Снимок экрана может стать полезной отправной точкой анализа: он фиксирует вид, который кто-то счёл значимым, и помогает обозначить содержание, требующее проверки. Однако он не является автоматически полной копией сообщения, учётной записи или веб-страницы. Следует определить, что показывает само изображение, какие сведения получены только со слов передающего материал лица и какие дополнительные источники помогут ответить на вопросы.

Изображение показывает выбранный вид

SWGDE описывает снимки экрана как один из способов получения интернет-контента наряду с сохранением в других доступных формах. Значение имеют видимый адрес, время получения и непрерывность представленного материала. Один кадр может не охватывать всю переписку, предыдущую публикацию или элементы страницы за пределами экрана. [1]

Поэтому при описании снимка экрана используйте точные формулировки. Утверждение «на изображении виден такой текст» отличается от утверждения «этот человек отправил сообщение в это время». Второе требует установления дополнительных обстоятельств. Это не означает подозрительности каждого изображения; вывод должен соответствовать тому, что действительно можно проверить.

Метаданные изображения и данные сообщения — разные сведения

Дата в графическом файле может относиться к изображению, а не к моменту отправки показанного сообщения. Аналогично имя файла, присвоенное при копировании, не устанавливает автора переписки. В исследованиях подлинности SWGDE указывает на необходимость рассматривать как видимое содержимое, так и структуру файла и доступные сравнительные материалы. Одного изображения может быть недостаточно для ответа на все вопросы. [2]

Поэтому отдельно подготовьте описание видимого содержимого и описание происхождения. Кто сделал снимок экрана? На каком устройстве? Это полученный файл, фотография другого экрана или изображение, вставленное в документ? Если ответ неизвестен, оставьте сведения неустановленными. Недостающие данные не следует заменять догадками.

Сохраните файл и доступный контекст

Передайте имеющийся файл в том виде, в котором его получили. Собственные отметки, стрелки и обрезку выполняйте на отдельной копии. SWGDE различает сохранение неизменного содержимого материала и установление его происхождения и соответствия заявленному событию. Раздельное описание этих вопросов помогает избежать ситуации, когда аккуратно оформленное вложение принимают за исходный материал. [3]

Если у вас сохраняется законный доступ к источнику, согласуйте возможность сохранения более полного материала. В зависимости от дела могут пригодиться экспорт переписки, исходное сообщение, вложение или сохранённая веб-страница. Не просматривайте чужие учётные записи и не пытайтесь обходить ограничения доступа. Сообщите, какие источники доступны, чтобы заранее определить порядок их использования.

  • Запишите известный адрес страницы или идентификатор переписки.
  • Укажите, охватывают ли изображения всю значимую переписку или её часть.
  • Опишите порядок получения файлов и известные даты.
  • Отметьте копии со своими комментариями как подготовленные материалы.
  • Поясните, какое конкретное утверждение необходимо проверить.

Контрольная сумма не подтверждает реальность изображённого

Контрольная сумма позволяет сравнить содержимое файла с ранее вычисленным значением и проверить, произошло ли изменение. Однако NIST отмечает, что материал мог быть изменён до такой фиксации. Поэтому неизменность с определённого момента не доказывает, что изображение изначально отражало реальное событие в заявленных обстоятельствах. Необходимы также сведения о его происхождении. [4]

Следует заранее разделить три вопроса: что представляет файл, изменился ли он после сохранения и можно ли связать его содержимое с определённым лицом и событием. Каждый может требовать разных материалов. Ответ на один автоматически не разрешает остальные.

Гипотетический пример

У клиента есть снимок переписки, на котором отображается имя контакта «Подрядчик». Он хочет доказать, кто подтвердил изменение цены. Само отображаемое имя ещё не объясняет, как контакт связан с конкретным лицом и как проходили предшествующие договорённости. Дополнительный материал может включать идентификатор собеседника, более полную переписку и исходные вложения. Если их нет, анализ должен ясно обозначить это ограничение, не домысливая контекст.

Источники

Первичные документы; дата обращения: 23.10.2026.

Цифровая криминалистика — направления исследований →