Введение

Настоящая работа посвящена анализу возможностей и процедурных аспектов установления факта несанкционированного доступа к учетным записям электронной почты, а также определению круга лиц, причастных к такому доступу, в условиях, когда заявитель не прибегает к помощи правоохранительных органов. Актуальность темы обусловлена устойчивым ростом числа инцидентов, связанных с компрометацией почтовых ящиков, используемых как в корпоративном сегменте, так и в сервисах массовой электронной почты, в частности Mail.ru и Яндекс.Почты. Для организаций утрата контроля над корпоративной почтой означает риск утечки коммерческой тайны, персональных данных и деловой переписки, а для частных лиц — риск финансовых потерь и нарушения приватности. В тех случаях, когда пострадавшая сторона не желает или не имеет возможности инициировать уголовно-процессуальную проверку, единственным легитимным инструментом установления обстоятельств взлома становится независимое экспертное исследование, выполняемое специализированной организацией. Союз «Федерация судебных экспертов» располагает методологической базой и практическим опытом проведения компьютерно-технических исследований, направленных на выявление взлома почты, фиксацию цифровых следов и подготовку заключения, которое впоследствии может быть использовано в гражданском, арбитражном или ином правовом контексте. Настоящая работа последовательно раскрывает технические, организационные и доказательственные аспекты такой деятельности, иллюстрируя их практическими кейсами.

Правовые и организационные основания проведения исследования без участия правоохранителей

Отсутствие обращения в правоохранительные органы не означает отсутствия правовой рамки для экспертной деятельности. Гражданско-правовой договор на проведение исследования заключается между заказчиком и экспертной организацией, что прямо предусмотрено нормами о возмездном оказании услуг. В отличие от судебной экспертизы, назначаемой судом или следователем, несудебное исследование выполняется на основании волеизъявления заинтересованного лица, однако его результаты оформляются в виде заключения специалиста, которое может быть представлено в суд в качестве письменного доказательства. Союз «Федерация судебных экспертов» строит работу с заказчиком таким образом, чтобы уже на этапе приема материалов были определены границы допустимого вмешательства в информационные системы и обеспечена сохранность исходных данных. Ключевая задача на этом этапе — определение взлома почты как события, имевшего место в прошлом, без активного воздействия на серверную инфраструктуру почтового провайдера, доступ к которой у эксперта отсутствует. Это принципиальное ограничение: в отличие от правоохранительных органов, экспертная организация не может направлять обязательные запросы операторам связи и почтовым сервисам, поэтому сбор доказательственной базы строится преимущественно на анализе тех данных, которые доступны заказчику или могут быть получены с его согласия.

Для корпоративной почты, развернутой на собственных серверах организации либо на платформах Microsoft Exchange или аналогах, объем доступных эксперту журналов существенно шире. Администратор почтового сервера располагает данными о входах в учетные записи, IP-адресах клиентских устройств, времени сессий и изменениях в правилах обработки входящих сообщений. В случае с публичными сервисами Mail.ru и Яндекс.Почтой эксперту приходится работать с ограниченным набором артефактов: заголовками сохраненных писем, скриншотами интерфейса, историей браузера, метаданными файлов, если переписка выгружалась на локальный носитель. Именно поэтому в практике Союза «Федерация судебных экспертов» первоочередное значение придается правильной фиксации исходного состояния почтового ящика до того, как заказчик предпримет действия по восстановлению доступа, которые могут уничтожить следы присутствия злоумышленника. Установление взлома почты в таких условиях требует методичной работы с каждым доступным источником, а не reliance на единственный технический индикатор.

Организационная схема взаимодействия с заказчиком включает несколько этапов. Первичная консультация позволяет определить тип почтового сервиса, давность инцидента и перечень данных, которые сохранились у заказчика. На этом же этапе разъясняется, какие действия недопустимы до передачи материалов эксперту: смена пароля без предварительной фиксации текущих настроек безопасности, удаление подозрительных писем, очистка кэша браузера, переустановка операционной системы. Далее заключается договор, в котором фиксируется перечень объектов исследования и согласие заказчика на обработку предоставляемых данных. Эксперт приступает к работе только после того, как материалы поступили в его распоряжение в том виде, в котором они существовали на момент обращения. Такой подход позволяет минимизировать риск утраты критичных артефактов и обеспечивает воспроизводимость выводов.

Методические подходы к выявлению взлома почты

Выявление взлома почты начинается с анализа тех индикаторов, которые не требуют доступа к серверной инфраструктуре провайдера. Для корпоративной почты первым источником служат журналы аудита, если они сохранились. В решениях на базе Microsoft Exchange и Microsoft 365 администратор может обратиться к журналу аудита и отфильтровать события по типу операции, например создание или изменение правил обработки входящих сообщений. Наличие правила, перенаправляющего копии писем от конкретных отправителей на внешний адрес, часто является прямым следом компрометации: злоумышленник стремится сохранить доступ к интересующей его переписке даже после смены пароля. Эксперт сопоставляет время создания такого правила с периодами, когда заказчик не работал с почтой, и с IP-адресами, не принадлежащими организации.

Для почтовых ящиков Mail.ru и Яндекс.Почты аналогичная информация может быть получена из интерфейса настроек безопасности, если заказчик успел зафиксировать список активных сессий до выхода злоумышленника. Однако на практике к моменту обращения такие данные часто уже утрачены. В этом случае определение взлома почты строится на косвенных признаках: наличии в папке «Отправленные» сообщений, которых заказчик не отправлял; появлении входящих писем с уведомлениями о смене пароля или привязке нового номера телефона; изменениях в контактных данных профиля. Эксперт анализирует заголовки сохранившихся писем, обращая внимание на цепочки Received и параметры аутентификации. В заголовках могут сохраняться сведения об IP-адресе отправителя и почтовом сервере, через который прошло сообщение. Если заказчик получал уведомления от сервиса о подозрительной активности, эти письма также становятся объектом исследования: в них могут содержаться указания на время и место входа, которые сервис счел аномальными.

Отдельное направление — анализ локальных артефактов на устройствах заказчика. Если взлом был осуществлен через вредоносное программное обеспечение, на жестком диске могут сохраниться следы его присутствия: файлы в временных каталогах, записи в реестре, изменения в планировщике задач. Для корпоративного сегмента эксперту важно установить, не был ли скомпрометирован не только почтовый аккаунт, но и устройство, с которого осуществлялся доступ. В противном случае смена пароля не устранит угрозу. В рамках работы Союза «Федерация судебных экспертов» такие задачи решаются с применением методов компьютерно-технического исследования, включая создание образов носителей и последующий анализ файловой системы без изменения исходных данных.

Установление виновных лиц: возможности и ограничения

Установление взлома почты как факта и установление виновного лица — две взаимосвязанные, но принципиально разные задачи. Первая решается преимущественно техническими средствами и опирается на следы, оставленные действиями в системе. Вторая требует привязки этих следов к конкретному физическому лицу, что без процессуальных полномочий правоохранительных органов сопряжено с серьезными ограничениями. Экспертная организация не вправе самостоятельно запрашивать у интернет-провайдера сведения о том, кому принадлежал IP-адрес в конкретный момент времени, а без этого вывода о личности нарушителя остаются вероятностными.

Тем не менее, определенные шаги в этом направлении возможны и в рамках несудебного исследования. Если заказчик располагает корпоративной инфраструктурой, эксперт может проанализировать журналы DHCP-сервера и сопоставить IP-адрес, с которого осуществлялся несанкционированный вход, с MAC-адресом устройства, а затем — с учетной записью сотрудника, которому это устройство было выдано. Такая цепочка требует, чтобы организация вела учет оборудования и сохраняла соответствующие журналы. В практике авторов настоящей работы встречались случаи, когда именно сопоставление DHCP-журналов с данными кадрового учета позволяло с высокой степенью достоверности указать на конкретное рабочее место, с которого был осуществлен доступ к почтовому ящику руководителя.

Для публичных сервисов Mail.ru и Яндекс.Почты цепочка выстраивается иначе. Если злоумышленник использовал вредоносное программное обеспечение, эксперт может исследовать образец этого программного обеспечения, если он сохранился, и определить, какие данные оно собирало и куда отправляло. Однако атрибуция вредоносной программы конкретному автору или оператору инфраструктуры практически никогда не может быть выполнена на уровне, достаточном для судебного вывода, без международного взаимодействия и доступа к регистрационным данным доменов и серверов. В связи с этим в заключениях Союза «Федерация судебных экспертов» формулировки выводов о виновных лицах строятся с осторожностью: эксперт указывает на технические признаки, которые могут быть соотнесены с определенным кругом лиц, но не подменяет собой орган, уполномоченный устанавливать вину.

Практические кейсы

Кейс 1. Корпоративная почта: правило переадресации как след компрометации

В Союз «Федерация судебных экспертов» обратилась коммерческая организация с заявлением о том, что контрагент получил доступ к переписке, касающейся условий готовящейся сделки. Служба безопасности компании обнаружила в журнале Exchange событие создания правила, перенаправлявшего все письма от финансового директора на внешний адрес. Заказчик не инициировал уголовное дело, поскольку не был уверен в достаточности доказательств, и обратился за независимым исследованием.

Эксперт запросил выгрузку журнала аудита за период, предшествующий инциденту. Анализ показал, что правило было создано в 03:17 по московскому времени, то есть в период, когда офис был закрыт. IP-адрес, с которого была выполнена операция, принадлежал диапазону, не используемому организацией. Сопоставление с журналами VPN и DHCP показало, что этот адрес не выдавался ни одному корпоративному устройству. Далее эксперт исследовал заголовки писем, перенаправленных на внешний адрес. В них сохранилась информация о сервере, принявшем сообщения. Домен внешнего адреса был зарегистрирован за две недели до инцидента, а контактные данные регистранта были скрыты сервисом приватности.

Вывод эксперта содержал констатацию факта несанкционированного создания правила переадресации с внешнего IP-адреса, не принадлежащего организации, и указание на то, что данное действие привело к утечке переписки. Установление конкретного лица, действовавшего с указанного IP-адреса, было признано выходящим за пределы возможностей несудебного исследования без направления запросов провайдеру. Заказчик использовал заключение для внутреннего расследования и последующего урегулирования спора с контрагентом в досудебном порядке. В данном кейсе выявление взлома почты опиралось на журнальные данные, которые сохранились благодаря тому, что администратор не отключил аудит после инцидента.

Кейс 2. Яндекс.Почта: восстановление хронологии по заголовкам сохраненных писем

Заказчик — индивидуальный предприниматель — обнаружил, что его почтовый ящик на Яндекс.Почте используется для рассылки сообщений от его имени партнерам с просьбой перевести оплату по новым реквизитам. Сам предприниматель таких писем не отправлял. Доступ к ящику был восстановлен путем смены пароля через службу поддержки, однако часть переписки была удалена. Обращение в правоохранительные органы заказчик счел нецелесообразным ввиду незначительности суммы, которая не была переведена, но настоял на документальной фиксации инцидента для последующего предъявления партнерам.

Эксперт работал с копией почтового ящика, выгруженной заказчиком в формате mbox до восстановления доступа. В заголовках сохранившихся писем, отправленных злоумышленником, были обнаружены цепочки Received, указывающие на почтовый сервер, не принадлежащий Яндексу. Анализ показал, что отправка осуществлялась через веб-интерфейс, однако IP-адрес, зафиксированный в заголовке, принадлежал хостинг-провайдеру, предоставляющему услуги анонимизации. В одном из писем сохранился уникальный идентификатор сообщения, который позволил эксперту соотнести время отправки с периодом, когда заказчик находился в другом часовом поясе и не мог物理чески осуществлять доступ к ящику. Дополнительно были исследованы метаданные вложения, отправленного злоумышленником: в них сохранилось имя учетной записи, отличное от учетной записи заказчика, и путь к файлу на локальном диске, содержащий имя пользователя.

Вывод эксперта зафиксировал факт отправки сообщений из почтового ящика заказчика в период, когда сам заказчик не мог этого сделать, а также указал на технические признаки, свидетельствующие об использовании стороннего программного обеспечения и инфраструктуры анонимизации. Имя учетной записи, обнаруженное в метаданных, было передано заказчику как ориентирующая информация, однако эксперт прямо указал, что идентификация лица по имени учетной записи без дополнительных данных невозможна. Определение взлома почты в данном случае было достигнуто за счет сохранения заголовков писем, которые заказчик предусмотрительно выгрузил до удаления ящика.

Кейс 3. Корпоративная почта: компрометация через устройство сотрудника

Организация столкнулась с тем, что из почтового ящика руководителя отдела закупок были отправлены письма поставщикам с измененными банковскими реквизитами. Один из поставщиков перевел сумму на указанный счет, после чего средства были обналичены. Руководство приняло решение не обращаться в полицию до завершения внутреннего расследования, для чего был привлечен Союз «Федерация судебных экспертов».

Эксперт начал с исследования рабочего ноутбука сотрудника, с которого, по предварительным данным, осуществлялся доступ к почте. Образ жесткого диска был создан с использованием аппаратного блокировщика записи. В ходе анализа файловой системы были обнаружены следы работы программы удаленного администрирования, установленной за три недели до инцидента. Программа маскировалась под системный процесс и имела настройку автозапуска. Журналы программы, сохранившиеся в скрытом каталоге, содержали записи о подключениях к внешнему серверу в ночное время. Сопоставление времени этих подключений с журналами почтового сервера показало совпадение: сессии удаленного доступа предшествовали отправке мошеннических писем с интервалом в несколько минут.

Далее эксперт проанализировал, каким образом программа удаленного администрирования была установлена. В истории браузера сохранились записи о переходе на сайт, имитирующий страницу обновления корпоративного программного обеспечения, за день до появления программы в системе. Домен сайта был зарегистрирован незадолго до этого и не имел отношения к организации. Таким образом, была восстановлена цепочка: фишинговое письмо или ссылка — переход на поддельный сайт — загрузка и установка вредоносной программы — удаленный доступ к устройству — использование почтового клиента для отправки мошеннических писем. Вывод эксперта содержал описание всей цепочки и указание на то, что компрометация почтового ящика стала следствием компрометации устройства сотрудника. Установление лица, осуществившего подключение к серверу управления, было невозможно без данных провайдера хостинга, однако заказчик получил достаточную базу для дисциплинарного разбирательства и для переговоров с банком о возврате средств. Установление взлома почты здесь было неотделимо от анализа устройства, и это иллюстрирует важность комплексного подхода.

Кейс 4. Mail.ru: анализ активности в условиях утраченных серверных логов

Частное лицо обратилось с заявлением о том, что его почтовый ящик на Mail.ru был использован для рассылки спама его контактам. Заявитель обнаружил проблему, когда ему начали приходить ответы от знакомых с вопросами о странных сообщениях. Пароль был сменен, но заявитель хотел зафиксировать факт взлома для отчета перед работодателем, поскольку использовал этот ящик также для служебной переписки.

К моменту обращения заявитель уже сменил пароль и удалил подозрительные письма из папки «Отправленные». Эксперт столкнулся с ограниченным набором данных: сохранились скриншоты интерфейса, сделанные заявителем до удаления писем, и жалобы получателей спама, которые те переслали заявителю. Анализ скриншотов показал, что тема и текст отправленных сообщений не соответствовали стилю заявителя, а время отправки приходилось на период, когда заявитель спал. В пересланных получателями письмах сохранились полные заголовки, включая IP-адрес отправителя. Эксперт сопоставил этот IP-адрес с диапазонами, обычно используемыми для мобильного доступа, и обнаружил, что он принадлежит оператору, услугами которого заявитель не пользовался. Дополнительно в заголовках присутствовал нестандартный параметр X-Mailer, указавший на почтовый клиент, не установленный на устройствах заявителя.

Вывод эксперта констатировал, что отправка сообщений осуществлялась с использованием инфраструктуры, не связанной с заявителем, и что характеристики сообщений не соответствуют его обычному поведению. Идентификация лица, использовавшего IP-адрес, была признана невозможной в рамках несудебного исследования. Заказчик использовал заключение для информирования работодателя о том, что компрометация его личного ящика не была связана с небрежностью в обращении с корпоративными данными. Данный кейс демонстрирует, что даже при утрате серверных логов выявление взлома почты возможно за счет сохранения заголовков писем у получателей.

Кейс 5. Корпоративная почта: инсайдерская компрометация с использованием легитимных учетных данных

В организации произошла утечка конфиденциальной информации, которая стала известна конкуренту. Служба безопасности заподозрила, что кто-то из сотрудников, имеющих легитимный доступ к почтовому ящику руководителя, передал пароль третьему лицу. Руководство не хотело начинать уголовное преследование без достаточных оснований и обратилось за исследованием.

Эксперт проанализировал журналы почтового сервера за период, предшествующий утечке. Были выявлены сессии, в которых вход в ящик руководителя осуществлялся с IP-адреса, принадлежащего корпоративной сети, но с устройства, не являющегося рабочим компьютером руководителя. Сопоставление с журналами DHCP и данными системы контроля доступа показало, что устройство было подключено к сети в вечернее время, когда руководитель отсутствовал. Далее эксперт исследовал журналы входа в операционную систему на компьютерах сотрудников отдела, имевших физический доступ к офису в указанное время. Один из компьютеров проявлял активность в период, совпадающий с сессией доступа к почтовому ящику. Однако эксперт отметил, что вход в систему мог быть выполнен с использованием учетных данных другого сотрудника, и без анализа дополнительных артефактов, таких как биометрические логи или записи камер, однозначная атрибуция невозможна.

Вывод эксперта указал на то, что доступ к почтовому ящику осуществлялся с устройства, находившегося в корпоративной сети, но не закрепленного за руководителем, и что это устройство, вероятно, было подключено в нерабочее время. Эксперт также отметил, что легитимные учетные данные руководителя могли быть скомпрометированы без его ведома, и рекомендовал провести дополнительную проверку в отношении сотрудников, находившихся в офисе в указанный период. Заказчик использовал заключение для проведения внутреннего аудита и усиления контроля доступа. В этом кейсе определение взлома почты столкнулось с границей между внешним несанкционированным доступом и злоупотреблением полномочиями со стороны инсайдера, и эксперт честно очертил пределы своих возможностей.

Кейс 6. Яндекс.Почта: фиксация факта взлома для суда по гражданскому делу

Заказчик — физическое лицо — готовил иск к бывшему деловому партнеру о взыскании неосновательного обогащения. Партнер утверждал, что указания о переводе средств были направлены заказчиком добровольно. Заказчик же настаивал, что его почтовый ящик на Яндекс.Почте был взломан, а письма с указаниями сфабрикованы. Поскольку гражданский процесс допускает представление заключения специалиста, заказчик обратился в Союз «Федерация судебных экспертов» до подачи иска.

Эксперт исследовал нотариально заверенную выписку из почтового ящика, которая была получена заказчиком до предполагаемого взлома, и копию ящика, выгруженную после инцидента. Сравнение показало, что в период между двумя выгрузками в настройках ящика был изменен резервный адрес электронной почты и добавлен номер телефона, не принадлежащий заказчику. Эти изменения были зафиксированы в уведомлениях, которые Яндекс направил на основной адрес заказчика, но заказчик не обратил на них внимания. Далее эксперт проанализировал заголовки спорных писем, на которые ссылался партнер. В них отсутствовала подпись, которую заказчик обычно добавлял в исходящие сообщения, а идентификатор почтового клиента отличался от того, который заказчик использовал постоянно. Время отправки спорных писем приходилось на период, когда заказчик, согласно данным геолокации его телефона, находился в другом регионе.

Вывод эксперта содержал перечень технических несоответствий, которые в совокупности указывали на то, что спорные письма не были созданы при обычных обстоятельствах работы заказчика с ящиком. Эксперт не формулировал вывода о том, кто именно отправил письма, но указал на признаки, несовместимые с версией о добровольном направлении этих сообщений заказчиком. Заключение было принято судом в качестве письменного доказательства и способствовало назначению судебной экспертизы, которая впоследствии подтвердила выводы специалиста. Данный кейс показывает, как установление взлома почты в несудебном порядке создает основу для последующей процессуальной проверки.

Кейс 7. Корпоративная почта: массовая компрометация ящиков сотрудников

Организация с распределенной структурой обнаружила, что несколько сотрудников одновременно получили фишинговые письма, замаскированные под уведомления от службы безопасности. Несколько человек перешли по ссылке и ввели свои учетные данные. Служба безопасности заблокировала доступ к ящикам, но руководство хотело понять масштаб компрометации и оценить, были ли предприняты какие-либо действия со стороны злоумышленников.

Эксперт проанализировал журналы почтового сервера и выявил, что после ввода учетных данных с внешнего IP-адреса были выполнены входы в три ящика. В двух случаях злоумышленник ограничился созданием правил переадресации, в третьем — изменил пароль и удалил часть переписки. Эксперт сопоставил время входов с временем получения фишинговых писем и установил последовательность, характерную для автоматизированной атаки: рассылка — переход по ссылке — ввод данных — вход в ящик в течение нескольких минут. Анализ домена, на котором располагалась фишинговая страница, показал, что он был зарегистрирован за несколько дней до атаки и использовал сертификат, выданный бесплатным удостоверяющим центром. Эксперт также исследовал, не были ли скомпрометированные ящики использованы для внутренней рассылки: журналы показали, что с одного из них были отправлены сообщения другим сотрудникам с вложением, содержащим вредоносный файл. Однако система антивирусной защиты заблокировала вложение, и дальнейшего распространения не произошло.

Вывод эксперта содержал хронологию атаки, перечень скомпрометированных ящиков и описание действий, выполненных злоумышленником в каждом из них. Заказчик использовал заключение для обязательного информирования регулятора о произошедшем инциденте, а также для корректировки политики безопасности. Выявление взлома почты в этом случае носило характер ретроспективной реконструкции событий, и скорость реакции службы безопасности организации существенно повысила сохранность журналов.

Кейс 8. Mail.ru: спор о факте взлома после увольнения сотрудника

Работодатель обратился с заявлением о том, что уволенный сотрудник, по его мнению, сохранил доступ к корпоративной почте и использовал ее для дискредитации компании. Сотрудник утверждал, что доступ был утрачен им при увольнении, а сообщения, которые ему вменяли, были отправлены неизвестным лицом после взлома. Заказчик хотел получить независимое заключение, поскольку конфликт грозил перерасти в судебное разбирательство.

Эксперт исследовал почтовый ящик, который использовался для корпоративной переписки, но был зарегистрирован на Mail.ru. Журналы сервера организации не содержали информации об этом ящике, поскольку он не входил в корпоративный домен. Эксперт запросил у заказчика все сохранившиеся уведомления от Mail.ru, а также скриншоты, которые делали сотрудники, получавшие спорные письма. Анализ заголовков показал, что отправка осуществлялась через веб-интерфейс, а IP-адрес принадлежал диапазону, закрепленному за оператором связи в регионе, где проживал уволенный сотрудник. Однако эксперт отметил, что этот же оператор обслуживает значительную часть региона, и сам по себе IP-адрес не является доказательством причастности конкретного лица. Дополнительно эксперт исследовал время отправки: спорные письма были отправлены в рабочие часы, когда уволенный сотрудник, согласно предоставленным им документам, находился на новом месте работы в другом офисе. Проверить эту информацию эксперт не мог, но зафиксировал несоответствие между временем отправки и заявленным местонахождением.

Вывод эксперта содержал указание на то, что факт отправки спорных писем из ящика подтверждается, однако технические данные не позволяют однозначно связать отправку с уволенным сотрудником или с иным лицом. Эксперт подчеркнул, что для категоричного вывода необходимы данные оператора связи о принадлежности IP-адреса в конкретное время, которые могут быть получены только по запросу уполномоченного органа. Заказчик использовал заключение для принятия решения об отказе от судебного преследования бывшего сотрудника ввиду недостаточности доказательств. Этот кейс демонстрирует этическую и профессиональную позицию эксперта: отказ от формулирования вывода, не обеспеченного достаточной доказательственной базой.

Кейс 9. Корпоративная почта: анализ метаданных вложения как источник атрибуции

Организация обнаружила, что в почтовый ящик коммерческого директора было доставлено письмо с вложением, содержащим проект договора с измененными условиями оплаты. Письмо выглядело как ответ на предыдущую переписку, но было отправлено с адреса, визуально похожего на адрес партнера. Коммерческий директор не открыл вложение, а передал письмо в службу безопасности. Заказчик обратился в Союз «Федерация судебных экспертов» для установления источника письма.

Эксперт исследовал сохраненное в формате eml письмо. Анализ заголовков показал, что домен отправителя был зарегистрирован за несколько дней до отправки и использовал визуально сходное написание с доменом партнера. В цепочке Received присутствовал IP-адрес, принадлежащий хостинг-провайдеру, известному размещением инфраструктуры для массовых рассылок. Вложение представляло собой документ формата docx. Эксперт извлек метаданные документа и обнаружил, что он был создан на компьютере с именем пользователя, отличным от имени пользователя в предыдущих документах, полученных от партнера. Кроме того, в метаданных сохранилась информация о предыдущем авторе и времени последнего сохранения, которое приходилось на ночное время. Эксперт также отметил, что стиль форматирования документа отличался от стиля, использовавшегося в легитимных документах партнера, хотя это наблюдение носило вспомогательный характер.

Вывод эксперта указал на совокупность признаков, свидетельствующих о том, что письмо и вложение были созданы вне инфраструктуры партнера и с использованием иных программных средств. Идентификация конкретного лица, создавшего документ, была признана невозможной, однако заказчик получил основания для обращения к партнеру с запросом о подтверждении отправки. Партнер подтвердил, что не направлял это письмо, и инцидент был квалифицирован как попытка мошенничества. Определение взлома почты здесь уступило место выявлению подделки, но методологическая основа — анализ заголовков и метаданных — осталась той же.

Кейс 10. Яндекс.Почта: восстановление хронологии по журналам браузера заказчика

Заказчик — сотрудник организации, использовавший личный ящик на Яндекс.Почте для рабочей переписки, — обнаружил, что из его ящика были отправлены письма с просьбой о переводе средств на счет, не имеющий отношения к его деятельности. Заказчик подозревал, что его компьютер был заражен, и обратился за исследованием, чтобы понять, как был осуществлен доступ и какие данные могли быть скомпрометированы.

Эксперт создал образ жесткого диска компьютера заказчика. В ходе анализа истории браузера были обнаружены записи о посещении страницы авторизации Яндекса с необычным параметром, а также о переходе на страницу, имитирующую интерфейс Яндекс.Почты, но расположенную на другом домене. Домен был зарегистрирован за месяц до инцидента. Далее эксперт обнаружил в кэше браузера фрагменты HTML-кода фишинговой страницы, включая форму ввода логина и пароля. Временные метки в истории браузера совпали с временем, когда заказчик, по его словам, получил письмо с просьбой «подтвердить учетную запись». После ввода данных на фишинговой странице браузер заказчика был перенаправлен на легитимный сайт Яндекса, что создало у заказчика впечатление успешного входа. Через несколько дней с его ящика были отправлены мошеннические письма.

Эксперт также проверил, не сохранились ли на компьютере следы вредоносного программного обеспечения, и не обнаружил таковых: компрометация была осуществлена исключительно методом социальной инженерии, без установки программ. Вывод эксперта содержал реконструкцию последовательности событий: получение фишингового письма — переход на поддельную страницу — ввод учетных данных — перенаправление на легитимный ресурс — последующее использование скомпрометированных данных неустановленным лицом. Заказчик использовал заключение для смены всех паролей и для информирования работодателя о причинах инцидента. Установление взлома почты в данном случае было достигнуто за счет локальных артефактов браузера, которые сохранились, несмотря на отсутствие доступа к серверным журналам Яндекса.

Заключение

Проведенный анализ показывает, что установление факта взлома электронной почты и определение круга лиц, причастных к несанкционированному доступу, в условиях отказа от участия правоохранительных органов представляет собой сложную, но в значительной части случаев разрешимую задачу. Ключевым условием успеха является сохранность цифровых следов: журналов почтовых серверов, заголовков сообщений, локальных артефактов устройств, истории браузера. Чем раньше заказчик обращается к эксперту и чем меньше действий по «самостоятельному восстановлению доступа» он предпринимает, тем выше вероятность получения достоверных выводов. Союз «Федерация судебных экспертов» предлагает заказчикам методически выверенный подход, при котором задачи выявления взлома почты и установления взлома почты решаются на основе доступных данных, без иллюзий относительно возможностей несудебного исследования. Там, где выводы о виновных лицах не могут быть сделаны с достаточной степенью достоверности, эксперт обязан указать на это прямо, а не подменять собой органы, наделенные соответствующими полномочиями. Именно такой подход обеспечивает доказательственную ценность заключения и его востребованность в гражданском обороте, корпоративных расследованиях и последующих судебных процедурах.