Комп'ютерні злочини

При розслідуванні неправомірного доступу до комп'ютерної інформації шляхом допитів розробників і користувачів комп'ютерної системи можна встановити, чи передбачені в даній комп'ютерній системі міри захисту від несанкціонованого доступу до певних файлів. Допитами осіб, обслуговуючих комп'ютерну систему, можна встановити, хто запускав нештатну програму, чи було це зафіксовано яким-небудь чином. Слід також з'ясувати, хто захоплюється програмуванням, вчиться або вчився на комп'ютерних курсах.

Коли провадиться розслідування створення, використання і розповсюдження шкідливих програм для ЕОМ те при допиті свідків з числа представників сторони, що потерпіла, слід з'ясувати, яка інформація піддавалася неправомірній дії, її призначення і зміст; як здійснюється доступ до ресурсів ЕОМ, системи ЕОМ або їх мережі, кодам, паролям і іншій комп'ютерній інформації; як організований противірусний захист, яким чином ведеться облік користувачів комп'ютерної системи”.[9]

При розслідуванні порушення правил експлуатації ЕОМ, системи ЕОМ або їх мережі, а точніше для встановлення конкретного правила експлуатації ЕОМ, порушення якого привело до шкідливих наслідків, слідчому доцільно допитати всіх осіб, що працювали на ЕОМ і обслуговували комп'ютерне обладнання у відповідний період часу. У необхідних випадках до участі в допиті притягується фахівець. Допитуваному можуть бути поставлені приблизно наступні питання:

- Які Ваші обов'язки при роботі з ЕОМ (або устаткуванням до неї), якими правилами вони встановлені;

- Яку конкретно роботу на ЕОМ і в якому порядку Ви виконували, коли відбулося знищення, блокування, зміна комп'ютерній інформації або наступили інші шкідливі наслідки;

- Які неполадки в комп'ютерній системі Ви виявили при роботі на ЕОМ, чи не було при цьому яких-небудь збоїв, чреватих спричиненням істотної шкоди комп'ютерній інформації;

- Які правила роботи з комп'ютером порушені в даній ситуації;

- Яким чином повинні фіксуватися факти знищення, блокування або модифікації комп'ютерної інформації у разі порушення певних правил експлуатації ЕОМ;

- Чи зв'язано знищення, блокування, модифікація інформації з порушенням правил експлуатації ЕОМ або вони з'явилися наслідком непередбачених обставин, якщо зв'язані, то з порушенням яких правил;

Крім того, можуть бути допитані як свідки адміністратор мережі і фахівці, обслуговуючі файловий сервер, в якому відбулося знищення, блокування або модифікація комп'ютерної інформації.

Їм можуть бути поставлені приблизно наступні питання

На якій робочій станції могли бути порушені правила експлуатації комп'ютерної мережі, де вона розташована?

Чи могли бути порушені правила експлуатації даної локальної обчислювальної мережі на робочій станції, розташованій там-то? [9]

При розслідуванні неправомірного доступу до комп'ютерної інформації при слідчому огляді комп'ютера і його компонентів встановлюється причетність конкретної особи до несанкціонованого доступу до комп'ютерної інформації можуть сприяти різні матеріально-фіксовані відображення. Це, наприклад, сліди пальців рук, окремі записи на зовнішній упаковці дискет, дисків. Для їх дослідження призначаються криміналістські експертизи -- дактилоскопічна, почеркознавська, техніко-криміналістична. При огляді вилученого при обшуку доцільно привертати фахівця, який може, наприклад, прочитати інформацію, що міститься на машинних носіях, або в пам'яті вилученого комп'ютера.

При розслідуванні порушення правил експлуатації ЕОМ, системи ЕОМ або їх мережі (конкретне місце порушення правил експлуатації ЕОМ можна встановити при огляді автоматизованих робочих місць), АРМ користувача комп'ютерної системи або мережі. Огляду підлягають всі підключені до них комп'ютери. Огляд проводиться зазвичай за участю фахівця, що допомагає встановити місцезнаходження комп'ютера, робота з яким привела до шкідливих наслідків в результаті злочинного порушення правил його експлуатації. [9]

При розслідуванні неправомірного доступу до комп'ютерної інформації у осіб, запідозрених в неправомірному доступі до комп'ютерної інформації, за наявності достатніх підстав проводиться обшук, при якому можуть бути виявлені комп'ютери різних конфігурацій, принтери, засоби телекомунікаційного зв'язку з комп'ютерними мережами, записники з викривальними записами, зокрема електронні: дискети, диски, магнітні стрічки, що містять відомості, які можуть мати значення для справи, зокрема коди, паролі, ідентифікаційні номери користувачів конкретної комп'ютерної системи, а також дані про її користувачів. В ході обшуку слід звертати увагу на літературу, методичні матеріали по комп'ютерній техніці і програмуванню. До здійснення обшуку і подальшого огляду вилученого при обшуку доцільно привертати фахівця, який може, наприклад, прочитати інформацію, що міститься на машинних носіях або в пам'яті вилученого комп'ютера. [9]

При розслідуванні створення, використання і розповсюдження шкідливих програм для ЕОМ „встановленню факту створення шкідливої програми сприяє виявлення фактів її використання і розповсюдження і особливе отримання даних, що дозволяють запідозрити те або інша особа у відповідній діяльності. Цьому може сприяти своєчасно і ретельно проведений обшук за місцем роботи і місцю проживання підозрюваного, а також в місцях, де він міг мати доступ до комп'ютерної системи. До участі в обшуку доцільно привернути фахівця-програміста, прагнучи виявити все, що може мати відношення до створення шкідливої програми.” [9]

Слідчий експеримент в області злочинів у сфері комп'ютерної інформації проводиться «з метою перевірки можливості подолання засобів захисту комп'ютерної системи одним з передбачуваних способів. Його метою може стати і перевірка можливості появи на екрані дисплея закритої інформації або її роздрук унаслідок помилкових, ненавмисних дій оператора або в результаті випадкового технічного збою в комп'ютерному устаткуванні».

Для встановлення можливості створення шкідливої програми певною особою, що призналася в цьому, проводиться слідчий експеримент з використанням відповідних засобів комп'ютерної техніки (розслідування створення, використання і розповсюдження шкідливих програм для ЕОМ).

При проведенні слідчого експерименту з'ясовується можливість настання тяжких наслідків при порушенні певних правил. Він проводиться з використанням копій досліджуваної інформації і по можливості на тій же ЕОМ, при роботі на якій порушені правила (розслідування порушення правил експлуатації ЕОМ, системи ЕОМ або їх мережі).

По кримінальних справах у сфері розслідування створення, використання і розповсюдження шкідливих програм для ЕОМ, при допиті обвинуваченого необхідно з'ясувати обставини підготовки і скоєння злочину, алгоритм функціонування шкідливої програми, а також на яку інформацію і як вона впливає.

У справах даної категорії при допиті підозрюваного потрібно встановити рівень його професійної підготовленості як програміста, досвід його роботи із створення програми конкретного класу на даній мові програмування, знання ним алгоритмів роботи програм, що піддалися неправомірній дії.

Також необхідно з'ясувати (при проведенні допиту підозрюваного): місця його проживання, роботи або навчання, професію, взаємини з товаришами по службі, сімейний стан, спосіб життя, сферу інтересів, звички, схильності, круг знайомих, навики в програмуванні, ремонті і експлуатації засобів обчислювальної техніки, які засоби обчислювальної техніки, машинних носіїв, апаратуру і пристосування він мав в своєму розпорядженні, де, на які засоби їх придбав і де зберігав. [6]

В ході розслідування основні слідчі завдання доцільно вирішувати в такій послідовності:

1. Встановлення факту неправомірного доступу до інформації в комп'ютерній системі або мережі.

2. Встановлення місця несанкціонованого проникнення в комп'ютерну систему або мережу.

3. Встановлення часу скоєння злочину.

4. Встановлення надійності засобів захисту комп'ютерної інформації.

5. Встановлення способу несанкціонованого доступу.

6. Встановлення осіб, що зробили неправомірний доступ, їх винності і мотивів злочину.

7. Встановлення шкідливих наслідків злочину.

8. Виявлення обставин, що сприяли злочину.

Встановлення факту неправомірного доступу до інформації в комп'ютерній системі або мережі. Такий факт, як правило, першими виявляють користувачі автоматизованої інформаційної системи, що стали жертвою даного правопорушення.

Факти неправомірного доступу до комп'ютерної інформації іноді встановлюються в результаті оперативно-розшукової діяльності органів внутрішніх справ, ФСБ, податкової поліції. Встановити їх можна в ході прокурорських перевірок, при проведенні ревізій, судових експертиз, слідчих дій по кримінальних справах. Рекомендується в необхідних випадках при розгляді матеріалів, пов'язаних з обробкою інформації в комп'ютерній системі або мережі, встановлення фактів неправомірного доступу до них доручати ревізорам і оперативно-розшуковим апаратам.

На ознаки несанкціонованого доступу або підготовки до нього можуть указувати наступні обставини:

- поява в комп'ютері фальшивих даних;

- неоновлення протягом тривалого часу в автоматизованій інформаційній системі кодів, паролів і інших захисних засобів;

- часті збої в процесі роботи комп'ютерів;

- скарги клієнтів комп'ютерної системи, або мережі;

- здійснення наднормових робіт без видимих на те причин;

- невмотивовані відмови деяких співробітників, обслуговуючих комп'ютерні системи або мережі, від відпусток;

- несподіване придбання співробітником домашнього дорогого комп'ютера;

- чисті дискети або диски, принесені на роботу співробітниками комп'ютерної системи під сумнівним приводом перезапису програм для комп'ютерних ігор;

- випадки перезапису окремих даних, що почастішали, без серйозних на те причин;

- надмірний інтерес окремих співробітників до змісту чужих роздруків (лістингів), що виходять з принтерів.

Особливо слід виділити ознаки неправомірного доступу, що відносяться до відступу від встановленого порядку роботи з документами, а саме:

а) порушення встановлених правил оформлення документів, зокрема виготовлення машинограм;

6 повторне введення однієї і тієї ж інформації в ЕОМ;

в) наявність в пачці зайвих документів, підготовлених для обробки на комп'ютері;

г) відсутність документів, що послужили підставою для запису у вторинній документації;

д) навмисна втрата, знищення первинних документів і машинних носіїв інформації, внесення спотворень до даних їх реєстрації.

Для фактів неправомірного доступу до комп'ютерної інформації характерні також наступні ознаки, що відносяться до внесення помилкових відомостей до документів:

а) суперечності (логічні або арифметичні) між реквізитами того або іншого бухгалтерського документа;

б) невідповідність даних, що містяться в первинних документах, даним машинограм;

в) суперечності між однойменними бухгалтерськими документами, що відносяться до різних періодів часу;

г) невідповідність облікових даних взаємозв'язаних показників в різних машинограмах;

д) невідповідність між даними бухгалтерського і іншого виду обліку.

Слід мати на увазі, що вказані ознаки можуть бути наслідком не тільки зловживання, але і інших причин, зокрема випадкових помилок і збоїв комп'ютерної техніки.

Встановлення місця несанкціонованого доступу в комп'ютерну систему або мережу. Рішення даної задачі викликає певні труднощі, оскільки таких місць може бути декілька.

Чаші виявляється місце неправомірного доступу до комп'ютерної інформації з метою розкрадання грошових коштів.

При виявленні факту неправомірного доступу до інформації в комп'ютерній системі або мережі слід виявити всі місця, де розташовані комп'ютери, що мають єдиний телекомунікаційний зв'язок.

Простіше дане завдання вирішується у разі несанкціонованого доступу до окремого комп'ютера, що знаходиться в одному приміщенні. Проте при цьому необхідно враховувати, що інформація на машинних носіях може знаходитися в іншому приміщенні, яке теж треба встановлювати.

Важче визначити місце безпосереднього застосування технічних засобів видаленого несанкціонованого доступу (що не входять в дану комп'ютерну систему або мережу). До встановлення такого місця необхідно привертати фахівців.

Встановленню підлягає і місце зберігання інформації на машинних носіях або у вигляді роздруків, здобутих в результаті неправомірного доступу до комп'ютерної системи або мережі.

Встановлення часу несанкціонованого доступу. За допомогою програм загальносистемного призначення в працюючому комп'ютері зазвичай встановлюється поточний час, що дозволяє по відповідній команді вивести на екран дисплея інформацію про день тижня, виконання тієї або іншої операції, годині і хвилині. Якщо ці дані введені, то при вході в систему або мережу (у тому числі і несанкціонованому час роботи на комп'ютері будь-якого користувача і час конкретної операції автоматично фіксуються в його оперативній пам'яті і відбиваються, як правило, у вихідних даних (на дисплеї, лістингу або на дискеті.

З урахуванням цього час несанкціонованого доступу можна встановити шляхом слідчого огляду комп'ютера або роздруків або дискет. Його доцільно проводити за участю фахівця, оскільки недосвідчений слідчий може випадково знищити інформацію, що знаходиться в оперативній пам'яті комп'ютера або на дискеті.

Час неправомірного доступу до комп'ютерної інформації можна встановити також шляхом допиту свідків з числа співробітників даної комп'ютерної системи, з'ясовувавши у них, в який час кожен з них працював на комп'ютері, якщо воно не було зафіксоване автоматично. [9]

Встановлення способу несанкціонованого доступу. В ході встановлення способу несанкціонованого доступу до комп'ютерної інформації слідство може вестися по трьом не взаємовиключним один одного варіантам.

Допитом свідків з числа осіб обслуговуючих комп'ютер, комп'ютерну систему або мережу (системний адміністратор, оператори), розробників системи і, як правило, постачальників технічного і програмного забезпечення. В даному випадку необхідно з'ясувати, яким чином злочинець міг подолати засоби захисту даної системи, зокрема, дізнатися ідентифікаційний номер законного користувача; код; пароль для доступу до неї; отримати зведення про інші засоби захисту.

Встановлення надійності засобів захисту комп'ютерної інформації. Перш за все необхідно встановити, чи передбачені в даній комп'ютерній системі міри захисту від несанкціонованого доступу до певних файлів. Це можна з'ясувати шляхом допитів її розробників і користувачів, а також вивченням проектної документації, відповідних інструкцій з експлуатації даної системи. При ознайомленні з інструкціями особлива увага повинна приділятися розділам про заходи захисту інформації, порядок допуску користувачів до певних даних, розмежування їх повноважень, організацію контролю за доступом, конкретних методах захисту інформації (апаратних, програмних, криптографічних, організаційних і інших.

Треба мати на увазі, що в цілях забезпечення високого ступеня надійності інформаційних систем, в яких обробляється документована інформація з обмеженим доступом, здійснюється комплекс заходів, направлених на їх безпеку.

Зокрема, законодавством передбачені обов'язкова сертифікація засобів захисту цих систем і обов'язкове ліцензування всіх видів діяльності в області проектування і виробництва таких засобів. Розробники, як правило, гарантують надійність своїх засобів за умови, якщо будуть дотримані встановлені вимоги до них. Тому в процесі розслідування потрібно встановити, по-перше, чи є ліцензія на виробництво засобів захисту інформації від несанкціонованого доступу, використовуваних в даній комп'ютерній системі, і, по-друге, чи відповідають їх параметри виданому сертифікату. Для перевірки такої відповідності може бути призначена інформаційно-технічна експертиза з метою рішення питання : Чи відповідають засоби захисту інформації від несанкціонованого допуску, використовувані в даній комп'ютерній системі, виданому сертифікату?

Віна за виявлені при цьому відхилення, що стали причиною несанкціонованого доступу до комп'ютерної інформації, покладається на користувача системи, а не на розробника засобів захисту.

Встановлення осіб, що вчинили неправомірний доступ до комп'ютерної інформації.

Опубліковані в пресі результати досліджень, проведених фахівцями, дозволяють скласти зразковий соціологічний портрет сучасного хакера. Вік правопорушників коливається в широких межах -- от 15 до 45 років, причому на момент скоєння злочину у третини вік не перевищував 20 років. Понад 80 злочинців в комп'ютерній сфері -- чоловіки, абсолютну більшість яких мала вища і середня спеціальна освіта. При цьому у більше 50 злочинців була спеціальна підготовка в області автоматизованої обробки інформації, а 30 -- були безпосередньо пов'язані з експлуатацією ЕОМ і розробкою програмного забезпечення до неї. Проте, згідно статистики, професійними програмістами з кожної тисячі комп'ютерних злочинів здійснено тільки 38 вітчизняних хакерів діяли без співучасників, 62 -- у складі злочинних груп По оцінках фахівців основна небезпека базам даних виходить від внутрішніх користувачів ними здійснюється 94 злочинів, а зовнішніми -- тільки 6.[21]

Дані наведеного вище статистичного аналізу показують, що несанкціонований доступ до ЕОМ, системи ЕОМ або їх мережі здійснюють фахівці з достатньо високим ступенем кваліфікації в області інформаційних технологій. Тому пошук підозрюваного слід починати з технічного персоналу постраждалих комп'ютерних систем або мереж (розробників відповідних систем, їх керівників, операторів, програмістів, інженерів зв'язку, фахівців із захисту інформації і інших).

Слідча практика показує, що чим складніше в технічному відношенні спосіб проникнення в комп'ютерну систему або мережу, тим легко виділити підозрюваного, оскільки круг фахівців, що володіють відповідними здібностями, зазвичай вельми обмежений.

При виявленні осіб, причетних до скоєння злочину, необхідний комплекс слідчих дій, слідчий огляд комп'ютера, що включає (системи ЕОМ і її компонентів), допит осіб, зобов'язаних забезпечувати дотримання доступу до комп'ютерної системи або мережі, обшук у осіб, запідозрених в неправомірному доступі до комп'ютерної інформації, за наявності до того достатніх підстав викладених раніше в розділі (розслідування).

Встановлення винності і мотивів осіб, що зробили неправомірний доступ до комп'ютерної інформації. Встановити винність і мотиви несанкціонованого доступу до комп'ютерної інформації можна тільки по сукупності результатів всіх процесуальних дій. Вирішальними з них є свідчення свідків, підозрюваних, обвинувачених, потерпілих, висновки судових експертиз, головним чином інформаційно-технологічних і інформаційно-технічних, а також результати обшуку. В процесі розслідування з'ясовується, по-перше, з якою метою здійснений несанкціонований доступ до комп'ютерної інформації по-друге, чи знав правопорушник про систему її захисту по-третє, чи бажав він подолати цю систему і, по-четверте, якщо бажав, то по яких мотивах і які дії для цього зробив.

Встановлення шкідливих наслідків неправомірного доступу до комп'ютерної системи або мережі. Перш за все необхідно встановити, в чому полягають шкідливі наслідки такого доступу (розкрадання грошових коштів або матеріальних цінностей, заволодіння комп'ютерними програмами, інформацією шляхом вилучення машинних носіїв або копіювання, а також незаконна зміна, знищення, блокування інформації або виведення з ладу комп'ютерного устаткування, введення в комп'ютерну систему свідомо помилкової інформації або комп'ютерного вірусу і так далі).

Факти неправомірного заволодіння комп'ютерними програмами унаслідок несанкціонованого доступу до тієї або іншої системи і їх незаконного використання виявляються, як правило, потерпілими.

Найбільшу шкоду приносить незаконне отримання інформації з різних комп'ютерних систем, її копіювання, розмноження з метою продажу і отримання матеріальної вигоди або використання в інших злочинних цілях (наприклад, для збору компроматів на кандидатів в депутати різних представницьких органів влади).

Викрадені програми і інформаційні бази даних можуть бути виявлені шляхом здійснення обшуків у обвинувачених, а також при проведенні оперативно-розшукових заходів.

Факти незаконної зміни, знищення, блокування інформації, виведення з ладу комп'ютерного устаткування, введення в комп'ютерну систему свідомо помилковій інформації встановлюються перш за все самими користувачами інформаційної системи або мережі.

При визначенні розміру шкоди, заподіяної несанкціонованим доступом, враховуються не тільки прямі витрати на ліквідацію його наслідків, але і упущена вигода негативні наслідки неправомірного доступу до комп'ютерної інформації можуть встановлюватися в процесі слідчого огляду комп'ютерного устаткування і носіїв інформації (аналізу баз і банків даних), допитів технічного персоналу, власників інформаційних ресурсів. Вигляд і розмір збитку встановлюються зазвичай за допомогою комплексної експертизи, що проводиться із застосуванням спеціальних пізнань в області інформатизації, засобів обчислювальної техніки і зв'язку, економіки, фінансової діяльності і товарознавства.

На завершальному етапі розслідування формується цілісне уявлення про обставини, що сприяли несанкціонованому доступу до комп'ютерної інформації. У даному аспекті важливе послідовне вивчення різних документів, що головним чином відносяться до захисту інформації. Особливе значення при цьому можуть мати матеріали відомчого (службового) розслідування.

2. Російське законодавство по захисту інформаційних ресурсів