📌 Введение

• Независимая компьютерная экспертиза изменения файла на компьютере представляет собой исследование цифровых данных, направленное на установление факта редактирования, замены, удаления, переименования, копирования или иного изменения электронного документа. 💻🔎 Экспертиза может проводиться в отношении текстовых файлов, электронных таблиц, PDF-документов, изображений, архивов, баз данных, бухгалтерских выгрузок, проектных материалов, программных файлов, журналов событий и иных объектов, хранящихся на компьютере, внешнем накопителе, сервере или в облачном сервисе.
• Необходимость исследования возникает, если стороны спорят о содержании документа, времени его создания, авторстве изменений, последовательности редактирования или соответствии файла ранее направленной версии. Например, работодатель может утверждать, что сотрудник изменил отчёт после согласования, подрядчик — что заказчик заменил техническое задание, а участники корпоративного конфликта — что бухгалтерская таблица была скорректирована перед судебным разбирательством.
• Само по себе отличие даты изменения файла от даты его создания ещё не подтверждает намеренное редактирование. Метаданные способны изменяться при копировании, распаковке архива, синхронизации с облаком, восстановлении из резервной копии, пересохранении программой, обновлении операционной системы или переносе между носителями. Поэтому эксперт анализирует не один временной параметр, а совокупность технических данных.
• В ходе исследования могут проверяться файловая система, метаданные, журналы операционной системы, история приложений, временные файлы, резервные копии, теневые копии, облачная синхронизация, контрольные суммы, служебные записи программ и следы удалённых версий. 🧩
• Независимая экспертиза проводится по инициативе организации, гражданина, адвоката или иного заинтересованного лица. Её результаты могут использоваться при подготовке претензии, служебного расследования, возражений, заявления о фальсификации доказательства, ходатайства о судебной экспертизе или искового заявления.
• Эксперт не устанавливает юридическую виновность и не решает, имел ли пользователь право изменять файл. Он отвечает на технические вопросы: подвергался ли объект редактированию, когда были внесены изменения, какие версии существовали, каким программным обеспечением обрабатывался файл, имеются ли признаки удаления данных и можно ли связать действия с конкретной учётной записью или устройством.
• Особое значение имеет правильное сохранение цифровых доказательств. Обычное включение компьютера, открытие файла, подключение к интернету или запуск программы способно изменить журналы, кэш, дату доступа и другие данные. Поэтому до исследования желательно ограничить работу с устройством и выполнить технически корректное копирование информации.
• Значительный опыт проведения подобных исследований накоплен специалистами Союза «Федерация судебных экспертов», которые выполняют независимые и судебные компьютерно-технические экспертизы файлов, компьютеров, серверов, электронных документов, облачных хранилищ и цифровых носителей. 📚

📖 Раздел 1. Когда требуется экспертиза изменения файла

Экспертиза проводится, когда необходимо установить историю существования электронного документа или проверить утверждение о его редактировании.

Наиболее распространённые основания:

▪️ содержание файла отличается от ранее согласованной версии;

▪️ изменена сумма в электронной таблице;

▪️ скорректирован текст договора;

▪️ заменена страница PDF-документа;

▪️ удалены отдельные строки отчёта;

▪️ изменена дата документа;

▪️ файл переименован;

▪️ документ пересохранён в другом формате;

▪️ изменены свойства изображения;

▪️ удалена предыдущая версия;

▪️ спорный файл появился после увольнения сотрудника;

▪️ документ был изменён перед проверкой;

▪️ бухгалтерская база содержит новые корректировки;

▪️ техническое задание отличается от направленного подрядчику;

▪️ стороны представили разные версии одного файла;

▪️ отсутствуют приложения или вложения;

▪️ имеются признаки цифрового монтажа;

▪️ требуется восстановить удалённый документ;

▪️ возник корпоративный или арбитражный спор;

▪️ необходимо подготовить претензию.

Экспертиза также востребована при внутренних расследованиях. Например, организация может обнаружить, что в общей сетевой папке изменён отчёт, но не знать, какой сотрудник и с какого компьютера выполнил действие.

В таких случаях исследуются права доступа, сетевые журналы, учётные записи, время входа в систему, записи файлового сервера и журналы приложения.

📂 Раздел 2. Какие файлы могут исследоваться

Объектом экспертизы может быть практически любой цифровой файл.

Наиболее часто исследуются:

▪️ документы Microsoft Word;

▪️ таблицы Microsoft Excel;

▪️ презентации;

▪️ PDF-файлы;

▪️ текстовые документы;

▪️ изображения;

▪️ фотографии;

▪️ сканированные документы;

▪️ архивы ZIP и RAR;

▪️ базы данных;

▪️ бухгалтерские выгрузки;

▪️ файлы 1С;

▪️ проектные файлы;

▪️ чертежи;

▪️ электронные письма;

▪️ журналы событий;

▪️ программные конфигурации;

▪️ файлы исходного кода;

▪️ видеозаписи;

▪️ аудиофайлы;

▪️ резервные копии;

▪️ документы из облачных хранилищ.

Для каждого формата существуют собственные технические признаки. Например, файл Word может содержать сведения об авторе, времени редактирования, количестве сохранений и структуре внутреннего архива. Электронная таблица может включать скрытые листы, формулы, макросы, внешние связи и журнал изменений.

PDF-документ может содержать несколько слоёв, встроенные изображения, электронные подписи, сведения о программе создания и признаки добавления отдельных объектов после первоначального формирования.

Фотография может иметь данные EXIF, сведения о камере, времени съёмки, координатах, программе редактирования и последовательности обработки.

🔎 Раздел 3. Какие изменения файла может выявить эксперт

Эксперт может установить различные виды воздействия на цифровой объект.

Исследованию подлежат:

▪️ создание файла;

▪️ открытие;

▪️ редактирование;

▪️ сохранение;

▪️ повторное сохранение;

▪️ копирование;

▪️ перемещение;

▪️ переименование;

▪️ изменение расширения;

▪️ конвертация;

▪️ печать;

▪️ отправка по электронной почте;

▪️ загрузка в облако;

▪️ скачивание;

▪️ удаление;

▪️ восстановление;

▪️ замена содержимого;

▪️ изменение метаданных;

▪️ добавление цифровой подписи;

▪️ удаление цифровой подписи;

▪️ объединение нескольких файлов;

▪️ вставка изображения;

▪️ изменение формул;

▪️ скрытие листов или строк;

▪️ изменение макросов.

Следует учитывать, что не каждое действие оставляет однозначный след. Например, пользователь может скопировать файл на другой носитель, а дата создания копии будет отличаться от даты создания исходного документа.

Эксперт анализирует совокупность признаков и формулирует вывод с учётом технических ограничений.

🕒 Раздел 4. Как исследуются даты создания и изменения

Файловая система обычно хранит несколько временных параметров:

▪️ дату создания;

▪️ дату последнего изменения;

▪️ дату последнего доступа;

▪️ дату изменения служебной записи;

▪️ время копирования;

▪️ время синхронизации;

▪️ дату резервного копирования.

Эти значения могут различаться и не всегда отражают реальное время подготовки содержания документа.

Например, при копировании файла на новый носитель дата создания копии может стать более поздней, а дата последнего изменения сохраниться.

После распаковки архива некоторые временные значения восстанавливаются из архива, а другие формируются заново.

Облачные сервисы могут использовать собственное время изменения и историю версий, которая не совпадает с локальными метаданными компьютера.

Эксперт сопоставляет:

▪️ свойства файла;

▪️ записи файловой системы;

▪️ журналы приложения;

▪️ временные файлы;

▪️ резервные копии;

▪️ электронные письма;

▪️ историю облака;

▪️ данные системного времени;

▪️ часовой пояс;

▪️ сведения о синхронизации.

Если дата была изменена вручную специальной программой, это иногда можно установить по противоречиям между различными источниками.

🧾 Раздел 5. Метаданные документа и их значение

Метаданные — это служебные сведения о файле, которые могут не отображаться в основном содержании.

Они могут включать:

▪️ имя автора;

▪️ организацию;

▪️ пользователя компьютера;

▪️ название программы;

▪️ версию программы;

▪️ дату создания;

▪️ дату изменения;

▪️ время редактирования;

▪️ количество сохранений;

▪️ название шаблона;

▪️ путь к файлу;

▪️ сведения о принтере;

▪️ комментарии;

▪️ идентификаторы;

▪️ данные электронной подписи;

▪️ историю версий.

Метаданные имеют доказательственное значение только в совокупности с другими данными. Имя автора в свойствах документа может быть автоматически взято из настроек программы и не подтверждать фактическое авторство текста.

Пользователь мог работать за чужим компьютером, использовать общий аккаунт или получить файл от другого лица.

Некоторые метаданные могут быть изменены вручную или удалены при конвертации. Поэтому категоричный вывод только по одному служебному полю обычно необоснован.

💾 Раздел 6. Исследование файловой системы компьютера

Файловая система содержит сведения, которые могут не отображаться обычному пользователю.

Эксперт исследует:

▪️ записи о существовании файла;

▪️ каталоги;

▪️ служебные таблицы;

▪️ журналы операций;

▪️ сведения об удалении;

▪️ остаточные данные;

▪️ временные файлы;

▪️ ярлыки;

▪️ списки недавних документов;

▪️ эскизы;

▪️ кэш;

▪️ теневые копии;

▪️ корзину;

▪️ историю подключённых носителей.

Даже после удаления документа часть информации может сохраняться в файловой системе до перезаписи.

Ярлык или запись в списке последних файлов может подтверждать, что конкретный документ открывался на компьютере, даже если сам файл впоследствии удалён.

Временные файлы текстовых редакторов иногда позволяют восстановить более раннюю версию документа.

Теневые копии операционной системы могут содержать состояние папки на предыдущую дату.

☁️ Раздел 7. Исследование облачных хранилищ и истории версий

Если файл хранился в облачном сервисе, локального компьютера может быть недостаточно.

Эксперт может исследовать:

▪️ историю версий;

▪️ журналы входа;

▪️ дату загрузки;

▪️ дату синхронизации;

▪️ сведения о пользователе;

▪️ совместный доступ;

▪️ удалённые версии;

▪️ корзину облачного сервиса;

▪️ комментарии;

▪️ историю совместного редактирования;

▪️ IP-адреса;

▪️ устройства авторизации.

Облачная история часто позволяет определить, какая версия существовала на конкретную дату и какой пользователь сохранил изменение.

Однако доступность таких данных зависит от типа сервиса, тарифа, настроек хранения и времени, прошедшего после события.

Необходимо как можно раньше сохранить историю версий, поскольку сервис может автоматически удалять старые данные.

🖥️ Раздел 8. Исследование офисных документов

Файлы Word, Excel и аналогичных программ могут содержать значительный объём скрытой информации.

В документах Word исследуются:

▪️ внутренние XML-файлы;

▪️ свойства документа;

▪️ комментарии;

▪️ исправления;

▪️ скрытый текст;

▪️ встроенные изображения;

▪️ колонтитулы;

▪️ связанные объекты;

▪️ данные шаблона;

▪️ история автосохранения;

▪️ временные копии.

В таблицах Excel исследуются:

▪️ формулы;

▪️ скрытые строки;

▪️ скрытые столбцы;

▪️ скрытые листы;

▪️ макросы;

▪️ внешние связи;

▪️ именованные диапазоны;

▪️ комментарии;

▪️ форматирование;

▪️ защищённые ячейки;

▪️ значения и формулы;

▪️ история сохранений.

Изменение итоговой суммы может быть связано не только с заменой числа, но и с корректировкой формулы, диапазона расчёта или скрытой строки.

Эксперт проверяет, какие ячейки изменялись, имеются ли следы копирования формул и соответствуют ли значения исходным данным.

📄 Раздел 9. Исследование PDF-файлов

PDF-документ может быть сформирован из текста, сканов, изображений или нескольких файлов.

Эксперт проверяет:

▪️ программу создания;

▪️ дату формирования;

▪️ дату изменения;

▪️ количество объектов;

▪️ слои;

▪️ встроенные шрифты;

▪️ изображения;

▪️ электронные подписи;

▪️ комментарии;

▪️ вложения;

▪️ историю сохранений;

▪️ структуру страниц;

▪️ признаки объединения;

▪️ добавление отдельных элементов.

Признаками изменения могут быть:

▪️ разные шрифты на одной странице;

▪️ неодинаковое разрешение изображений;

▪️ различные способы сжатия;

▪️ отдельные текстовые объекты поверх скана;

▪️ несовпадение метаданных;

▪️ нарушение электронной подписи;

▪️ присутствие дополнительных слоёв;

▪️ неодинаковые размеры страниц.

Если PDF подписан электронной подписью, эксперт проверяет, изменялось ли содержимое после подписания и сохраняется ли криптографическая целостность.

🖼️ Раздел 10. Исследование изображений и сканов

Изображение может быть изменено путём ретуширования, вставки текста, замены подписи, удаления фрагмента или объединения нескольких снимков.

Эксперт исследует:

▪️ метаданные EXIF;

▪️ разрешение;

▪️ цветовой профиль;

▪️ структуру сжатия;

▪️ границы вставок;

▪️ неоднородность фона;

▪️ освещение;

▪️ тени;

▪️ масштаб;

▪️ резкость;

▪️ цифровой шум;

▪️ повторяющиеся фрагменты;

▪️ следы пересохранения;

▪️ историю обработки.

Отсутствие метаданных не доказывает монтаж. Многие мессенджеры и социальные сети автоматически удаляют EXIF.

Эксперт должен отличать признаки редактирования от обычного сжатия, изменения размера или конвертации.

🗑️ Раздел 11. Восстановление удалённых и предыдущих версий

В ряде случаев возможно обнаружить удалённые или более ранние варианты файла.

Источниками могут быть:

▪️ корзина;

▪️ нераспределённое пространство диска;

▪️ временные файлы;

▪️ автосохранение;

▪️ резервные копии;

▪️ облачная история;

▪️ почтовые вложения;

▪️ архивы;

▪️ мессенджеры;

▪️ теневые копии;

▪️ внешний накопитель;

▪️ серверная копия.

Успешность восстановления зависит от того, перезаписывались ли данные после удаления.

Если компьютер активно использовался, вероятность восстановления снижается.

На современных твердотельных накопителях удалённые данные могут быстро очищаться системными механизмами, поэтому необходимо как можно раньше прекратить работу с устройством.

🔐 Раздел 12. Контрольные суммы и цифровая целостность

Контрольная сумма представляет собой вычисляемое значение, которое зависит от содержимого файла.

Если изменить хотя бы один байт, контрольная сумма обычно изменится.

Она используется для:

▪️ фиксации исходного состояния;

▪️ подтверждения неизменности копии;

▪️ сравнения версий;

▪️ контроля передачи;

▪️ идентификации объекта;

▪️ документирования исследования.

При изъятии данных желательно вычислять контрольные суммы исходного носителя или образа.

Если две копии имеют одинаковую контрольную сумму, это подтверждает их побайтовое совпадение.

Однако контрольная сумма не показывает, кто и когда создал файл. Она подтверждает только неизменность конкретного цифрового объекта относительно зафиксированного значения.

👤 Раздел 13. Можно ли установить пользователя, изменившего файл

Связать изменение с конкретным лицом возможно не всегда.

Эксперт может анализировать:

▪️ учётную запись Windows или иной системы;

▪️ имя пользователя в документе;

▪️ журналы входа;

▪️ сетевые журналы;

▪️ историю облака;

▪️ IP-адрес;

▪️ MAC-адрес;

▪️ имя компьютера;

▪️ подключённые устройства;

▪️ права доступа;

▪️ данные приложения;

▪️ электронную подпись;

▪️ корпоративные журналы.

Необходимо различать:

▪️ файл изменён под определённой учётной записью;

▪️ действие выполнено с конкретного компьютера;

▪️ действие выполнил конкретный человек.

Эти выводы не равнозначны. Если пароль был известен нескольким сотрудникам или компьютер использовался совместно, однозначная персональная идентификация может быть невозможна.

Эксперт обязан указать степень определённости и технические ограничения.

📑 Раздел 14. Какие документы и материалы нужно предоставить

Для исследования рекомендуется подготовить:

▪️ компьютер или ноутбук;

▪️ жёсткий диск;

▪️ внешний накопитель;

▪️ спорный файл;

▪️ сравниваемые версии;

▪️ резервные копии;

▪️ электронные письма;

▪️ вложения;

▪️ переписку;

▪️ облачные данные;

▪️ журналы системы;

▪️ учётные данные;

▪️ сведения о пользователях;

▪️ документы о передаче файла;

▪️ техническое задание;

▪️ договоры;

▪️ акты согласования;

▪️ внутренние регламенты;

▪️ скриншоты;

▪️ пояснения участников;

▪️ материалы служебного расследования;

▪️ материалы судебного дела.

Особенно полезно предоставить заведомо более раннюю версию файла. Сравнение двух объектов позволяет точно определить, какие элементы были изменены.

Если файл направлялся по электронной почте, следует сохранить исходное письмо и вложение, а не только скачанную копию.

Если документ находился в сетевой папке, понадобятся журналы сервера и сведения о правах доступа.

🧪 Раздел 15. Какие методы применяются

В ходе экспертизы могут использоваться:

▪️ создание криминалистической копии носителя;

▪️ вычисление контрольных сумм;

▪️ анализ файловой системы;

▪️ исследование метаданных;

▪️ восстановление удалённых данных;

▪️ анализ временных файлов;

▪️ исследование журналов событий;

▪️ анализ облачной истории;

▪️ сравнительное исследование версий;

▪️ анализ структуры документа;

▪️ исследование электронной подписи;

▪️ анализ сетевых журналов;

▪️ исследование пользовательских профилей;

▪️ поиск по ключевым словам;

▪️ построение временной шкалы;

▪️ анализ программных артефактов;

▪️ исследование истории подключений.

Методика выбирается с учётом типа файла, устройства, операционной системы и поставленных вопросов.

Результаты должны быть воспроизводимыми. В заключении указываются исследованные объекты, программные средства, контрольные суммы и последовательность действий.

📋 Раздел 16. Какие вопросы поставить перед экспертом

Возможные вопросы:

▪️ подвергался ли файл редактированию;

▪️ какие изменения были внесены;

▪️ имеются ли более ранние версии;

▪️ когда создан файл;

▪️ когда он изменялся;

▪️ каким программным обеспечением обрабатывался;

▪️ имеются ли признаки изменения метаданных;

▪️ совпадает ли файл с ранее направленной версией;

▪️ имеются ли удалённые фрагменты;

▪️ восстановимы ли предыдущие данные;

▪️ изменялись ли формулы таблицы;

▪️ имеются ли скрытые листы или строки;

▪️ добавлялись ли объекты в PDF;

▪️ нарушена ли электронная подпись;

▪️ изменялся ли файл после подписания;

▪️ с какой учётной записью связано изменение;

▪️ с какого компьютера выполнялась операция;

▪️ имеются ли признаки копирования;

▪️ имеются ли следы удаления;

▪️ соответствует ли распечатка электронному файлу;

▪️ совпадают ли контрольные суммы;

▪️ можно ли установить последовательность версий.

Не рекомендуется ставить вопросы:

▪️ кто виновен в изменении файла;

▪️ совершил ли сотрудник правонарушение;

▪️ является ли документ фальсифицированным в юридическом смысле;

▪️ имел ли пользователь право редактировать файл;

▪️ должен ли ответчик возместить ущерб.

Эти вопросы относятся к компетенции суда или работодателя.

⚠️ Раздел 17. Типичные ошибки при подготовке экспертизы

Наиболее серьёзная ошибка — продолжение активной работы на компьютере после обнаружения спорного изменения.

Также часто допускаются:

▪️ открытие файла перед передачей эксперту;

▪️ повторное сохранение;

▪️ изменение названия;

▪️ копирование без фиксации;

▪️ запуск программ очистки;

▪️ удаление временных файлов;

▪️ переустановка системы;

▪️ обновление программ;

▪️ подключение к облаку;

▪️ изменение пароля;

▪️ удаление учётной записи;

▪️ форматирование носителя;

▪️ предоставление только распечатки;

▪️ отсутствие исходного файла;

▪️ пересылка через мессенджер;

▪️ создание новых архивов;

▪️ отсутствие контрольной суммы;

▪️ самостоятельное восстановление данных.

Пересылка файла через мессенджер или социальную сеть может изменить его имя, формат, дату и метаданные.

Лучше передавать цифровой объект на носителе либо через защищённый канал с фиксацией контрольной суммы.

Если компьютер необходимо продолжать использовать, желательно предварительно создать криминалистическую копию носителя.

⚖️ Раздел 18. Значение экспертизы для претензии и суда

Экспертное заключение позволяет:

▪️ подтвердить изменение файла;

▪️ установить различия между версиями;

▪️ восстановить удалённые данные;

▪️ выявить изменение формул;

▪️ установить нарушение электронной подписи;

▪️ подтвердить существование более раннего документа;

▪️ установить использование конкретной учётной записи;

▪️ выявить удаление служебных данных;

▪️ подготовить заявление о фальсификации;

▪️ обосновать назначение судебной экспертизы;

▪️ подготовить претензию сотруднику или контрагенту;

▪️ подтвердить содержание документа на определённую дату.

В суде заключение оценивается вместе с перепиской, договорами, показаниями, журналами доступа и другими доказательствами.

Технический вывод о том, что файл изменён, сам по себе не устанавливает неправомерность. Суд оценивает, было ли редактирование согласовано, кем использовался компьютер и какое значение изменение имеет для спора.

📝 Раздел 19. Чек-лист подготовки к компьютерной экспертизе

Перед обращением к специалистам рекомендуется:

Сохранить устройство:

▪️ ограничить работу;

▪️ не открывать файл;

▪️ отключить синхронизацию;

▪️ не удалять данные;

▪️ не устанавливать программы;

▪️ не форматировать носитель.

Сохранить файлы:

▪️ спорную версию;

▪️ предыдущие версии;

▪️ электронные письма;

▪️ вложения;

▪️ архивы;

▪️ резервные копии;

▪️ облачную историю.

Зафиксировать обстоятельства:

▪️ дату обнаружения;

▪️ имя файла;

▪️ путь хранения;

▪️ пользователей;

▪️ компьютеры;

▪️ время последнего известного состояния;

▪️ действия после обнаружения.

Подготовить документы:

▪️ договор;

▪️ техническое задание;

▪️ переписку;

▪️ акты согласования;

▪️ регламенты доступа;

▪️ служебные записки;

▪️ объяснения сотрудников.

Подготовить вопросы:

▪️ о факте изменения;

▪️ о времени;

▪️ о версиях;

▪️ о метаданных;

▪️ об учётной записи;

▪️ об удалении;

▪️ о цифровой подписи.

📚 Раздел 20. Практика проведения независимых компьютерных экспертиз изменения файлов

Специалисты Союза «Федерация судебных экспертов» проводят исследования электронных документов, компьютеров, серверов, таблиц, PDF-файлов и облачных хранилищ. Практика показывает, что установить историю документа обычно возможно только при анализе нескольких технических источников.

Кейс 1. Изменение суммы в электронной таблице 📊

Между подрядчиком и заказчиком возник спор о стоимости выполненных работ. Заказчик представил таблицу расчёта, в которой итоговая сумма была ниже ранее согласованной.

Подрядчик утверждал, что после передачи документа из таблицы удалили несколько строк и изменили формулы.

Экспертам были предоставлены файл с компьютера заказчика, версия из электронного письма подрядчика, резервная копия и переписка сторон.

Сравнительный анализ показал, что в версии заказчика были скрыты две строки и изменён диапазон итоговой формулы. Значения не удалялись полностью, но перестали учитываться в расчёте.

Метаданные указывали на более позднее сохранение файла. В облачной истории была обнаружена предыдущая версия с первоначальной формулой.

Эксперты установили последовательность изменений и подготовили таблицу различий.

Заключение позволило подрядчику обосновать претензию и представить суду технически проверяемую историю документа.

Кейс 2. Редактирование договора в PDF 📄

Арендодатель и арендатор представили разные версии электронного договора. В одном файле содержалось условие об автоматической индексации платы, в другом оно отсутствовало.

Эксперты исследовали оба PDF-файла, электронные письма, исходные документы текстового редактора и данные облачного хранилища.

В спорном PDF пункт об индексации представлял собой отдельный текстовый объект, добавленный поверх ранее сформированной страницы.

Метаданные показывали, что файл пересохранялся другой программой после даты отправки первоначальной версии.

Электронное письмо арендатора содержало вложение с контрольной суммой, отличавшейся от спорного файла.

В истории облака сохранилась версия без дополнительного пункта.

Эксперты пришли к выводу, что спорный PDF был изменён после первоначального формирования и направления контрагенту.

Кейс 3. Удаление отчёта перед служебной проверкой 🗑️

В организации проводилось внутреннее расследование. Перед началом проверки из сетевой папки исчез финансовый отчёт, содержавший сведения о расходах.

Сотрудник отрицал удаление и утверждал, что файл никогда не существовал в окончательной версии.

Эксперты исследовали сервер, резервные копии, журналы доступа, рабочий компьютер и электронную почту.

В файловой системе сервера сохранилась запись об удалении файла. Журнал показывал, что операция выполнена под учётной записью сотрудника в вечернее время.

В почтовом ящике был обнаружен ранее направленный черновик, а в резервной копии — окончательная версия документа.

На рабочем компьютере сохранялся ярлык к удалённому файлу и временная копия приложения.

Эксперты установили факт существования отчёта, время удаления и связь операции с определённой учётной записью. При этом в выводах отдельно указали, что технические данные не позволяют однозначно установить физическое лицо, если пароль мог быть известен другим сотрудникам.

Кейс 4. Изменение проектного файла после согласования 🏗️

Проектировщик и заказчик спорили о том, какая версия инженерного проекта была согласована. После строительства выяснилось, что параметры оборудования не соответствуют первоначальным требованиям.

Заказчик представил файл, в котором характеристики были уменьшены. Проектировщик заявил, что документ изменён после согласования.

Эксперты исследовали проектный файл, письма, серверную папку, историю облачного доступа и резервные копии.

Было установлено, что исходный файл содержал другие параметры. Через несколько дней после его отправки в документ внесли изменения под учётной записью сотрудника заказчика.

История версий показывала конкретные изменённые поля и время сохранения.

Одновременно выяснилось, что изменённая версия была впоследствии направлена подрядчику уже без уведомления проектировщика.

Заключение помогло разграничить первоначально согласованный проект и более позднюю рабочую редакцию.

Кейс 5. Комплексная экспертиза корпоративного файла при судебном споре ⚖️

В ходе корпоративного конфликта одна сторона представила электронный финансовый отчёт, подтверждавший крупную задолженность общества перед участником. Другие участники заявили, что документ был создан незадолго до суда и задним числом помещён в архив компании.

Файл находился на рабочем компьютере бухгалтера и содержал дату создания, относящуюся к периоду нескольких лет назад.

Эксперты Союза «Федерация судебных экспертов» провели исследование компьютера, сервера, резервных копий, электронной почты, облачного хранилища и структуры самого документа.

Анализ файловой системы показал, что физически файл появился на компьютере значительно позднее даты, указанной в его свойствах.

Внутренние метаданные содержали версию программы, которая ещё не использовалась в организации в заявленный период.

В документе были обнаружены ссылки на шаблон, созданный позднее. Несколько формул использовали данные из файла, сформированного уже после предполагаемой даты отчёта.

На сервере и в резервных копиях ранних периодов спорный файл отсутствовал. Он впервые появился незадолго до начала конфликта.

Дополнительно выяснилось, что системное время компьютера временно изменялось. Журналы операционной системы фиксировали корректировку даты перед созданием файла и последующее восстановление нормального времени.

Эксперты установили, что дата создания в свойствах документа не соответствует фактической истории его появления. Файл был сформирован позднее, а временные параметры подвергались искусственному изменению.

При этом специалисты не давали правовой оценки цели действий и не определяли виновное лицо. В заключении была изложена техническая последовательность событий, использованные источники и ограничения персональной идентификации.

Экспертиза стала ключевым доказательством при оценке достоверности представленного финансового отчёта. 📚

🏁 Раздел 21. Заключение

Независимая компьютерная экспертиза изменения файла позволяет установить техническую историю электронного документа, выявить редактирование, удаление, копирование, замену содержимого, изменение формул, нарушение электронной подписи и существование предыдущих версий.

Исследование не должно основываться только на дате изменения в свойствах файла. Временные параметры могут меняться при копировании, синхронизации, восстановлении, распаковке и других обычных операциях. Поэтому эксперт сопоставляет файловую систему, метаданные, журналы, резервные копии, облачную историю и данные приложений.

Особое значение имеет сохранение первоначального состояния компьютера и файла. Продолжение работы, открытие документа, переустановка системы, очистка диска и самостоятельное восстановление способны уничтожить или изменить значимые цифровые следы.

Для исследования желательно предоставить сам носитель, спорный файл, предыдущие версии, электронную переписку, резервные копии, облачные данные и документы, объясняющие происхождение объекта.

Эксперт может установить связь изменения с определённой учётной записью, устройством или IP-адресом, однако это не всегда подтверждает действия конкретного человека. При общем доступе или передаче пароля персональная идентификация может быть ограниченной.

Независимое заключение может использоваться при подготовке претензии, внутреннего расследования, заявления о фальсификации доказательства, искового заявления и ходатайства о назначении судебной компьютерно-технической экспертизы.

Значительный опыт проведения подобных исследований накоплен Союзом «Федерация судебных экспертов», специалисты которого выполняют независимые и судебные компьютерно-технические экспертизы файлов, компьютеров, серверов, электронных документов, облачных сервисов и цифровых носителей любой сложности. 📚

Полную контактную информацию, телефон, адрес офиса и более подробную информацию по данному вопросу вы можете найти на официальном сайте ✅ https://krimexpert.ru