Экспертный разбор доказательств в спорах о финансах

В современном арбитражном процессе 1С: Предприятие — это не просто программа для бухгалтерии. Это немой, но всевидящий свидетель, который фиксирует каждый шаг, каждую проводку, каждое изменение. Проблема в том, что этот свидетель может быть подкуплен, запуган или «лишён памяти» недобросовестными пользователями. Удаление документов, массовое сжатие базы, откат на старую версию, правка через SQL-запросы в обход журнала регистрации — всё это реальность. 🏛️💾

Но есть и хорошая новость: 1С оставляет следы даже после самых изощрённых манипуляций. Транзакционные логи, журналы регистрации, временные файлы, кэш оперативной памяти, теневые копии томов — всё это хранилища улик. Задача эксперта — извлечь их и представить в виде, понятном суду.

Мы, эксперты Союза «Федерация судебных экспертов», специализируемся именно на этом. Наш профиль — компьютерно-техническая экспертиза 1с для обращения с иском в суд. В этой статье, написанной в строгом экспертном стиле, мы разложим по полочкам, как выявляются подлоги, восстанавливаются удалённые данные и доказываются факты вмешательства. Три реальных кейса, методология, типичные ошибки и чёткий алгоритм действий — всё, чтобы вы могли уверенно идти в суд. 🔍⚖️

Глава 1. 1С как объект компьютерно-технической экспертизы: архитектурные особенности

1С: Предприятие — это не монолитная программа. Это платформа, которая может работать в двух режимах: файловый (данные хранятся в одном или нескольких файлах с расширением.1CD) и клиент-серверный (СУБД, чаще всего Microsoft SQL Server или PostgreSQL). 📁🖥️

Файловый режим:

Единый файл базы данных — ИмяБазы.1CD.

Журнал регистрации — файлы 1Cv8.lgd и 1Cv8.lgf (двоичные, циклические).

Вспомогательные файлы: 1Cv8.1CD, 1Cv8.1CD.bak, 1Cv8.1CD.pfl.

Удаление документов: физически строки не удаляются сразу, а помечаются как «удалённые», и только при сжатии базы (через «Тестирование и исправление») пространство освобождается.

Клиент-серверный режим:

Данные — в таблицах SQL (например, _Document130 для документов определённого вида).

Журнал транзакций SQL Server (.ldf) — непрерывная запись всех изменений.

Журнал регистрации 1С — может храниться в отдельной SQL-базе.

Возможность прямого SQL-доступа минуя 1С — основная уязвимость.

Задача эксперта: независимо от режима, восстановить хронологию операций, определить факт и способ модификации данных, а также (по возможности) идентифицировать пользователя.

Компьютерно-техническая экспертиза 1с для обращения с иском в суд требует глубокого понимания обоих режимов, а также знания форматов хранения данных на диске. Мы владеем этим в совершенстве. 🧠

Глава 2. Почему штатные средства 1С недостаточны для судебной экспертизы

Многие ошибочно полагают, что для доказательства подлога достаточно показать судье журнал регистрации 1С или выгрузку из базы. Это наивно. 😌

Проблемы штатных средств:

Журнал регистрации цикличен — старые записи перезаписываются новыми (по умолчанию — 30 дней). Если вы обратились в суд через 2 месяца после удаления, записей в журнале уже нет.

Журнал регистрации можно очистить — через Режим «1С: Предприятие» -> Администрирование -> Очистить журнал регистрации. Или просто удалить файлы.lgd/.lgf.

Штатные отчёты не показывают изменения, сделанные через SQL — если злоумышленник подключился к базе напрямую через SQL Server Management Studio и выполнил UPDATE или DELETE, журнал 1С об этом не узнает.

Штатное восстановление не работает после сжатия базы — если выполнено «Тестирование и исправление» со сжатием, удалённые документы исчезают из интерфейса 1С навсегда. Но не с жёсткого диска.

Нет инструментов для анализа низкоуровневых артефактов — MFT, USN Journal, теневые копии, дампы памяти. А без них многие улики не найти.

Вывод: полагаться только на 1С — всё равно что верить только показаниям свидетеля, которого пытали. Нужна независимая, инструментальная экспертиза.

Именно поэтому компьютерно-техническая экспертиза 1с для обращения с иском в суд — единственный надёжный способ восстановить истину. 🛡️

Глава 3. Кейс №1: Восстановление удалённых документов реализации после сжатия базы 1С

🔶 Ситуация: ООО «ТехноСбыт» подало иск к ООО «СтройКомплект» о взыскании 23 млн рублей за отгруженный товар. Ответчик предоставил в суд выписку из своей 1С: Бухгалтерия (файловый режим), согласно которой никаких отгрузок не было. Истец утверждал, что ответчик намеренно удалил документы реализации. Суд назначил компьютерно-техническую экспертизу.

Объекты исследования:

Файл базы StroyK.1CD (размер 45 ГБ).

Резервные копии (бэкапы) за предшествующий период (внешние HDD).

Журналы регистрации 1Cv8.lgd (уже очищенные, но с частичным перезаписыванием).

Ход экспертного исследования 🔬

Шаг 1. Посекторное копирование и анализ MFT
С помощью EnCase Forensic создали образ диска сервера. Проанализировали MFT (Master File Table) NTFS. Нашли записи для файла StroyK.1CD с атрибутами $STANDARD_INFORMATION и $FILE_NAME. Дата последнего изменения файла по $SI — 10.06.2025 14: 23: 11, а по $FN (неизменяемому) — 15.05.2025 09: 14: 33. Расхождение говорит о том, что файл был изменён (скорее всего, сжат) после даты последней операции.

Шаг 2. Анализ внутренней структуры.1CD
Файл.1CD представляет собой блочную базу данных с собственной страничной организацией (размер страницы 4 КБ, 8 КБ или 16 КБ). Используя нашу утилиту 1CD_RAW_Reader (написана на C#, побайтовый парсинг без использования COM-объектов), мы просканировали все страницы на наличие сигнатур таблицы Document_Realization.

Обнаружили 2 347 страниц, помеченных как «свободные» (свободный список), но содержащих валидные записи документов реализации. Извлекли 1 892 полные записи (сумма, дата, контрагент, номенклатура) и 455 фрагментарных. Общая сумма восстановленных документов — 21,7 млн рублей из 23 млн заявленных.

Шаг 3. Анализ журнала регистрации (даже после очистки)
Файл 1Cv8.lgd был перезаписан (циклический журнал). Но мы применили метод карусельного сканирования: нашли неперезаписанные сектора, содержащие события за период удаления. Восстановили 487 записей о помечивании на удаление документов реализации пользователем Гл.Бухгалтер с компьютера OFFICE-BUH. Время удаления — 05.06.2025 с 23: 15 до 23: 47.

Шаг 4. Анализ теневых копий (Volume Shadow Copy)
На сервере были включены VSS. Мы «отмотали» диск к состоянию на 01.06.2025 (за 4 дня до удаления). Извлекли файл StroyK.1CD из теневой копии. Его размер — 52 ГБ (против 45 ГБ текущего). Открыли через штатную 1С — все документы реализации были на месте.

Шаг 5. Идентификация пользователя
Проанализировали Event Log Windows (ID 4624, 4648). В ночь удаления с IP-адреса 192.168.0.105 (компьютер главного бухгалтера) был выполнен вход под учётной записью BUH\Ivanova. СКУД (система контроля доступа) показала, что Иванова в это время не находилась в офисе. Но её ноутбук был подключён к сети — использовался другим лицом.

Результат: совокупность фактов — расхождение временных меток, восстановленные страницы базы, записи в VSS, следы в журнале удаления — позволила сделать категорический вывод: удаление документов реализации было умышленным, данные восстановлены на 94%.

Суд удовлетворил иск на сумму 21,7 млн рублей (с учётом погрешности восстановления). В отношении главного бухгалтера возбуждено дело по ст. 159 УК РФ.

Экспертный вывод: даже если база 1С сжата и журнал регистрации очищен, компьютерно-техническая экспертиза 1с для обращения с иском в суд способна восстановить данные из свободных страниц.1CD, теневых копий и системных журналов. 🗂️

Глава 4. Кейс №2: SQL-инъекция в 1С на SQL Server — изменение сумм поставок задним числом

🔷 Ситуация: ООО «МеталлИнвест» обнаружило, что в его 1С: ERP (клиент-серверный режим, MS SQL Server) за полгода были изменены суммы в документах «Поступление товаров» — вместо реальных 45 млн рублей появились суммы 32 млн рублей. Разница в 13 млн рублей исчезла. Иск к бывшему коммерческому директору, подозреваемому в сговоре с поставщиком.

Сложности: штатный журнал 1С не показывал изменений (они были сделаны через прямой SQL-доступ), а транзакционный лог SQL Server частично перезаписан.

Экспертное исследование 🧪

Шаг 1. Анализ дампа памяти SQL Server
Сервер работал, мы сделали дамп RAM (64 ГБ) с помощью.dump в WinDbg. Просканировали дамп на наличие фрагментов таблицы _Document_PostPurchase. Нашли 1 234 строки, которые были изменены, но ещё не вытеснены из кэша буфера. Сравнили с текущими значениями — разница составила 13,1 млн руб.

Шаг 2. Анализ транзакционного лога SQL
Файл Metall_log.ldf был сжат с 120 ГБ до 8 ГБ. Однако мы использовали ApexSQL Log в режиме восстановления из «неактивной» части лога. Восстановили 5 678 операций UPDATE для таблицы _Document_PostPurchase, совершённых в период с 01.12.2024 по 15.05.2025. Каждая операция содержала:

OldValue (исходная сумма);

NewValue (изменённая сумма);

TransactionID;

SPID (системный процесс ID);

LoginTime и HostName.

Шаг 3. Идентификация автора изменений
По SPID нашли в системных таблицах (sys.dm_exec_sessions) данные о соединении: LoginName = COMPANY\PetrovKD, ClientAddress = 192.168.0.55, ProgramName = Microsoft SQL Server Management Studio. Это был компьютер коммерческого директора Петрова.

Шаг 4. Анализ журнала Windows Security
Проверили Event Log для учётной записи PetrovKD в период изменений. Обнаружили, что входы происходили с IP-адреса, который также использовался для подключения к сети офиса поставщика (данные от провайдера).

Шаг 5. Восстановление исходных сумм
С помощью OldValue из лога мы восстановили точные суммы каждого документа. Оказалось, что занижение было систематическим: от 5% до 30% от реальной цены.

Результат: суд признал Петрова виновным в мошенничестве (ст. 159 УК РФ). Взыскано 13,1 млн руб. + проценты.

Экспертный вывод: даже если изменения сделаны через SQL в обход 1С, а лог частично перезаписан, дамп памяти SQL Server и неактивная часть транзакционного лога сохраняют улики. Компьютерно-техническая экспертиза 1с для обращения с иском в суд позволяет их извлечь. 🖥️🔏

Глава 5. Кейс №3: Откат базы 1С на старую версию для сокрытия задолженности

🔶 Ситуация: ООО «СтройТрест» (подрядчик) подало иск о взыскании 67 млн рублей за выполненные работы. Заказчик (ООО «ИнвестПроект») представил в суд базу 1С, согласно которой работы оплачены полностью. Однако подрядчик утверждал, что заказчик восстановил базу из старого бэкапа (до возникновения долга).

Объекты:

Текущая база 1С заказчика (Invest.1CD).

Файлы бэкапов на внешних дисках (изъяты по запросу суда).

Журналы сервера (Windows, SQL).

Экспертиза 🔍

Шаг 1. Анализ дат создания файлов бэкапов
Изъяли 4 внешних диска. На одном из них нашли папку Backup_1C с файлами.1CD с датой создания (по атрибуту $FN) — 05.03.2025. Текущая база имела дату модификации файла — 15.06.2025. Но это не доказывает откат.

Шаг 2. Сравнение GUID и идентификаторов базы
У каждой базы 1С есть внутренний идентификатор (GUID), который генерируется при создании. Он хранится в служебной таблице _InfoBase. Мы извлекли GUID из текущей базы ({2A3F4C8E-1B2F-4D5A-9C7E-3F2A1B4C5D6E}) и из бэкапа на внешнем диске ({2A3F4C8E-1B2F-4D5A-9C7E-3F2A1B4C5D6E}) — они совпали. Это одна и та же база.

Шаг 3. Анализ журналов сервера SQL
Поскольку база работала на SQL Server, мы изучили журнал ошибок SQL и системные таблицы msdb.dbo.backupset. Обнаружили, что 16.06.2025 в 02: 15 была выполнена операция RESTORE DATABASE Invest FROM DISK = ‘D: \Backup\Invest_05032025.bak’ WITH REPLACE. Это и есть откат базы!

Шаг 4. Анализ журнала Windows Security
Операция восстановления выполнялась под учётной записью INVEST\SQL_Admin (пользователь системный администратор Иванов). Вход в систему — 16.06.2025 02: 10 с IP-адреса 10.0.0.5 (компьютер Иванова).

Шаг 5. Сравнение данных в откатной и текущей базе
Мы восстановили базу из бэкапа от 05.03.2025 на тестовом сервере. Оказалось, что по состоянию на 05.03.2025 долг перед истцом составлял 67 млн руб. А в текущей базе — 0 руб. Разница — результат отката, а не реальных платежей.

Результат: суд признал действия ответчика как фальсификацию доказательств (ст. 303 УК РФ). Иск удовлетворён на 67 млн руб., с ответчика взысканы судебные расходы и штраф.

Экспертный вывод: откат базы 1С можно выявить через GUID, журналы SQL Server и анализ дат файлов. Компьютерно-техническая экспертиза 1с для обращения с иском в суд превращает откат из «невидимого» действия в очевидную фальсификацию. ⏱️

Глава 6. Методологическая база экспертизы 1С: стандарты и инструменты

Наша работа опирается на строгую методологию, утверждённую в Союзе «Федерация судебных экспертов» и соответствующую требованиям Минюста РФ. 📚

Основные методики:

«Методика проведения компьютерно-технической экспертизы» (РФЦСЭ при Минюсте).

«Методика исследования баз данных 1С: Предприятие в файловом и клиент-серверном режимах» (собственная разработка, аттестована в СРО).

ISO/IEC 27037 (сбор цифровых доказательств).

Методики анализа транзакционных логов SQL Server и журналов регистрации 1С.

Инструментарий 🛠️

Для низкоуровневого анализа: EnCase Forensic, X-Ways Forensics, FTK Imager.

Для работы с.1CD: собственные утилиты 1CD_Parser, 1CD_Unpack (исходный код доступен суду).

Для анализа SQL: ApexSQL Log, RedGate SQL Log Rescue, T-SQL скрипты.

Для анализа памяти: Volatility Framework, Belkasoft RAM Capturer.

Для анализа логов: Log Parser Studio, Event Log Explorer.

Все программы — лицензионные. Никаких торрентов, никаких «кряков». Аппаратура — Tableau Forensic Duplicator, PC-3000 для сложных дисков.

Компьютерно-техническая экспертиза 1с для обращения с иском в суд — это высокотехнологичное производство, а не кустарный анализ.

Глава 7. Типовые вопросы суда при назначении экспертизы 1С

На основе более чем 300 экспертиз мы выделили наиболее частые вопросы.

Вопросы о факте изменений ✍️

Имеются ли в базе данных 1С следы внесения изменений в документы «Реализация товаров», «Акт выполненных работ», «Счет-фактура» после их проведения?

Если да, то каким способом (штатные средства 1С, прямое SQL-вмешательство, сторонние утилиты)?

Какова дата и время внесения изменений (с точностью до секунды)?

Вопросы о восстановлении данных 📀
4. Можно ли восстановить удалённые документы (или записи регистров)?
5. Каково содержание восстановленных документов (суммы, даты, контрагенты, номенклатура)?
6. Является ли удаление результатом умышленных действий или технического сбоя?

Вопросы об авторстве 🕵️
7. Под какой учётной записью 1С/Windows были произведены изменения?
8. С какого компьютера (IP-адрес, MAC-адрес) осуществлялся доступ?
9. Имеются ли признаки использования учётной записи не её владельцем?

Вопросы об откате/восстановлении из бэкапа 🔄
10. Имеются ли признаки восстановления базы данных из резервной копии за более ранний период?
11. Если да, то с какой датой была восстановлена база?
12. Были ли утеряны данные (операции, документы) в результате этого восстановления?

Мы всегда отвечаем на эти вопросы в заключении, прилагая скриншоты, таблицы, хэш-суммы и фрагменты восстановленных строк.

Глава 8. Процессуальные аспекты: как оформить ходатайство о назначении экспертизы 1С

Для успеха дела мало знать, что экспертиза нужна. Нужно правильно её назначить. Вот чек-лист для вашего адвоката. 📝

Что должно быть в ходатайстве:

Обоснование необходимости — указать, что факты, имеющие значение для дела, могут быть установлены только специальными знаниями в области компьютерной техники и программного обеспечения 1С.

Конкретные вопросы — использовать типовые вопросы из главы 7 (адаптировать под дело).

Предлагаемая экспертная организация — Союз «Федерация судебных экспертов», наш сайт, наши реквизиты. Указать, что эксперты имеют сертификаты 1С и опыт.

Перечень материалов — перечислить, какие носители (диски, бэкапы, логи) должны быть предоставлены эксперту. Обязательно запросить у оппонента доступ к его 1С, если это нужно.

Предупреждение об ответственности — просить суд предупредить эксперта по ст. 307 УК РФ.

Образец формулировки:

«В целях установления факта внесения изменений в документы учёта, а также восстановления удалённых записей, прошу назначить компьютерно-техническую экспертизу 1с для обращения с иском в суд, поручив её проведение экспертам Союза „Федерация судебных экспертов“ (kompexp.ru). Поставить перед экспертом следующие вопросы…»

Важно: не пытайтесь проводить экспертизу до назначения суда без веских причин — суд может не принять частное заключение. Лучше: досудебное исследование (не процессуальное) + ходатайство о судебной экспертизе.

Глава 9. 10 ошибок, которые делают экспертизу 1С бесполезной (и как их избежать)

Мы видим множество дел, где даже хорошая экспертиза отвергается из-за ошибок. Вот список. 🚫

Ошибка 1. Работа с «живой» базой без создания образа
Изменяются временные метки файлов. ✅ Решение: только образ через аппаратный блокиратор.

Ошибка 2. Отсутствие хэш-сумм
Суд не может проверить целостность данных. ✅ Решение: SHA-256 на каждом этапе.

Ошибка 3. Использование нелицензионного ПО
Дискредитация экспертизы. ✅ Решение: только лицензии, предоставлять копии суду.

Ошибка 4. Игнорирование журнала регистрации 1С
Даже если он очищен, можно восстановить часть данных. ✅ Решение: анализ свободных секторов файла.lgd.

Ошибка 5. Отсутствие анализа теневых копий (VSS)
А там может быть «чистая» база до удаления. ✅ Решение: обязательно проверять VSS.

Ошибка 6. Неправильный выбор режима восстановления SQL
Если база в SIMPLE recovery, лог перезаписывается быстрее. ✅ Решение: переключать в FULL до начала экспертизы (если возможно).

Ошибка 7. Выводы без указания погрешности
«Восстановлено 100% данных» — ложь при перезаписи. ✅ Решение: указывать процент восстановления.

Ошибка 8. Отсутствие иллюстраций
Судья не поймёт, что вы нашли. ✅ Решение: скриншоты, таблицы, дампы.

Ошибка 9. Игнорирование часовых поясов
Разница в 3 часа — алиби для оппонента. ✅ Решение: фиксация UTC и местного времени.

Ошибка 10. Слишком категоричные выводы при недостатке данных
«Точно Петров удалил» без IP- и MAC-адресов. ✅ Решение: вероятностные формулировки или «не представилось возможным».

Мы допускаем эти ошибки крайне редко. В 99% случаев наше заключение выдерживает любые атаки.

Глава 10. Часто задаваемые вопросы (экспертный ответ)

Вопрос 1: Можно ли восстановить данные, если база 1С была сжата («Тестирование и исправление») несколько раз?
✅ Ответ: Да, но с уменьшением вероятности. Каждое сжатие перезаписывает свободные страницы. После 3-4 циклов восстановление невозможно. Шанс — 40% после первого сжатия, 10% после второго.

Вопрос 2: Что делать, если файл.1CD повреждён (ошибки при открытии)?
✅ Ответ: Мы можем восстановить данные из повреждённого файла, прочитав страницы, не затронутые повреждением. Обычно удаётся спасти 70-95% информации.

Вопрос 3: Может ли эксперт определить, что документ был создан задним числом, если дата в документе 10.01.2025, а база создана 20.02.2025?
✅ Ответ: Да. Анализируем физические даты создания записи в таблице (_Date_Time поля в.1CD или CreatedDateTime в SQL). Если дата создания записи позже даты документа — это стопроцентный признак подлога.

Вопрос 4: Нужно ли предоставлять эксперту пароли от 1С и SQL?
✅ Ответ: Да, без паролей доступ к зашифрованным данным невозможен. Если оппонент отказывается предоставить пароли, суд делает выводы в вашу пользу (ст. 65 АПК РФ).

Вопрос 5: Сколько времени занимает экспертиза 1С средней сложности?
✅ Ответ: 15-20 рабочих дней. Срочные (5-7 дней) — надбавка 50%.

Вопрос 6: С какого минимального объёма данных имеет смысл проводить экспертизу?
✅ Ответ: Мы работаем с любым объёмом — от 100 МБ до нескольких терабайт. Но экономически целесообразно, если сумма иска от 500 000 руб. (иначе экспертиза может оказаться дороже спора).

Вопрос 7: Может ли эксперт дать показания в суде дистанционно?
✅ Ответ: Да, через ВКС. Главное — чтобы эксперт мог демонстрировать экран (скриншоты, таблицы).

Глава 11. Экономика экспертизы 1С: стоимость и окупаемость

Называем цены прямо, без экивоков. 💰

Факторы цены:

Режим базы (файловый дешевле, клиент-сервер — дороже из-за анализа SQL).

Объём данных (до 50 ГБ — один тариф, 50-500 ГБ — другой, более 500 ГБ — индивидуально).

Степень разрушения (чистая база дешевле, после удаления/сжатия — дороже).

Срочность (обычный срок 20 дней, срочный 7 дней — надбавка 50%, ультра-срочный 3 дня — надбавка 100%).

Примерные цены (2025 год, рынок):

Досудебное исследование (без процессуального статуса) — от 60 000 до 250 000 руб.

Судебная экспертиза, файловая 1С, до 50 ГБ, без удалений — 120 000 — 180 000 руб.

Судебная экспертиза, 1С SQL, до 500 ГБ, восстановление удалённых данных — 350 000 — 700 000 руб.

Судебная экспертиза, 1С на SQL, терабайты, RAID, сложное восстановление — 800 000 — 2 500 000 руб.

Окупаемость: если иск на 10 млн руб., а экспертиза стоит 300 тыс., то окупаемость — 33-кратная. Даже при вероятности выигрыша 50% это разумно.

Бесплатная консультация — всегда. Звоните, пишите через https://kompexp.ru/ekspertiza-programmnyh-produktov-na-baze-sistemy-1s/.

Глава 12. Противодействие фальсификации: как оппонент может испортить данные (и как мы это лечим)

Ваш оппонент будет пытаться уничтожить улики. Вот его арсенал и наша контратака. 🛡️

Действие оппонента: Полное форматирование диска и переустановка ОС.
💥 Наша контратака: Данные можно восстановить с помощью PC-3000 (низкоуровневый доступ к пластинам HDD), даже после нескольких перезаписей.

Действие оппонента: Удаление файлов.1CD и перезапись свободного места.
💥 Контратака: Анализ журнала USN (Update Sequence Number) NTFS — там сохраняются имена удалённых файлов. А также анализ MFT-записей (даже если файл удалён, его запись в MFT остаётся до переиспользования).

Действие оппонента: Отключение и уничтожение сервера.
💥 Контратака: Запрос у провайдера логов трафика, у хостинг-компании — бэкапов виртуальной машины. Многие компании хранят бэкапы 30 дней.

Действие оппонента: Изменение системного времени перед удалением.
💥 Контратака: Анализ журнала Kernel-General (события 1, 2) — фиксируется каждое изменение часов. А также сравнение с NTP-серверами.

Действие оппонента: Запуск скрипта, который перезаписывает журнал регистрации 1С.
💥 Контратака: Восстановление из неактивной части.lgd (перезапись происходит последовательно, хвост файла может сохраниться).

Действие оппонента: Использование чужой учётной записи.
💥 Контратака: Анализ IP, MAC, артефактов RDP, а также времени входа (нехарактерное для данного пользователя).

Мы знаем эти приёмы и готовимся к ним заранее.

Глава 13. Роль компьютерно-технической экспертизы 1с для обращения с иском в суд в арбитражном процессе

Подведём промежуточный итог. Данная экспертиза решает три ключевые задачи. 🎯

Задача 1. Восстановление утраченных доказательств
Когда ваш оппонент утверждает, что «данные потерялись из-за сбоя», экспертиза восстанавливает их из логов, теневых копий, дампов памяти и свободных страниц.1CD.

Задача 2. Доказывание фальсификации
Когда оппонент предоставляет «чистую базу», экспертиза доказывает, что она была изменена (удаление документов, изменение сумм, откат на старый бэкап).

Задача 3. Идентификация виновных
По IP, MAC, времени доступа, доменным логинам эксперт устанавливает, чья учётная запись использовалась для манипуляций.

Без экспертизы вы остаётесь с голословными утверждениями. С экспертизой — получаете инженерно обоснованные доказательства.

Глава 14. Почему Союз «Федерация судебных экспертов» — лидер в экспертизе 1С

Наши преимущества 🏆

🟩 Специализация только на 1С (и других ERP). Мы не распыляемся на телефоны и планшеты. У нас в штате — сертифицированные «1С: Специалист» (8 человек), «1С: Эксперт» (3 человека), в том числе по конфигурациям «Управление торговлей», «Бухгалтерия предприятия», «ERP Управление холдингом».

🟩 Собственные разработки. Утилиты для прямого чтения.1CD, анализа LDF-логов, извлечения из теневых копий. Исходный код доступен для аудита суда и оппонента.

🟩 Более 300 экспертиз 1С за 5 лет. Успешно завершённых. 98% — без назначения повторной экспертизы.

🟩 Процессуальная безупречность. Ни одного случая признания заключения недопустимым из-за нарушений методики.

🟩 Страхование. Ответственность каждого эксперта — 30 млн руб.

🟩 Прозрачность. Сайт с методиками, кейсами, ценами. Бесплатные консультации.

Мы не обещаем «нужный результат». Мы обещаем истину, добытую инженерными методами.

Глава 15. Пошаговая инструкция для заказчика: от подозрения до победы

Действуйте по этому плану, и вы не ошибётесь. 📋

Шаг 1. Заморозьте данные — отключите автоочистку логов, не делайте сжатие базы, не запускайте антивирус на сервере.

Шаг 2. Бесплатная консультация — обратитесь к нам через сайт. Мы скажем, какие шансы, какие данные нужны.

Шаг 3. Заключите договор на досудебное исследование (если иск ещё не подан). За 5-10 дней мы дадим предварительное заключение.

Шаг 4. Подготовьте иск и ходатайство — с нашими формулировками вопросов.

Шаг 5. Подайте ходатайство о назначении судебной экспертизы — приложите наше согласие и смету.

Шаг 6. Суд выносит определение — мы получаем материалы, согласовываем дату выезда.

Шаг 7. Выезд эксперта (к вам и/или оппоненту) — копирование, хэширование, акты.

Шаг 8. Лабораторное исследование — от 10 до 30 дней.

Шаг 9. Подготовка заключения — 30-200 страниц + диск с приложениями.

Шаг 10. Участие в суде — по вызову (лично или ВКС).

Шаг 11. Победа! Суд принимает решение на основе наших данных.

Средний срок всего цикла — 1-3 месяца.

Глава 16. Новые вызовы: 1С в облаке и как мы исследуем 1С: Fresh

Всё больше компаний переходят на облачные 1С (1С: Fresh, облачные версии от провайдеров). Это создаёт новые трудности для экспертизы. ☁️

Проблемы:

Данные физически находятся у провайдера, а не на локальном сервере.

Эксперт не может напрямую подключиться к оборудованию.

Журналы могут быть ограничены.

Наши методы:

Запрос через суд к провайдеру о предоставлении резервных копий баз данных (провайдер обязан хранить их 30-90 дней).

Анализ API-логов 1С: Fresh (они фиксируют каждое действие пользователя).

Извлечение данных из локального кэша тонкого клиента (кешируются страницы базы).

Анализ трафика между клиентом и сервером (при наличии доступа к сети заказчика).

Пример: в 2024 году мы успешно провели экспертизу для 1С: Fresh по делу о хищении 8 млн руб., восстановив записи из кэша веб-клиента и логов API.

Так что облако — не преграда.

Глава 17. Заключение (экспертное резюме)

Мы разобрали три кейса, каждый из которых показывает: компьютерно-техническая экспертиза 1с для обращения с иском в суд способна:

✅ Восстановить удалённые документы даже после сжатия базы (Кейс №1).
✅ Выявить изменения через SQL в обход 1С (Кейс №2).
✅ Доказать откат базы из старого бэкапа (Кейс №3).

Экспертиза 1С — это не «магия», а строгая инженерная дисциплина, основанная на анализе низкоуровневых структур данных, транзакционных логов, системных журналов и артефактов ОС.

Что нужно запомнить заказчику:

Не верьте оппоненту, который говорит «данных нет». Мы их найдём.

Не доверяйте штатным программистам — они не эксперты.

Не экономьте на экспертизе — дешевизна обходится в десятки раз дороже.

Обращайтесь к нам — в Союз «Федерация судебных экспертов».

🟩 Наш сайт: https://kompexp.ru/ekspertiza-programmnyh-produktov-na-baze-sistemy-1s/
Бесплатная консультация. Работаем по всей РФ, выезжаем в любой регион.

Ваши данные — наша ответственность. Ваша победа — наша цель.