Анализ информации о соединениях между абонентами, использование его результатов в раскрытии и расследовании преступлений

Себякин Алексей Геннадьевич Руководитель экспертно-криминалистического отдела, СУ СК России по Иркутской области 664011, Россия, Иркутская область, г. Иркутск, ул. Володарского, 11 Sebyakin Aleksei Gennadievich Head of the Forensic Department of the Office of Investigations of the Investigating Committee of Russia, Irkutsk region branch 664011, Russia, Irkutskaya oblast', g. Irkutsk, ul. Volodarskogo, 11 quattro.sa@yandex.ru

В современной криминалистической литературе достаточно много работ, посвященных исследованию компьютерных устройств, как носителей разноплановой криминалистически значимой информации. Для обозначения данной информации был введен термин «виртуальный след», предложенный В.А. Мещеряковым ^{[12, с. 116]}. Сегодня чаще применяется термин «электронный след». Описание механизма возникновения, формирования, а также проблемы выявления и фиксации электронных (виртуальных) следов, их структуры, места в классификации следов детально исследовались В.А. Мещеряковым ^[13], В.Н. Карагодиным ^{[10; 11]}, В.Б. Веховым ^[4]. Достаточно подробно, многосторонне и комплексно этот вопрос разработан в монографии коллектива авторов под редакцией О.С.Кучина ^[2]. Одной из разновидностей электронных следов является информация о соединениях между абонентами, совершенных с использованием средств сотовой связи. Вопросы, связанные с доказательственной сущностью этих сведений, их особенностями как документального вида доказательств, проблемами процессуального закрепления, рассмотрены в работах О.В. Волынской, В.С. Шишкина ^{[5, с. 12-15]}, Ю.Н. Соколова ^{[14, с. 18-21]}, а затем и в монографии В.В. Агафонова, С.А. Вазюлина, В.Ф. Васюкова ^[1].

С введением в 2010 году статьи 186.1 УПК РФ, регламентирующей порядок получения информации о соединениях между абонентами и (или) абонентскими устройствами, объектом обсуждения научного сообщества стал вопрос процессуальной сущности следственных действий, связанных с получением и анализом информации. Указанному вопросу уделено внимание в статьях Р.А. Дерюгина ^{[8, с. 393-397]}; ^{[9, с. 43-47]}, А.А. Варданяна, А.А. Цыкоры ^{[3, с. 21-26]} , И.А. Грошева ^{[7, с.138-142]} и других авторов.

В данной работе автором предпринята попытка рассмотреть наименее освещенную сторону исследования информации о соединениях между абонентами, а именно: тактические особенности получения и использования информации о соединениях между абонентами в раскрытии и расследовании преступлений.

Анализ информации о соединениях абонентов может дать следователю большой объем информации, имеющей отношение к обстоятельствам преступления, от установления списка абонентов, которые потенциально могут иметь отношение к совершению преступления, до установления мест встреч и информационных связей участников преступных сообществ. Необходимо учитывать, что в зависимости от той или иной следственной ситуации, а также категории расследуемого уголовного дела, может меняться тактика получения и анализаинформации о соединениях между абонентами. Та или иная следственная ситуация будет требовать производства определенного набора следственных действий, осуществляемых также в определенном порядке. К основным следственным действиям следует отнести:

1. Выемка информации о соединениях между абонентами и (или) абонентскими устройствами в соответствии со ст.186.1 УПК РФ;

2. Осмотр местности с участием специалиста для определения параметров базовых станций, осуществляющих обслуживание на интересующей следствие местности;

3. Анализ сведений, производимых либо с привлечением специалиста (заключение специалиста), либо путём назначения и проведения информационно-аналитической экспертизы (заключение эксперта).

Рассмотрим тактику действий и возможности использования информации о соединениях между абонентами в раскрытии и расследовании преступлений на примерах преступлений различных категорий преступлений и следственных ситуаций. В самом верхнем уровне обобщения следственные ситуации, возникающие при расследовании преступления, можно разделить на две больших категории: когда фигурант (один или несколько) известен, и когда фигуранты неизвестны. В зависимости от ситуации возможны следующие варианты её развития:

1 следственная ситуация - фигурант (один или несколько) известен. В этом случае следствию известен абонентский номер (номерá), зарегистрированный на фигуранта. Используя информацию о соединениях абонента с известным номером, следователь может произвести оценку перемещений абонента в определенном интервале времени, а также установить возможность нахождения фигуранта в конкретное время в конкретном месте. В общем виде эту задачу можно определить как задачу геолокации (геопозиционирования) абонента. Задача геолокации решается благодаря основному принципу построения сетей сотовой связи: определенную территорию обеспечивает связью конкретная базовая станция (далее - БС), имеющая уникальный идентификатор, состоящий из двух частей: LAC (Local Area Code - код территории обслуживания) и CID (Cell IDentificator – идентификатор базовой станции внутри территории обслуживания), который при осуществлении соединения прописывается в детализацию абонентского номера. Кроме того, каждая БС имеет азимут направленности антенны и сектор обслуживания. Для решения данной задачи следователю необходимо произвести выемку информации о соединениях между абонентами и (или) абонентскими устройствами, а также сведений о местоположении базовых станций (с указанием географических, административных координат, азимута, сектора обслуживания). После получения сведений следует провести анализ полученной информации путём назначения информационно-аналитической экспертизы. Необходимость назначения экспертизы обусловлена тем, что в результате проведения анализа проводится наложение на карту местности точек местонахождения базовых станций, их азимутов и секторов обслуживания, с учётом рельефа местности очерчивается ориентирующая сервисная зона БС, то есть проводится исследование, в результате которого формируется новое, выводное знание.

Точность решения задачи зависит в большой степени от географии местности: в густонаселенных городских районах зона обслуживания БС может составлять 200-400 м, в малонаселенных районах, транспортных магистралях – может достигать нескольких километров. Наиболее эффективным может оказаться анализ перемещений абонента в случае большой частоты соединений, совершаемых в черте города: можно определить маршрут движения с точности до улицы, при этом сделать вывод о способе передвижения: пешком, с помощью транспортных средств (автомобиль, общественный транспорт и т.п.). Так, при расследовании уголовного дела № 31369 по факту убийства М. и С. В процессе проведения экспертизы была проанализирована детализация телефонных соединений двух подозреваемых, сеансы связи которых происходили каждую 1-2 минуты. В результате анализа установлено, что один из подозреваемых постоянно находился «в засаде», т.е. в месте, где произошло происшествие, а второй передвигался на автомобиле, маршрут передвижения которого совпадал с маршрутом движения М. и С. Экспертиза по данному уголовному делу была включена в обвинение и рассмотрена судом присяжных в качестве одного из доказательств.

Немного по другому алгоритму решается задача установления возможности нахождения фигуранта в конкретное время в конкретном месте (месте подготовки, совершения, сокрытия преступления). Для проведения данного анализа помимо детализации абонента необходимо иметь сведения о базовых станциях, которые обслуживают интересующее место. Подобные сведения могут быть получены путем проведения осмотра местности с участием специалиста или самостоятельно. Участие специалиста необходимо для оценки радиоэлектронной обстановки (РЭО) местности с применением датчика РЭО, входящего в комплект информационно-аналитического комплекса (например, «Сегмент-С»). Также оценка РЭО может быть осуществлена с применением приложений общего пользования, написанных под различные операционные системы мобильных устройств (iOS, Microsoft, Android). Наиболее известными сегодня являются такие приложения, как NetMonitor, G-NetTrack. Преимуществом использования датчика РЭО является его универсальность: с помощью одного датчика можно получить сведения о базовых станциях оператора сотовой связи. В качестве преимуществ упомянутых приложений можно указать их доступность: для их использования достаточно общедоступных знаний, которыми обладает следователь. Кроме того, далеко не все следственные подразделения оснащены датчиками РЭО. Однако, использование приложений мобильных устройств возможно только в отношении одного оператора сотовой связи, SIM-карта которого является активной на момент использования приложения. Для параллельного получения информации о базовых станциях всех операторов необходимо использование нескольких мобильных устройств (по числу операторов).

Имея сведения о базовой станции, обеспечивающей сервис в конкретном месте, можно проводить анализ детализации на предмет наличия в ней сведений о соединении, которое было скоммутировано именно этой БС. Время соединения будет указывать на тот временной интервал, когда фигурант потенциально мог находиться в указанном месте. В случае, если показания фигуранта не совпадают с результатом анализа детализации его абонентского номера, это может свидетельствовать, что человек либо умышленно скрывает какие-то сведения, либо (более редкий случай) добросовестно заблуждается. Подобный анализ может быть выполнен специалистом, обладающим специальными знаниями в области базовых принципов построения и функционирования сетей мобильной радиосвязи. Результат анализа может быть оформлен в виде заключения специалиста, поскольку анализ информации заключается только в сопоставлении имеющихся данных и не требует проведения специального исследования, не содержит выводных знаний.

Если следствию известны два (или более) фигуранта, то помимо задачи геолокации определенный интерес может представлять задача установления потенциальных мест встреч. В случае, если абоненты пользуются услугами одного и того же оператора сотовой связи, данная задача решается достаточно просто: в детализациях ищутся совпадения по двум значениям: время (в определенном интервале) и идентификатор базовой станции. Наличие таких совпадений свидетельствует о том, что оба абонента находились в одно и то же (или близкое) время в зоне обслуживания одной и той же БС, а, значит, потенциально могли встретиться. Задача усложняется, когда абоненты пользуются услугами разных операторов, а также в случае необходимости анализа большого временного промежутка (например, календарный год). В этом случае для проведения анализа необходимо получить сведения о координатах базовых станций обоих операторов. Сведения могут быть получены путем соответствующей информации в соответствии со ст.186.1 УПК РФ. После получения сведений необходимо произвести их анализ, где все полученные данные могут быть исследованы с применением специализированных информационно-аналитических комплексов («Сегмент-С», «Следопыт») и при задании временного (15-20 минут) и пространственного (500-700 м) интервалов следователь получит схему местности с графическим обозначением участка, где в заданные интервалы фигуранты имели возможность встретиться. Подобный анализ также может быть выполнен специалистом, обладающим навыками работы с указанными выше специализированными комплексами, поскольку в процессе анализа проводится только автоматизированная математическая обработка данных. Соответственно, результат анализа может быть представлен в виде заключения специалиста. Данный анализ полезен в случаях, когда абоненты не отрицают факт знакомства, но отрицают факт единичных или периодических встреч. Так, в процессе проведения анализа по уголовному делу № 82257 по факту убийства О. были обработаны детализации телефонных соединений двух абонентов за двухлетний период. В результате обработки данных установлено регулярное место встречи двух абонентов.

В случае если у следствия количество фигурантов более трех (например, организованная преступная группа), становится затруднительным процесс анализа связей. Поэтому становится необходимым проведение выемки и последующее проведение анализа с применением вышеуказанных специализированных информационно-аналитических комплексов сведущим лицом. Это позволит провести анализ всех представленных детализаций на предмет установления общих связей абонентов и построения графа связей – геометрической схемы, в которой вершинами (узлами) являются исследуемые абоненты, соединенные линиями, отражающими количественные характеристики связей. Анализ связей имеет ключевое значение при установлении ролей участников преступной группы: руководителей, координаторов, исполнителей и пр., а также выявления «закрытых групп» абонентов – групп, у которых отсутствуют внешние связи. При расследовании уголовного дела № 63852 по факту незаконной организации и проведения азартных игр в результате исследования детализаций абонентов выявлена структура преступного сообщества, установлены информационные связи абонентов. Информационные связи представлены в виде графа (илл.1.).

Полученная в результате анализа информация может быть использована следователем в качестве доказательства возможности или невозможности нахождения фигуранта в конкретном месте, доказательства наличия связи фигурантов, если они таковую отрицают.

Илл.1. Граф информационных связей

2 следственная ситуация – фигуранты следствию не известны. В этой ситуации перед следователем стоит задача выявления круга абонентов, которые каким-либо образом могут иметь отношение к совершенному преступлению. В этом случае анализу подвергается не детализация звонков конкретного абонента, а так называемый «биллинг», то есть данные о всех соединениях, осуществленных посредством какой-либо базовой станции. Для осуществления анализа следователю необходимо провести осмотр местности с целью оценки РЭО в тех местах, где теоретически могли находиться фигуранты по делу. Оценка РЭО в данном случае будет несколько сложнее, поскольку следователю заранее неизвестен оператор сотовой связи, что вынуждает проводить оценку РЭО по всем операторам сотовой связи, действующим в конкретном регионе. Вообще, в ситуации, когда фигуранты следствию не известны, очень важно собрать максимально полные сведения о базовых станциях, посредством которых могли осуществляться соединения фигурантов. Полнота сбора информации может быть обеспечена всесторонним изучением имеющихся в материалах дела фактов, а также создания моделей развития механизма преступления и (или) модели поведения преступника (преступников). Наиболее наглядно это можно продемонстрировать на примерах.

А) В случае, если следствием установлены несколько значимых географически разнесенных мест, например: место похищения человека и место обнаружения трупа, то необходимо провести раздельные осмотры местности в каждом из известных мест и произвести выемку биллинговых данных раздельно по каждому из мест у всех операторов сотовой связи. Далее, зная время похищения и примерное время наступления смерти, следует провести сравнительный анализ биллиноговых данных на предмет нахождения одних и тех же абонентов в том и другом месте в известные промежутки времени (принцип пересечения множеств). Результатом такого сравнения будет список абонентов, которые потенциально могут иметь отношение с совершенному преступлению. В зависимости от множества факторов этот список может быть различным по объему: он может содержать 10-15 абонентов, а может и 300-500. При сужении временных промежутков количество абонентов в списке уменьшается. Поэтому имеет смысл задать узкий временной интервал для выявления наиболее «интересных» со следственной точки зрения абонентов, а затем временной интервал расширить чтобы в исследуемый круг вошло максимальное число абонентов, исключив «выпадение» из списка потенциального фигуранта.

Б) Если у следствия есть следственная версия или основания предполагать, что преступление совершил приезжий человек (т.н. «гастролер», «гость»), то в таком случае схема анализа соединений абонентов будет иной. Целесообразно провести осмотр местности для оценки РЭО в месте совершения преступления, и произвести выемку биллинговых данных у всех операторов сотовой связи за недельный временной интервал: 3 дня до совершения преступления, день совершения преступления, 3 дня после совершения преступления. При проведении анализа массива биллинговых данных критерием отбора будет факт отсутствия у абонента соединений в 3-дневные периоды до и после совершения преступления и факт присутствия телефонной активности в день совершения преступления. Таким образом из массива данных исключаются «местные» абоненты. Результатом анализа будет список абонентов, осуществлявших соединение только в день совершения преступления.

Разновидностью подобной выборки можно назвать анализ биллинговых данных, целью которого является установление «местных» абонентов, которые в 3-дневный период до совершения преступления имели обычную телефонную активность, а после совершения преступления прекратили таковую (отключили телефон, уехали и пр.). Оба исследования можно выполнить на основе одних и тех же биллинговых данных, изменив только критерии выборки абонентов.

В) Также положительный эффект в процессе исследования соединений абонентов может принести моделирование поведения преступника. При этом под поведением могут подразумеваться различные вариации действия/бездействия человека. Если имеются показания свидетелей (или данные с видеокамер наблюдения) о том, что преступник осуществлял подход к месту преступления и уход с него по определенному, не обязательно одному и тому же, маршруту, то имеет смысл проведение осмотра местности для оценки РЭО по этому маршруту. Далее данные, полученные в результате выемки обрабатываются по вышеописанной схеме «гостевого биллинга» с той особенностью, что в анализируемые данные включен биллинг не только с места преступления, но и с маршрутов подхода и ухода.

При расследовании преступлений, связанных с ненасильственными действиями сексуального характера при анализе соединений абонентов можно отработать модель «спланированного действия» - достаточно часто подобные преступления совершаются в районах расположения школ, дошкольных учреждений. Преступник заранее выбирает время и место, поэтому наиболее вероятно, что его телефонная активность будет минимальной: он не будет осуществлять речевые соединения (звонить, принимать звонки), а также писать СМС-сообщения. Тем не менее, он не застрахован от получения СМС-сообщений, которые могут быть как адресными (то есть предназначаться именно ему), так и безадресными («рассылочные» сообщения предупредительного или рекламного характера). В данном случае необходимо последовательное проведение осмотра местности для оценки РЭО, выемки сведений о соединениях абонентов, и затем в процессе проведения анализа можно установить дополнительные фильтры на типы осуществляемых соединений. Данный прием сократит список абонентов, интересующих следствие.

С помощью этого же приема может быть отработана и обратная модель: когда из обстоятельств дела достоверно известно, что фигурант в конкретное время совершает речевое соединение. Данный факт может основываться на показаниях свидетелей или содержимом видеозаписи с камер наблюдения. Применение фильтра по типу совершаемого соединения в подобном случае позволит сформировать минимальный список абонентов, которые потенциально могут быть причастны к преступлению, в котором с высокой долей вероятности присутствует и человек, совершивший преступление.

Все вышеуказанные анализы в ситуации, когда фигурант неизвестен, могут быть осуществлены специалистом с применением ранее упомянутых специализированных информационно-аналитических комплексов. Целью анализа соединений между абонентами в следственной ситуации, когда фигуранты дела неизвестны, является очерчивание круга абонентов, которые потенциально могут иметь отношение к совершенному преступлению. Имея этот круг, можно приступать к отработке каждого абонента на предмет его причастности к преступлению.

Обобщая вышеизложенное, объём решаемых задач, в зависимости от той или иной следственной ситуации, можно свести к следующему структурированному списку:

1. Абонентские номера фигурантов известны

1.1. задача геопозиционирования абонента

1.1.1 задача установления возможности нахождения фигуранта в конкретное время в конкретном месте

1.1.2 задача установления потенциальных мест встреч фигурантов

1.2. Установление информационных связей абонентов

2. Абонентские номера фигурантов неизвестны

2.1. задача нахождения одних и тех же абонентов в определенных местах в известные промежутки времени (пересечение множеств)

2.2. Задача временнóй фильтрации

2.2.1 Задача фильтрации местных жителей (установление «гостя», «гастролера»)

2.2.2 Задача установления «исчезнувших» местных жителей (после совершения преступления)

2.3. Задача моделирования поведения преступника

Для решения вышеуказанных задач, безусловно, необходимо использование специальных познаний в области базовых принципов построения и функционирования сетей мобильной радиосвязи. Однако, при их решении (за исключением задачи геопозиционирования абонента) используются только методы сравнения, используемые либо «вручную», либо реализованные в автоматизированных аналитических комплексах. Решение задач не требует проведения исследования и генерации нового, выводного знания. Это означает, что это с перечисленными задачами может успешно справиться специалист в рамках проведённого анализа и данного им заключения специалиста. Назначение именно судебной экспертизы в описанных ситуациях не обязательно.

Безусловно, вышеизложенные тактические приемы анализа информации о соединениях между абонентами не являются исчерпывающими, их генерация зависит от уровня развития профессионального, «криминалистического» ^{[6, с. 93-100]} и аналитического мышления следователя. Необходимо отметить, что во всех вышеописанных ключевых следственных действиях принимает участие сведущее лицо (эксперт, специалист, следователь-криминалист), то есть получение значимой для следствия информации в результате анализа соединений между абонентами – деятельность комплексного характера. Поэтому также следует уделять внимание взаимодействию следователя и сведущего лица на всех этапах и во всех указанных формах получения и использования в раскрытии и расследовании преступлений информации о соединениях между абонентами. Практика показывает, что при взвешенном, продуманном подходе к формулированию и последующему решению задачи анализа информации о соединениях между абонентами в большой части следственных ситуаций достигается положительный результат, который можно эффективно использовать в раскрытии и расследовании преступлений.