Мошеннический банковский перевод: какие доказательства сохранить

При мошенническом или несанкционированном банковском переводе нужно сохранить не только скриншот операции. Для технического исследования важны сведения об устройстве, входах в приложение, уведомлениях, звонках, переписке и последовательности действий пользователя.

Что считается мошенническим банковским переводом

В бытовой речи мошенническим называют любой перевод, после которого деньги оказались у злоумышленника. С технической точки зрения ситуации различаются. Операцию могли выполнить после получения доступа к личному кабинету, с зараженного смартфона, через удаленное управление либо сам клиент мог подтвердить перевод под воздействием обмана.

Это различие важно для исследования. Эксперт не решает, кто несет юридическую ответственность, но может установить технические обстоятельства: какие программы были установлены, когда происходили входы, какие уведомления поступали, сохранились ли следы удаленного доступа и соответствует ли временная последовательность заявленной версии событий.

Что нужно сделать сразу после обнаружения перевода

1. Сообщить в банк. Используйте официальный номер из приложения, с карты или сайта банка. Попросите зарегистрировать обращение и уточните возможность приостановки операции.
2. Обратиться в полицию. Сохраните талон-уведомление, номер заявления и копии переданных материалов.
3. Зафиксировать время. Запишите, когда обнаружен перевод, когда поступил звонок или сообщение, когда изменился доступ к приложению и когда вы связались с банком.
4. Не удалять данные. Не стирайте переписку, SMS, журнал вызовов, банковское приложение и подозрительные программы до консультации со специалистом.
5. Ограничить дальнейший ущерб. Блокировку карт и учетных записей проводите по инструкциям банка, отдельно записывая время и способ каждого действия.

Какие материалы сохранить для исследования

Комплект зависит от сценария, но обычно полезны следующие источники:

• банковская выписка с датой, временем, суммой, назначением и реквизитами операции;
• уведомления банка в приложении, SMS и электронной почте;
• история входов и сведения о подключенных устройствах, если они доступны клиенту;
• переписка с предполагаемым злоумышленником в мессенджере, по почте или в социальной сети;
• журнал входящих и исходящих звонков, номера телефонов и аудиозаписи разговоров;
• сам смартфон, планшет или компьютер, с которого использовался интернет-банк;
• установочные файлы и сведения о программах удаленного доступа;
• обращения в банк, ответы службы поддержки и уведомления об изменении настроек;
• фотографии экрана банкомата или терминала, чеки и видеозаписи, если операция связана с наличными;
• документы по корпоративной сети: журналы VPN, почты, прокси-сервера, антивируса и контроллера домена.

Почему одних скриншотов недостаточно

Скриншот удобен для первичного обращения, но он показывает только изображение экрана. По нему обычно нельзя достоверно определить происхождение данных, проверить полноту переписки, установить историю изменения файла или подтвердить, что изображение получено именно с указанного устройства.

Более информативны исходные сообщения, выгрузки, журналы событий и само устройство. Для файлов рассчитывают контрольные хеш-суммы. Они позволяют подтвердить, что исследуемая копия не изменилась после получения. Порядок передачи материалов также фиксируют: кто, когда и на каком носителе получил данные.

Что можно обнаружить на смартфоне

При исследовании мобильного устройства специалист проверяет состав приложений, разрешения, даты установки и обновления, сведения об учетных записях, историю браузера, загрузки и системные события. В зависимости от модели устройства и состояния данных могут сохраниться следы подключения программ удаленного доступа, открытия подозрительных ссылок или получения файлов.

Наличие программы само по себе еще не доказывает конкретный перевод. Важна временная корреляция: совпадают ли установка и запуск приложения со звонками, входом в банк, изменением лимитов и проведением операции. Поэтому точное время событий имеет особую ценность.

Что исследуют в банковском и корпоративном контуре

Часть сведений находится не у клиента, а у банка, оператора связи, почтового сервиса или работодателя. В споре могут иметь значение журналы аутентификации, IP-адреса, идентификаторы устройств, способ подтверждения операции, изменение контактных данных, создание шаблона перевода и срабатывание антифрод-правил.

Для юридического лица дополнительно проверяют корпоративную почту, рабочую станцию бухгалтера, систему дистанционного банковского обслуживания, VPN и средства защиты. Если переводу предшествовало письмо с подмененными реквизитами, полезно исследовать заголовки сообщения и события почтового сервера. Подробнее об этом рассказано в материале о взломе корпоративной почты.

Какие вопросы можно поставить перед экспертом

Формулировки зависят от обстоятельств и доступных объектов. Вопросы должны относиться к техническим фактам, а не к правовой оценке. Например:

• имеются ли на устройстве следы установки и использования программ удаленного доступа;
• содержатся ли в памяти устройства сообщения, уведомления или иные сведения, относящиеся к спорной операции;
• когда были созданы, получены или изменены исследуемые файлы и сообщения;
• имеются ли признаки изменения представленных электронных материалов;
• какая последовательность цифровых событий предшествовала банковскому переводу;
• содержат ли представленные журналы признаки входа с нового устройства или сетевого адреса.

Перед назначением исследования полезно показать специалисту имеющиеся материалы. Это помогает исключить вопросы, на которые невозможно ответить по представленным данным, и определить, какие сведения следует запросить дополнительно.

Как передать телефон или компьютер

Не продолжайте активно пользоваться устройством без необходимости: новые файлы и обновления могут перезаписывать удаленные данные. Не устанавливайте программы для самостоятельного восстановления и не передавайте устройство случайным сервисам. Если телефон включен, режим его хранения выбирают с учетом риска удаленного стирания и необходимости сохранить текущее состояние.

При передаче фиксируют модель, серийный номер, внешнее состояние, дату и время. Носитель упаковывают, а все действия отражают в акте или расписке. Для корпоративных систем вместо изъятия рабочего сервера часто создают криминалистическую копию и отдельно выгружают журналы.

Чем поможет компьютерно-техническая экспертиза

Компьютерно-техническая экспертиза позволяет исследовать устройства, программы и электронные данные. При сетевом инциденте может потребоваться компьютерно-сетевая экспертиза, а для смартфона - извлечение и анализ мобильных данных.

Результат исследования зависит от сохранности исходных объектов и полноты материалов. Экспертиза не гарантирует возврат денег и не заменяет обращение в банк или полицию, но может помочь установить проверяемые технические обстоятельства и оформить выводы для представления в суд или следственные органы.

Краткий чек-лист

1. Немедленно уведомите банк и зарегистрируйте обращение.
2. Подайте заявление в полицию.
3. Запишите точное время звонков, сообщений, входов и перевода.
4. Сохраните выписку, уведомления, переписку и журнал вызовов.
5. Не сбрасывайте и не очищайте устройство.
6. Получите консультацию о правильном копировании цифровых данных.
7. Передавайте объекты с фиксацией состояния и контрольных хеш-сумм.

Частые вопросы

Можно ли исследовать телефон после удаления переписки?

Иногда часть сведений сохраняется в базе приложения, резервной копии, уведомлениях или связанных системах. Возможность восстановления зависит от устройства, приложения, шифрования и последующего использования телефона.

Нужно ли отдавать эксперту оригинал смартфона?

Для полноценного исследования оригинальное устройство часто необходимо. В отдельных случаях достаточно корректно созданной копии или выгрузки, но это определяется после оценки задачи и доступных материалов.

Может ли эксперт установить конкретного мошенника?

Эксперт устанавливает технические факты в пределах представленных объектов. Идентификация лица обычно требует данных банков, операторов и интернет-сервисов, которые получают уполномоченные органы в установленном порядке.

Стоит ли самостоятельно делать резервную копию?

Обычная резервная копия полезна не во всех случаях и может изменить состояние устройства. До активных действий лучше уточнить, какой способ сохранения подходит для конкретной модели и задачи.