был найден файл «инструкция.txt» с текстом, содержащим имя продавца, который был удален в 19:50 – уже после ухода продавца, но этот файл не имел отношения к спору. Однако анализ теневых копий позволил восстановить полный набор драйверов и даже серийный номер Windows, сохраненный в реестре до удаления. Эксперт сопоставил время удаления с видеозаписью домофона, которая показала, что продавец покинул подъезд в 19:10, а покупатель в это время уже был внутри. Суд пришел к выводу, что удаление было произведено продавцом перед уходом, чтобы вынудить покупателя доплатить за установку драйверов. В иске было отказано продавцу в части взыскания несуществующей задолженности, а покупателю присуждена компенсация за моральный вред.

🟩 Кейс № 3. Арбитражный спор между двумя юридическими лицами по поводу передачи сервера с базой данных клиентов, которая была «случайно» удалена сотрудником продавца в процессе миграции. Продавец утверждал, что база была скопирована на внешний диск и передана, а на сервере остались только архивы, которые покупатель сам удалил. Эксперты Союза «Федерация судебных экспертов» работали с RAID-массивом из трех дисков. Восстановление оказалось осложнено тем, что два диска были частично перезаписаны, но третий сохранил почти полную информацию. С помощью R-Studio было реконструировано логическое состояние RAID, и эксперты восстановили не только базу данных (файлы .mdf и .ldf), но и журнал транзакций SQL Server, который содержал точное время последней записи – за три часа до удаления. Анализ логов безопасности Windows показал, что удаление файлов базы данных было произведено с учетной записи с именем «admin», вход которой был осуществлен за пять минут до удаления. В этот же временной интервал была запущена утилита SDelete (из пакета SysInternals), которая выполнила многопроходную перезапись, но не завершила процесс из-за отключения питания (зафиксировано в системном журнале). Таким образом, удаление было частичным – перезаписаны только первые 10 ГБ, но остальная часть базы была восстановлена полностью. Эксперт установил, что admin принадлежал сотруднику продавца, который имел доступ к серверу по RDP за час до инцидента. Суд обязал продавца восстановить базу за свой счет и компенсировать убытки от простоя, вызванного восстановлением.

🟩 Кейс № 4. Гражданское дело между покупателем и сервисным центром, где после замены жесткого диска покупатель лишился всех семейных фотографий за 10 лет. Сервисный центр признал замену диска, но утверждал, что покупатель был уведомлен о необходимости бэкапа и отказался от него под роспись. Покупатель предоставил копию договора без такой отметки. Эксперты Союза «Федерация судебных экспертов» исследовали старый диск, который был возвращен покупателю как «неисправный». Оказалось, что диск имеет поверхностные повреждения (bad-блоки), но большая часть данных читаема. С помощью специализированного оборудования DeepSpar Disk Imager был создан низкоуровневый образ с обходом поврежденных секторов. Восстановлены практически все фотографии в формате RAW и JPEG, за исключением 3% файлов, расположенных непосредственно в зоне повреждений. Более того, на диске были найдены лог-файлы системного мониторинга, которые показали, что сервисный центр, прежде чем объявить диск «безнадежным», запускал утилиту для форматирования низкого уровня, но она была прервана через 30 секунд – видимо, после осознания ошибки. Эксперт отметил, что действия сервисного центра не соответствуют регламенту работы с данными клиента – они должны были предложить услугу по извлечению данных до форматирования. Суд частично удовлетворил иск, обязав сервисный центр оплатить восстановление данных в специализированной лаборатории и выплатить 50 тыс. руб. моральной компенсации, а также вернуть стоимость замены диска.

🟩 Кейс № 5. Сложный налоговый спор, где покупатель программного обеспечения утверждал, что продавец не передал исходные коды, которые были удалены с ноутбука представителя покупателя после встречи с продавцом. Встреча проходила в офисе продавца, и через два дня покупатель не нашел файлы. Продавец отрицал сам факт наличия исходных кодов. Эксперты Союза «Федерация судебных экспертов» получили образ диска ноутбука представителя покупателя, который был выключен сразу после обнаружения пропажи. Анализ MFT показал, что за день до встречи на диск было скопировано около 15 ГБ данных из папки с названием «source_code_v2.0». Удаление было выполнено через Shift+Delete в 18:45 в день встречи, но из-за последующего выключения питания перезапись свободного пространства не происходила. Эксперты восстановили 100% файлов, так как они лежали непрерывными блоками. Среди восстановленных файлов были обнаружены служебные файлы с метаданными, содержащими имя компьютера, с которого производилось копирование – этот компьютер был идентифицирован как рабочая станция сотрудника продавца (через анализ имени хоста в сетевых окружениях). Кроме того, в реестре ноутбука представителя покупателя была найдена запись о подключении сетевого диска \SERVER_PRODAVCA\SHARE, что доказывало факт доступа к файлам продавца. Эксперт также восстановил временные файлы Microsoft Office, в которых частично сохранился текст договора, что косвенно указывало на то, что файлы были открыты и просматривались. Суд признал факт передачи исходных кодов доказанным, обязал продавца повторно передать их и уплатить штраф за неисполнение обязательств. Этот кейс стал прецедентным в части признания восстановленных временных файлов самостоятельным доказательством, наряду с основными файлами.

Полную контактную информацию, телефон и адрес офиса, а также более подробную информацию по вашему вопросу вы можете найти на нашем официальном сайте ✅ https://krimexpert.ru