Введение
Цифровые технологии изменили большинство сфер общественной жизни, и преступность не стала исключением. Аналитики компании IDC прогнозируют, что мировой объём создаваемых и потребляемых данных продолжит стремительный рост и к 2030 году превысит 700 зеттабайт [1]. Сопоставимый масштаб проникновения цифровых технологий в противоправную деятельность отражает и российская статистика: по сведениям Генеральной прокуратуры Российской Федерации, число преступлений, совершённых с использованием информационных технологий, достигло пика в 2024 году (765,4 тыс.), а по итогам 2025 года впервые за несколько лет снизилось – до около 675 тыс. (на 11,8% меньше, чем годом ранее); тенденция сохранилась и в первом полугодии 2026 года – около 253 тыс. зарегистрированных преступлений (на 31,9% меньше, чем за тот же период 2025 года)1. Вместе с тем их доля в общей структуре преступности остаётся высокой – порядка 38%, а причиняемый ущерб и технологическая сложность применяемых схем продолжают расти.
Любое действие в цифровой среде оставляет след. Сведения о лице накапливаются в телекоммуникационных сетях, на серверах интернет-сервисов, в платёжных системах, в памяти устройств Интернета вещей, и объём таких данных велик. Сложность в другом: следы разрознены и слабо структурированы. Проведённое нами анкетирование 57 следователей МВД России показало, что трудность сведе́ния цифровых данных из разных источников в единую картину 67,8% респондентов назвали главным препятствием при расследовании IT-преступлений.
Отсюда вытекает потребность в методике, которая объединяла бы отдельные цифровые следы в связную аналитическую модель поведения подозреваемого. Такую модель мы обозначаем как цифровой поведенческий профиль (далее – ЦПП). За рубежом это направление известно под названием Digital Behavioral Profiling, однако отечественная криминалистика разработала его слабо: единых требований к построению ЦПП не выработано, процессуальное положение получаемых сведений не определено, вопрос об их допустимости в суде не решён.
Настоящая статья ставит целью сформировать теоретическую базу концепции ЦПП и предложить методику его построения. Для этого решаются четыре задачи: дать авторское определение цифрового поведенческого профиля; классифицировать источники данных; изложить трёхмодульную методику формирования профиля; оценить правовые препятствия его применения в уголовном судопроизводстве и предложить поправки в законодательство. Новизна работы в том, что ЦПП впервые описывается как целостный самостоятельный инструмент криминалистики.
Материалы и методы
Исследование опирается на диалектический метод познания. В его рамках задействованы системный анализ – при построении трёхмодульной методики; структурно-функциональное моделирование – при описании связей между её компонентами; сравнительно-правовой метод – при сопоставлении подходов США, Германии, Нидерландов и Великобритании к регулированию алгоритмических доказательств; формально-юридический метод – при разборе норм УПК РФ и ведомственных актов МВД России; статистический метод – при обработке результатов анкетирования.
Эмпирическую основу образуют четыре группы материалов. Первую составили 47 уголовных дел, рассмотренных судами Республики Татарстан, Самарской и Нижегородской областей в 2020-2024 годах по преступлениям в сфере ИКТ: 24 дела о мошенничестве, 11 – о сбыте наркотиков через интернет, 8 – об экстремизме, 4 – прочие. Вторую – данные опроса 57 следователей Следственного департамента МВД России, проведённого в 2023-2024 годах. Третью – аналитические доклады Европола IOCTA за 2025 и 2026 годы и материалы Центра цифровых расследований ФБР США за 2022-2026 годы. Четвёртую – технические стандарты ISO/IEC 27037:2012 и ISO/IEC 27042:2015.
Результаты исследования
1. Авторское определение и структура ЦПП. Проведённый анализ позволяет предложить следующее определение. Цифровой поведенческий профиль – упорядоченная совокупность проверенных сведений о цифровых следах конкретного лица, собранных из разнородных информационно-телекоммуникационных источников и систематизированных с помощью кросс-платформенного корреляционного анализа и методов машинного обучения; такая совокупность даёт возможность установить идентификационные признаки лица, его поведенческие паттерны, круг социальных связей и последовательность действий в цифровой среде для целей раскрытия и расследования преступлений.
Предложенное определение отграничивает ЦПП от близких понятий. В отличие от классического «профиля преступника» (Criminal Profiling), профиль опирается не на психологический прогноз, а только на объективно зафиксированные данные. От «цифрового следа» его отличает интегративность: ЦПП представляет собой не единичный след, а продукт агрегации и упорядочивания множества следов, поступивших из разных систем.
В структуре профиля выделяются три уровня. Идентификационный объединяет учётные данные, аппаратные идентификаторы (MAC, IMEI, IMSI) и биометрические маркеры. Поведенческий охватывает паттерны сетевой активности, временны́е закономерности и коммуникативные связи. Событийный фиксирует конкретные действия лица, сопоставленные с обстоятельствами расследуемого события.
2. Классификация источников данных для формирования ЦПП. Опираясь на следственную практику и технические возможности информационных систем, мы сгруппировали источники данных так, как показано в таблице 1.
Распределение источников по изученным делам оказалось неравномерным. Телекоммуникационные данные фигурировали во всех делах (100%), сведения платёжных систем – в 34 делах (72,3%), материалы OSINT – в 32 (68,1%), данные социальных сетей – в 30 (63,8%), видеозаписи с распознаванием – в 8 (17%), информация с устройств Интернета вещей – лишь в 4 (8,5%). Последняя цифра говорит о недооценке этого источника, тогда как в зарубежной практике записи IoT-устройств не раз становились решающим доказательством2.
3. Трёхмодульная методология формирования ЦПП. Методика построения профиля складывается из трёх модулей.
Модуль I – сбор и агрегация данных (Data Collection & Aggregation). Он включает следственные и оперативно-розыскные мероприятия по получению сведений из всех перечисленных категорий источников. Работа модуля подчинена нескольким принципам: охват должен быть полным, каждое действие – законным, фиксация – своевременной (цифровые следы недолговечны), а целостность данных – подтверждённой криптографически (хеш-функция SHA-256). Практически это означает запросы операторам связи по ст. 186.1 УПК РФ3, выемку и осмотр носителей по правилам ст. 182–183 УПК РФ, обращения в иностранные юрисдикции по каналам MLAT, а также оперативно-розыскные мероприятия «снятие информации с технических каналов связи» и «получение компьютерной информации»4.
Модуль II – кросс-платформенный корреляционный анализ (Cross-Platform Correlation Analysis). Здесь применяются четыре инструмента. Анализ социальных сетей (Social Network Analysis, SNA) вскрывает коммуникативные связи лица и его роль в преступной группе; в делах о мошенничестве он помог установить соучастников в 11 случаях из 24. Анализ временны́х закономерностей (Temporal Pattern Analysis, TPA) обнаруживает устойчивые хроноритмы активности. Геопространственный анализ (Geospatial Analysis, GA) сводит разрозненные сведения о местоположении в общую карту перемещений. Обработка естественного языка (Natural Language Processing, NLP) выявляет особенности идиолекта и связывает псевдонимные аккаунты с их владельцем.
Модуль III – нейросетевая верификация (Neural Network Verification). На этом этапе профиль проверяется ансамблевыми методами машинного обучения (Ensemble Learning): градиентным бустингом, случайным лесом, нейронными сетями с механизмом внимания (Attention-based Neural Networks). Обязательное условие – алгоритмическая объяснимость (Explainable AI, XAI): каждый вывод системы должен сопровождаться отсылкой к исходным данным, на которых он построен. Без этого профиль нельзя проверить в суде, а сторона защиты лишается возможности его оспорить. Требование объяснимости согласуется и с национальной стратегией развития искусственного интеллекта5.
4. Правовые проблемы использования ЦПП в уголовном судопроизводстве. Применение профиля упирается в четыре нерешённых вопроса.
Первый – в перечне доказательств нет такого их вида, как электронные данные. Часть 2 статьи 74 УПК РФ6 среди допустимых доказательств их не называет. На практике алгоритмически полученные сведения приобщают либо как «иные документы» (п. 6 ч. 2 ст. 74 УПК РФ), либо как вещественные доказательства, что не соответствует природе ЦПП – результата аналитической обработки данных.
Второй – неясен статус доказательств, добытых средствами машинного обучения. Нейросетевые модели работают по принципу «чёрного ящика» (Black Box): суд не может проверить их методологию, а защита – предметно оспорить полученный вывод. Показателен спор Loomis v. Wisconsin (2016), где Верховный суд штата Висконсин оценивал конституционность применения системы COMPAS при назначении наказания7.
Третий – почти не урегулирована агрегация данных из разных источников. Порядок получения каждого вида сведений закон описывает, но норм о сведении разнородных данных в единый аналитический продукт не содержит; остаётся открытым вопрос, каким следственным действием оформляется само построение профиля.
Четвёртый – агрегация угрожает правам личности. Соединение отдельных фрагментов данных выводит вмешательство в частную жизнь на новый уровень; в литературе это называют «мозаичным эффектом» (Mosaic Effect). Действующее регулирование обработки персональных данных8 под такую специфику не рассчитано и требует корректировки.
5. Предложения по совершенствованию законодательства. На основе изложенного предлагается ряд изменений.
Во-первых, дополнить ч. 2 ст. 74 УПК РФ пунктом 7: «7) электронные (цифровые) доказательства – любые данные в электронной форме, полученные, хранящиеся или переданные с использованием компьютерных систем, а также результаты их аналитической обработки с использованием автоматизированных информационных систем, если они имеют значение для уголовного дела».
Во-вторых, ввести в УПК РФ статью 164.2 «Особенности получения электронных доказательств», закрепив в ней обязательную криптографическую верификацию данных, порядок удалённой выемки у отечественных и зарубежных провайдеров и требование алгоритмической объяснимости при работе автоматизированных аналитических систем.
В-третьих, издать приказ МВД России об утверждении методических рекомендаций по формированию ЦПП. В них следует определить перечень источников данных, порядок доступа к каждому из них, технические требования к программно-аппаратным средствам и форму протокола с обязательным указанием применённых алгоритмов.
В-четвёртых, установить критерии допустимости алгоритмических доказательств, ориентируясь на американский стандарт Дауберта (Daubert Standard): результат должен быть проверяемым, погрешность метода – известной, а сам метод – признанным в научном сообществе.
Обзор литературы
Отечественная наука обратилась к цифровому следу как объекту криминалистики в конце 1990-х годов. Теорию компьютерно-технической экспертизы существенно продвинули Е.Р. Россинская и Е.И. Галяшина: они классифицировали виды цифровых следов и заложили научную основу их исследования [2]. Проблематику расследования преступлений в сфере компьютерной информации разрабатывал В.А. Мещеряков, приложивший теорию цифровой криминалистики к российской следственной практике [3].
За рубежом фундамент дисциплины составили работы Э. Кейси [4], предложившего модель оценки достоверности цифровых доказательств, и Б. Кэрриера [5], построившего теорию криминалистического анализа файловых систем. Организационным ориентиром долгое время служила модель DFRWS (Digital Forensic Research Workshop, 2001). Все эти построения, однако, рассчитаны прежде всего на работу с уже изъятыми носителями и не затрагивают комплексный поведенческий анализ, ведущийся в реальном времени.
Отдельный пласт зарубежных исследований посвящён большим данным и машинному обучению в правоохранительной сфере. Х. Чен, М. Чау и Я. Ван [6] обобщили методы Crime Data Mining, включая алгоритмы кластеризации и поиска ассоциаций для нужд расследования. К этому примыкает тема выявления мошеннических транзакций средствами нейросетевого анализа, напрямую связанная с задачами построения ЦПП.
Правовую сторону вопроса освещают В.В. Конин и А.А. Давлетов: они констатируют, что в действующем УПК РФ специальных норм об электронных доказательствах нет [7]. К такому же выводу применительно к европейским правопорядкам приходят Б. Шварц и Р. Коэн [8], предупреждая, что алгоритмически непрозрачные системы подрывают состязательность процесса. Обсуждается в доктрине и риск «алгоритмического суверенитета» следователя, когда профессиональное усмотрение вытесняется автоматическими выводами системы.
Складывается характерная картина: технологический инструментарий цифрового анализа развит, правовая доктрина об электронных доказательствах обширна, но связующего теоретико-методологического звена между ними нет. Восполнить этот пробел и призвана концепция ЦПП.
Обсуждение и заключение
Проведённое исследование позволяет сформулировать несколько выводов.
Первый. ЦПП следует рассматривать как новый криминалистический инструмент, главное свойство которого – интегративность. Соединяя данные многих разнородных источников в одну аналитическую конструкцию, профиль даёт о поведении лица в цифровой среде куда более полное представление, чем любой отдельно взятый след.
Второй. Предложенная методика удерживает равновесие между технологической эффективностью и правовой допустимостью результата. Её опорным звеном выступает требование XAI: именно оно открывает возможность судебной проверки профиля и обеспечивает состязательность сторон.
Третий. Практика обнажает разрыв между тем, что умеют системы цифрового анализа, и тем, как это обеспечено нормативно. Правовой вакуум чреват признанием доказательств недопустимыми и не даёт гражданам гарантий от произвольного вторжения в частную жизнь.
Четвёртый. Зарубежный опыт – Директива ЕС 2016/680 и Принципы применения искусственного интеллекта в правосудии, утверждённые Консультативным советом европейских судей [9], – показывает, что при продуманном регулировании алгоритмические инструменты и защита прав личности вполне совместимы.
Дальнейшую работу мы связываем с созданием видовых методик ЦПП-анализа под отдельные категории преступлений, изучением ЦПП как возможного объекта нового рода судебной экспертизы и проработкой вопросов трансграничного получения данных с опорой на нормы международного уголовно-процессуального права.
