Экспертиза подлинности электронной переписки

Фактически эксперт должен был подтвердить подлинность переписки, то есть провести заверение электронной переписки для суда.

• Фиксация и описание носителя.

Эксперт осмотрел диск, зафиксировал его внешний вид, тип и технические характеристики. Далее проверил, какие файлы на нём записаны.

• Проверка хэш-сумм.

Для каждого файла эксперт рассчитал контрольную сумму по алгоритму MD5. Это нужно, чтобы исключить изменения: если файл хотя бы на один байт подделан, хэш уже не совпадёт.

• Изучение писем и вложений.

Эксперт открыл каждое письмо, проверил дату, время, отправителя, получателя, тему и наличие вложений. Например:

• контракт отправлялся 2*.**.2022 в 16:40 от Контакт1 на адрес Контакт2;
• инвойс — 0*.**.2022 от Контакт2 на адрес Контакт1;
• спецификация — 0*.**.2022 также от Контакт2.

• Сравнение с почтовым ящиком (входящая почта)

1. Эксперт зашёл в предоставленный почтовый ящик (через браузер на ноутбуке, с разрешения представителя) и нашёл цепочки писем, отмеченные для экспертизы.
2. Сохранил эти письма из ящика в формате .eml и посчитал для них MD5.
3. Сравнил MD5 файлов с диска и MD5 копий из почтового ящика. Это стандартный шаг при заверении электронных писем: если хэши совпадают, можно говорить о том, что одна копия — точная копия другой.
4. В большинстве проверок значения совпадали. Но эксперт зафиксировал и одно важное расхождение: копия одного письма на диске присутствовала, а аналогичного письма в ящике не оказалось (письмо без темы от **.0*.2022). Это замечание занесено в протокол как потенциальный признак манипуляции и требует оценки судом.

• Анализ заголовков писем.

Заголовки — важнейший источник информации при заверении электронной переписки. Эксперт последовательно разбирал:

• Date (дата/время в заголовке);
• Message-ID, In-Reply-To, References (связь цепочек переписки);
• Received (цепочка серверов, через которые прошло письмо);
• DKIM, SPF, ARC и результаты аутентификации (если есть).

По строкам Received восстанавливали маршрут доставки. Это дало понимание, через какие почтовые сервисы шло письмо и в какие моменты времени.

Использовали результаты DKIM/SPF/ARC (если они присутствовали) как дополнительную проверку того, что письмо прошло аутентификацию на уровне домена отправителя. Если DKIM/SPF «pass», это сильно повышает доверие к записанным заголовкам и к тому, что письмо действительно шло от указанного домена.

• Определение IP-адресов.

Из заголовков удалось извлечь адреса серверов, через которые проходила почта. Например, письмо с инвойсом прошло через сервер Яндекса с IPv6-адресом 2a02:6b8:0:***:… А письмо со спецификацией — через сервер с IPv4-адресом 37.140.190.***. Эти адреса принадлежат компании Yandex LLC, что подтвердило факт отправки через официальный почтовый сервис.

• Проверка на изменения.

Эксперт сравнил письма и вложения между собой и с контрольными значениями. Изменений в содержании контрактов, инвойса и спецификации не выявлено. Но внимание привлёк один момент: письмо от 06.06.2022 без темы в почтовом ящике отсутствовало, хотя в файлах оно было. Это может указывать на возможную фальсификацию.

• Доступ к почтовому ящику отправителя (адрес ***@globexag.ru) предоставить не смогли — он был удалён и резервных копий не было. Без доступа к ящику отправителя нельзя окончательно установить, находилось ли письмо в исходящем ящике отправителя.
• IP-адреса, указанные в заголовках, в большинстве случаев относятся к промежуточным серверам почтового провайдера. По ним нельзя с уверенностью сказать, с какого именно компьютера или сети отправляли сообщение.
• Заголовки теоретически можно подделать, но комбинация данных (цепочка Received, DKIM/SPF, совпадение вложений и копий в ящике получателя) позволяет сделать достаточно надёжные выводы.

• Контракт, инвойс и спецификация действительно отправлялись в указанные даты и с конкретных адресов.
• Вложения совпадают по содержанию, их цифровые отпечатки подтверждают подлинность.
• Изменений в письмах и файлах после отправки не обнаружено.
• Определены IP-адреса серверов, через которые письма прошли.
• Обнаружено расхождение по одному письму, что требует дополнительной оценки судом.

Эксперт дал суду развёрнутые ответы на все вопросы. Заверение электронной переписки подтвердило подлинность большинства писем и позволило использовать их как доказательство. Такой подход исключает споры о том, были ли документы действительно отправлены, и даёт суду объективную основу для решения.