thu thập, giám định, phục hồi dữ liệu điện tử
2.3.1. Nguyên tắc thu thập, thu giữ, phục hồi dữ liệu điện tử
Căn cứ vào quy định của BLTTHS 2015, cần phải lưu ý: Mặc dù xác định nguồn chứng cứ (như clip, hình ảnh, âm thanh,…) là có thật, là chính xác, nhưng nếu khơng được thu thập theo trình tự, thủ tục quy định thì sẽ khơng có giá trị pháp lý.
Việc thu thập, niêm phong, bảo quản vật chứng là các phương tiện lưu trữ DLĐT, chặn thu, sao lưu dữ liệu, hoạt động giám định, phục hồi, tìm kiếm DLĐT, việc lập biên bản và đưa vào hồ sơ vụ án, bảo toàn nguyên vẹn DLĐT cần phải thực hiện chặt chẽ và đúng quy định của pháp luật.
Điều 107 BLTTHS 2015 quy định về việc thu thập phương tiện điện tử, DLĐT nhưng tại khoản 1 của Điều luật này lại quy định “phương tiện điện tử phải được thu giữ kịp thời, đầy đủ …” và “trường hợp không thể thu giữ phương tiện lưu trữ điện tử thì cơ quan có thẩm quyền tiến hành tố tụng sao lưu DLĐT đó …”. Qua quy định này dường như nhà làm luật đang đồng nhất hai khái niệm “thu thập phương tiện điện tử” và “thu giữ phương tiện điện tử”. Đã vậy, Điều 197 BLTTHS 2015 lại tiếp tục quy định về việc thu giữ phương tiện điện tử, DLĐT. Quy định lòng vòng này thật sự thiếu logic và gây khó hiểu cho người nghiên cứu cũng như áp dụng pháp luật. Thiết nghĩ, chỉ đặt ra vấn đề thu thập đối với DLĐT vì DLĐT mới là một nguồn chứng cứ, còn phương tiện điện tử chỉ là nơi mà dữ liệu điện tử được thu nhập. Nghĩa là sau khi khám xét DLĐT với những căn cứ đã được trình bày phía trên thì mới thu thập DLĐT để tìm chứng cứ, và nếu DLĐT được lưu trữ trong phương tiện điện tử thì mới đặt ra vấn đề có thu giữ phương tiện điện tử đó hay khơng. Do đó, cần tách quy định về thu giữ phương tiện điện tử tại Điều 107
BLTTHS 2015 để nhập chung vào quy định tại Điều 197 BLTTHS 2015 (Thu giữ phương tiện điện tử, DLĐT), đồng thời đổi tên điều luật tại Điều 107 BLTTHS 2015 thành “Thu thập dữ diệu điện tử” thay vì là “Thu thập phương tiện điện tử, dữ liệu điện tử” như quy định tại BLTTHS 2015.
Phương tiện điện tử chứa đựng DLĐT nên phải được thu giữ kịp thời, đầy đủ, mô tả đúng thực trạng và niêm phong ngay sau khi thu giữ. Việc niêm phong, mở niêm phong được tiến hành theo quy định của pháp luật. Trường hợp khơng thể thu giữ phương tiện lưu trữ DLĐT thì CQTHTT phải tiến hành sao lưu DLĐT đó vào phương tiện điện tử và bảo quản như đối với vật chứng, đồng thời yêu cầu cơ quan, tổ chức, cá nhân liên quan lưu trữ, bảo quản nguyên vẹn DLĐT mà CQTHTT đã sao lưu và cơ quan, tổ chức, cá nhân này phải chịu trách nhiệm trước pháp luật.
Khi thu thập, chặn thu, sao lưu DLĐT từ phương tiện điện tử, mạng máy tính, mạng viễn thơng hoặc trên đường truyền, CQTHTT phải tiến hành lập biên bản và đưa vào hồ sơ vụ án. Trong trường hợp cần thiết, CQTHTT có thẩm quyền có thể trưng cầu giám định DLĐT. Khi nhận được quyết định trưng cầu giám định của CQTHTT thì cá nhân, tổ chức có trách nhiệm thực hiện phục hồi, tìm kiếm, giám định DLĐT. Việc phục hồi, tìm kiếm, giám định DLĐT chỉ được thực hiện trên bản sao; kết quả phục hồi, tìm kiếm, giám định phải chuyển sang dạng có thể đọc, nghe hoặc nhìn được. Phương tiện điện tử, DLĐT được bảo quản như vật chứng theo quy định của BLTTHS 2015. Khi xuất trình chứng cứ là DLĐT phải kèm theo phương tiện lưu trữ dữ liệu hoặc bản sao DLĐT.
Ngoài việc tuân thủ triệt để các nguyên tắc trong thu thập chứng cứ nêu trên, khi tiến hành thu thập CCĐT cần quán triệt thêm các vấn đề cụ thể sau đây:
Thứ nhất, không làm thay đổi thông tin được lưu trong máy tính hoặc trong
các thiết bị kỹ thuật số.
Thứ hai, khi phải tiếp cận với thông tin gốc được lưu trữ trong máy tính hoặc
trong các thiết bị kỹ thuật số thì người tiếp cận phải là những chuyên gia được đào tạo để thực hiện việc thu thập và phục hồi CCĐT.
Thứ ba, việc ghi lại dữ liệu (copy) phải được thực hiện đúng quy trình; phải
sử dụng các thiết bị và phần mềm được thế giới cơng nhận và có thể kiểm chứng được. Phải bảo vệ được tính nguyên vẹn của DLĐT lưu trong máy.
Thứ tư, tính khách quan, tính nguyên trạng và tính kiểm chứng được của
chứng cứ phải được chứng minh trước tòa. Phải chứng minh được q trình khơi phục dữ liệu, tìm được chứng cứ; khi cần thiết có thể lặp lại q trình đi tới kết quả tương tự như trình bày tại tịa.
Tuy nhiên, hầu hết các đối tượng sử dụng cơng nghệ cao để phạm tội đều có sự am hiểu về cơng nghệ và ln ý thức được việc làm của mình là vi phạm pháp luật, vì vậy chúng rất chú ý đến việc tiêu hủy các chứng cứ chứng minh hành vi phạm tội của chúng, vì vậy khi tiến hành điều tra các vụ án có sử dụng cơng nghệ, phương tiện điện tử để phạm tội, vấn đề phục hồi các CCĐT là một hoạt động quan trọng và cần thiết.
Việc phục hồi CCĐT trên máy tính và các thiết bị điện tử số chính là hoạt động khơi phục lại trạng thái làm việc của máy tính, thiết bị điện tử số khi đối tượng đang sử dụng thì bị thu giữ; là quá trình tìm kiếm các dữ liệu đã được lưu giữ trong quá trình sử dụng trên máy tính, bao gồm cả dữ liệu đã bị xóa khỏi máy tính… đó cịn là q trình khơi phục, phân tích, tìm kiếm, thu giữa những dữ liệu có liên quan đến vấn đề chứng minh tội phạm.
Ngồi ra, BLTTHS 2015 đã chính thức thừa nhận biện pháp thu thập bí mật DLĐT như một biện pháp điều tra tố tụng đặc biệt. Tuy nhiên các quy định này chỉ dừng lại ở việc ghi nhận các thủ tục cần thiết trước khi tiến hành mà không quy định thủ thuật pháp lý sau khi tiến hành các biện pháp điều tra tố tụng đặc biệt này. Các thông tin, tài liệu thu thập được sẽ được bảo quản, lưu trữ như thế nào, có giống như việc bảo quản, lưu trữ các loại nguồn chứng cứ thông thường hay không. Thiết nghĩ vấn đề này cần được quy định chặt chẽ bởi nó có liên hệ đến quyền con người, quyền cơng dân về quyền được đảm bảo bất khả xâm phạm về chỗ ở, đời sống riêng tư, bí mật cá nhân, bí mật gia đình, an tồn và bí mật thư tín, điện thoại, điện tín. Gỉa sử các thơng tin, tài liệu sau khi được thu thập bằng các biện pháp điều tra tố tụng đặc biệt không được đưa về CQTHTT ngay mà dẫn đến việc phát tán ra bên ngồi thì xem như đã xâm phạm đến quyền con người, quyền cơng dân.
2.3.2. Trình tự, thủ tục thu thập, xử lý, phục hồi dữ liệu điện tử:
Việc phục hồi CCĐT trên máy tính và các thiết bị điện tử số chính là hoạt động khôi phục lại trạng thái làm việc của máy tính, thiết bị điện tử số khi đối tượng đang sử dụng thì bị thu giữ; là quá trình tìm kiếm các dữ liệu đã được lưu giữ trong quá trình sử dụng trên máy tính, bao gồm cả dữ liệu đã bị xóa khỏi máy tính… đó cịn là q trình khơi phục, phân tích, tìm kiếm, thu giữa những dữ liệu có liên quan đến vấn đề chứng minh tội phạm.
Để phục hồi các CCĐT, đầu tiên cần phải thu giữ đầy đủ vật chứng là công cụ, phương tiện để phạm tội; phải bảo quản tốt những vật chứng thu được để phục vụ cho quá trình phục hồi. Cơng tác phục hồi CCĐT trong các vụ án sử dụng công nghệ cao để phạm tội là vô cùng quan trọng, bởi những người thực hiện loại tội phạm này thường sử dụng chính cơng nghệ để xóa bỏ dấu vết tội phạm, để che giấu tội phạm. Để công tác này đạt được kết quả thì cần phải có những chun gia về cơng nghệ thơng tin, viễn thơng tham gia vào q trình phục hồi. Và để những chứng cứ này có được giá trị chứng minh trong vụ án hình sự mà đối tượng phạm tội sử dụng cơng nghệ cao để phạm tội thì cần phải có những quy định chặt chẽ của pháp luật về quy trình thu giữ và phục hồi đối với loại chứng cứ này.
Điều 107 BLTTHS 2015 quy định khi thu thập, chặn thu, sao lưu DLĐT từ phương tiện điện tử, mạng máy tính, mạng viễn thơng hoặc trên đường truyền, CQTHTT phải tiến hành lập biên bản và đưa vào hồ sơ vụ án. Trong trường hợp cần thiết, CQTHTT có thể trưng cầu giám định DLĐT.
Khi nhận được quyết định trưng cầu giám định của CQTHTT thì cá nhân, tổ chức có trách nhiệm thực hiện phục hồi, tìm kiếm, giám định d DLĐT. Việc phục hồi, tìm kiếm, giám định DLĐT chỉ được thực hiện trên bản sao; kết quả phục hồi, tìm kiếm, giám định phải chuyển sang dạng có thể đọc, nghe hoặc nhìn được. Phương tiện điện tử, DLĐT được bảo quản như vật chứng theo quy định của BLTTHS 2015. Khi xuất trình chứng cứ là DLĐT phải kèm theo phương tiện lưu trữ dữ liệu hoặc bản sao DLĐT.
Điều 196 BLTTHS 2015 quy định việc thu giữ phương tiện điện tử, DLĐT do người có thẩm quyền tiến hành tố tụng thực hiện và có thể mời người có chun
mơn liên quan tham gia, trường hợp khơng thể thu giữ được thì phải sao lưu vào phương tiện lưu trữ và thu giữ như đối với vật chứng. Khi thu giữ các phương tiện điện tử có thể thu thiết bị ngoại vi kèm theo và các tài liệu có liên quan.
Ngồi ra, BLTTHS 2015 cịn quy định cụ thể về các hoạt động tố tụng để thu thập vật chứng là các phương tiện lưu trữ DLĐT và chặn bắt dữ liệu trên đường truyền, thu DLĐT lưu trong các thiết bị lưu trữ trên mạng như:
- Tìm và thu giữ các thiết bị lưu trữ DLĐT, như các loại máy chủ mạng (firewall, application server, wedserver, mail server, Proxy server, máy chủ dịch vụ lưu trữ virus điều khiển…), máy tính cá nhân, máy tính bảng, USB, thẻ nhớ, ổ cứng di động, điện thoại di động, camera an ninh…, là những thiết bị thường lưu trữ dấu vết điện tử về quá trình truy cập, tấn cơng qua mạng, tải và lưu trữ dữ liệu…để thực hiện các hành vi gây án.
- Chặn bắt dữ liệu trên đường truyền, tìm và thu dữ liệu là dấu vết truy cập, tấn công mạng, dữ liệu phát tán qua mạng hoặc lưu trong các loại máy chủ của ISP, các thiết bị kỹ thuật số như logfile, dấu vết tải dữ liệu, xóa dữ liệu, cài mã độc, dữ liệu liên quan đến hoạt động phạm tội.
- Sử dụng các phần mềm, thiết bị phục hồi dữ liệu điện tử chuyên dùng như ENCASE, FTK, X-Ways, UFED, XRY, HELIX…để sao lưu, thu thập, phục hồi, phân tích và tìm kiếm DLĐT lưu trữ trong các thiết bị như máy tính cá nhân, máy tính bảng, USB, thẻ nhớ, ổ cứng di động, điện thoại di động, kể cả khi dữ liệu đã bị mã hóa, bị xóa, bị ghi đè. [5, tr.227]
- Sử dụng các thiết bị và phần mềm chuyên dùng để phục hồi dữ liệu lưu trong các thiết bị kỹ thuật số, ổ cứng, chip điện tử bị hỏng vật lý.
Để thu thập DLĐT làm chứng cứ, các hoạt động của cơ quan pháp luật như thu thập, phục hồi, phân tích, tìm kiếm dữ liệu làm chứng cứ phải được thực hiện đúng trình tự, thủ tục về khám xét, lập biên bản, niêm phong, thu giữ, bảo quản vật chứng như ổ cứng máy tính, điện thoại thơng minh, USB, thẻ nhớ, đĩa quang, video camera, máy ảnh, email….về chặn thu, sao lưu dữ liệu, về giám định, phục hồi, tìm kiếm DLĐT.
Khi bàn giao tang vật cho chuyên gia phục hồi dữ liệu để sao chép dữ liệu phải làm thủ tục mở niêm phong và niêm phong lại theo quy định của pháp luật. Việc sao chép dữ liệu phải được thực hiện bằng thiết bị chống ghi (Read only), bảo đảm tính ngun trạng và tồn vẹn của dữ liệu lưu trong tang vật và có sự làm chứng của những người đã ký vào biên bản niêm phong. Việc phục hồi, phân tích, tìm kiếm dữ liệu chỉ thực hiện trên bản sao (dữ liệu trong tang vật không bị tác động và được bảo quản toàn vẹn theo quy định của pháp luật). Đồng thời, kết quả phục hồi, tìm kiếm, giám định phải được chuyển sang dạng có thể đọc được, nghe được hoặc nhìn được, lập biên bản về nội dung dữ liệu điện tử, kèm theo lời khai và xác nhận của người phạm tội, người làm chứng theo đúng quy định của pháp luật.
Các CQTHTT sẽ vận dụng vào Thông tư 10/2012 TTLT-BCA-BQP-BTP- BTT&TT-VKSNDTC-TANDTC ngày 10/9/2012 của liên ngành Trung ương về trình tự, thủ tục thu thập DLĐT để thực hiện. Cụ thể như sau:
1. Đối với máy tính: Khơng được tắt (shutdown) theo trình tự mà ngắt nguồn cung cấp điện trực tiếp cho thân máy (CPU) hoặc máy tính (đối với máy tính xách tay);
2. Đối với điện thoại di động: Tắt máy, thu giữ cả điện thoại, thẻ nhớ, thẻ sim, bộ sạc điện thoại (nếu có);
3. Đối với phương tiện điện tử khác (camera, máy ảnh, máy ghi âm,…): Tắt thiết bị, thu giữ cả phụ kiện đi kèm (nếu có).
Khi bàn giao cho chuyên gia phục hồi DLĐT, phải làm thủ tục mở niêm phong và niêm phong theo quy định của pháp luật. Để bảo đảm tính ngun trạng và tồn vẹn của chứng cứ lưu trong vật chứng, việc sao chép dữ liệu để phục hồi, phân tích phải được thực hiện bằng thiết bị “chỉ đọc” (Read only), chỉ thực hiện trên bản sao, không được ghi đè, sửa chữa dữ liệu. Để chuyển hóa thành chứng cứ pháp lý, DLĐT phải được chuyển sang dạng có thể đọc được, nhìn được, nghe được; phải lập biên bản về nội dung dữ liệu điện tử đã phục hồi, phân tích; kèm theo lời khai, xác nhận của người phạm tội, người làm chứng về những thơng tin đó. [24].
Việc khám xét, thu giữ vật chứng lưu trữ DLĐT phải đảm bảo các yếu tố: - Việc khám xét nhà ở, nơi làm việc của đối tượng phải tuân thủ các quy định về tố
chụp ảnh, vẽ sơ đồ, lập biên bản thu giữ, niêm phong, bảo quản máy tính, các thiết bị nhớ như ổ cứng, USB, đĩa CD, đĩa mềm, MP3, giấy tờ ghi chép có liên quan…[5; tr.288]
- Phải thu giữ kịp thời, đầy đủ, mô tả đúng thực trạng và niêm phong ngay sau khi thu giữ. Trường hợp khơng thể thu giữ phương tiện lưu trữ DLĐT thì sao lưu dữ liệu điện tử đó vào phương tiện điện tử và bảo quản như đối với vật chứng. Khi thu thập, chặn thu, sao lưu DLĐT từ phương tiện điện tử, mạng máy tính, mạng viễn thơng hoặc trên đường truyền, phải lập biên bản và đưa vào hồ sơ vụ án. Phương tiện điện tử, DLĐT được bảo quản như vật chứng theo quy định của Bộ luật này.
- Khi nhận được quyết định trưng cầu giám định, cá nhân, tổ chức có trách nhiệm thực hiện giám định, phục hồi, tìm kiếm DLĐT theo quy định của BLTTHS 2015. Việc phục hồi, tìm kiếm, giám định DLĐT chỉ được thực hiện trên bản san; kết quả phục hồi, tìm kiếm, giám định phải được chuyển sang dạng có thể đọc được, nghe được hoặc nhìn được. Khi xuất trình chứng cứ là DLĐT phải kèm theo phương tiện lưu trữ dữ liệu hoặc bản sao DLĐT.
- Dữ liệu và chứng cứ trực tiếp, quan trọng phần lớn được lưu trong máy tính, email, điện thoại di động và các thiết bị lưu trữ của đối tượng và trong hầu hết các vụ án xâm phạm an ninh mạng, chỉ có thể tiếp cận dữ liệu này khi phá án. Do vậy, khi chưa có đủ căn cứ để khởi tố bị can, cần cân nhắc một số chiến thuật như khám xét