Цифровая улика — это не факт сам по себе, а чья-то интерпретация факта. IP-адрес, фотография с телефона, файл в кэше браузера: всё это данные, которые можно прочитать правильно или неправильно. В уголовном деле цена такой ошибки обычно намного выше, чем в любой другой экспертизе. Два российских дела последних лет показывают, что бывает, когда цифровую улику принимают на веру, не проверив, что она на самом деле означает.

Дело Богатова: является ли IP-адрес доказательством преступления?

В апреле 2017 года математика и преподавателя Дмитрия Богатова задержали по обвинению в призывах к массовым беспорядкам и оправдании терроризма. Поводом стали посты, размещённые на форуме sysadmins.ru от имени пользователя «Айрат Баширов» с призывом выйти 2 апреля на Красную площадь. По версии следствия, в ней содержались призывы приносить на Красную площадь «тряпки, бутылки, бензин, скипидар, пенопласт»; её следствие квалифицировало как призыв к изготовлению «коктейля Молотова» и организации массовых беспорядков (по этому эпизоду шло обвинение по ч. 1 ст. 30, ч. 1 ст. 212 УК). Единственной связью между Богатовым и постами было совпадение одного из IP-адресов автора с домашним адресом Богатова.

Проблема в том, что Богатов администрировал выходной узел (exit-ноду) сети Tor. Tor — это анонимная сеть, которая пускает трафик пользователя через цепочку случайных серверов и выпускает его обратно в обычный интернет через последний из них, exit-ноду; сайт на другом конце видит IP-адрес именно этой ноды, а не адрес настоящего отправителя. Через домашний сервер Богатова в теории мог выйти в сеть кто угодно из пользователей Tor по всему миру. Автор постов, «Айрат Баширов», публиковал сообщения более чем со ста разных IP-адресов — из Норвегии, Нидерландов, Японии, Владивостока и других городов, и продолжал это делать даже после ареста Богатова. Следствие сочло экстремистскими только два поста, отправленных с адреса, который в тот момент раздавала Tor-нода Богатова. Защита с самого начала указывала, что это обстоятельство делает IP-адрес бесполезным в качестве улики, но следствие почти год этот довод фактически игнорировало.

Ответ дала не полемика в суде, а собственная экспертиза следствия. В январе 2018 года эксперты экспертно-криминалистического центра МВД закончили компьютерно-техническую экспертизу — так называется официально компьютерная криминалистическая проверка в российском уголовном процессе — ноутбуков и флеш-карт, изъятых у Богатова при обыске. Экспертиза заняла восемь месяцев. По данным ТАСС, ни на одном личном устройстве Богатова не нашли ни противоправных материалов, ни каких-либо следов, связывающих его с инкриминируемыми постами. После этого его перевели с домашнего ареста на подписку о невыезде, а в мае 2018 года дело закрыли за отсутствием состава преступления. К тому моменту Богатов провёл под стражей и домашним арестом больше года.

Мораль? Оставим за скобками тот факт, что невиновный провёл много месяцев за решёткой (он выжил и не потерял здоровье, и это — уже большая удача). В нашем же блоге мы сделаем другой вывод: совпадение технического идентификатора с человеком — не доказательство. Если устройство или адрес технически мог использовать кто-то другой, это нужно исключить до предъявления обвинения, а не выяснять постфактум за счёт чужой свободы.

Дело Голунова: что делать, если улику никто не сверил с реальностью

В июне 2019 года при задержании у журналиста Ивана Голунова, по заявлению полиции, нашли свёртки с порошком; экспертиза определила вещество как мефедрон. Позже полиция сообщила, что при обыске его съёмной квартиры на Вешняковской улице нашли ещё пакеты с порошком и весы. Голунов с самого начала заявлял, что наркотики ему подбросили.

В качестве доказательства пресс-служба ГУ МВД по Москве опубликовала на официальном сайте фотографии предполагаемой «домашней лаборатории» с наркотиками. Публикация фотографий вызвала вопросы почти сразу: изображения не были похожи на квартиру, которую видели друзья и коллеги Голунова, включая тех, кто бывал у него дома. По данным адвоката задержанного, которые приводит «Право.ру», из девяти опубликованных снимков лишь один действительно был сделан в квартире журналиста. Адвокат Дмитрий Джулай также обращал внимание, что сам обыск проходил с нарушениями: сотрудники, по его словам, свободно находились в квартире Голунова ещё до того, как у них появились на это законные основания.

Через несколько дней пресс-служба московского главка МВД публично признала, что часть опубликованных фотографий к делу Голунова не относится, объяснив путаницу ошибкой сотрудника главка и назначив по этому факту служебную проверку. 11 июня глава МВД Владимир Колокольцев объявил, что все обвинения с Голунова сняты «в связи с недоказанностью», несколько сотрудников МВД, включая двух генералов, были уволены, а позже возбуждено уголовное дело в отношении задерживавших его полицейских.

Чему нас учит этот случай? Видимо, тому, что фотография, файл или любой другой цифровой артефакт становится уликой только после того, как его сверили с реальными обстоятельствами: та ли это квартира, то ли устройство, тот ли момент времени. В деле Голунова это несоответствие обнаружили не эксперты и не следствие, а адвокаты и общественное давление — то есть ровно то, что должно было произойти до публикации, а не после.

Что объединяет эти два случая

В первом случае человек уже провёл месяцы под арестом или подпиской о невыезде, пока более аккуратная проверка — восьмимесячная компьютерно-техническая экспертиза у Богатова, элементарная сверка адреса у Голунова — не показала то, что можно было установить сразу. Ни в одном из случаев для этого не потребовалось редких знаний: понимание того, как работает exit-нода Tor, и умение сравнить фотографию с реальной квартирой доступны любому специалисту, которому вообще пришло бы в голову задать этот вопрос заранее.

Общих ошибок здесь по сути две:

1. Единственный технический параметр — IP-адрес, номер, метка времени — принимают за прямое доказательство того, что действие совершил конкретный человек, не проверив, есть ли у этого параметра другое объяснение.
2. Цифровой или документальный артефакт прикладывают к делу или публикуют как факт, не сверив его с материальными обстоятельствами, которые он должен подтверждать.

А как надо?

Достаточно простого здравого смысла.

• Прежде чем связывать технический идентификатор (IP-адрес, MAC-адрес, идентификатор аккаунта) с конкретным человеком, нужно исключить альтернативные технические объяснения: общий выходной узел, публичная сеть, скомпрометированный аккаунт.
• Если обвинение держится на одном техническом параметре, экспертизу устройства стоит проводить до предъявления обвинения, а не после месяцев содержания под стражей.
• Любой цифровой артефакт, который ложится в основу дела — фотография, файл, лог, — нужно сверить с реальными обстоятельствами: тем местом, тем устройством, тем моментом времени, которые он должен подтверждать.
• Формулировки в заключении должны соответствовать тому, что реально показывают данные, а не той версии, которая уже сложилась у следствия.

Я не берусь утверждать, что за каждой такой историей стоит злой умысел; иногда это обычная безграмотность или спешка. Но оба случая говорят об одном: пока никто не удосужился всё перепроверить, зацепка выглядит как факт. Разница между этими двумя состояниями иногда стоит человеку года его жизни.