К нам обратилась IT-компания — разработчик уникального программного продукта для ритейла. После ухода ведущего разработчика через полгода на рынке появился «новый» продукт конкурента, подозрительно напоминающий их решение. Сходство было настолько сильным, что клиенты начали жаловаться на «совпадения».
💣Проблема: Разработчик отрицал передачу кода, компьютер был возвращён «чистым» — операционная система переустановлена, файлы удалены. У конкурента — своя команда, свои исходники. Доказать кражу стандартными методами было невозможно.
🕵️♂️ Наша работа:
1. Создание образа жёсткого диска
Мы изъяли ноутбук сотрудника и создали посекторную копию диска (image), чтобы работать с копией, не повреждая оригинал.
2. Восстановление удалённой файловой системы
С помощью R-Studio и EnCase восстановили фрагменты файловой системы, существовавшей до переустановки Windows.
3. Анализ метаданных
Нашли:
• Файлы проекта из папки \Source_Project_X с датами изменения за месяц до увольнения.
• Историю подключений USB — три флешки с уникальными серийными номерами, которые подключались в ночное время.
• Логи браузера — поисковые запросы типа «как скопировать репозиторий git без логов».
4. Сравнительный анализ
Экспертиза показала: в коде конкурента присутствовали уникальные фрагменты, включая специфические имена переменных и структуру, характерные только для нашего клиента. Вероятность случайного совпадения — менее 0,01%.
5. Цепочка передачи
Сопоставили время подключения флешек с датами создания файлов у конкурента. Нашли в удалённой переписке разработчика (восстановили из Telegram Desktop) обсуждение условий продажи кода за 3,5 млн руб.
💥Результат:
• Суд признал факт незаконного использования интеллектуальной собственности
• Конкурент обязан выплатить компенсацию — 12 млн руб (4-кратная стоимость лицензии)
• Бывший разработчик привлечён к ответственности по ст. 146 УК РФ (нарушение авторских прав)
• Код возвращён клиенту, продукт выведен с рынка
💡 Вывод:
Переустановка Windows и удаление файлов — не защита. Цифровые следы остаются в метаданных, логах подключений, теневых копиях и даже в памяти облачных сервисов. Главное — вовремя обратиться к специалистам, которые умеют их находить.
ФКЗ: там, где другие видят чистый диск, мы находим историю преступления. 🕵️