Судебная · 2014 · № 1069

Экспертиза электронной почты: как по заголовкам устанавливали подлинность писем и подмену отправителя

Сторона ссылалась на e-mail как на доказательство отправки документов, оппонент заявлял о подделке письма и подмене отправителя. Нужно было проверить подлинность.

Суть спора

Сторона ссылалась на электронное письмо как на доказательство своевременной отправки документов. Оппонент заявлял о подделке письма и подмене отправителя.

В договорном споре одна из сторон ссылалась на электронное письмо как на доказательство своевременной отправки документов контрагенту. Противоположная сторона утверждала, что письмо она не получала, а представленный e-mail сфальсифицирован: адрес отправителя подменён, заголовки сформированы вручную, а дата отправки не соответствует действительности.

Электронное письмо в виде распечатки или скриншота само по себе является слабым доказательством: тело письма и видимые поля легко изменить. Однако письмо несёт технические заголовки и результаты серверных проверок, которые поддаются исследованию. Требовалось установить, подлинно ли письмо, соответствует ли отправитель заголовкам, не было ли подмены адреса, когда письмо фактически отправлено и получено и целостны ли его вложения.

Объект исследования

Электронные письма в формате EML с полными заголовками

Технические заголовки и идентификаторы сообщений

Почтовые ящики отправителя и получателя (при наличии доступа)

Доступные серверные логи почтовых систем

Вложения электронных писем

Вопросы эксперту

Подлинны ли представленные электронные письма?
Соответствуют ли технические заголовки заявленному отправителю?
Имеются ли признаки подмены адреса отправителя или ручного формирования письма?
Когда фактически отправлены и получены письма?
Целостны ли вложения и соответствуют ли они исходным файлам?

Методики и инструменты

Ход исследования

Этап 1 · Получение и фиксация писем · Получение исходных писем в формате EML с полными заголовками, фиксация и расчёт контрольных сумм для исключения изменения данных в ходе исследования.
Этап 2 · Разбор заголовков · Поэлементный разбор технических заголовков: цепочка Received, идентификаторы сообщений, метки времени и адреса, проверка непротиворечивости полей между собой.
Этап 3 · Проверка подписей и подмены · Анализ результатов SPF, DKIM и DMARC, оценка соответствия отправителя заголовкам и выявление признаков подмены адреса или ручного формирования письма.
Этап 4 · Маршрут, логи и вложения · Реконструкция маршрута прохождения письма по серверным меткам, сопоставление с доступными логами и данными ящиков, проверка целостности вложений по контрольным суммам.
Этап 5 · Сведение и заключение · Сведение результатов, оценка подлинности писем, факта и времени отправки и получения, оформление заключения с приложениями.

Что установили

Заголовки и маршрут

Технические заголовки писем непротиворечивы и отражают согласованный маршрут прохождения через почтовые серверы.

Подлинность отправителя

Результаты проверки SPF, DKIM и DMARC согласуются с заявленным отправителем; признаков подмены адреса не выявлено.

Факт и время отправки

Дата и время отправки и получения подтверждаются метками почтовых серверов и согласуются между собой.

Целостность вложений

Вложения соответствуют исходным файлам по контрольным суммам; признаков подмены или повреждения не обнаружено.

Выводы эксперта

Технические заголовки писем непротиворечивы и отражают согласованный маршрут. Результаты SPF, DKIM и DMARC согласуются с заявленным отправителем. Признаков подмены адреса отправителя или ручного формирования письма не выявлено. Факт и время отправки и получения подтверждаются серверными метками. Вложения целостны и соответствуют исходным файлам по контрольным суммам.

«Видимый адрес отправителя можно вписать любой, но цепочку серверных меток Received и результаты DKIM-подписи подделать незаметно практически невозможно.»
Эксперт по электронной почте
Результат для клиента

Заключение подтвердило подлинность писем и факт их отправки: представленный e-mail приобрёл доказательную силу, а доводы о фальсификации и подмене отправителя были опровергнуты проверяемыми техническими данными.

Досье дела и эксперты

№ 1069 · 2014
Карточка экспертизы
ТипСудебная экспертиза
СудАрбитражный суд
Дело№ дела по запросу
СтороныСтороны договорного спора, анонимизировано
ОбъектЭлектронные письма (EML), технические заголовки, почтовые ящики, серверные логи
Срок12 рабочих дней
СтоимостьПо договору, не раскрывается (NDA)
Год2014

Дело анонимизировано. Материалы и фрагмент заключения предоставляются по запросу для суда.

Эксперты по делу
Танчук Александр Олегович
Ведущий эксперт по делу
Танчук Александр Олегович
Ведущий консультант по информационной безопасности
ДипломСертификатыУПК
Шипанов Андрей Андреевич
Компьютерно-техническая часть
Шипанов Андрей Андреевич
Эксперт в области компьютерной экспертизы
ДипломСертификатыУПК

Связанные услуги

Экспертиза электронной почтыЦифровая форензикаФиксация перепискиРецензия на заключение

Хотите понять, применим ли такой подход к вашему делу?

Опишите ситуацию, и ведущий эксперт бесплатно оценит перспективу, сроки и стоимость.