🟦 Компьютерно-техническая экспертиза

Правовая и техническая сущность банковских карт как объектов компьютерно-технической экспертизы ⚖️

Банковская карта представляет собой материальный носитель, в котором соединены несколько разнородных информационных слоёв: графические реквизиты, эмбоссированные или выгравированные знаки, магнитная полоса, встроенный микропроцессор и бесконтактный интерфейс. Каждый из этих слоёв формируется на отдельном технологическом этапе и хранит сведения, значимые для установления обстоятельств по делу.

Именно многослойность делает карту объектом, исследование которого невозможно свести к одной дисциплине: требуется синтез знаний о платёжных технологиях, о способах записи и защиты данных и о правилах работы с электронными носителями информации. В этом смысле компьютерно-техническая экспертиза выступает тем инструментом, который позволяет перейти от внешнего осмотра предмета к анализу его информационного содержания.

Правовой режим банковской карты определяется её двойственной природой. С одной стороны, это документ, удостоверяющий принадлежность к определённому счёту и дающий право на распоряжение денежными средствами в пределах установленных лимитов. С другой стороны, это техническое устройство хранения и передачи защищённой информации. Такая двойственность порождает специфику экспертных задач: необходимо одновременно устанавливать подлинность реквизитов, целостность защитных элементов и соответствие записанных данных тем, которые должны были быть внесены при законном выпуске карты.

Ключевым для экспертного исследования является понятие персонализации. Персонализация — это процесс нанесения на заготовку карты индивидуальных сведений держателя и параметров счёта. Она включает графическую персонализацию, эмбоссирование, кодирование магнитной полосы и запись данных в микропроцессор. Каждый этап оставляет собственные следы, а нарушение последовательности или технологии этих этапов формирует совокупность признаков, доступных экспертному выявлению. Компьютерно-техническая экспертиза в данном контексте изучает не только конечное состояние носителя, но и логику его формирования, что позволяет отделять штатно выпущенные карты от изготовленных вне производственного цикла.

Отдельного внимания заслуживает разграничение объектов внутри рассматриваемого аспекта. Банковская карта, банкомат и платёжный терминал образуют единую технологическую цепочку, но исследуются разными методами. Карта — это пассивный носитель с ограниченным объёмом памяти и встроенными средствами защиты. Банкомат и терминал — активные устройства, содержащие процессор, оперативную память, постоянное запоминающее устройство, устройства ввода и вывода, а также средства связи. Соответственно, если применительно к карте преобладают методы исследования физических носителей и криптографических реквизитов, то применительно к банкомату и терминалу на первый план выходят методы анализа программной среды, журналов событий и сетевых взаимодействий.

Существенное значение имеет категория информационных следов. Под ними понимаются любые изменения состояния носителя или устройства, возникшие в результате события, имеющего значение для дела. Применительно к банковским картам это могут быть изменения магнитной полосы, микропроцессора, графических элементов. Применительно к банкоматам и терминалам — записи в журналах транзакций, файлы конфигурации, кэшированные данные, следы подключения внешних устройств. Совокупность таких следов образует информационную картину события, восстановление которой и составляет содержание экспертной работы.

Наконец, важно обозначить границы компетенции эксперта. Эксперт не устанавливает вину или невиновность, не даёт юридической оценки действиям лиц и не разрешает вопросы, относящиеся к исключительной компетенции суда. Его задача — установить фактические обстоятельства, связанные с состоянием и функционированием исследуемых объектов, и представить их в форме, доступной для оценки правоприменителем. Именно это ограничение задаёт рамки, внутри которых разворачивается всё последующее изложение.

Архитектура и информационные следы банкоматов и платёжных терминалов 💻

Банкомат и платёжный терминал принадлежат к классу встраиваемых вычислительных систем, работающих в режиме постоянной готовности к обслуживанию операции. Их архитектура подчинена требованиям надёжности, защищённости и быстродействия, что накладывает отпечаток на состав аппаратных компонентов и на организацию программной среды. Понимание этой архитектуры необходимо эксперту, поскольку любое вмешательство в работу устройства оставляет следы именно на стыке аппаратной и программной частей.

Аппаратная часть банкомата включает дисплей, клавиатуру или сенсорную панель, картридер, диспенсер банкнот, приёмник депозитов, печатающее устройство чеков, сейфовый модуль и контроллер, связывающий перечисленные узлы. Картридер выполняет считывание магнитной полосы и взаимодействие с микропроцессором карты. Диспенсер обеспечивает выдачу банкнот и фиксирует их количество и номинал. Печатающее устройство формирует чек, который содержит сокращённые реквизиты операции. Контроллер управляет последовательностью действий и ведёт журнал событий.

Программная часть обычно организована по многоуровневой схеме. Нижний уровень образует операционная система или её специализированное ядро. Средний уровень составляют драйверы устройств и сервисные модули, обеспечивающие взаимодействие с картридером, диспенсером и средствами связи. Верхний уровень — прикладное платёжное приложение, реализующее сценарий обслуживания клиента. Такая организация означает, что следы вмешательства могут располагаться на разных уровнях и иметь различную степень сохранности.

Платёжный терминал во многом повторяет архитектуру банкомата, но отличается меньшим набором устройств выдачи наличных и более широким набором способов оплаты. В нём могут присутствовать модули бесконтактной оплаты, считыватели штрих-кодов, интерфейсы для подключения внешних устройств. Программная среда терминала чаще обновляется, а журналы операций нередко хранятся в удалённой системе, что усложняет их изъятие и исследование.

Информационные следы в банкоматах и терминалах подразделяются на несколько групп. Первую образуют электронные журналы, фиксирующие время, тип и результат операции, а также идентификаторы карты и счёта в усечённом виде. Вторую — файлы конфигурации, содержащие параметры работы устройства и сведения о подключённых модулях. Третью — кэшированные данные, которые могут сохранять фрагменты ранее обработанных запросов. Четвёртую — системные журналы, отражающие запуск, остановку и ошибки в работе компонентов. Наконец, пятую группу образуют артефакты файловой системы, позволяющие установить факт установки или удаления программных средств.

Особую роль играют временны́е метки. Расхождение между системным временем устройства и временем внешней системы может быть как технической особенностью, так и результатом целенаправленного изменения. Эксперту необходимо устанавливать действительное время событий, сопоставляя данные разных журналов и учитывая возможные сдвиги. Это имеет прямое значение для соотнесения действий, зафиксированных устройством, с иными обстоятельствами дела.

Наконец, следует учитывать, что банкомат и терминал являются сетевыми устройствами. Их взаимодействие с процессинговым центром порождает сетевые журналы, которые могут храниться как на самом устройстве, так и на стороне обслуживающей организации. Компьютерно-техническая экспертиза в этой части опирается на сопоставление локальных и удалённых данных, что позволяет восстанавливать полную картину операции и выявлять несоответствия между ними.

Подготовка и производство компьютерно-технической экспертизы банковских карт 🗂️

Подготовка к производству экспертизы банковских карт начинается с определения круга вопросов, которые могут быть разрешены средствами исследования электронных носителей. Вопросы должны быть сформулированы так, чтобы ответы на них опирались на объективные признаки, а не на предположения. Некорректно поставленный вопрос влечёт либо выход эксперта за пределы компетенции, либо получение ответа, не имеющего доказательственного значения.

Всё это напрямую связано с таким направлением, как компьютерно-техническая экспертиза.

Следующий этап — собирание и представление объектов. Банковская карта как объект исследования требует особых условий хранения и транспортировки. Магнитная полоса чувствительна к внешним магнитным полям, микропроцессор — к электростатическим разрядам и механическим повреждениям. Нарушение условий может привести к утрате информации ещё до начала исследования, что сделает невозможным решение поставленных задач. Поэтому уже на стадии изъятия необходимо обеспечить защиту носителя и документирование его исходного состояния.

При поступлении материалов эксперт проводит предварительный осмотр. Он фиксирует внешний вид карты, наличие и состояние графических реквизитов, целостность магнитной полосы и контактных площадок микропроцессора. На этом этапе выявляются признаки механического, термического или химического воздействия, которые могут указывать на попытки изменения информации или на нештатные условия эксплуатации. Результаты осмотра оформляются таким образом, чтобы впоследствии можно было восстановить исходную картину.

Далее определяется последовательность исследований. Обычно она строится по принципу от менее разрушающих методов к более разрушающим. Сначала применяются неразрушающие методы: оптическая микроскопия, исследование в различных спектральных диапазонах, считывание магнитной полосы и микропроцессора в штатном режиме. Лишь при недостаточности этих методов и при наличии обоснованной необходимости могут применяться методы, связанные с частичным изменением объекта. Решение о таком переходе должно быть мотивировано и зафиксировано.

Работа с магнитной полосой включает считывание дорожек и анализ их содержимого. Сопоставление данных разных дорожек позволяет выявлять несоответствия, характерные для карт, изготовленных вне производственного процесса. Кроме того, анализируется качество записи: распределение магнитного поля, наличие признаков повторной записи, отклонения от типовых параметров. Эти признаки в совокупности позволяют делать выводы о происхождении записи.

Работа с микропроцессором строится на установлении защищённого соединения и чтении доступных файлов и записей. Эксперт фиксирует структуру файловой системы, содержание открытых данных, реакции карты на стандартные и нестандартные команды. Отклонения в поведении микропрограммы могут свидетельствовать о модификации её содержимого либо о применении программных средств, имитирующих штатное поведение.

Завершающим этапом является оформление результатов. Заключение должно содержать описание объектов, применённых методов, полученных результатов и выводов. Выводы формулируются в терминах, допускающих однозначное понимание, и подкрепляются иллюстративным материалом. Особое внимание уделяется указанию границ достоверности: если результат допускает несколько объяснений, это должно быть отражено в заключении.

Исследование эмиссионных и персонализационных данных банковских карт 💾

Эмиссионные данные банковской карты представляют собой совокупность сведений, определяющих её принадлежность к определённой платёжной системе и к определённому эмитенту. К ним относятся идентификационный номер, срок действия, служебные коды, элементы защитной графики. Эти сведения формируются на этапе выпуска и в дальнейшем не изменяются в штатном режиме. Именно их стабильность делает эмиссионные данные удобным ориентиром при оценке подлинности карты.

Именно в этом проявляется практическое значение такого направления, как компьютерно-техническая экспертиза.

Персонализационные данные отражают связь карты с конкретным счётом и держателем. Они включают имя держателя, параметры счёта, криптографические реквизиты, записанные на магнитной полосе и в микропроцессоре. В отличие от эмиссионных данных, персонализационные сведения могут быть частично изменены при перевыпуске карты или при изменении условий обслуживания. Поэтому их исследование требует учёта возможных законных изменений.

Соотнесение эмиссионных и персонализационных данных позволяет выявлять противоречия. Например, идентификационный номер может соответствовать одному эмитенту, а оформление защитных элементов — другому. Или срок действия, нанесённый на лицевую сторону, может не совпадать со сроком, записанным в микропроцессоре. Каждое такое противоречие требует объяснения и проверки на предмет случайной ошибки или целенаправленного искажения.

Отдельного рассмотрения заслуживают защитные элементы. К ним относятся голограммы, элементы, видимые в ультрафиолетовом излучении, микротекст, элементы с изменяющимся изображением. Исследование этих элементов требует специального оборудования и подготовки. Выявление несоответствий в защитных элементах само по себе не решает вопроса о подлинности, но в совокупности с другими признаками образует доказательную базу.

Персонализация графических реквизитов также подлежит исследованию. Способ нанесения символов, их геометрия, глубина и равномерность позволяют отличать заводское исполнение от кустарного. При этом необходимо учитывать, что разные эмитенты применяют разные технологии, поэтому эталонные признаки должны быть получены от самого эмитента или из его официальных материалов.

Особую сложность представляет исследование карт с частично утраченными или повреждёнными элементами. В таких случаях эксперт вынужден реконструировать исходное состояние по сохранившимся фрагментам и по данным, полученным из других источников. Такая реконструкция должна быть обоснована и не должна выходить за пределы того, что подтверждается объективными данными.

Наконец, результаты исследования эмиссионных и персонализационных данных должны быть представлены в форме, позволяющей сопоставить их с данными, полученными при исследовании банкомата или терминала. Именно такое сопоставление даёт возможность восстановить полную картину операции и установить, какие именно сведения были использованы при её проведении.

Экспертный анализ программного обеспечения и журналов банкоматов 📊

Программное обеспечение банкомата представляет собой совокупность системных и прикладных компонентов, совместно обеспечивающих выполнение платёжных операций. Экспертный анализ начинается с установления состава программной среды: версии операционной системы, перечня драйверов, состава прикладного приложения, наличия дополнительных модулей. Отклонения от типовой конфигурации являются первым признаком возможного вмешательства.

Эти положения важны для понимания того, что представляет собой компьютерно-техническая экспертиза.

Журналы банкомата содержат записи о событиях, происходивших в процессе его работы. Типовой журнал включает сведения о включении и выключении устройства, о попытках считывания карт, о выданных и принятых банкнотах, об ошибках и сбоях. Формат записей зависит от производителя и версии программного обеспечения, поэтому для корректной интерпретации необходимы сведения о конкретной модели и о применяемой версии.

При анализе журналов эксперт обращает внимание на несколько аспектов.

На полноту записей: отсутствие записей за период, когда устройство должно было работать, может указывать на их удаление или на отключение устройства.
На согласованность записей между собой: расхождение между записью о считывании карты и записью о выдаче банкнот требует объяснения.
На соответствие записей внешним данным, например данным процессингового центра.

Отдельную задачу составляет выявление следов установки постороннего программного обеспечения. Такие следы могут включать изменённые файлы, дополнительные исполняемые модули, изменённые настройки, а также артефакты, указывающие на удаление файлов. Для их обнаружения применяются методы сравнения с эталонными образами, анализа временны́х меток и поиска характерных строк и структур.

Анализ временны́х меток требует особой тщательности. Метки могут быть локальными и храниться в разных форматах, а их значения могут зависеть от настроек часового пояса и от синхронизации с внешними источниками. Эксперт должен установить, какие метки являются исходными, а какие могли быть изменены, и на этой основе построить хронологию событий.

Наконец, результаты анализа программного обеспечения и журналов должны быть увязаны с результатами исследования банковских карт. Только совместное рассмотрение данных, полученных с карты и с устройства, позволяет установить, какая именно карта инициировала операцию, какие параметры были переданы и какие действия были выполнены устройством. Такая увязка составляет содержание комплексного экспертного исследования.

Исследование терминалов оплаты и следов транзакционного взаимодействия 📌

Платёжные терминалы, в отличие от банкоматов, ориентированы преимущественно на приём оплаты, а не на выдачу наличных. Их программная среда строится вокруг прикладного платёжного приложения и средств связи с процессинговым центром. Исследование терминалов начинается с установления модели устройства, версии программного обеспечения и состава подключённых модулей.

Всё это напрямую связано с таким направлением, как компьютерно-техническая экспертиза.

Следы транзакционного взаимодействия включают запросы, направленные на авторизацию, и ответы, полученные от процессингового центра. Эти данные могут храниться в журналах терминала, в кэше приложения, в сетевых журналах. Их анализ позволяет восстановить последовательность действий, совершённых с использованием конкретной карты, и установить параметры операции.

Особое значение имеет исследование модулей считывания карт. Бесконтактные модули и модули чтения магнитной полосы могут содержать следы подключения посторонних устройств или изменения параметров работы. Выявление таких следов требует как программного анализа, так и осмотра аппаратной части.

При анализе транзакционного взаимодействия эксперт сопоставляет данные терминала с данными, полученными из процессингового центра. Расхождения могут указывать на вмешательство в работу терминала, на подмену данных или на сбои в канале связи. Установление причины расхождений требует учёта особенностей конкретной платёжной системы и конкретного программного обеспечения.

Отдельную задачу составляет исследование терминалов, работающих в автономном режиме или с периодической синхронизацией. В таких случаях часть данных может храниться только на устройстве, и их сохранность зависит от условий эксплуатации. Эксперт должен учитывать возможность утраты данных и строить выводы с учётом этой возможности.

Наконец, результаты исследования терминалов должны быть представлены в форме, позволяющей сопоставить их с результатами исследования банковских карт и банкоматов. Такое сопоставление даёт возможность восстановить полную картину операции и установить роль каждого участника технологической цепочки.

Комплексная оценка доказательственного значения результатов компьютерно-технической экспертизы по делам о банковских картах, терминалах и банкоматах 📊

Доказательственное значение результатов экспертизы определяется их объективностью, проверяемостью и полнотой. Объективность обеспечивается тем, что выводы опираются на признаки, доступные независимой проверке. Проверяемость достигается за счёт документирования применённых методов и полученных результатов. Полнота предполагает, что исследованы все объекты и все существенные для дела обстоятельства.

Оценка результатов начинается с проверки корректности постановки задач и выбора методов. Если метод не соответствует поставленной задаче или применён с нарушением установленных правил, результат может быть признан недостоверным. Поэтому в заключении должно быть указано, какие методы применялись, в какой последовательности и с какими ограничениями.

Далее оценивается внутренняя согласованность заключения. Выводы должны соответствовать описанным результатам, а результаты — применённым методам. Противоречия между частями заключения снижают его доказательственное значение и требуют дополнительного исследования или разъяснения.

Существенное значение имеет оценка полноты исследования. Если эксперт ограничился исследованием одного объекта, тогда как для ответа на поставленный вопрос требовалось исследование нескольких, вывод может оказаться неполным. Например, вывод о подлинности карты, сделанный без сопоставления с данными банкомата, может не учитывать обстоятельства, выявляемые при таком сопоставлении.

Наконец, результаты экспертизы должны оцениваться в совокупности с другими доказательствами. Заключение эксперта не имеет заранее установленной силы и не может подменять собой иные доказательства. Его роль состоит в установлении фактических обстоятельств, которые в дальнейшем оцениваются правоприменителем наряду с другими материалами дела.

Заключение ✅

Проведённое рассмотрение показывает, что банковские карты, банкоматы и платёжные терминалы образуют единый технологический комплекс, исследование которого требует согласованного применения методов компьютерно-технической экспертизы. Каждый элемент этого комплекса обладает собственными информационными следами, а их сопоставление позволяет восстанавливать полную картину операций.

Банковская карта исследуется как многослойный носитель, в котором сочетаются графические, магнитные и микропроцессорные данные. Банкомат и терминал исследуются как вычислительные системы, в которых основное значение имеют программная среда и журналы событий. Объединение результатов этих исследований даёт возможность устанавливать обстоятельства, недоступные при изолированном изучении отдельных объектов.

Существенным условием достоверности выводов является корректная подготовка материалов и соблюдение последовательности методов. Нарушение условий хранения носителей, недостаточная документированность исходного состояния, применение разрушающих методов без обоснованной необходимости — всё это снижает доказательственное значение результатов.

Оценка результатов экспертизы строится на проверке объективности, проверяемости и полноты. Заключение должно позволять независимую проверку выводов и содержать указание на границы достоверности. Только при соблюдении этих условий результаты экспертизы могут быть использованы в качестве доказательства.

📌 Таким образом, компьютерно-техническая экспертиза банковских карт, терминалов и банкоматов представляет собой самостоятельное направление экспертной деятельности, обладающее собственным предметом, объектами и методами. Дальнейшее развитие этого направления связано с уточнением методик исследования отдельных типов устройств и с расширением круга задач, решаемых на основе анализа информационных следов.