В современном цифровом мире мобильные телефоны и планшеты перестали быть просто средствами связи․ Они превратились в персональные цифровые архивы, накапливающие колоссальные объемы информации: историю геолокации, переписки в мессенджерах, банковские транзакции, фото- и видеоматериалы, историю посещений сайтов и данные приложений․ Именно поэтому компьютерно-техническая экспертиза мобильных телефонов стала одним из самых востребованных и значимых видов судебных и внесудебных исследований․

Понятие и правовая природа экспертизы

Компьютерно-техническая экспертиза (КТЭ) — это вид судебной экспертизы, объектом которой выступают компьютерные системы, их компоненты, программное обеспечение и информация, хранящаяся на носителях․ В контексте мобильных устройств КТЭ направлена на установление технических свойств, состояния, функционирования аппарата, а также на извлечение, анализ и интерпретацию цифровых данных․

Правовая основа проведения экспертизы в Российской Федерации составляют:

• Уголовно-процессуальный кодекс РФ (УПК РФ) — ст․ 195–207 (назначение и производство экспертизы в уголовном процессе);
• Гражданский процессуальный кодекс РФ (ГПК РФ) — ст․ 79–86 (экспертиза в гражданском процессе);
• Арбитражный процессуальный кодекс РФ (АПК РФ) — ст․ 83–88 (экспертиза в арбитраже);
• Кодекс об административных правонарушениях РФ (КоАП РФ), ст․ 26․4 (экспертиза в административном процессе);
• Федеральный закон от № 73-ФЗ «О государственной судебной экспертной деятельности в Российской Федерации»․

Экспертиза может быть назначена следователем, дознавателем, судом или проведена в внесудебном (досудебном) порядке по инициативе заинтересованного лица (ст․ 27 ФЗ № 73-ФЗ)․

Объекты исследования

Специфика мобильных устройств требует комплексного подхода․ Объектами КТЭ телефонов являются:

Аппаратная часть (Hardware)

• Сам корпус устройства (модель, серийный номер IMEI, наличие признаков вскрытия, ремонта, попадания влаги, механических повреждений);
• Системная плата (материнская плата), процессор, оперативная и постоянная память (eMMC / UFS);
• Модули связи: GSM/LTE/5G, Wi-Fi, Bluetooth, NFC, GPS/ГЛОНАСС;
• Блок питания (аккумулятор), контроллеры заряда;
• Периферия: дисплей, камеры, микрофоны, динамики, датчики (отпечаток, FaceID, акселерометр и др․);
• Съемные носители: SIM-карты, microSD-карты․

Программная часть (Software / Firmware)

• Операционная система (Android, iOS, HarmonyOS и др․) — версия, сборка, наличие root-прав / jailbreak, статус загрузчика (locked/unlocked);
• Системные разделы (boot, recovery, dtbo, vbmeta, super и др․);
• Установленные пользовательские приложения (мессенджеры, банки, соцсети, шпионское ПО, вредоносное ПО);
• Файловые системы (ext4, f2fs, APFS) и их структура;
• Прошивки (stock, custom), модули ядра, драйверы․

Информационные данные (Data)

• Пользовательские данные: контакты, звонки, SMS/MMS, переписки (WhatsApp, Telegram, Viber, Signal и др․), почта, календарь, заметки;
• Мультимедиа: фото, видео, аудиозаписи (включая метаданные EXIF — время, координаты, модель камеры, ПО обработки);
• Системные журналы (логи): logcat (Android), unified logs (iOS), журналы загрузки, крашей, подключений к сетям Wi-Fi/Bluetooth;
• Базы данных приложений (SQLite, Realm, LevelDB) — часто содержат удаленные, но не перезаписанные записи;
• Кэш, временные файлы, кэш браузеров, история геолокации (Google Timeline, Significant Locations iOS);
• Ключи шифрования, токены авторизации, биометрические шаблоны (в защищенных энклавах/TEE)․

Классификация задач и типовые вопросы эксперту

Вопросы, ставимые перед экспертом, делятся на три основные группы:

Идентификационные вопросы

1. Является ли предоставленный телефон тем самым устройством, которое использовалось для совершения конкретных действий (звонка, съемки фото, отправки сообщения)?
2. Соответствует ли IMEI/серийный номер корпуса указанным в документах/на коробке?
3. Было ли данное устройство подключено к конкретному компьютеру/облачному аккаунту (Apple ID, Google Account, Samsung Account)?
4. Принадлежит ли учетная запись в мессенджере/соцсети конкретному лицу (на основе данных на телефоне)?

Диагностические вопросы

1. В каком техническом состоянии находится устройство? Имеет ли оно заводские или эксплуатационные дефекты?
2. Были ли произведены вскрытие, ремонт, замена модулей (экрана, батареи, разъема зарядки)? Соответствуют ли запчасти оригинальным?
3. Является ли устройство «серым» (не прошедшим сертификацию ФСБ/Ростехнадзор) или поддельным (клоном)?
4. Каков механизм возникновения повреждений (удар, влага, перегрев, перенапряжение)?
5. Имеются ли признаки несанкционированного доступа (взлом, установка шпионского ПО, эксплойты zero-click)?
6. Каковы причины потери данных или сбоя работы устройства?

Классификационные (оценочные) вопросы

1. Относится ли найденная информация (файлы, переписки) к определенной категории (экстремистские материалы, гостайна, коммерческая тайна, порнография, мошеннические схемы)?
2. Соответствует ли функционал приложения заявленному разработчиком (наличие скрытых функций, троянов, майнеров)?
3. Является ли программное обеспечение лицензионным / пиратским / вредоносным?
4. Какова рыночная стоимость устройства / ущерб от порчи / стоимость восстановления данных?

Методология и этапы проведения экспертизы

Процесс исследования строго регламентирован методическими рекомендациями (МР ФСЭ, ГОСТ Р 70772-2023 «Судебная экспертиза․ Компьютерно-техническая․ Общие требования») и внутренними стандартами экспертных учреждений․

Этап 1: Прием и фиксация объекта (Документирование)

• Описание внешнего вида, комплектации, пломбировка/упаковка в антистатический пакет/фаренгейтовый мешок (для изоляции от сетей — Faraday bag);
• Фото/видеофиксация всех сторон устройства, разъемов, экрана (включенного и выключенного);
• Снятие хеш-сумм (SHA-256, MD5) от образов носителей для подтверждения неизменности данных․

Этап 2: Получение доступа (Acquisition)

Критически важный этап․ Выбор метода зависит от модели, ОС, состояния (включен/выключен, заблокирован/разблокирован), наличия шифрования (FBE/FDE)․

• Логическое извлечение (Logical): через ADB (Android), iTunes/idevicebackup2 (iOS), официальные API․ Доступны только пользовательские файлы, доступные при разблокированном устройстве․ Быстро, но неполно․
• Файловое извлечение (File System): требует root / checkra1n / palera1n / Magisk / временного рута․ Дает доступ к файловой системе (/data, /system), базам данных приложений, системным логам․ Стандарт для Android․
• Физическое извлечение (Physical / Full File System): побайтовый образ eMMC/UFS (dd, EDL Mode / Emergency Download, ISP — In-System Programming, JTAG, Chip-off)․ Позволяет восстановить удаленные файлы (carving), проанализировать неразмеченное пространство, ключи шифрования в TEE/SEP․ Необходимо для залоченных устройств, серьезных инцидентов․
• Cloud-извлечение: получение данных из iCloud, Google Account, Samsung Cloud, Huawei Cloud, Xiaomi Cloud по токенам/логину-паролю (с санкции суда/согласия владельца)․

Этап 3: Анализ и исследование (Analysis)

• Парсинг баз данных (SQLite Viewer, DB Browser), восстановление удаленных записей (Free Lists, WAL-файлы);
• Анализ логов системы и приложений (таймлайнинг событий, Timeline Analysis);
• Карвинг (File Carving) — восстановление файлов по сигнатурам (JPEG, PNG, MP4, PDF, SQL) из неразмеченной области или образа;
• Деобфускация и реверс-инжиниринг подозрительных APK/IPA (JADX, Ghidra, Frida, Objection);
• Проверка целостности прошивки (AVB/vbmeta, dm-verity, SELinux status);
• Анализ метаданных (EXIF, XMP, QuickTime atoms) для верификации подлинности фото/видео;
• Корреляция данных из разных источников (телефон + облако + SIM + ПК владельца)․

Этап 4: Формирование заключения

1. Вводную часть (кем, когда, по какому основанию, что исследовано, какие вопросы поставлены);
2. Исследовательную часть (описание методик, оборудования, ПО — Cellebrite UFED, Magnet AXIOM, Oxygen Forensic, MSAB XRY, Belkasoft X, FTK, EnCase, открытые утилиты, и ход исследования с протоколами);
3. Заключительную часть (ответы на вопросы, выводы, категоричность: «установлено», «не установлено», «вероятно»)․

Процессуальные формы проведения

Специфические вызовы современной экспертизы телефонов (2024–2026 гг․)

Полнодисковое шифрование (FBE / FDE) и Secure Enclave / TEE / StrongBox

На современных Android (с 10+) и iOS (с 8+) данные в разделе /data зашифрованы ключом, производным от пароля пользователя и аппаратного UID (Unique ID), хранящегося в изолированном безопасном элементе (TEE, Trusted Execution Environment на Android, Secure Enclave Processor на iOS, StrongBox на Pixel/Samsung)․ Без ввода верного пин-кода/пароля/биометрии физический образ бесполезен — это набор зашифрованных блоков․ Обход возможен только:

• При знании пароля / биометрии владельца;
• На уязвимых загрузчиках (checkm8 / checkra1n для iOS до A11, EDL Mode для Qualcomm, MTK BROM для MediaTek, Exynos Bootrom уязвимости);
• При извлечении ключей из RAM (Cold Boot / DMA атаки) на включенном и разблокированном устройстве (Live Forensics);
• Через эксплойты zero-day (NSO Pegasus, Graphite, Predator, доступны только госструктурам)․

Антифорезические механизмы

• Lockdown Mode (iOS 16+) — блокирует USB-соединения после часа безразличия, усложняет установку профилей;
• USB Restricted Mode — отключает данные по Lightning/USB-C через час после блокировки;
• Auto-reboot (iOS 18․1+ / GrapheneOS) — автоматическая перезагрузка в BFU (Before First Unlock) состояние через заданное время, сброс ключей из RAM;
• Duress PIN / Panic Password (GrapheneOS, LineageOS, некоторые кастомы) — ввод специального пина запускает безвозвратное стирание данных (wipe);
• Защита от перебора (Rate Limiting) — аппаратные задержки и блокировки после неудачных попыток в TEE/SEP․

Фрагментация Android и закрытость экосистем

Тысячи моделей, десятки версий ОС, кастомные оболочки (One UI, MIUI/HyperOS, ColorOS, OxygenOS, MagicUI) требуют постоянного обновления профилей извлечения в коммерческих комплексах (Cellebrite, Oxygen, MSAB)․ Открытые инструменты (ADB, Fastboot, EDL) требуют высокой квалификации эксперта для ручной работы с разделами super (Dynamic Partitions), vbmeta, dtbo․

Облачные и синхронизированные данные

Ключевые доказательства часто лежат не в телефоне, а в облаке: резервные копии WhatsApp (Google Drive / iCloud), история геолокации (Google Maps Timeline), фото (iCloud Photos / Google Photos), заметки, ключи (iCloud Keychain / Google Password Manager)․ Их извлечение требует отдельного хода расследования (запрос к провайдеру услуг / судебное поручение / согласие владельца)․

ИИ-генерируемый контент (Deepfakes, Synthetic Media)

С 2023–2024 гг․ эксперту часто приходится отвечать на вопрос: «Является ли это фото/видео/аудио подлинным или сгенерированным ИИ?»․ Используются методы медиафорезики: анализ артефактов генерации (GAN/ Diffusion artifacts), несоответствия физики света/тени, биометрические аномалии (мигание, дыхание, пульсация кожи), метаданные генераторов (C2PA, Content Credentials, невидимые водяные знаки SynthID, Stable Signature)․

Требования к эксперту и оборудованию

Согласно ФЗ № 73-ФЗ и Приказу Минюста РФ, эксперт должен иметь:

• Высшее образование (информатика, радиотехника, кибербезопасность, судебная экспертиза);
• Специальные знания в области компьютерной техники, ОС, файловых систем, криптографии, сетевых технологий, реверс-инжиниринга;
• Свидетельство о присвоении квалификации судебного эксперта (для гос․ экспертов) или членство в СРО (для негосударственных);
• Постоянное повышение квалификации (сертификаты Cellebrite CCME/CMFF, Magnet AXIOM Examiner, Oxygen Forensic Certified Examiner, SANS FOR500/508/585, GCFE, GCFA, GASF, GREM)․

Минимальный аппаратно-программный комплекс лаборатории:

• Изолированная комната (экранированная камера / фаренгейтовая клетка) для работы с включенными устройствами;
• Рабочие станции с высокой производительностью (GPU для перебора паролей / Hashcat, большой RAM для анализа образов);
• Комплексы извлечения: Cellebrite UFED 4PC / Premium / Touch2, Magnet AXIOM Cyber, Oxygen Forensic Detective, MSAB XRY Pro, Belkasoft X;
• Оборудование для физического доступа: программаторы (RT809H, SVOD3/4, PC-3000 Flash/Express), микропаяльные станции, микроскопы для Chip-off / ISP / JTAG;
• Набор кабелей, переходников, джигов (для входа в EDL, DFU, Download Mode);
• Лицензионное ПО для виртуализации (VMware, VirtualBox) и эмуляции (Android Studio, Corellium, для динамического анализа малвари)․

Типичные ошибки и риски

1. Нарушение порядка изъятия/упаковки: телефон передан без фаренгейтового мешка -> удаленное стирание (Find My / Find My Device) или приход уведомлений, перезаписывающих логы/базы данных․
2. Включение/разблокирование неспециалистом: ввод неверного пина -> блокировка, сброс счетчиков, срабатывание Duress PIN -> потеря данных․
3. Игнорирование RAM: выключение включенного телефона без дампа оперативной памяти -> потеря ключей шифрования, токенов сессий, запущенных процессов․
4. Работа с оригиналом: прямое подключение к ПК без аппаратного блокировщика записи (Hardware Write Blocker, Tableau, WiebeTech, CRU) -> изменение меток времени, запись логов подключения, срабатывание TRIM на SSD/UFS -> необратимое удаление файлов․
5. Неполное документирование: отсутствие хеш-сумм, фотофиксации, протоколов действий -> оспариваемость заключения в суде (ст․ 55 ГПК, ст․ 75 УПК)․
6. Интерпретация за пределами компетенции: эксперт делает правовую оценку («виновен», «мошенничество», «подделка документа»), а не техническую («файл создан в такое-то время», «подпись не соответствует эталону»)․

Перспективы развития отрасли

• Автоматизация ИИ: использование LLM (Large Language Models) для первичного триажа чатов, суммаризации переписок, поиска аномалий в логах, генерации черновиков отчетов (с обязательной верификацией человеком)․
• Cloud-first подход: сдвиг фокуса с физического устройства на облачные экосистемы (Google, Apple, Microsoft, Telegram Cloud, WhatsApp Backups) как основной источник доказательств․
• Стандартизация форматов: переход на открытые форматы хранения образов (AFF4, E01) и обмена данными (CASE / UCO — Unified Cyber Ontology) для интероперабельности инструментов․
• Квантовая стойкость: подготовка к переходу на постквантовую криптографию (PQC) в протоколах мессенджеров (Signal PQXDH, iMessage PQ3), что сделает ретроспективный расшифровку перехваченного трафика невозможной․
• Регуляторика IoT/Авто: расширение понятия «мобильное устройство» на автомобильные головные единицы (IVI), умные часы, трекеры, дроны — единая методология «Цифровая экспертиза конечных точек» (Endpoint Forensics)․

Компьютерно-техническая экспертиза мобильных телефонов, это высокотехнологичный, наукоемкий процесс, стоящий на стыке информатики, права, криптографии и материаловедения․ От качества изъятия, компетентности эксперта и актуальности инструментария зависит не только исход конкретного дела, но и доверие общества к цифровым доказательствам в целом․

В условиях тотального шифрования, антифорезики и ухода данных в облака, ключевым фактором успеха становится не столько наличие дорогого ПО, сколько глубокое понимание архитектуры ОС, файловых систем и аппаратной безопасности экспертом, а также строгая процедурная чистота каждого действия — от момента изъятия устройства до озвучивания заключения в суде․

Ключевые термины для справки

• BFU (Before First Unlock) — состояние устройства после загрузки, но до первого ввода пароля․ Ключи шифрования в RAM отсутствуют․
• AFU (After First Unlock) — состояние после ввода пароля․ Ключи в RAM, данные доступны (при извлечении дампа памяти)․
• EDL Mode (Emergency Download) — аварийный режим загрузчика Qualcomm, позволяющий читать/писать разделы eMMC/UFS без загрузки ОС․
• ISP (In-System Programming) — подключение к контактам чипа памяти напрямую на плате без паяния (через игольчатые зонды)․
• Chip-off — демонтаж чипа памяти (BGA) и чтение на программаторе․ Деструктивный метод․
• JTAG — отладочный интерфейс (IEEE 1149․1) для доступа к памяти через процессор/контроллер․
• Carving (Карвинг) — восстановление файлов по сигнатурам (заголовкам/концовкам) без файловой системы․
• TRIM / Discard — команда ОС контроллеру памяти об освобождении блоков․ Срабатывает при удалении файлов на SSD/UFS, делая восстановление невозможным․
• TEE (Trusted Execution Environment) — изолированная среда выполнения в процессоре (TrustZone ARM) для работы с ключами и биометрией․
• SEP (Secure Enclave Processor) — отдельный безопасный сопроцессор в Apple Silicon (A7+ / T2 / M-серия)․
• AVB (Android Verified Boot) — цепочка доверия загрузки с проверкой подписей разделов (vbmeta)․
• C2PA (Coalition for Content Provenance and Authenticity), стандарт метаданных для подтверждения подлинности и истории редактирования медиа․

Статья подготовлена на основе актуальной законодательной базы РФ, методических рекомендаций ФСЭ, отраслевых стандартов (ГОСТ Р 70772-2023) и практики применения современных форензических инструментов (Cellebrite, Magnet, Oxygen, MSAB, Belkasoft, Open Source) по состоянию на 2026 год․