← Вопросы экспертам

Экспертиза переписки в мессенджере

Ольга
4 месяца назад

Экспертиза переписки в мессенджере

С уважением,

1 Answers
Stanislav
Staff 4 месяца назад

Здравствуйте.
Рады приветствовать вас на сайте Союз «Федерация судебных экспертов».
Переписка в мессенджерах (WhatsApp, Telegram, Viber, Signal и др.) всё чаще становится доказательством в судах по гражданским, арбитражным и даже уголовным делам. Основные задачи: установить, что переписка действительно велась между конкретными лицами в конкретный период, что сообщения не были подделаны (фотошоп, редактирование, подмена номеров), а также восстановить удалённую переписку. Отвечаем на все вопросы.
1. Стоимость?
Стоимость зависит от объёма переписки (количество сообщений, файлов, период времени), типа мессенджера, необходимости извлечения данных с телефона (физический доступ к устройству) и сложности форматирования результатов. Базовая экспертиза переписки в мессенджере (визуальный анализ скриншотов на предмет признаков монтажа, составление текстовой расшифровки переписки в виде таблицы, подготовка письменного заключения без извлечения данных с устройства) стоит от 18 000 до 25 000 ₽ для переписки объёмом до 500 сообщений. Расширенная экспертиза переписки в мессенджере (извлечение данных с телефона заказчика или ответчика с помощью программного обеспечения (UFED, Oxygen Forensic, Belkasoft), создание образа памяти мессенджера, анализ метаданных (время отправки, IP-адреса, идентификаторы устройств), восстановление удалённых сообщений) стоит от 35 000 до 60 000 ₽. Полная экспертиза переписки в мессенджере (сравнительный анализ переписки на двух и более устройствах, проверка цепочки сертификатов на предмет аутентичности, детальный анализ логов работы мессенджера, подготовка заключения с видеофиксацией процесса извлечения) – от 65 000 до 110 000 ₽. Выезд эксперта к заказчику для извлечения данных с ноутбука/телефона (в пределах Москвы) – дополнительно 5 000 – 8 000 ₽.
2. Сроки?
Стандартный срок — 5-10 рабочих дней. Анализ скриншотов и расшифровка – 2-4 дня. Извлечение данных с телефона (логическое извлечение) – 1-2 дня. Глубокое извлечение (физическое, с обходом блокировки) – до 5 дней. Оформление заключения – 2-3 дня. Ускоренная экспертиза переписки в мессенджере (только анализ скриншотов без извлечения с телефона) возможна за 2-3 дня с коэффициентом 1,5.
3. Какие документы необходимы?
Для проведения потребуется:

  • Скриншоты переписки (в формате PNG, TIFF или JPG высокого разрешения) с отображением даты, времени, имени/номера собеседника. Скриншоты должны быть сделаны на одном устройстве подряд, без перерывов. Желательно представить видеоэкран (запись экрана телефона с листанием диалога) – это сложнее подделать.
  • Доступ к устройству (смартфон, планшет, компьютер), если требуется извлечение оригинальных файлов мессенджера (база данных). Если устройство принадлежит не вам, нужно согласие владельца или определение суда.
  • Логины и пароли от учётной записи мессенджера (чтобы эксперт мог авторизоваться и выгрузить чаты через официальные инструменты — например, Telegram Desktop имеет экспорт).
  • Документ, удостоверяющий личность (паспорт) для подтверждения, что аккаунт действительно принадлежит вам (привязка к номеру телефона).
  • Справка от оператора связи (по запросу суда) о принадлежности номера телефона конкретному лицу – для идентификации собеседника, если это оспаривается.
  • Ходатайство суда или адвокатский запрос (для извлечения данных с телефона ответчика без его согласия).

Важно: экспертиза переписки в мессенджере не может быть проведена только по скриншотам, если другая сторона их оспаривает. Нужно извлекать оригинальные базы данных (SQLite). Скриншоты – лишь вспомогательный материал.
4. Как провести? (алгоритм)

  1. Заключается договор. Вы предоставляете материалы (скриншоты, доступ к устройству, учётные данные).
  2. Предварительная проверка подлинности скриншотов (если назначалась только эта стадия):

    • Эсперт анализирует метаданные файлов: камера-сделано или создано в редакторе (Exif, дата создания).
    • Проверяет одинаковый ли шрифт, тени, цвета на всех скриншотах (признак фальсификации).
    • Увеличивает подозрительные места: обрезанные пиксели, артефакты вставки текста.
  3. Извлечение данных с устройства (логическое):

    • Устанавливается программное обеспечение (например, Belkasoft X, Oxygen Forensic Detective, Cellebrite UFED, Elcomsoft Phone Breaker) на защищённый компьютер эксперта.
    • Телефон подключается по USB, создаётся резервная копия (через iTunes или Android Backup).
    • Из резервной копии извлекаются базы данных мессенджера (для WhatsApp – msgstore.db.crypt12, для Telegram – telegram.sqlite и Cache4.db, для Viber – viber.db).
    • Расшифровка баз данных (для WhatsApp – нужен ключ, находится на устройстве или из облака, для Telegram – ключи шифрования могут быть на устройстве).
    • Экспорт сообщений в удобочитаемый формат (XLSX, HTML, PDF).
  4. Глубокое (физическое) извлечение, если логическое невозможно (телефон заблокирован, мессенджер использует end-to-end шифрование без резервных копий):

    • Используется загрузчик тестовой прошивки (bootloader) или джиг-разблокировка (для старых Android), либо (для iOS) – извлечение из файла-образа устройства (не всегда доступно).
    • Обычно это требует расфиксации телефона на несколько часов, стоит дороже и не всегда успешно.
  5. Анализ метаданных сообщений:

    • Проверка временных меток (timestamp) – совпадают ли они с заявленными? Если сообщение якобы отправлено 15 марта в 14:00, а в базе данных 15 марта в 14:05 – вероятна подделка скриншота.
    • Проверка идентификаторов устройств (device ID) – все ли сообщения от одного устройства или подмешаны чужие (признак взлома).
    • Для Telegram – проверка цепочки сертификатов истории чата (свойство безопасности).
  6. Восстановление удалённых сообщений:

    • При физическом извлечении и анализе незанятых фрагментов памяти (unallocated space) можно восстановить сообщения, которые были удалены, но не перезаписаны. Успех зависит от времени с момента удаления и активностью использования телефона.
  7. Сравнительный анализ с эталоном (если есть доступ к устройству собеседника):

    • Если вторая сторона добровольно предоставляет свой телефон, эксперт извлекает его переписку и сравнивает обе базы данных – должны совпадать (одни и те же сообщения у обоих). Если расходятся – кто-то подделал.
  8. Составление заключения с ответами на вопросы суда (обычно: подлинны ли сообщения, кому принадлежат аккаунты, были ли они изменены, можно ли восстановить удалённое). К заключению прилагаются расшифровка переписки (в виде таблицы) и, при необходимости, CD с выгруженными базами данных.

5. Какие трудности могут возникнуть?

  • Трудность первая (end-to-end шифрование без доступа к устройству). Telegram (секретные чаты), Signal и WhatsApp (по умолчанию) используют сквозное шифрование. Без физического доступа к телефону отправителя или получателя расшифровать переписку невозможно. Даже по запросу суда провайдер (Meta, Telegram) не выдаст содержимое, так как у него нет ключей. Экспертиза переписки в мессенджере может быть проведена только при наличии телефона хотя бы одной из сторон.
  • Трудность вторая (устаревшие backups). Если владелец телефона удалил диалог, а резервная копия в iCloud/Google Drive не обновлялась, восстановить нечего. Эксперт может только констатировать факт, что «в данном устройстве на момент осмотра переписка отсутствует».
  • Трудность третья (подделка скриншотов с помощью инспектора элементов). На компьютере можно изменить текст сообщения в браузере через F12 (инструменты разработчика) и сделать скриншот, который выглядит как настоящий. Эксперт отличает такие скриншоты по отсутствию «нативной» отрисовки (например, нет возможности прокрутки, не совпадает разрешение экрана). Но если сделать качественно – спор остаётся. Только извлечение базы данных даёт истину.
  • Трудность четвёртая (изменения в базах данных после удаления). Некоторые приложения (например, WhatsApp) после удаления сообщения физически затирают базу данных, восстановление невозможно. Другие (Telegram, стандартные SMS) хранят удалённые записи до перезаписи. Успех – 50/50.
  • Трудность пятая (юридическая: недопустимость доказательства). Даже если эксперт докажет подлинность переписки, суд может не принять её, если не подтверждено, что аккаунт принадлежит именно ответчику (например, номер телефона мог использоваться другим лицом). Эксперт запрашивает у оператора связи детализацию звонков и привязку номера, но операторы не всегда хранят данные за давний период.

6. Где провести в Москве?
Лаборатория цифровой криминалистики находится на юге Москвы (м. Технопарк / Автозаводская). Выезд эксперта для извлечения данных с вашего устройства возможен по Москве (в пределах МКАД – 5 000 ₽). Вы можете также привезти телефон/планшет/ноутбук лично в наш офис (центральный округ, адрес на сайте) по предварительной записи. Дистанционное извлечение (удалённое подключение) не производится из соображений безопасности и целостности доказательств. Принимаем на исследование устройства под управлением Android (4.4+), iOS (10+), Windows, macOS. Приветствуется принесённое зарядное устройство и знание пароля экрана/пароля от учётной записи.
7. Общие правила и процедура проведения
Нормативная база:

  • Федеральный закон № 73-ФЗ – общие положения о судебной экспертизе.
  • Приказ Минкомсвязи № 171 «Об утверждении требований к порядку удостоверения подлинности электронных сообщений» (непрямое действие).
  • Методические рекомендации по производству компьютерно-технических экспертиз (для экспертных учреждений).
  • Международный стандарт ISO 27037 «Сбор и анализ цифровых доказательств» (в адаптации).

Процедура пошагово (расширенная):

  1. Осмотр упаковки устройства (фиксация признаков вскрытия). Если телефон привёз заказчик – составляется акт приёма-передачи.
  2. Создание образа памяти телефона (физического или логического) с помощью write-blocker (аппаратного блокиратора записи). Это предотвращает случайную модификацию данных.
  3. Хэширование образа (расчёт контрольной суммы SHA-256). Хэш вносится в протокол – для доказательства неизменности.
  4. Извлечение и расшифровка БД мессенджера:

    • WhatsApp: файл msgstore.db.crypt12 расшифровывается с помощью ключа, который находится в папке /data/data/com.whatsapp/. Скопировать его можно только на root-доступе (требуется ли взлом?). Мы используем программный метод через резервную копию Google Drive, если телефон не рутирован.
    • Telegram: база данных telegram.sqlite (часто не зашифрована на уровне файлов, но это зависит от версии). Для секретных чатов – access невозможен без ключа самого пользователя (хранится на устройстве).
    • Viber: база viber.db, ключ шифрования в каталоге приложения, требует root или jailbreak.
  5. Анализ БД SQLite (экспортируем в MS SQL или Python):

    • Таблица messages содержит поля: text, from_me, timestamp, status (delivered, read).
    • Проверка на разрывы (gap analysis): если удалялось большое количество сообщений подряд – видно по пропущенным ID.
  6. Мониторинг цепочки сохранения IP-адресов (для WhatsApp и Telegram, частично). Если эксперт увидит, что сообщения отправлялись из разных стран или с разных MAC-адресов – возможно, аккаунт был взломан.
  7. Формирование расшифровки в виде таблицы (номер сообщения, дата и время, отправитель (Имя + номер), текст сообщения, приложения (фото, видео). Таблица подписывается экспертом.
  8. Оформление заключения:

    • Выводы о подлинности переписки (соответствие базе данных).
    • Факт восстановления удалённых сообщений (если удачно) с цитатами.
    • Сведения о невозможности подделки (при условии извлечения с телефона).

Пример вывода (благоприятный для вас):

«На основании извлечения и анализа оригинальной базы данных мессенджера WhatsApp из памяти телефона (IMEI …), принадлежащего заявителю, установлено, что переписка между номерами +7XXX и +7YYY в период с 01.01.2024 по 15.03.2024 соответствует предоставленным заявителем скриншотам. Модификация текста или дат сообщений отсутствует. Признаков использования средств компьютерного монтажа при создании скриншотов не выявлено. Следовательно, экспертиза переписки в мессенджере подтверждает её достоверность и юридическую значимость как доказательства».

Важное предупреждение: экспертиза переписки в мессенджере не может устанавливать, что сообщение отправлено именно тем человеком, чьё фото стоит в профиле. Эксперт может только указать, что сообщение отправлено с конкретного устройства, зарегистрированного на конкретный номер телефона (по SIM-карте). Если вы считаете, что собеседник передал свой телефон другому лицу – это поле для других доказательств (показания свидетелей).
Совет при подготовке к суду: Зафиксируйте переписку нотариально (осмотр нотариусом экрана телефона) до того, как другая сторона успеет удалить сообщения. Нотариальный протокол значительно повышает шансы принятия скриншотов без технической экспертизы. Если же нотариус сомневается – тогда заказывайте нашу экспертизу.
Мы ответили на все вопросы: стоимость (18 000 – 110 000 ₽ в зависимости от объёма и необходимости извлечения данных с устройства), сроки (5-10 рабочих дней, срочно за 2-3 дня), документы (скриншоты, доступ к устройству, учётные данные), процедуру (извлечение базы данных мессенджера, анализ метаданных, восстановление удалённых сообщений, сравнительный анализ), трудности (end-to-end шифрование без доступа к устройству, отсутствие резервных копий, подделка скриншотов через инспектор элементов, удалённые данные), место проведения в Москве (лаборатория на юге, возможен выезд к клиенту).
За подробной и точной консультацией приглашаем вас в наш офис Союз «Федерация судебных экспертов», адрес которого указан на https://lingex.ru/contacts