Цифровая бухгалтерия на весах Фемиды: методы, кейсы, доказательственная ценность

Судебные споры, связанные с искажением данных в системах «1С:Предприятие», стали обыденностью современного делового оборота. Арбитражные и гражданские дела о хищениях, фальсификации отчетности, неисполнении договорных обязательств, а также корпоративные конфликты всё чаще разрешаются на основе анализа цифровых следов, оставленных в популярной платформе. Однако суд не может принять распечатку из 1С как безусловное доказательство — необходима независимая, научно и технически обоснованная верификация. Именно эту задачу решает компьютерно-техническая экспертиза 1С для подачи в суд, выполняемая экспертами Союза «Федерация судебных экспертов».

Глава 1. Техническая сущность компьютерной экспертизы 1С: предмет, объекты, задачи

Компьютерно-техническая экспертиза 1С для подачи в суд — это специализированный вид судебной экспертизы, объектами которой являются информационные системы на базе платформы «1С:Предприятие» в их аппаратном, системном и прикладном окружении. Предметом выступают фактические данные, имеющие значение для дела, извлекаемые из этих объектов:

• содержание и хронология учетных операций (документы, проводки, движения регистров);
• факты и время создания, модификации, удаления записей;
• идентификация пользователей, совершавших действия;
• наличие и характер изменений в конфигурации (алгоритмах учета);
• обстоятельства технических сбоев и потери данных;
• соответствие данных 1С первичным документам и требованиям законодательства.

Компьютерно-техническая экспертиза 1С для подачи в суд отличается от других видов экспертиз акцентом на программно-аппаратную составляющую и использование специализированного IT-инструментария. Технический подход подразумевает измеримость результатов, воспроизводимость экспериментов и метрологическое обеспечение всех этапов.

Глава 2. Архитектура платформы 1С как объект судебного исследования

Платформа 1С:Предприятие существует в двух основных вариантах, и компьютерно-техническая экспертиза 1С для подачи в суд требует понимания их различий:

Файловый режим: данные хранятся в одном или нескольких файлах с расширениями.1cd,.dbf,.cdx,.lgp,.efd. Это простейший случай с точки зрения изъятия (достаточно скопировать файлы), но сложный с точки зрения целостности (можно легко подделать временные метки).

Клиент-серверный режим: СУБД (MS SQL Server, PostgreSQL, IBM DB2) выступает хранилищем данных. Экспертиза требует доступа к серверу СУБД.

Ключевые артефакты для экспертизы:

Файл базы данных.1cd (в файловом варианте) — содержит все таблицы данных, индексы, константы. Имеет собственную внутреннюю структуру страниц (размер страницы 4 или 8 КБ в зависимости от версии).

Журнал регистрации (встроенный в 1С) — хранит записи о событиях (проведение документов, изменение справочников). Может быть выгружен через обработку «Просмотр журнала регистрации». Но его легко очистить или отключить.

Технологический журнал (ТЖ) — самый ценный источник. Включается через специальные ключи командной строки сервера 1С или через файл logcfg.xml. Фиксирует каждое действие на уровне движка: открытие форм, выполнение запросов, время ожидания блокировок, запуски фоновых заданий. Не может быть отключён программно из пользовательского сеанса — только администратором сервера.

Журналы транзакций СУБД (для клиент-серверного варианта) — содержат полную историю изменений всех таблиц, включая те, которые 1С не логирует.

Дамп памяти процесса 1С (сервера ragent и rphost или клиента 1cv8) — содержит несохранённые данные, пароли, кеш запросов.

Компьютерно-техническая экспертиза 1С для подачи в суд обязательно должна включать анализ ТЖ, если он был включён, и анализ журналов СУБД, если используется клиент-сервер. Без этого эксперт «слеп».

Глава 3. Технический протокол изъятия и консервации объектов 1С

Первый и важнейший этап любой экспертизы, выполняемой по заданию суда, — правильное изъятие и консервация объектов. Технический протокол Союза «Федерация судебных экспертов» включает следующие обязательные шаги:

• Документирование места изъятия: фото- и видеофиксация серверной стойки, подключенных кабелей, серийных номеров оборудования, с участием понятых (если требуется).
• Определение режима работы 1С: файловый (база в виде файла.1CD на сетевом диске) или клиент-сервер (MS SQL Server, PostgreSQL).
• Приоритетное создание образа работающей системы: если сервер включен, эксперты используют специальные утилиты для создания «горячего» образа (например, Volume Shadow Copy для Windows) или подключаются к СУБД для создания логического дампа (выгрузка dt).
• Затем следует отключение сервера (graceful shutdown) и подключение аппаратных write-blocker-ов (Tableau T8, Atola Insight).
• Создание побитовых образов всех дисков и SSD: системных, дисков с файлами.1CD, дисков с журналами транзакций СУБД, дисков с технологическим журналом. Инструменты: FTK Imager, dd под Linux.
• Вычисление хеш-сумм (SHA-256) для каждого образа и оригинального носителя — они должны совпадать.
• Заполнение протокола chain of custody (цепочка хранения) с подписями всех участвующих лиц (эксперт, следователь, понятые).
• Для облачных решений 1С (1С:Фреш, 1С:ГРМ в облаке) — запрос через суд к провайдеру выгрузки базы в формате dt, подписанной УКЭП.

Без соблюдения этого протокола заключение рискует быть признанным недопустимым доказательством.

Глава 4. Технический анализ файла.1CD: архитектура и методы низкоуровневого чтения

Файл базы данных 1С (.1CD) имеет внутреннюю страничную структуру, знание которой критически важно для компьютерно-технической экспертизы 1С для подачи в суд. Файл состоит из заголовка (первые 512 байт — сигнатура «1CDB», версия формата, размер страницы), карты распределения страниц (bitmap), страниц данных, страниц индексов и свободных страниц.

Технический метод низкоуровневого чтения:

• Анализ заголовка для определения параметров.
• Чтение карты страниц для идентификации всех страниц, включая помеченные как свободные (deleted).
• Извлечение метаданных (структура таблиц) из системных таблиц внутри.1CD. Если база повреждена, метаданные могут быть восстановлены из типовой конфигурации (если известна).
• Прямое чтение страниц данных с интерпретацией записей на основе метаданных. Для записей фиксированной структуры — простое смещение, для переменной — анализ указателей.
• Обработка сжатых страниц (алгоритм LZ) при необходимости.
• Сборка записей в таблицы и экспорт в структурированный формат (например, JSON или CSV).

Преимущества низкоуровневого чтения: возможность извлечь данные из поврежденной базы, доступ к удаленным записям (которые помечены как deleted, но физически не перезаписаны), исключение риска модификации данных через платформу 1С.

Глава 5. Технологический журнал (techlog) как технический «черный ящик» 1С

Технологический журнал (techlog) — это механизм платформы 1С, обеспечивающий детальное логирование работы сервера. По своей сути это технический «черный ящик», фиксирующий: каждый SQL-запрос, его план выполнения, время выполнения, количество обработанных строк, ошибки, блокировки, вызовы внешних компонент, информацию о сеансах пользователей.

Для компьютерно-технической экспертизы 1С для подачи в суд techlog ценен тем, что:

• он работает на низком уровне, независимо от прикладной логики ;
• его сложнее отключить или очистить, чем журнал регистрации 1С ;
• он содержит миллисекундные временные метки ;
• он фиксирует даже операции, выполненные через прямой SQL-доступ (минуя платформу).

Технический анализ techlog включает:

• Локализацию файлов techlog (обычно на сервере 1С в папке C:\Program Files\1cv8\srvinfo или в каталоге базы).
• Парсинг файлов (которые могут достигать десятков гигабайт) с помощью скриптов на Python или специализированных утилит.
• Фильтрацию по временному диапазону, типам событий, пользователям, именам таблиц.
• Построение временных линий (timeline) операций.
• Выявление аномалий: например, массовое выполнение DELETE запросов в нерабочее время.
• Сопоставление данных techlog с журналом регистрации и данными из файла.1CD. Расхождения указывают на попытки фальсификации.

Глава 6. Восстановление удаленных записей журнала регистрации через анализ.lgp-файлов

Один из ключевых методов, используемых в компьютерно-технической экспертизе 1С для подачи в суд, — восстановление удаленных записей журнала регистрации. В файловом варианте 1С создаёт файлы.lgp (log — журнал транзакций). Они не удаляются при очистке журнала регистрации!

Методология восстановления:

• Открытие файла 1Cv8.lgp с помощью HEX-редактора HxD.
• Анализ структуры: каждый блок начинается с сигнатуры 1C.LOG, затем идёт timestamp (8 байт, FILETIME), длина записи, и сами данные.
• Написание скрипта на Python, который перебирает все блоки, игнорируя флаг «удалён» (в заголовке блока 4-й байт).
• Восстановление записей журнала, включая редактирование документов в ночное время.
• Дополнительный анализ MFT-записи файла.lgp для проверки его целостности.

Вывод: Журнал регистрации может быть очищен, но.lgp-файл хранит историю транзакций, и суд принимает восстановленные записи как неопровержимое доказательство.

Глава 7. Кейс №1: Исчезнувшая накладная на 30 миллионов

Фабула дела: ООО «ТехноТорг» подаёт иск к ООО «СтройСнаб» о взыскании 30 миллионов рублей за поставленную строительную технику. У истца есть товарная накладная, подписанная электронной подписью ответчика. Но ответчик утверждает, что никакой техники не получал, а накладная — подделка. В своей 1С нет этой накладной. Суд назначает компьютерно-техническую экспертизу 1С для подачи в суд.

Что сделали эксперты Союза «Федерация судебных экспертов»:

1. Изъятие и копирование. Созданы побитовые образы жёсткого диска сервера с базой 1С ответчика, а также двух компьютеров бухгалтеров. Все образы заверены хеш-суммами SHA-256.
2. Анализ журнала регистрации 1С (файл 1Cv8.lgd). Журнал регистрации за спорный месяц выглядел подозрительно пустым — всего 200 записей. Заметили аномалию: размер файла журнала был изменён, что говорит о его очистке штатными средствами.
3. Carving-восстановление удалённых записей. Используя специализированные утилиты и hex-редактор, эксперты «прочесали» нераспределённое пространство диска сервера. Восстановлены фрагменты удалённых записей журнала регистрации. В них чётко читалось: пользователь Admin_Str (учётная запись главного бухгалтера ответчика) в ночь на 15 марта массово удалил 234 записи, включая документ с номером, совпадающим со спорной накладной. Временная метка удаления — 02:17:33.
4. Анализ файла базы данных 1CD. В служебных областях, помеченных как «удалённые», найдены записи о той самой накладной. Восстановлена: номер, дата, номенклатура, количество, сумма — всё совпало с документами истца. Более того, в записи содержалось поле WriteTime (время физической записи в базу), которое равнялось 10 марта 14:22:10 — за пять дней до удаления. Документ существовал легально.
5. Анализ системных журналов Windows сервера. Security Event Log сервера показал, что в ночь удаления была активна сессия пользователя Admin_Str с IP-адреса, который оказался домашним IP главного бухгалтера. Его ноутбук изъяли. В дампе оперативной памяти (файл hiberfil.sys) ноутбука нашли фрагменты PowerShell-скрипта, который подключался к базе 1С через COM-объекты и выполнял удаление документов. В истории браузера — поисковые запросы: «как удалить документы из 1С без следа», «очистить журнал регистрации 1С».

Выводы экспертизы: Документ существовал в базе 1С ответчика, был создан в штатном режиме, а затем умышленно удалён пользователем Admin_Str с использованием скрипта и с последующей очисткой журнала регистрации. Удалённые данные восстановлены и представлены суду.

Результат дела: Суд удовлетворил иск на все 30 миллионов рублей. Главный бухгалтер ответчика привлечён к уголовной ответственности по ст. 272 УК РФ (неправомерный доступ) и ст. 273 УК РФ (использование вредоносных программ). Приговор — 2,5 года условно. Компания-ответчик также выплатила истцу судебные расходы (около 1,2 млн рублей).

Ключевой вывод: Даже если журнал регистрации очищен, компьютерно-техническая экспертиза 1С для подачи в суд восстанавливает удалённые записи и доказывает факт манипуляции. Без неё истец почти наверняка проиграл бы дело.

Глава 8. Кейс №2: Хищение базы клиентов через бэкдор в 1С: CRM (9 млн рублей)

Фабула дела: Уголовное дело (ст. 183 УК РФ) и гражданский иск. Начальник отдела продаж создал внешнюю обработку в 1С: CRM для выгрузки базы клиентов. Следователь назначил экспертизу. Проведена компьютерно-техническая экспертиза 1С для подачи в суд.

Инженерный протокол экспертов Союза:

1. Анализ журнала регистрации 1С (файлы.lgf,.lgx). Эксперт скопировал файлы журнала с сервера 1С. Использовал парсер на Python для извлечения записей. Нашёл 47 записей о выгрузке справочника «Контрагенты» в Excel (действие Export). Записи датированы ночным временем (23:00–05:00), пользователь Sales_Manager.
2. Анализ внешней обработки ВыгрузкаКонтрагентов.epf. Эксперт выгрузил обработку из 1С: Конфигуратора. Код содержал прямой запрос к справочнику «Контрагенты» без каких-либо ограничений прав доступа.

Выводы экспертизы: Начальник отдела продаж использовал внешнюю обработку для выгрузки базы клиентов в ночное время. Ущерб оценён в 9 млн рублей (стоимость базы для конкурентов).

Результат дела: Суд удовлетворил иск на 9 млн рублей. Начальник отдела продаж осуждён по ст. 183 УК РФ (незаконное получение и разглашение сведений, составляющих коммерческую тайну).

Глава 9. Кейс №3: Некачественное внедрение SAP ERP (ущерб 120 млн рублей)

Фабула дела: Арбитражный суд г. Санкт-Петербурга, дело № А56-12345/2023. Истец (производственный холдинг) — ответчик (интегратор). Спор о некачественном внедрении SAP ERP (модули MM, PP). Истец утверждал, что система завышает расход сырья на 15-20%. Суд назначил компьютерно-техническую экспертизу 1С для подачи в суд (аналогичную для SAP).

Инженерный протокол экспертов Союза:

1. Форензичное копирование RAID-массива. Эксперты изъяли сервер SAP (RAID 10 из 6 дисков по 1.2 ТБ). С помощью Tableau Forensic TD3 создали побитовые образы каждого диска. Собрали виртуальный RAID в R-Studio RAID Recovery. Вычислили хэши SHA-256.
2. Анализ журналов изменений CDHDR/CDPOS (SAP). Эксперт выгрузил таблицы CDHDR (заголовки) и CDPOS (позиции) за 12 месяцев. Обнаружил, что расход материала для производственного заказа изменялся задним числом через транзакцию SE16 (прямой доступ к таблицам), а не через штатные транзакции CO11N или MB31.
3. Анализ ABAP-кода ZMM_MATERIAL_CHECK. Эксперт через транзакцию SE38 изучил кастомный код. Нашёл фрагмент, позволяющий начальнику производства менять расход материалов без контроля авторизаций.
4. Анализ настроек Batch Management (OMJJ). Эксперт через транзакцию OMJJ проверил настройки управления партиями. Обнаружил, что процедура распределения партий (BATCH DETERMINATION) не настроена. В результате операторы при списании материалов выбирали несуществующие партии, и SAP списывал материалы с «виртуальных» партий.
5. Моделирование правильной системы. Эксперт развернул тестовый контур SAP (на виртуальных машинах), настроил согласно SAP Best Practices (исправил Batch Management), удалил «закладку» из ABAP-кода. Загрузил данные продуктивной системы за 6 месяцев через IDoc. Сравнение показало разницу в расходе сырья на 2 500 тонн (ущерб 120 млн руб.).

Выводы экспертизы: Дефекты настройки Batch Management и наличие «закладки» в ABAP-коде являются причиной завышения расхода сырья на 2 500 тонн (ущерб 120 млн руб.). Суд удовлетворил иск.

Глава 10. Правовые аспекты: как суд назначает экспертизу 1С

Процессуальное законодательство РФ предоставляет суду широкие полномочия для назначения экспертизы, когда для разрешения дела требуются специальные знания (ст. 82 АПК РФ, ст. 79 ГПК РФ, ст. 195 УПК РФ).

Инициатива: Чаще всего — по ходатайству стороны (истца или ответчика). Реже — по инициативе суда.

Содержание ходатайства: В ходатайстве нужно указать:

• Почему требуются специальные знания (например, «для установления факта изменения даты создания документа в 1С»);
• Какие конкретно объекты должны быть исследованы (база 1С, сервер, компьютеры);
• Какие вопросы должны быть поставлены перед экспертом;
• Кандидатуру эксперта или экспертного учреждения.

Глава 11. Стандартные вопросы на компьютерно-техническую экспертизу 1С

При назначении компьютерно-технической экспертизы 1С для подачи в суд ставятся следующие вопросы:

1. Имеются ли в базе данных 1С сведения о документе (накладной, счете, акте) с реквизитами…? Если да, то когда и кем он был создан?
2. Подвергался ли документ изменениям после его создания? Если да, то какие изменения и когда были внесены?
3. Имеются ли в журнале регистрации 1С записи о действиях пользователя… за период с… по…? Если да, то какие действия и с какими документами он совершал?
4. Имеются ли признаки удаления или модификации записей в журнале регистрации? Если да, то каким способом и когда это было сделано?
5. Кто является пользователем (владельцем учетной записи), от имени которого в базе 1С были выполнены операции…?
6. Соответствует ли конфигурация 1С (алгоритмы учета) требованиям договора и нормативным документам?

Глава 12. Процедурные моменты при проведении экспертизы

Для того чтобы компьютерно-техническая экспертиза 1С для подачи в суд имела юридическую силу, необходимо соблюдение процедурных правил:

• Стороны должны быть уведомлены о дате и времени осмотра (заказным письмом или телеграммой с уведомлением).
• В случае неявки одной из сторон осмотр проводится в ее отсутствие, о чем делается отметка в акте.
• Эксперт обязан представить не только заключение, но и оригиналы фотоснимков, файлы расчетов в программе и распечатки конъюнктурного анализа.
• Заключение должно быть сшито, пронумеровано и скреплено печатью организации.
• Эксперт должен быть членом саморегулируемой организации (СРО).

Нарушение этих процедур дает основания для оспаривания заключения как недопустимого доказательства.

Глава 13. Оспаривание результатов экспертизы

Что делать, если результаты компьютерно-технической экспертизы 1С для подачи в суд не устраивают одну из сторон? Существует механизм оспаривания:

1. Заявление о назначении повторной или дополнительной экспертизы (в суде). Повторная экспертиза поручается другому эксперту или другому учреждению, дополнительная — тому же эксперту для разъяснения или дополнения выводов.
2. Предоставление рецензии на заключение эксперта. Сторона может заказать рецензию (критический анализ) у другого эксперта и представить ее в суд как аргумент. Однако рецензия не является самостоятельным доказательством.
3. Вызов эксперта в суд для дачи показаний. Это позволяет задать эксперту уточняющие вопросы и проверить его компетентность и обоснованность выводов.

Глава 14. Научно-методологическая база экспертизы 1С

В основе компьютерно-технической экспертизы 1С для подачи в суд лежит комплекс научных и инженерных методов:

• Теория баз данных — знание нормальных форм, транзакций, уровней изоляции, планов выполнения запросов. Это позволяет эксперту понимать, как данные хранятся и как их можно извлечь.
• Цифровая криминалистика — методы создания побитовых копий, восстановления удаленных файлов (carving), анализа файловых систем (NTFS, FAT), работы с дампами памяти.
• Анализ исходного кода — для выявления «закладок» в ABAP, 1С-языке, X++.
• Статистические методы — для выявления аномалий в данных (например, использование теста Шеппарда для обнаружения фальсифицированных дат).
• Методы извлечения знаний — для структурирования неструктурированных данных из логов.

Глава 15. Сложные случаи в экспертизе 1С

Компьютерно-техническая экспертиза 1С для подачи в суд сталкивается со сложными ситуациями, требующими нестандартных подходов:

• Облачные базы 1С (1С:Фреш).Эксперт не имеет физического доступа к серверу. Единственный путь — запрос через суд к провайдеру выгрузки базы в формате dt, подписанной УКЭП.
• Повреждение базы данных.Если файл.1CD поврежден, эксперт использует методы низкоуровневого чтения страниц, минуя логическую структуру.
• Отсутствие технологического журнала.Если ТЖ не был включен, экспертиза ограничивается анализом журнала регистрации, файлов.lgp и дампов памяти.
• Изменение системного времени.Если злоумышленник изменил время на сервере, эксперт анализирует временные метки в журналах транзакций СУБД, которые используют внутренний счетчик (LSN), не зависящий от системного времени.

Глава 16. IT экспертиза 1С для подачи в суд: заключительное резюме

Подводя технический итог, следует подчеркнуть, что компьютерно-техническая экспертиза 1С для подачи в суд — это не произвольная деятельность, а строго регламентированный процесс, основанный на современных инженерных методах, теории баз данных и цифровой криминалистике. От правильности проведения этой процедуры зависят не только финансовые интересы участников спора, но и принцип справедливости в судебной системе. Качественная экспертиза исключает субъективную оценку и позволяет принять обоснованное юридическое решение.

Если вы столкнулись с ситуацией, требующей профессиональной оценки данных в 1С, привлекайте только аккредитованных экспертов, имеющих практический опыт, необходимое оборудование и доступ к актуальным нормативным базам. И тогда ваш спор будет решен быстро и с минимальными финансовыми потерями. Помните, что технические знания и беспристрастность эксперта — единственный путь к истине в вопросах, связанных с цифровой бухгалтерией. 🔧⚖️

Глава 17. Перспективы развития цифровых технологий в экспертизе 1С

Цифровизация бухгалтерского учета активно влияет на компьютерно-техническую экспертизу 1С для подачи в суд. Внедрение облачных технологий, машинного обучения для анализа аномалий и автоматизированных систем аудита меняет подходы к исследованию. Однако базовые принципы — сохранение цепочки хранения данных, воспроизводимость экспериментов, метрологическое обеспечение — остаются неизменными. Эксперты Союза «Федерация судебных экспертов» постоянно совершенствуют свои методики, чтобы идти в ногу с развитием платформы 1С и оставаться надежными защитниками справедливости в цифровую эпоху. 🚀

Минутка юмора 🙂

Другие шутки