Интернет-расследование: Как собрать цифровые улики и не нарушить закон

Марк Тьюрин

Интернет-расследование: Как собрать цифровые улики и не нарушить закон

Что именно мы называем цифровой уликой

На скриншоте открытой интернет-витрины — медицинские термометры, цена и яркая плашка: «Официальный поставщик городской больницы». Рядом — эмблема учреждения. Изображение будто даёт готовый ответ: магазин действительно работает с больницей, значит, её сотрудники подтвердят качество товара. Или, наоборот, больница причастна к сомнительной торговле. Но пока скриншот подтверждает только одно: в некотором файле видны именно эти слова и эмблема.

Это условный пример, а не сообщение о реальном магазине или учреждении. Он показывает соблазн, с которого начинается почти любое интернет-расследование: принять выразительный цифровой след за объяснение событий. Чтобы не попасть в эту ловушку, нужно прежде всего отделить то, что видно, от того, что мы предполагаем.

Картинка как готовый приговор

Яркая деталь опережает рассуждение. На странице есть логотип — значит, разрешили его использовать. Написано «официальный поставщик» — значит, был договор. Указана больница — значит, она знает о публикации и подтверждает заявление. Всё это возможно, но скриншот сам по себе ничего из перечисленного не устанавливает.

Текст на странице может быть правдивым, неточным, устаревшим или рекламно преувеличенным. Эмблему могли разместить с разрешения, без него или по старому соглашению. Поставщиком могло быть другое юридическое лицо, а страницу — вести посредник. Наконец, изображение могли изменить или составить из частей. Пока происхождение файла неизвестно, даже утверждение «так выглядела реальная страница» остаётся предположением.

В этом и состоит первая дисциплина расследования: не отказываться от выводов, а правильно обозначать их статус. Наблюдение — ещё не объяснение, зацепка — не подтверждённый факт, а установленный факт — не обязательно юридическое доказательство. Смешивая эти ступени, исследователь незаметно начинает подбирать подтверждения уже готовой версии.

Материал, зацепка, факт, доказательство

Цифровой материал — это объект, который можно изучить или сохранить: веб-страница, изображение, публикация, электронный документ, запись в реестре, сообщение, файл или фрагмент видеозаписи. Он может содержать важные для расследования сведения, но само его наличие ещё не устанавливает, что именно произошло.

Зацепка подсказывает, что проверить дальше и где искать информацию. В нашем примере плашка «Официальный поставщик городской больницы» — хорошая зацепка. Она помогает сформулировать вопросы: какое юридическое лицо продаёт товар, был ли заключён договор, кто разместил эмблему, когда появилась страница? Зацепка полезна, даже если впоследствии выяснится, что надпись не соответствует действительности.

В рабочем смысле подтверждённым фактом можно считать узкое утверждение, которое выдержало проверку и опирается на надёжные данные, желательно из независимых источников. Например: в определённый день на доступной странице магазина было опубликовано заявление о поставках в медицинские учреждения. Но это не то же самое, что утверждение «магазин поставил товары этой больнице». Первое касается содержания страницы, второе — реальной сделки.

В повседневной речи доказательством называют материал, который поддерживает определённый вывод. В юридической процедуре у этого слова специальный смысл. В российских судах и иных разбирательствах действуют правила, установленные для конкретного вида дела: важно, откуда получена информация, как она закреплена, относится ли к делу и можно ли её проверить. Скриншот не становится юридически значимым доказательством лишь потому, что его распечатали или приложили к заявлению. Его могут оценить вместе с другими материалами, а допустимость и вес будут зависеть от обстоятельств и применимых процессуальных норм.

Поэтому полезнее спросить не «Доказывает ли этот скриншот всё?», а «Какое именно утверждение он способен поддержать и при каких условиях?». Один и тот же файл может надёжно подтверждать, что некий текст появился на экране, служить зацепкой для проверки деловых отношений и при этом быть совершенно недостаточным основанием для обвинения конкретного человека.

Четыре границы скриншота

Скриншот фиксирует изображение экрана в момент создания файла. Если его происхождение известно, он может показать, как страница отображалась в конкретном браузере и на конкретном устройстве. Это полезная информация, но скриншот не открывает интернет целиком: он не сохраняет автоматически контекст страницы, действия пользователя, состояние сайта или историю изменений.

Первая граница — содержание. На изображении видны слова, эмблема, цена, фотография товара, возможно, имя продавца. Но не видны причины, по которым материал оказался на странице. По скриншоту нельзя понять, проверяло ли учреждение рекламное заявление, кто согласовал текст и имел ли автор право использовать логотип. Подпись «официальный поставщик» остаётся подписью, пока её смысл не подтверждён другими данными.

Вторая граница — сама страница как источник. На скриншоте может быть название магазина, но не полный адрес. Или адрес виден, однако изображение обрезано и непонятно, где именно находилась плашка: на странице продавца, в рекламном блоке или в поисковой выдаче. Иногда в одном изображении соединены фрагменты разных страниц. Даже видимая адресная строка — часть картинки; сама по себе она не доказывает, что браузер действительно загрузил страницу по этому адресу.

Третья граница — время. Дата создания файла не равна дате публикации страницы. Скриншот могли сохранить спустя дни или месяцы после появления текста, переслать, переименовать, сжать или обработать. Свойства изображения тоже не всегда показывают, когда страница была доступна: при копировании и передаче метаданные могут измениться, а часы устройства — быть настроены неверно. Надпись «два часа назад» тем более не заменяет точную дату: она зависит от момента просмотра и иногда от настроек интерфейса.

Четвёртая граница — контекст. Страницы меняются, а интернет-витрина может показывать разным посетителям разные сведения. На отображение влияют регион доставки, вход в личный кабинет, выбранный язык, рекламные вставки и другие параметры. На скриншоте могут отсутствовать заголовок, оговорка мелким шрифтом, соседний абзац или дата, к которой относится предложение. Вырезанная фраза порой звучит категоричнее, чем исходный текст.

Эти ограничения не делают скриншоты бесполезными — они лишь определяют, как с ними работать. Снимок экрана может подтвердить, что исследователь увидел определённое содержание. Но он гораздо слабее отвечает на вопросы, находилось ли это содержание на конкретном сайте, было ли доступно всем посетителям и отражало ли реальные отношения между продавцом и больницей.

Откуда пришёл файл

Происхождение материала — это история его появления у исследователя. Скриншот могли сделать непосредственно при просмотре страницы, получить от коллеги, переслать в рабочем чате, скачать из публикации или вырезать из презентации. Чем длиннее и менее понятна цепочка передачи, тем осторожнее следует делать выводы.

Представим два варианта одного и того же изображения. В первом пользователь сам открывает публичную страницу, сохраняет полный экран и записывает адрес, дату и время просмотра. Во втором аналитик получает обрезанную картинку без ссылки и сведений о том, кто её создал. Плашка на обоих изображениях одна и та же. Но в первом случае можно проверить страницу и сопоставить запись с другими источниками. Во втором изображение пока лишь задаёт направление поиска.

Исходный файл лучше хранить отдельно от рабочих копий. Если нужно выделить фрагмент, добавить стрелку или скрыть персональные данные, все изменения вносят в копию, оставляя оригинал нетронутым. Рядом фиксируют, откуда и когда получен материал, каким способом и кем; указывают полный адрес страницы, если он известен, и отмечают, обрезали или преобразовывали ли изображение. Для динамической страницы полезно сохранить не только снимок экрана, но и доступные сведения о странице или документе — если это можно сделать законно и без обхода ограничений.

Контрольная сумма файла, рассчитанная, например, с помощью криптографического алгоритма, помогает обнаружить изменения после её фиксации: если содержимое файла изменится, контрольная сумма, как правило, тоже будет другой. Но она не устанавливает, был ли скриншот подлинным при создании, сделан ли он на заявленной странице и правдив ли текст на этой странице. Это способ отследить последующие изменения конкретного файла, а не сертификат его достоверности.

Время нужно записывать так, чтобы позднее можно было понять, что именно имеется в виду. Стоит различать предполагаемое время публикации страницы, время, когда её увидели, и время сохранения файла. Если важна точность, указывают часовой пояс. Фраза «скриншот от 12 мая» допускает несколько толкований. Запись «страница открыта 12 мая в 14:30 по местному времени, файл сохранён сразу после просмотра» гораздо яснее.

Даже аккуратно оформленная запись не устраняет все сомнения, но делает происхождение материала проверяемым. Это особенно важно, если скриншот передают юристу, направляют в ведомство или включают в отчёт: следующему читателю нужно понимать не только, что изображено, но и как файл оказался у автора отчёта.

Подлинность не равна правдивости

У цифрового материала есть два разных свойства, и проверять их нужно по отдельности. Во-первых, подлинен ли он в том смысле, что действительно соответствует странице или документу, которыми его называют? Во-вторых, правдивы ли утверждения, содержащиеся на этой странице или в документе? Ответ на один вопрос не даёт ответа на другой.

Предположим, удалось подтвердить, что на странице магазина действительно была плашка «Официальный поставщик городской больницы». Это укрепляет вывод о содержании страницы, но не подтверждает правдивость плашки. Продавец мог опубликовать заявление без проверки. Информация могла относиться к прошлому периоду или к другой организации. Слово «поставщик» могло быть рекламной формулировкой, а не указанием на конкретную сделку.

Возможна и обратная ситуация. Заявление на странице выглядит сомнительно, но поставка действительно состоялась: магазин мог сформулировать его неточно, хотя подтверждающие документы существуют. Поэтому проверять нужно не только изображение, но и само утверждение, которое оно подсказывает.

Если речь идёт о связи магазина с государственным учреждением, сначала стоит установить точные названия и реквизиты юридических лиц. Затем можно поискать сведения о договорах в Единой информационной системе в сфере закупок, если нужная информация там размещена, и сопоставить их с данными официальных реестров Федеральной налоговой службы. Такое сопоставление может подтвердить, что определённое юридическое лицо заключило договор на конкретный товар или услугу. Но оно ещё не доказывает, что именно этой организации принадлежала интернет-витрина или что эмблему разместил уполномоченный сотрудник.

Имеет значение и независимость источников. Если три публикации повторяют один пресс-релиз продавца, это не три подтверждения, а один источник, размноженный в трёх местах. Если же сведения о договоре обнаружены в официальной закупочной документации, а принадлежность домена компании подтверждается отдельными данными, перед нами уже разные линии проверки. Независимость не требует, чтобы источники никак не были связаны; важно понять, не повторяют ли они одно и то же исходное утверждение.

Почему совпадение не устанавливает автора

Допустим, интернет-витрина использует тот же номер телефона и ту же фотографию товара, что и сайт известного поставщика. Совпадение заметное и полезное для проверки, но оно не отвечает на вопрос, кто создал страницу и опубликовал конкретный текст.

Фотографии товаров часто копируют продавцы и посредники. Контактные данные могут быть общими для нескольких организаций или сохраниться после смены владельца. Разработчик сайта может собрать страницу по готовому шаблону, а доступ к административной панели — иметь агентство, подрядчик, сотрудник или несколько пользователей. Наличие логотипа не показывает, кто его загрузил. Корпоративный домен не доказывает, что каждую публикацию лично написал руководитель компании.

Важно различать несколько уровней связи. Страница может находиться на домене, зарегистрированном на организацию. Организация может владеть сайтом, но передать его обслуживание подрядчику. Учётная запись может быть официальной, однако публикацию — сделать один из нескольких администраторов. И даже если удалось установить пользователя, загрузившего файл, не всегда можно определить, кто подготовил исходный текст и кто поручил его разместить.

Чем распространённее совпадающая деталь, тем меньше она говорит сама по себе. Общая фотография товара — слабый признак связи. Необычная ошибка в тексте, повторённая в двух местах, информативнее, но её тоже могли скопировать. Совпадение редких элементов в нескольких источниках подсказывает, куда направить проверку, однако для установления авторства всё равно нужны сведения о происхождении публикации и управлении ресурсом.

Поэтому вывод лучше формулировать на самом узком уровне, который подтверждён. Вместо «компания разместила ложное заявление» — «на странице, связанной с магазином, отображалось заявление о поставках в больницу; авторство публикации и факт поставки пока не установлены». Такая осторожность не ослабляет вывод, а точнее показывает, что уже известно и что ещё предстоит проверить.

Четыре вопроса к материалу

Оценивать скриншот удобнее не по одному общему баллу, а с помощью четырёх вопросов. Один материал может хорошо фиксировать видимый текст, слабо подтверждать своё происхождение и вовсе не отвечать на вопрос о фактической поставке. Общая отметка «достоверно» скроет эти различия.

Что именно видно? Запишите наблюдение без объяснений: «На изображении видны название товара, цена, эмблема и фраза о поставках в медицинские учреждения». Не добавляйте «больница подтвердила», если на странице этого нет. Если скриншот обрезан, отметьте это. Если на нём не видны адрес и дата, не восстанавливайте их по памяти.

Откуда получен материал? Уточните, кто и когда сделал снимок, открывалась ли сама страница, сохранился ли полный адрес, передавался ли файл через другие сервисы, обрезали ли его. Неизвестное происхождение не повод выбрасывать изображение: его можно оставить как зацепку, но не считать надёжной прямой фиксацией.

Что подтверждается независимо? Ищите подтверждение именно того тезиса, который проверяете. Факт публикации можно проверить повторным доступом к странице или надёжно сохранённой копией с понятной датой. Договор — по соответствующим документам или сведениям в официальной системе закупок. Принадлежность сайта компании — по отдельным данным о домене, юридическом лице и управлении ресурсом. Каждое подтверждение нужно соотносить с конкретным утверждением: документы о контракте не всегда устанавливают автора рекламы, а подтверждённое авторство не делает рекламное обещание истинным.

Какие альтернативные объяснения остаются? Надпись могла относиться к прошлым поставкам, эмблему могли использовать без разрешения, страница могла принадлежать посреднику, а скриншот — оказаться устаревшим. Не нужно придумывать бесконечные версии, чтобы обесценить любой вывод. Достаточно отметить правдоподобные объяснения, которые существенно меняют интерпретацию, а затем проверить их доступными способами.

Применим эти вопросы к условной витрине. Видно, что на изображении есть плашка и эмблема. Если снимок сделал неизвестный человек, адрес не сохранился, а дата указана только в имени файла, происхождение материала неясно. Если страницу удаётся открыть по найденному адресу и при повторной проверке на ней остаётся тот же текст, подтверждение содержания становится сильнее. Если в закупочных документах обнаружен контракт на поставку похожих товаров, это поддерживает версию о деловой связи, но необходимо сопоставить стороны договора, период и юридическое лицо. Если контрактов не найдено, нельзя сразу заключить, что страница лжёт: мог существовать другой договорный путь, другое юридическое лицо или неполные публичные данные.

Эти вопросы не дают механического вердикта. Они показывают, где именно материал надёжен, а где остаются пробелы. Если содержание страницы подтверждено, а авторство и правдивость заявления не проверены, это и есть точный результат на текущем этапе.

Как не перегрузить вывод

В отчёте или заметке разделяйте три слоя: что наблюдалось непосредственно, что подтверждено другими источниками и что пока остаётся гипотезой. Запись о рассматриваемой странице может выглядеть так:

«На скриншоте, полученном 12 мая, отображается интернет-витрина с товаром и фразой “Официальный поставщик городской больницы”. Полный адрес страницы в файле не виден. При повторной проверке обнаружена страница с похожим содержанием. Кто разместил фразу и есть ли независимое подтверждение поставок, пока не установлено».

Такая запись полезнее, чем «магазин выдаёт себя за поставщика больницы». Последняя формулировка приписывает намерение и объявляет заявление ложным, хотя ни то ни другое пока не доказано. Первая сохраняет проверяемую основу для следующего шага и не скрывает ограничений.

Не усиливайте материал за счёт эффектной подачи. Красные рамки, стрелки, подписи вроде «подделка» или монтаж нескольких фрагментов в одну картинку помогают привлечь внимание, но меняют вид исходного материала. Если такие изображения нужны для объяснения, храните их отдельно и помечайте как рабочие копии. Исходник должен оставаться доступным для проверки.

Есть и обратная ошибка — отбрасывать любой скриншот на том основании, что его можно подделать. Возможность изменения не делает конкретное изображение ложным. Она лишь означает, что его нужно оценивать с учётом происхождения, сохранности и независимых подтверждений. Исследователь не обязан с самого начала доказывать безупречность файла; его задача — не утверждать больше, чем позволяет проведённая проверка.

Наконец, публичность страницы не отменяет правовых ограничений. Информация, доступная без пароля, не означает, что её допустимо получать в обход ограничений, входить в чужую учётную запись или собирать избыточные персональные данные. Российские правила об информации и персональных данных применяются с учётом конкретных обстоятельств и способа дальнейшего использования материала. Если его собираются передать в суд или ведомство либо использовать в иной юридически значимой процедуре, порядок фиксации стоит соотнести с её требованиями и при необходимости обсудить с юристом.

Ценность материала определяется не тем, насколько убедительно он выглядит, а тем, можно ли его точно описать, проверить и связать с конкретным утверждением. Скриншот интернет-витрины способен сохранить след публикации, но сам по себе не устанавливает автора, правдивость рекламы или факт сделки. В следующей главе речь пойдёт о том, как искать открытые сведения и не перейти от проверки доступного материала к вмешательству в закрытые данные и чужие системы.

Где заканчивается открытый поиск

Одну и ту же цифровую находку можно получить законно, сохранить неосторожно, а опубликовать — нарушив чужие права. Отделив изображение от выводов о его авторе и достоверности, мы задаём следующий вопрос: как материал попал к нам и что мы собираемся с ним делать? Открытая страница даёт доступ к содержимому, но не разрешает обращаться с ним как угодно.

Одна находка, четыре маршрута

Представим, что мы проверяем заявление местного подрядчика. На открытой странице компании сказано, что она обслуживала городское мероприятие в определённый день. Это может помочь проверить её публичное сообщение. На фотографии к публикации виден стенд, а на нём — лист с фамилиями и номерами телефонов. Позже в закрытый чат попадает снимок той же площадки, затем кто-то присылает электронную таблицу. Наконец, редакция или автор проверки решает рассказать о найденной связи между компанией и мероприятием.

Содержание улики почти не меняется, но меняются обстоятельства: как её получили, зачем собирают, сколько сведений сохраняют и кому передают. Именно от этих четырёх факторов зависит, насколько безопасно продолжать работу.

Полезно различать четыре действия. Просмотр — знакомство с материалом. Фиксация — сохранение ссылки, фрагмента или записи о том, что именно было найдено. Обработка — сбор, систематизация, хранение, сопоставление и использование сведений; применительно к персональным данным это понятие охватывает широкий круг операций. Распространение — передача информации другим людям или её публикация. Переход от одного действия к следующему не происходит автоматически: право открыть страницу не означает права составить по ней досье, а возможность сохранить файл — права разослать его.

В России обработку персональных данных регулирует, в частности, Федеральный закон № 152-ФЗ. К персональным данным относятся сведения, которые прямо или косвенно позволяют определить конкретного человека. Имя рядом с номером телефона — очевидный пример, но человека можно узнать и по сочетанию деталей: должности, небольшого населённого пункта, даты события и фотографии. Конкретные требования зависят от того, кто действует, с какой целью и каким способом. Само по себе наличие сведений в интернете этой оценки не отменяет.

Публичность страницы отвечает лишь на один вопрос: можно ли было увидеть её содержимое, не обходя установленные ограничения. Она не говорит, кто разместил сведения, имел ли он право включать в публикацию чужие данные, допустимо ли сохранить их или передать дальше и оправдано ли их обнародование. Доступность — характеристика способа просмотра, а не универсальное разрешение на дальнейшее использование.

Путь первый: страница открыта для всех

Если страница предназначена для публичного просмотра, знакомство с ней не требует входа в чужой аккаунт или обхода ограничений. Исследователь может проверить публикацию, записать её адрес и дату просмотра, сопоставить заявление с другими доступными источниками. Но даже здесь важно не собирать лишнего.

Для проверки заявления в нашем примере достаточно сохранить ссылку, отметить дату, дословно выписать фразу о мероприятии и указать, что она размещена на странице компании. Фамилии и личные телефоны на листе в кадре не помогают подтвердить, что именно компания сделала публичное заявление. Переписывать эти данные, собирать сведения о сотрудниках или искать их личные профили «на будущее» — значит расширять задачу без понятной причины.

Правило минимизации просто: сначала сформулировать вопрос, затем собрать только те данные, без которых на него нельзя ответить. Если нужно проверить, заявляла ли компания об обслуживании мероприятия, личные контакты работников не нужны. Если задача — установить, кто подписал акт или выступил от имени подрядчика, может понадобиться имя должностного лица, но не его домашний адрес, сведения о семье или личный номер телефона. Необходимость каждого поля лучше обосновать до того, как оно попадёт в рабочую запись.

Минимизация снижает не только правовой, но и исследовательский риск. Большой массив чужих подробностей создаёт иллюзию полноты, затрудняет проверку и подталкивает к выводам, не связанным с исходной задачей. Чем больше людей получают доступ к данным, тем выше риск случайно раскрыть их или вырвать из контекста. Небольшая рабочая запись обычно надёжнее бесформенного архива.

Даже публичное упоминание имени требует контекста. Название компании и имя её официального представителя могут быть важны, если речь идёт о действиях в рамках публичной должности или деловой роли. Но это не делает любые сведения о человеке относящимися к делу. Адрес проживания, личный телефон, семейные обстоятельства и информация о здоровье требуют отдельного и более строгого обоснования. Публичная роль не отменяет права на частную жизнь.

Осторожность нужна и с изображениями. То, что фотография размещена в интернете, само по себе не делает её свободной для любого повторного использования. Следует учитывать авторские права, право на изображение и контекст публикации. Для проверки факта часто достаточно сослаться на исходную страницу и описать, что на ней видно, — перепубликовывать снимок целиком необязательно. Если изображение нужно включить в материал, отдельно оцените правовое основание и объём использования.

Найти страницу в поиске — ещё не значит проверить её содержание. Выдача может показывать устаревшую копию, автоматически сформированный фрагмент или страницу, которая уже изменилась. Фиксируя сведения, укажите их источник, дату просмотра и то, что именно утверждалось. Формулировка «на странице компании указано, что она обслуживала мероприятие» точнее, чем «компания точно обслуживала мероприятие»: первая описывает найденное заявление, вторая представляет его как установленный факт.