📌 Введение

Компьютерно-техническая экспертиза данных электронного документа представляет собой комплексное исследование файла, его внутренней структуры, метаданных, цифровых подписей, истории обработки и связанных информационных систем. Цель экспертизы заключается в установлении происхождения документа, обстоятельств его создания и изменения, а также признаков удаления, подмены, копирования или технического вмешательства. 💻🔎

• Электронным документом может являться текстовый файл, электронная таблица, презентация, изображение, скан-копия, файл формата PDF, архив, сообщение электронной почты, выгрузка из информационной системы или документ, подписанный электронной подписью.
• В деловой практике электронные документы используются для согласования договоров, подготовки отчётов, направления актов, выставления счетов, передачи технической документации и фиксации управленческих решений. После возникновения конфликта одна из сторон может утверждать, что файл был изменён, создан позднее заявленной даты, подписан другим лицом или сформирован не в той информационной системе, на которую ссылается оппонент.
• Компьютерно-техническое исследование не ограничивается просмотром текста на экране. Один и тот же визуальный документ может иметь различное техническое происхождение. Файл мог быть создан в офисной программе, экспортирован из корпоративной системы, преобразован из изображения, получен путём сканирования либо сформирован посредством программной генерации.
• Эксперт исследует как отображаемое содержимое, так и невидимые пользователю данные. К ним относятся свойства файла, структура контейнера, служебные записи, встроенные объекты, идентификаторы программного обеспечения, сведения об авторе, даты, история версий, цифровые сертификаты и контрольные суммы.
• Необходимо учитывать, что дата в свойствах файла сама по себе не подтверждает время создания документа. Она может изменяться при копировании, пересохранении, восстановлении из архива, переносе между устройствами или ручной настройке системных часов.
• Аналогичным образом имя автора в метаданных не всегда указывает на фактического составителя. Программа может автоматически подставлять имя владельца компьютера, учётной записи или шаблона, даже если текст подготовил другой человек.
• Компьютерно-техническая экспертиза устанавливает технические обстоятельства, но не решает юридические вопросы. Эксперт не определяет, заключён ли договор, имело ли лицо полномочия подписывать документ и достаточно ли файла для подтверждения обязательства. Эти обстоятельства оцениваются судом. ⚖️
• Для объективного исследования желательно предоставить исходный электронный файл, а не только его распечатку или снимок экрана. Распечатка передаёт визуальное содержание, но не сохраняет метаданные, цифровую подпись, вложенные объекты и внутреннюю структуру документа.
• До проведения экспертизы не рекомендуется открывать спорный файл в программах, автоматически изменяющих его свойства, пересохранять документ, переименовывать его или копировать на носитель без фиксации первоначального состояния.
• Значительный опыт проведения подобных исследований накоплен специалистами Союза «Федерация судебных экспертов», которые выполняют независимые и судебные компьютерно-технические экспертизы электронных документов, файлов, электронной почты, цифровых подписей, носителей информации и корпоративных систем. 📚

🏛️ Раздел 1. Когда требуется экспертиза электронного документа

Экспертиза требуется, если подлинность, происхождение, дата создания или неизменность электронного документа имеют значение для разрешения спора.

Одним из распространённых оснований является заявление стороны о том, что представленный файл был создан или отредактирован уже после возникновения конфликта. Например, контрагент предъявляет электронный акт, положение, отчёт или приложение к договору, а другая сторона утверждает, что такого документа ранее не существовало.

Исследование необходимо, если визуальное содержимое двух файлов различается, хотя стороны ссылаются на один и тот же документ. Один экземпляр может содержать дополнительное условие, изменённую сумму, другую дату или подпись.

Экспертиза также проводится, когда необходимо установить:

▪️ каким программным обеспечением создан файл;

▪️ подвергался ли документ редактированию;

▪️ имеются ли скрытые изменения;

▪️ когда файл появился на носителе;

▪️ с какого устройства он был скопирован;

▪️ содержит ли документ электронную подпись;

▪️ действителен ли сертификат на момент подписания;

▪️ изменялось ли содержимое после подписания;

▪️ имеются ли признаки восстановления удалённого файла;

▪️ совпадают ли представленные экземпляры;

▪️ является ли PDF результатом сканирования или программного экспорта;

▪️ содержит ли файл внедрённые изображения или объекты;

▪️ мог ли документ быть сформирован указанной информационной системой.

Экспертиза востребована при гражданских, арбитражных, трудовых, корпоративных и уголовных спорах, а также при внутренних служебных расследованиях.

📄 Раздел 2. Какие объекты относятся к электронным документам

Объектом исследования может быть практически любой файл, содержащий информацию, представленную в цифровой форме.

Наиболее часто исследуются:

▪️ текстовые документы;

▪️ электронные таблицы;

▪️ презентации;

▪️ PDF-файлы;

▪️ сканированные документы;

▪️ изображения;

▪️ архивы;

▪️ электронные письма;

▪️ вложения;

▪️ выгрузки из корпоративных систем;

▪️ электронные акты;

▪️ счета и накладные;

▪️ проекты договоров;

▪️ отчёты;

▪️ журналы операций;

▪️ файлы с электронной подписью.

Электронный документ может существовать как самостоятельный файл либо как запись в информационной системе. Например, документ в системе электронного документооборота может не храниться на компьютере пользователя в привычном виде, а формироваться при выгрузке из базы данных.

Объектом экспертизы в таком случае становятся не только выгруженный файл, но и база данных, журналы событий, карточка документа, сведения о версиях, учётные записи и серверное хранилище.

Исследоваться могут и временные копии, автоматически создаваемые программами. Такие файлы иногда сохраняют более раннюю редакцию текста или сведения о незавершённом редактировании.

Особое значение имеют архивы и контейнеры, внутри которых находятся документ, подпись, сертификаты и служебные сведения. Простое открытие внешнего файла не всегда показывает все составляющие электронной документации.

📑 Раздел 3. Какие материалы необходимо предоставить эксперту

Основным объектом должен быть исходный электронный файл в том формате, в котором он был создан, получен или использован сторонами.

Желательно предоставить:

▪️ оригинальный файл;

▪️ носитель, на котором он обнаружен;

▪️ электронное письмо с вложением;

▪️ архив переписки;

▪️ резервную копию;

▪️ файл электронной подписи;

▪️ сертификат;

▪️ выгрузку из информационной системы;

▪️ журналы событий;

▪️ сведения о пользователях;

▪️ документы о порядке создания и согласования;

▪️ скриншоты;

▪️ распечатки;

▪️ переписку сторон;

▪️ материалы судебного дела.

Если документ находился на компьютере, смартфоне, сервере или внешнем накопителе, желательно представить соответствующее устройство либо его криминалистическую копию.

При исследовании корпоративной системы могут потребоваться доступ к базе данных, журналам, файловому хранилищу, резервным копиям и административной панели.

Если стороны представляют несколько экземпляров, каждый файл необходимо передать отдельно, сохранив исходное имя, расширение и структуру каталогов.

Полезно составить хронологию: когда документ был получен, кем открыт, куда скопирован, кому направлен и какие действия с ним выполнялись.

Нельзя перепечатывать текст в новый файл и считать его эквивалентом оригинала. Новый документ будет иметь другую структуру, метаданные и техническую историю.

🔐 Раздел 4. Обеспечение сохранности цифровых доказательств

Электронные данные легко изменяются. Даже обычное открытие файла иногда обновляет время последнего доступа, создаёт временную копию или записывает сведения о программе.

Поэтому перед исследованием необходимо зафиксировать первоначальное состояние объекта.

Основными мерами являются:

▪️ создание побитовой копии носителя;

▪️ расчёт контрольных сумм;

▪️ использование режима только для чтения;

▪️ фиксация даты и времени;

▪️ описание структуры каталогов;

▪️ сохранение исходных имён;

▪️ упаковка и опечатывание носителя;

▪️ ведение журнала передачи материалов.

Контрольная сумма представляет собой цифровое значение, рассчитанное на основе содержимого файла. Если хотя бы один байт изменится, значение обычно станет другим.

Эксперт рассчитывает контрольные суммы до начала исследования и повторно проверяет их после завершения. Это подтверждает, что анализ проводился на неизменной копии.

Если документ передаётся по электронной почте или через облачное хранилище, необходимо фиксировать способ получения и характеристики загруженного файла.

Для судебного исследования важна непрерывная прослеживаемость материалов. Должно быть понятно, откуда получен файл, кто им распоряжался и какие операции выполнялись.

🔎 Раздел 5. Порядок проведения компьютерно-технической экспертизы

Исследование начинается с идентификации файла. Эксперт устанавливает его формат, размер, расширение, контрольную сумму, структуру и возможность корректного открытия.

Затем проверяется, соответствует ли фактический формат указанному расширению. Файл может называться документом PDF, но фактически представлять собой изображение, архив или иной контейнер.

После этого исследуются метаданные, внутренняя структура, встроенные элементы, служебные записи и цифровые подписи.

При необходимости анализируются:

▪️ содержимое носителя;

▪️ файловая система;

▪️ удалённые записи;

▪️ временные файлы;

▪️ резервные копии;

▪️ журналы приложений;

▪️ электронная почта;

▪️ история облачной синхронизации;

▪️ сведения корпоративной системы.

Эксперт сравнивает разные экземпляры документа на уровне отображаемого текста и внутреннего цифрового содержимого.

Если поставлен вопрос о редактировании, исследуется история версий, состав объектов, изменения структуры и признаки использования разных программ.

Каждый вывод должен быть подтверждён воспроизводимыми техническими данными, а не только визуальным впечатлением от открытого документа.

🧾 Раздел 6. Исследование метаданных файла

Метаданные представляют собой служебные сведения, описывающие свойства электронного объекта.

В них могут содержаться:

▪️ имя автора;

▪️ название организации;

▪️ дата создания;

▪️ дата изменения;

▪️ дата печати;

▪️ версия программы;

▪️ количество редактирований;

▪️ продолжительность работы;

▪️ название шаблона;

▪️ имя последнего пользователя;

▪️ идентификаторы документа;

▪️ сведения о приложении.

Метаданные могут иметь важное доказательственное значение, но не должны интерпретироваться изолированно.

Например, дата создания иногда отражает момент копирования документа из старого формата, а не момент подготовки текста. Имя автора может автоматически переноситься из шаблона.

Некоторые сведения изменяются при пересохранении, экспорте, восстановлении или открытии в другой программе.

Эксперт сопоставляет метаданные с файловой системой, историей переписки, журналами приложений и другими независимыми источниками.

Если разные поля противоречат друг другу, это не всегда означает подделку. Противоречие может быть вызвано обычным технологическим процессом преобразования файла.

В заключении должно быть указано не только значение метаданных, но и пределы его интерпретации.

🕒 Раздел 7. Можно ли установить дату создания документа

Вопрос о времени создания электронного файла является одним из наиболее сложных.

Файловая система может хранить несколько временных отметок:

▪️ создание;

▪️ изменение;

▪️ доступ;

▪️ изменение служебной записи;

▪️ копирование;

▪️ загрузку;

▪️ синхронизацию.

Эти значения зависят от операционной системы, типа носителя и способа передачи.

При копировании файла дата создания на новом носителе часто становится датой копирования, тогда как дата изменения сохраняет более раннее значение.

Системное время компьютера может быть настроено неправильно или изменено пользователем. Поэтому одна временная отметка не подтверждает календарную дату события.

Для оценки времени эксперт сопоставляет:

▪️ метаданные документа;

▪️ сведения файловой системы;

▪️ электронную почту;

▪️ журналы программ;

▪️ резервные копии;

▪️ историю облачного сервиса;

▪️ данные корпоративной системы;

▪️ временные файлы;

▪️ последовательность версий.

В ряде случаев возможно установить период, раньше или позже которого документ существовал. Например, файл был вложен в электронное письмо определённой даты или вошёл в резервную копию.

Категорически определить момент первоначального создания удаётся не всегда. Эксперт обязан ясно обозначить объективные ограничения.

✏️ Раздел 8. Выявление редактирования и изменения содержимого

Факт изменения файла после первоначального создания сам по себе не означает неправомерного вмешательства. Большинство документов редактируется в процессе подготовки.

Эксперт должен установить характер и, если возможно, последовательность изменений.

Признаками редактирования могут быть:

▪️ наличие нескольких редакций;

▪️ история исправлений;

▪️ несогласованные стили;

▪️ внедрённые объекты;

▪️ изменённые свойства;

▪️ следы удаления текста;

▪️ скрытые комментарии;

▪️ остаточные данные;

▪️ различия в структуре;

▪️ обновление отдельных компонентов.

В офисных документах могут сохраняться исправления, комментарии, скрытый текст, сведения об авторах изменений и идентификаторы редакций.

В PDF-файле возможно последовательное добавление новых объектов без полного удаления прежнего содержимого. Такое устройство иногда позволяет выявить более раннее состояние страницы.

Если документ пересоздан путём печати в новый PDF, часть истории будет утрачена. Однако могут сохраниться признаки программы, использованной для преобразования.

Эксперт разграничивает обычное редакционное изменение и вмешательство, направленное на изменение юридически значимых реквизитов.

Для определения конкретного лица, выполнившего редактирование, одних свойств файла часто недостаточно. Требуется анализ учётных записей, устройств и журналов системы.

📚 Раздел 9. История версий и совместная работа

Современные документы часто создаются в облачных сервисах и системах совместного редактирования.

Такие платформы могут сохранять:

▪️ версии документа;

▪️ автора каждого изменения;

▪️ время операции;

▪️ удалённые фрагменты;

▪️ комментарии;

▪️ предложения;

▪️ историю доступа;

▪️ сведения о скачивании.

История версий позволяет восстановить последовательность формирования документа и определить, на каком этапе появилось спорное условие.

Например, первоначальный проект договора мог не содержать пункта о штрафе, а позднее этот пункт был добавлен пользователем определённой учётной записи.

Эксперт должен учитывать, что учётная запись не всегда однозначно идентифицирует физическое лицо. Доступ мог быть передан другому сотруднику, а компьютер — оставлен без блокировки.

Если история версий была удалена или документ выгружен в самостоятельный файл, часть данных может быть недоступна.

В корпоративных системах история иногда хранится отдельно от самого файла. Поэтому необходимо исследовать серверные журналы и базу данных.

Сопоставление версии файла с электронной перепиской помогает установить, какой вариант был фактически направлен сторонам.

🖼️ Раздел 10. Исследование PDF-файлов и скан-копий

Формат PDF может содержать текст, изображения, векторные объекты, формы, цифровые подписи и служебные слои.

Эксперт устанавливает, каким способом сформирован документ:

▪️ экспортирован из текстовой программы;

▪️ создан виртуальным принтером;

▪️ отсканирован;

▪️ собран из изображений;

▪️ изменён редактором PDF;

▪️ сформирован информационной системой.

Скан-копия обычно представляет собой изображение бумажного документа. В ней отсутствует редактируемый текст, если отдельно не выполнено распознавание.

Однако наличие текстового слоя не всегда означает программное происхождение. Он мог быть автоматически добавлен после сканирования.

В PDF могут сохраняться данные о производителе файла, версии программы, дате преобразования, размере страниц, шрифтах и встроенных объектах.

Признаками монтажа могут быть различия разрешения, цветового фона, сжатия, геометрии и структуры отдельных областей.

Для исследования изображений и признаков монтажа компьютерно-техническая экспертиза может проводиться совместно с фототехнической и технико-криминалистической экспертизой документа.

Распечатка PDF не позволяет исследовать его внутреннюю структуру, поэтому необходим исходный файл.

📧 Раздел 11. Электронная почта и вложенные документы

Если документ был направлен по электронной почте, исследованию подлежит не только вложение, но и само сообщение.

Электронное письмо может содержать:

▪️ адреса отправителя и получателя;

▪️ дату и время;

▪️ маршрут передачи;

▪️ идентификатор;

▪️ технические заголовки;

▪️ сведения почтовых серверов;

▪️ тип и имя вложения;

▪️ кодировку;

▪️ цифровую подпись;

▪️ результаты проверки подлинности домена.

Технические заголовки помогают определить последовательность прохождения сообщения через серверы и выявить несоответствие отображаемого адреса реальному источнику.

Дата на экране почтовой программы может зависеть от часового пояса. Поэтому эксперт анализирует исходное сообщение в его служебном формате.

Вложенный файл иногда изменяется почтовой системой, антивирусом или сервисом хранения. Необходимо сопоставлять контрольные суммы исходного и выгруженного экземпляров.

Если документ направлялся несколько раз, разные письма могут содержать разные версии.

Скриншот почтового интерфейса подтверждает внешний вид сообщения, но не заменяет исследование исходного файла письма и серверных данных.

🔏 Раздел 12. Электронная подпись и проверка целостности

Электронная подпись используется для подтверждения целостности документа и связи операции с определённым сертификатом.

Эксперт проверяет:

▪️ наличие подписи;

▪️ формат;

▪️ сертификат;

▪️ владельца сертификата;

▪️ срок действия;

▪️ состояние сертификата;

▪️ контроль целостности;

▪️ время подписания;

▪️ цепочку доверия;

▪️ признаки изменения после подписания.

Если после подписания содержимое файла изменяется, криптографическая проверка обычно показывает нарушение целостности.

Однако действительная подпись подтверждает использование определённого ключа, но не всегда доказывает, что операцию лично выполнил владелец сертификата. Ключ мог использоваться сотрудником, автоматизированной системой или лицом, получившим доступ.

Отметка времени может подтверждать существование подписанных данных на определённый момент, если она сформирована доверенной службой.

Эксперт также устанавливает, не истёк ли сертификат, не был ли он отозван и соответствовал ли формат подписи установленным требованиям.

Для исследования необходимо представить как сам документ, так и связанный файл подписи, если она хранится отдельно.

Вопрос о юридической силе конкретного вида электронной подписи относится к правовой оценке. Эксперт сообщает технические свойства и результаты криптографической проверки.

🗃️ Раздел 13. Удалённые документы и восстановление данных

Документ может быть удалён с компьютера, сервера, телефона или внешнего накопителя.

Удаление файла не всегда означает немедленное уничтожение его содержимого. Операционная система может удалить только запись о расположении, оставив данные до их перезаписи.

Эксперт исследует:

▪️ корзину;

▪️ свободное пространство;

▪️ служебные записи файловой системы;

▪️ временные каталоги;

▪️ резервные копии;

▪️ теневые копии;

▪️ облачную синхронизацию;

▪️ журналы;

▪️ кэш приложений.

Восстановленный файл может быть полным или частично повреждённым. Иногда удаётся получить только отдельные страницы, изображения или фрагменты текста.

По положению данных на носителе можно установить факт существования файла, но не всегда его точную историю.

Если после удаления устройство активно использовалось, вероятность перезаписи возрастает. Поэтому спорный носитель следует как можно быстрее вывести из эксплуатации.

Самостоятельное использование программ восстановления может изменить файловую систему и уничтожить часть сведений. Предпочтительно создавать криминалистическую копию и работать с ней.

Эксперт также может установить наличие следов целенаправленного удаления, очистки корзины или использования специальных средств уничтожения данных.

🧩 Раздел 14. Сравнение нескольких экземпляров документа

В споре часто представлены два или более файла, которые стороны считают экземплярами одного документа.

Эксперт выполняет сравнение на нескольких уровнях:

▪️ размер;

▪️ контрольная сумма;

▪️ структура;

▪️ метаданные;

▪️ текст;

▪️ изображения;

▪️ таблицы;

▪️ стили;

▪️ встроенные объекты;

▪️ цифровые подписи.

Даже если документы визуально выглядят одинаково, их контрольные суммы могут различаться из-за разных метаданных, программных версий или способов сохранения.

Такое различие не всегда означает изменение содержания. Поэтому эксперт отдельно сопоставляет смысловые данные и служебную структуру.

Если отличается одна сумма, дата или пункт, устанавливается, в каких объектах документа находится изменение и можно ли определить последовательность редакций.

Сравнение может показать, что один файл является экспортом другого либо что оба документа независимо сформированы из общего шаблона.

Особое значение имеет исследование скрытых элементов. В одном экземпляре может сохраняться комментарий, удалённый фрагмент или предыдущая редакция спорного текста.

Результат оформляется в виде таблицы различий с указанием их технической и смысловой значимости.

🖥️ Раздел 15. Связь документа с устройством или информационной системой

Иногда требуется установить, мог ли документ быть создан на конкретном компьютере, в определённой программе или корпоративной системе.

Эксперт анализирует:

▪️ идентификаторы программ;

▪️ шаблоны;

▪️ установленные шрифты;

▪️ структуру файла;

▪️ пути;

▪️ временные копии;

▪️ журналы приложений;

▪️ реестр последних документов;

▪️ облачные каталоги;

▪️ данные автосохранения;

▪️ сведения учётной записи.

На компьютере могут сохраняться ссылки на недавно открытые файлы, миниатюры, временные версии и записи о печати.

Если документ сформирован информационной системой, его структура, именование, метаданные и внутренние идентификаторы обычно соответствуют определённому шаблону.

Эксперт может выполнить сравнительный эксперимент, сформировав контрольный документ в той же системе. Затем сравниваются структура, свойства и служебные признаки.

Однако полное совпадение технических характеристик не всегда позволяет установить конкретное устройство. Одинаковая программа на нескольких компьютерах создаёт файлы сходного вида.

Вывод о происхождении должен учитывать совокупность цифровых следов, а не один атрибут.

📋 Раздел 16. Какие вопросы поставить перед экспертом

Вопросы должны быть технически конкретными и соответствовать предоставленным цифровым материалам.

Возможные формулировки:

▪️ Каковы формат, структура и технические свойства представленного электронного документа?

▪️ Каким программным обеспечением создан или преобразован файл?

▪️ Содержит ли документ метаданные об авторе и времени обработки?

▪️ Имеются ли признаки редактирования файла?

▪️ Подвергалось ли содержимое изменению после первоначального сохранения?

▪️ Содержит ли документ скрытые комментарии, версии или удалённые фрагменты?

▪️ Идентичны ли представленные экземпляры электронного документа?

▪️ Какие различия имеются между файлами?

▪️ Является ли PDF-файл скан-копией или результатом программного экспорта?

▪️ Имеются ли признаки монтажа или внедрения отдельных объектов?

▪️ Содержит ли документ электронную подпись?

▪️ Соответствует ли электронная подпись содержимому файла?

▪️ Изменялся ли документ после подписания?

▪️ Каковы сведения о сертификате и времени подписания?

▪️ Имеются ли на носителе удалённые или временные версии документа?

▪️ Возможно ли восстановить ранее существовавшую редакцию?

▪️ Имеются ли признаки открытия или редактирования документа на конкретном устройстве?

▪️ Мог ли файл быть сформирован указанной информационной системой?

▪️ Имеются ли сведения о направлении документа по электронной почте?

▪️ Можно ли установить последовательность формирования нескольких версий?

Не рекомендуется ставить вопросы о действительности договора, полномочиях подписанта, виновности лица и юридической силе доказательства. Эти вопросы решает суд.

⚠️ Раздел 17. Ограничения компьютерно-технической экспертизы

Не каждый поставленный вопрос может быть решён категорически.

Основными ограничениями являются:

▪️ отсутствие исходного файла;

▪️ предоставление только распечатки;

▪️ утрата носителя;

▪️ пересохранение документа;

▪️ удаление истории версий;

▪️ перезапись данных;

▪️ отсутствие журналов;

▪️ изменение системного времени;

▪️ копирование между устройствами;

▪️ использование общих учётных записей;

▪️ повреждение файла;

▪️ отсутствие файла электронной подписи.

Имя автора в свойствах не позволяет автоматически признать его фактическим составителем. Аналогично техническая дата не всегда является календарной датой подготовки документа.

По одному файлу часто невозможно установить, кто именно вводил текст, если отсутствуют данные устройства, учётной записи и информационной системы.

Эксперт может установить факт технического редактирования, но не всегда определить его цель или правомерность.

Если документ полностью пересоздан через печать или экспорт, история более раннего файла может быть утрачена.

В заключении должны быть ясно описаны пределы исследования, альтернативные объяснения выявленных признаков и дополнительные материалы, необходимые для уточнения результата.

📚 Раздел 18. Подробные практические кейсы

🔹 Кейс 1. Спор о дате создания электронного акта

В арбитражном споре исполнитель представил электронный акт, который, по его утверждению, был подготовлен и направлен заказчику сразу после завершения работ.

Заказчик заявил, что файл появился значительно позднее и был создан специально для судебного процесса.

Эксперты Союза «Федерация судебных экспертов» исследовали исходный офисный файл, PDF-копию, компьютер исполнителя и архив электронной почты.

Внутренние свойства офисного документа указывали на дату, близкую к началу судебного спора. Более ранних версий на носителе не обнаружили.

PDF был создан из этого файла в тот же период. В электронной почте отсутствовали сообщения с соответствующим вложением на заявленную исполнителем дату.

Резервная копия компьютера, сформированная за несколько месяцев до конфликта, также не содержала спорного документа.

Эксперты установили отсутствие технических данных, подтверждающих существование представленного файла в первоначально заявленный период. При этом точное содержание возможного ранее существовавшего бумажного документа компьютерными методами установить было невозможно.

🔹 Кейс 2. Изменение условия в электронном договоре

Одна сторона представила договор в формате PDF, содержащий условие о повышенной неустойке. В экземпляре другой стороны соответствующий пункт отсутствовал.

Эксперты сравнили оба файла, электронную переписку и исходные документы текстового редактора.

Было установлено, что PDF-файл с условием о неустойке создан позднее. Его внутренняя структура отличалась от экземпляра, направленного в первоначальной переписке.

В облачной системе сохранилась история версий. Спорный пункт был добавлен после отправки первой редакции, а затем документ повторно экспортировали в PDF.

При этом электронное письмо, которым стороны согласовывали финальную редакцию, содержало файл без спорного условия.

Экспертиза позволила восстановить последовательность редакций и установить момент появления дополнительного пункта.

🔹 Кейс 3. Электронная подпись не соответствовала изменённому документу

Организация представила электронный документ и отдельный файл подписи. Визуально подпись отображалась как действительная, однако контрагент утверждал, что текст был изменён.

Криптографическая проверка показала, что подпись корректно подтверждает другой набор данных.

Представленный документ отличался от подписанного файла несколькими байтами. При сравнении выявили изменение суммы и даты.

В архиве обнаружили первоначальный экземпляр, контрольная сумма которого соответствовала электронной подписи.

Эксперты установили, что сертификат и подпись были действительными, но относились к исходной редакции. Представленный изменённый документ не проходил проверку целостности.

Вопрос о том, кем и с какой целью внесены изменения, потребовал дополнительного исследования устройств и учётных записей.

🔹 Кейс 4. Восстановление удалённой версии отчёта

В корпоративном конфликте руководитель утверждал, что спорный финансовый отчёт никогда не существовал в представленной редакции.

Эксперты исследовали рабочий компьютер, серверное хранилище, систему резервного копирования и электронную почту.

На компьютере файл был удалён, однако в теневой копии файловой системы сохранилась более ранняя версия. Её содержимое совпадало с приложением к электронному письму, отправленному нескольким сотрудникам.

В журнале сервера фиксировались создание, изменение и последующее удаление файла из общего каталога.

Были восстановлены три редакции отчёта. Они отличались отдельными финансовыми показателями и комментариями.

Экспертиза установила последовательность изменений и подтвердила существование спорной версии до начала конфликта.

🔹 Кейс 5. Комплексная экспертиза документов из системы электронного документооборота

В крупном коммерческом споре стороны представили разные версии акта выполненных работ. Один файл содержал электронную подпись и статус согласования, другой — дополнительные замечания и иную дату.

Специалисты Союза «Федерация судебных экспертов» исследовали:

▪️ оба файла;

▪️ контейнеры электронной подписи;

▪️ сертификаты;

▪️ базу данных системы;

▪️ карточки документов;

▪️ журналы операций;

▪️ серверное хранилище;

▪️ учётные записи;

▪️ резервные копии;

▪️ электронную переписку.

Было установлено, что первоначальный акт создан сотрудником исполнителя и направлен на согласование. Представитель заказчика добавил замечания в карточке системы, но не изменял сам файл.

Позднее сотрудник исполнителя сформировал новую редакцию акта, в которой часть замечаний была включена в текст. Эта версия получила новый внутренний идентификатор.

Электронная подпись относилась к первоначальному файлу и не подтверждала вторую редакцию. Однако при выгрузке из системы оба экземпляра получили сходные имена, что привело к ошибочному представлению о едином документе.

В журнале фиксировались входы нескольких пользователей под общей учётной записью отдела. Поэтому технически установить конкретного сотрудника, выполнившего одно из действий, оказалось невозможно.

Резервные копии подтвердили последовательность создания обеих версий и отсутствие последующего изменения подписанного файла.

Экспертиза позволила разграничить:

▪️ первоначальный документ;

▪️ комментарии в карточке;

▪️ новую редакцию;

▪️ подписанный файл;

▪️ сведения, отображаемые интерфейсом;

▪️ действия, совершённые через общую учётную запись.

Полученные выводы помогли суду оценить, какой именно файл был подписан и какая редакция фактически направлялась сторонам. 📚

📝 Подготовка материалов к экспертному исследованию

Перед обращением к эксперту необходимо сохранить электронные данные в первоначальном виде.

Исходный файл следует передавать без пересохранения, изменения формата и открытия в программах, способных автоматически обновлять свойства.

Желательно сохранить:

▪️ оригинальное имя;

▪️ расширение;

▪️ структуру каталогов;

▪️ носитель;

▪️ электронное письмо;

▪️ файл подписи;

▪️ сертификат;

▪️ резервные копии;

▪️ журналы;

▪️ связанные версии;

▪️ переписку.

Если документ находится в корпоративной системе, необходимо зафиксировать карточку, идентификатор, статусы, историю операций и сведения о пользователях.

Для каждого файла рекомендуется рассчитать контрольную сумму и указать источник получения.

Скриншоты должны сопровождаться исходными файлами. Один снимок экрана не позволяет исследовать внутреннюю структуру документа.

Если спорный компьютер или телефон продолжает использоваться, данные могут быть перезаписаны. Следует рассмотреть возможность создания криминалистической копии.

Необходимо составить хронологию событий: создание, получение, редактирование, подписание, отправку, копирование, удаление и обнаружение документа.

Вопросы эксперту следует формулировать применительно к конкретным файлам и событиям. Общий вопрос «подлинный ли документ» является слишком широким и требует уточнения технических критериев.

🏁 Заключение

Компьютерно-техническая экспертиза данных электронного документа позволяет установить формат, структуру, метаданные, историю обработки, наличие электронной подписи и признаки технического изменения файла.

Эксперт исследует не только отображаемый текст, но и служебную информацию, внутренние объекты, версии, журналы, временные копии и связанные данные информационных систем.

Дата в свойствах файла не всегда подтверждает фактический момент создания, а имя автора не обязательно указывает на реального составителя. Такие сведения должны оцениваться вместе с независимыми цифровыми источниками.

Особое значение имеют электронная почта, история облачного редактирования, резервные копии, серверные журналы и данные системы электронного документооборота.

Электронная подпись позволяет проверить целостность определённого набора данных и связь с сертификатом. Однако она не всегда подтверждает личное выполнение операции владельцем ключа.

Для объективного исследования необходимо предоставить исходный файл, а не только распечатку или скриншот. Распечатка не сохраняет метаданные, цифровую подпись и техническую структуру.

До экспертизы не рекомендуется пересохранять, конвертировать, редактировать или удалять цифровые материалы. Следует создавать исследовательские копии и фиксировать контрольные суммы.

Экспертное заключение помогает установить последовательность версий, выявить изменения юридически значимых реквизитов, проверить соответствие электронной подписи и восстановить удалённые данные.

Исследование может использоваться при договорных, корпоративных, трудовых и иных судебных спорах, а также при расследовании служебных инцидентов и проверке документов информационных систем.

Значительный опыт проведения подобных исследований накоплен Союзом «Федерация судебных экспертов», специалисты которого выполняют независимые и судебные компьютерно-технические экспертизы электронных документов, файлов, электронной почты, цифровых подписей, серверов, носителей информации и корпоративных систем любой сложности. 📚

Полную контактную информацию, телефон и адрес офиса, а также дополнительные сведения по данному вопросу можно найти на официальном сайте 🔴 https://krimexpert.ru