Глава 89: Скрытый компас — метаданные, URL-адреса и цифровые следы за цифрами

В старом мире место преступления было физическим. Отпечаток пальца на стекле, выпавший на ковер волос или запах дешевого парфюма, оставшийся в комнате. На протяжении многих лет профессиональной деятельности доказательства были зачастую осязаемыми — такими, которые можно положить в прозрачный полиэтиленовый пакет и пометить как «вещественное доказательство №1». Но в эпоху, когда мошенничество совершается через экраны, когда мошенник может находиться в далекой стране, сервер расположен в другом государстве, а деньги переводятся на цифровой кошелек в третьем углу мира, место преступления претерпело трансформацию. Оно больше не состоит из материи, а из данных.

Во многих случаях пострадавшие чувствуют себя беспомощными. Они могут подумать, что если сообщения были удалены или сайт закрыт, то ничего не осталось, кроме размытого скриншота. Это ошибочное предположение. Цифровая среда по своей природе оставляет следы, даже когда предпринимаются попытки их скрыть. Эти следы называются метаданными (Metadata) — «данными, стоящими за данными». Это скрытый компас, который может помочь перейти от анонимности к созданию доказательной базы.

В этой главе мы рассмотрим тонкости цифровой архитектуры. Мы узнаем, как URL-адрес может раскрыть схемы мошенничества и как номер телефона может стать значимым элементом в анализе дела. Это важный инструмент в профессиональном арсенале, поскольку в ходе судебного разбирательства цифровые доказательства могут иметь решающее значение.

Следующий сценарий является учебным примером, основанным на распространенных моделях мошенничества. Персонажи и события приведены исключительно в иллюстративных целях.

Галит (имя вымышленное) — персонаж, представляющий финансового менеджера, рациональную женщину, привыкшую работать с данными. Однажды SMS-сообщение, якобы от банка, выбило ее из колеи: «Ваш банковский счет временно ограничен из-за подозрительной активности. Для подтверждения ваших данных перейдите по ссылке: bit.ly/secure-bank-il».

В этом сценарии Галит перешла по ссылке и попала на сайт, который выглядел абсолютно идентично знакомому ей сайту банка. Она ввела данные для входа и код подтверждения, а через некоторое время обнаружила, что с ее счета было совершено значительное списание средств. В такой ситуации пострадавший может почувствовать, что у него нет доказательств, если сайт был удален, но исходная ссылка остается отправной точкой для проверки.

В данном учебном сценарии ссылка — это не конец пути, а дорожная карта для расследования инцидента.

Скрытый от глаз уровень: что такое метаданные и почему они могут быть значимым доказательством?

Когда вы делаете фотографию на мобильный телефон, помимо визуального изображения сохраняется текстовый файл, называемый EXIF. Он включает информацию о модели устройства, географические координаты (GPS) и точное время съемки. Это и есть метаданные.

В мире цифрового мошенничества метаданные придают контекст доказательствам. Допустим, представлено «подтверждение банковского перевода» в формате PDF, которое выглядит легитимным. Изучение метаданных файла может показать, что он был создан в графическом редакторе, а не в официальной банковской системе, или что время создания файла не соответствует заявленному временному отрезку. В сценарии с Галит метаданные SMS-сообщения могут содержать информацию о сервере (шлюзе), через который было отправлено сообщение, что позволяет начать отслеживание пути мошенничества.

С юридической точки зрения важность метаданных связана с проверкой подлинности доказательств. В то время как скриншот можно изменить, исходные метаданные подделать последовательно гораздо сложнее. Представление файла с исходными метаданными позволяет проверить достоверность доказательства. В контексте Закона о платежных услугах и судебной практики, касающейся закона о кредитных картах, вопрос подлинности является центральным. Если можно показать, что представленный документ был создан при подозрительных обстоятельствах, могут возникнуть вопросы относительно систем защиты и идентификации финансовой организации.

Важно отметить: передача файлов через определенные приложения может привести к удалению метаданных. Поэтому на протяжении многих лет профессиональной деятельности подчеркивается важность сохранения исходного файла (Raw file). Рекомендуется сохранять само электронное письмо в формате EML или MSG, которые включают заголовки (Headers), детализирующие цифровой путь документа.

Адрес на виртуальной стене: анализ URL и доменов как инструмент для юридической проверки

В учебном сценарии с Галит сокращенная ссылка (например, bit.ly) иногда используется как инструмент для скрытия истинного пункта назначения. Изучение такой ссылки может раскрыть адрес типа: http://bank-israel-security-verification.com/login.

Такой адрес может показаться правильным неподготовленному пользователю, но профессиональный анализ выявит, что банки в Израиле обычно используют домены .co.il, а не .com. Проверка домена через систему «Whois» — информация о регистрации адреса — может показать, что он был зарегистрирован непосредственно перед мошенничеством на данные, которые невозможно идентифицировать.

Этот анализ помогает обосновать претензии относительно введения в заблуждение. Создание домена, копирующего имя известной организации, может свидетельствовать о преступном умысле. Кроме того, эти доказательства могут быть использованы при рассмотрении ответственности вовлеченных сторон. Можно проверить, была ли афера настолько изощренной, что обычный клиент не мог бы заметить ее без профессиональных инструментов.

В случаях подозрительного веб-адреса необходимо изучить его структуру, искать преднамеренные опечатки (тайпсквоттинг) или использование похожих символов из иностранных языков. Документирование полного адреса, включая появляющиеся в нем технические параметры, является критически важным для оценки характера обращения.

Номера телефонов и похищенные личности: между «спуфингом» и юридической реальностью

Одной из проблем в таких делах является технология спуфинга (подмены номера), позволяющая отображать номер телефона, отличный от того, с которого ведется реальный разговор. В учебном сценарии Галит видела на экране название банка, потому что поддельный номер был идентичен официальному номеру, сохраненному в ее списке контактов.

Этот аспект актуален для рассмотрения вопроса вины и сопутствующей халатности. Документирование того, что был использован официальный номер финансовой организации, может повлиять на юридический анализ относительно степени осторожности, которую должен был проявить клиент. Трудно ожидать от клиента, что он не ответит на звонок, который выглядит как исходящий от официального отдела его банка.

Для сбора доказательств рекомендуется получить детализацию входящих звонков от оператора связи (журналы), так как обычная детализация звонков часто показывает только исходящие. Эти данные могут раскрыть реальный источник вызова или IP-адрес сервера. В некоторых случаях можно проверить, не был ли осуществлен «SIM-своппинг» — перенос телефонного номера на другую SIM-карту без разрешения, что поднимает вопросы об информационной безопасности у оператора связи.

Ответственность финансовых организаций перед лицом цифровых доказательств

Технический анализ метаданных и URL-адресов трансформируется в юридическую проверку обязанностей по соблюдению осторожности. Закон о платежных услугах от 2019 года устанавливает рамки ответственности в случаях неправомерного использования платежных средств. Финансовые организации могут утверждать, что передача кода является нарушением конфиденциальности, но представление доказательств изощренной «социальной инженерии» (Social Engineering) может изменить картину.

С помощью анализа цифровых доказательств можно проверить, выполнила ли финансовая организация свою обязанность по соблюдению осторожности. Например, было ли зафиксировано подключение из другой страны незадолго до подключения из Израиля, или должны ли были системы мониторинга распознать известные ссылки для фишинга. Метаданные транзакции являются вспомогательным инструментом при рассмотрении вопроса о том, была ли допущена халатность при мониторинге активности.

В возможном сценарии представление профессионального анализа инфраструктуры мошенничества может привести к пересмотру позиции финансовой организации. Шанс на возврат средств зависит от конкретных обстоятельств каждого случая, но создание цифровой доказательной базы является необходимым этапом ведения такого процесса.

Кризис и раскрытие: важность правильной работы с доказательствами

Самостоятельные действия пострадавших после обнаружения мошенничества иногда могут повлиять на качество доказательств. В учебном сценарии попытка вступить в конфронтацию с мошенником в WhatsApp может привести к удалению сообщений с его стороны.

Тем не менее даже удаленные сообщения могут оставить следы в метаданных базы данных приложения на устройстве. Сравнение дат отправки и удаления сообщений с датами операций по счету может помочь в восстановлении хронологии инцидента.

На протяжении многих лет в практике адвокатского бюро встречались случаи, когда прекращение использования устройства сразу после обнаружения инцидента позволяло более эффективно извлечь криминалистические данные. В возможном сценарии после рассмотрения доказательств и их представления стороны могут прийти к приемлемому для них компромиссу.

Заключение и выводы: ДНК юридического дела

Сбор цифровых доказательств требует понимания данных, находящихся за кулисами. Метаданные, URL-адреса и номера телефонов являются значимыми элементами в построении фактической базы в современную эпоху.

В случаях, подобных случаю Галит, представление научного анализа цифровых доказательств может изменить характер диалога с финансовыми организациями и перевести его в плоскость предметного рассмотрения обстоятельств.

Тревожные сигналы (Red Flags) в метаданных и адресах:

• Слишком похожие домены: использование необычных расширений или замена букв в домене.
• Сокращенные ссылки: использование сторонних сервисов сокращения адресов в важных сообщениях от официальных организаций.
• Несоответствие во времени: противоречия между метаданными и открытым содержимым документа.
• Небезопасный протокол: отсутствие использования HTTPS на сайтах, требующих ввода чувствительных данных.

Что можно сделать после инцидента? (Action Plan):

• Документирование и сохранение: отказ от удаления истории просмотров, сообщений или электронной почты.
• Сохранение исходных файлов: сохранение и передача файлов в их первоначальном формате для сохранения заголовков (Headers).
• Полный скриншот: документирование полной адресной строки (URL) подозрительных сайтов.
• Запрос на получение данных: требование детализации входящих звонков от оператора связи.

Юридический аспект:

Согласно Постановлению о доказательствах [новая редакция], 1971 г., и Закону об электронной подписи, 2001 г., цифровые документы и сопутствующие им метаданные имеют юридический статус при условии соблюдения условий допустимости и достоверности. Можно рассмотреть возможности представления этих доказательств в суде с акцентом на доказательство целостности доказательств («цепочка доказательств»). Ответственность финансовых организаций рассматривается в связи с Законом о платежных услугах, а также на основе общих принципов договорного права и права деликтов, где цифровое доказательство служит инструментом для оценки требуемого уровня осторожности и безопасности.