LEAD Lab — Law, Empirics & Data Lab

Kubal подчёркивала интерпретативный характер своей работы. Её задача — не определить объективную эффективность ЕСПЧ по числу выигранных дел, а реконструировать значения, которые сами заявители и адвокаты приписывают своему взаимодействию с судом. Важное различие: юридический результат, субъективный опыт и социальные последствия процесса могут не совпадать. Это непосредственно связано с исследованиями правовой мобилизации: измерение эффективности только через судебные решения способно упустить существенную часть результатов.

Agnieszka Kubal — Human Rights Lawyers in Russia Хотя в программе выступление обозначено как исследование российских правозащитных адвокатов, фактически доклад был посвящён более широкой сравнительной работе о том, как заявители и их представители воспринимают Европейский суд по правам человека. Материалом послужили около 280 интервью, проведённых в Венгрии, Польше, Румынии, России и Украине в рамках исследовательского проекта о людях, стоящих за правозащитными обращениями. Почему люди обращаются в ЕСПЧ? Исходный вопрос исследования связан с неравномерной интенсивностью обращений в Страсбург. Kubal обратила внимание, что огромная доля жалоб в ЕСПЧ поступала из сравнительно небольшого числа стран Центральной и Восточной Европы. Само по себе распространение нарушений прав человека не объясняет интенсивность правовой мобилизации. Нарушение права ещё не означает, что человек начнёт судебный процесс, найдёт адвоката, сформулирует требование и обратится в международную инстанцию. Поэтому исследование сосредоточено на социальном опыте взаимодействия с ЕСПЧ. Теория socio-legal proximity Kubal предложила понятие socio-legal proximity — социально-правовой близости суда. ЕСПЧ может находиться географически далеко, быть институционально сложным и юридически недоступным, но в определённых ситуациях восприниматься людьми как очень близкий институт. Исследовательница выделила три измерения близости. Intimate proximity — непосредственное вмешательство суда в жизненную ситуацию человека. Примером стали обеспечительные меры по правилу 39 Регламента ЕСПЧ, применявшиеся во время гуманитарного кризиса на польско-белорусской границе. Для адвокатов, пытавшихся предотвратить выдворение людей, обращение в Страсбург иногда становилось единственным эффективным инструментом срочной защиты. Historical или structural proximity — участие суда в осмыслении исторически значимых нарушений, структурной несправедливости и национальных процессов установления ответственности. Ontological proximity — изменение того, как человек воспринимает самого себя и свои отношения с государством. История Игоря: от заявителя к правозащитнику Для иллюстрации третьего измерения Kubal рассказала историю российского заявителя, условно названного Игорем. Он столкнулся с полицейским насилием после задержания по делу, связанному с наркотиками. При поддержке правозащитной организации обратился в ЕСПЧ. Дело завершилось дружественным урегулированием, а не прецедентным постановлением. С точки зрения формальных показателей судебной деятельности результат может выглядеть относительно скромным. Однако для самого заявителя процесс имел гораздо более глубокие последствия. Его рассказ о насилии был признан заслуживающим рассмотрения. Полученная компенсация помогла восстановить материальную стабильность. Длительное взаимодействие с правозащитной организацией изменило его представления о собственных возможностях. Впоследствии он сам стал помогать заключённым защищать свои права. Таким образом, правовая мобилизация способна производить не только судебные решения, но и новые формы субъектности, самооценки и солидарности. Связь с procedural justice Kubal сопоставила этот результат с литературой о процедурной справедливости. Для заявителя важен не только исход дела. Значение имеют возможность быть услышанным, уважительное обращение, признание его свидетельства и пережитого насилия. В этом смысле судебный процесс может изменить отношение человека к праву даже без юридически значимой победы. При этом Kubal специально оговорила, что не предлагает идеализировать ЕСПЧ. В исследовательском материале присутствуют и совершенно противоположные переживания: разочарование, исключённость, ощущение закрытости международного правосудия. В дискуссии она также критически говорила об изменении практики обеспечительных мер на польско-белорусской границе и возможном влиянии политического контекста на действия суда. Методологическая позиция

Вернемся к репортажам воркшопа «Авторитаризм и верховенство права: взгляд из Великобритании»: Mayur Suresh — The Social Life of Authoritarian Legality Mayur Suresh представил предварительные результаты пятимесячного этнографического исследования ABAP — организации юристов, связанной с индуистским националистическим движением RSS в Индии. Исследователь изучал профессиональное общение, собрания, онлайн-группы и карьерные траектории участников. Почему majoritarian legality, а не просто authoritarian legality? Suresh предлагает смотреть не только на демократический откат и ослабление институтов, но и на то, как право помогает переопределять политическое сообщество через религиозную и культурную принадлежность. В центре его внимания — роль самих юристов в этом процессе. Здесь возникает противоречие: идеологическая традиция RSS критиковала Конституцию Индии как чужеродный, западный и колониальный продукт, однако связанные с движением юристы работают внутри существующих правовых институтов. Исследователь рассматривает это не как простую непоследовательность, а как вопрос о том, как можно использовать право и одновременно менять его содержание. Suresh выделяет три механизма влияния: — Профессиональная социализация. ABAP организует стажировки, учебные кружки и профессиональное обучение. Эта инфраструктура не только помогает развивать навыки, но и формирует сети лояльности и профессионального продвижения. — Влияние на карьеру и назначения. Исследователь описал случаи неформального давления на кандидатов в судьи и механизмы воздействия на уже назначенных судей. Это этнографические свидетельства, а не оценка распространённости подобных практик. — Производство юридического знания. ABAP предлагает интерпретации конституционных понятий, совместимые с индуистским национализмом. Например, constitutional morality переосмысляется через нормы сообщества и обращение к хинди-версии Конституции. Главный теоретический вывод: авторитаризация не сводится к разрушению институтов. Для социологии юридических профессий это существенное наблюдение. Авторитаризация может происходить через деятельность, которая на уровне отдельных профессиональных практик выглядит вполне конструктивной: обучение, наставничество, повышение квалификации, создание профессиональных сетей. Поэтому важно изучать не только репрессии против независимых юристов, но и то, как через привычные профессиональные практики формируется юридическое сообщество, поддерживающее определённый политический проект.

Если вдруг кто-то пропустил: сейчас идёт приём заявок на Зимнюю школу ИПП в Санкт-Петербурге. Это одно из лучших мест в России для погружения в мир эмпирических исследований права: здесь можно познакомиться с исследованиями, попробовать свои силы в исследовательских задачах и пообщаться с людьми, которые работают в этой области. Дедлайн — 1 декабря. На качественное выполнение заданий потребуется время, поэтому лучше не откладывать заявку на последнюю неделю.

Северная Ирландия: борьба за прошлое Kieran McEvoy развил эту аргументацию ⬆️ на материале Северной Ирландии. После Соглашения Страстной пятницы 1998 года там не была создана единая полноценная комиссия по установлению истины. Вместо неё постепенно сложилась система различных юридических механизмов: уголовных расследований, коронерских дознаний, гражданских исков и расследований полицейского омбудсмена. Эти процедуры позволяли семьям погибших устанавливать обстоятельства событий периода конфликта, включая возможную ответственность британских государственных структур. Однако затем возникла политическая кампания, представлявшая расследования в отношении бывших британских военнослужащих как преследование ветеранов. McEvoy показал, как эта риторика позволила переопределить роли участников: расследуемые военнослужащие представлялись жертвами, а юристы, добивавшиеся установления обстоятельств гибели людей, — политически мотивированными преследователями. Правительство Бориса Джонсона предложило законодательство, которое ограничивало существовавшие механизмы расследования и предусматривало амнистию. Противодействие включало мобилизацию семей жертв, стратегические судебные процессы, давление на политические партии и межгосударственные юридические механизмы. Один из центральных примеров — дело Dillon, в котором суд признал положения об амнистии незаконными. Здесь cause lawyering выступает не только защитой конкретных интересов, но и борьбой за сохранение институциональных способов установления исторических фактов. Ложь, отрицание и bullshit McEvoy отдельно противопоставил традиционное отрицание фактов и то, что философ Harry Frankfurt называл bullshit. В классическом понимании лжи человек знает, что существует правда, и пытается её скрыть или исказить. В случае bullshit говорящий может вообще не интересоваться соответствием утверждения действительности. Для авторов это принципиально: юридические инструменты, рассчитанные на спор об установимых фактах, оказываются в иной информационной среде. В дискуссии McEvoy настаивал, что у юристов есть специфические профессиональные навыки установления фактов — стандарты доказанности, процедуры проверки свидетельств, требования к независимому расследованию. Отказываться от понятия фактической истины под влиянием радикального конструктивизма было бы опасно. Один из слушателей в аудитории задал вопрос: он сопоставил предложенную концепцию с интервью с российскими правозащитными адвокатами. Некоторые его информанты воспринимали решения ЕСПЧ как способ написать историю чеченских войн, но одновременно подчёркивали необходимость добиваться изменений здесь и сейчас. Отсюда вопрос: достаточно ли адвокатам быть хранителями фактов, если их профессиональная идентичность построена вокруг возможности немедленно помочь клиенту? Batesmith признал, что авторы не задавали своим информантам прямой вопрос о роли epistemic actors. Однако предположил, что в условиях чрезвычайно сильных ограничений даже возможность сохранить свидетельства и надежду клиента может восприниматься как значимое профессиональное достижение. Это оставляет открытым эмпирический вопрос о соотношении исследовательской концептуализации адвокатской деятельности и того, как сами адвокаты определяют её цели. #Authoritarianism and the Rule of Law: A UK Perspective2026 #SocioLegalStudies

Alex Batesmith и Kieran McEvoy — From Cause Lawyering to Denialism: Law, Truth, and Resistance in Authoritarian and Post-Truth Contexts Это выступление предложило теоретическое переосмысление cause lawyering — юридической работы ради общественных или политических целей — в условиях авторитаризма и политики пост-правды. Авторы выделяют три направления существующей литературы об адвокатах в авторитарных режимах: Первое — legal mobilisation under constraints. Даже когда суды не способны изменить политический режим, они остаются площадками для оспаривания решений власти, формирования коалиций, публичных сигналов и тактических побед. Второе — high-risk professional practice. Адвокатам приходится вырабатывать стратегии профессионального и личного выживания. Иногда сама работа с определенной категорией клиентов превращает юриста в политического противника государства. Здесь возникает стратегия closeting: адвокат скрывает свои политические или правозащитные мотивы, представляя работу как обычное профессиональное исполнение обязанностей. Третье направление рассматривает юристов, которые обслуживают авторитарное управление. В рамках rule by law право выступает инструментом власти, а юридическая профессия обеспечивает её легитимность. Основной теоретический аргумент авторов состоит в том, что классическая литература о cause lawyering обычно предполагает существование некоторого общего фактического основания спора. Стороны могут расходиться в ценностях, политических позициях или интерпретациях прав, но факты остаются относительно устойчивыми. В условиях пост-правды эта предпосылка перестаёт работать. Государство может отрицать документированные события, создавать альтернативные версии реальности и атаковать институты, производящие достоверное знание: суды, университеты, журналистику, расследовательские организации. Поэтому правозащитные адвокаты становятся epistemic actors — участниками производства и сохранения знания. Авторы выделяют три функции: Fact preservation — сбор и сохранение свидетельств и доказательств. Counter-narrative construction — создание альтернативных официальным версиям описаний событий. Documentation for future accountability — формирование документального массива, который может быть использован для установления ответственности в будущем. Из этого следует важное изменение критериев эффективности адвокатской работы. Проигранное дело не обязательно означает бесполезную работу. Если адвокат сумел зафиксировать свидетельства, сохранить документы и не позволить государству стереть альтернативную версию событий, его деятельность может иметь долгосрочное значение.

Продолжим серию постов с академическими вестями с конференций и воркшопов. В этот раз приглашаем посмотреть нашими глазами на содержание междисциплинарного воркшопа «Авторитаризм и верховенство права: взгляд из Великобритании» (Authoritarianism and the Rule of Law: A UK Perspective). Он прошел в июле 2026 года в Школе права Лидсского университета (University of Leeds, Великобритания). Мероприятие организовала исследовательская группа Legal Professions Research Group, собравшая ведущих ученых, юристов и практиков из Великобритании, Европы, Азии и Северной Америки. Воркшоп был посвящен тому, как авторитарные практики возникают и закрепляются внутри формально демократических правовых систем, какую роль в этом играют юристы и профессиональные институты и какие формы сопротивления оказываются возможными. Центральный вопрос воркшопа: что происходит с правом и юридической профессией, когда государство начинает использовать закон не для ограничения собственной власти, а для её расширения? Следует отметить, что привычного противопоставления демократических и авторитарных режимов не было: участники рассматривали авторитаризацию как процесс, который может происходить через вполне обычные юридические механизмы: изменение законодательства, назначение судей, профессиональное регулирование, государственные контракты, дисциплинарные процедуры и изменение стандартов юридической этики. Второй сквозной вопрос — неоднородность юридической профессии. Одни юристы сопротивляются авторитаризации, другие активно участвуют в ней, третьи приспосабливаются, пытаясь сохранить карьеру, клиентов и возможность продолжать практику. Поэтому профессиональная независимость не гарантирует демократической позиции, а принадлежность к юридическому сообществу сама по себе не делает человека защитником верховенства права. Наконец, в нескольких выступлениях обсуждалось изменение самой природы юридической работы в условиях пост-правды ⤵️

LEAD Lab приглашает в Ереван! 21-23 мая 2027 года на Y-Conference, посвящённой империям и их наследию, LEaD Lab организует отдельную открытую панель: OP 20. When Expertise Crosses Borders: Professionalism and the Afterlives of Empire Организаторы: Екатерина Ходжаева, Арина Дмитриева и Кирилл Титаев. Империи оставляют после себя не только границы и политические институты, но и системы профессионального образования, квалификаций, статусов и признания экспертного знания. Особенно хорошо это становится видно при миграции: оказывается, что знания, дипломы и профессиональный капитал, приобретённые в одной стране, далеко не всегда можно перенести в другую. Что происходит с профессионализмом, когда специалисты пересекают границы? Как меняются профессиональные идентичности, карьеры и сообщества? Почему одни компетенции признаются, а другие обесцениваются? И как в этих процессах продолжают воспроизводиться имперские и постимперские иерархии? В нашей панели уже представлены исследования российских правозащитных адвокатов в эмиграции, трансформации профессионального знания белорусских юристов за рубежом и высококвалифицированных русскоязычных мигрантов на Западных Балканах. Есть место еще для одного или двух докладов! Мы приглашаем исследователей других профессий, стран и исторических контекстов. Нас интересуют признание и непризнание квалификаций, профессиональная деквалификация и репрофессионализация, экспертные сообщества в эмиграции, транснациональные профессиональные сети, перенос знаний и влияние квалифицированной миграции на принимающие общества. И, конечно, совершенно необязательно подаваться именно к нам. На конференции много других открытых панелей, посвящённых различным аспектам империй и их наследию. Дэдлайн 23 ноября 2026 года! 📄 Описание всех открытых панелей 📝 Форма подачи заявки Присылайте свои abstracts, распространяйте CFP среди коллег — и давайте встретимся в Ереване! В мае он прекрасен! #LEADLab #YConference2027 #CallForPapers #SociologyOfProfessions #SocioLegalStudies #MigrationStudies #Empires

Советуем не пропустить хорошую конференцию: Конференция по эмпирическим исследованиям уголовного права — Прага, 20–22 января 2027 года На юридическом факультете Карлова университета пройдёт Mini-Conference of Empirical Criminal Law, организованная совместно сетью Empirical Research on Sentencing и рабочей группой Empirical Criminal Law European Society for Empirical Legal Studies. Конференция посвящена эмпирическому изучению уголовного правосудия и его институтов. В фокусе — не столько преступность и её профилактика, сколько уголовное право и практика его применения. Среди основных тем: — назначение наказания; — принятие решений судьями, прокурорами и полицией; — уголовное законодательство; — институты уголовной юстиции; — администрирование уголовного права; — уголовная политика. Принимаются исследования с разными эмпирическими дизайнами — количественные, качественные, экспериментальные и mixed methods. Можно представить work in progress или воспользоваться новым форматом research refinery для обсуждения продвинутого исследовательского проекта, например планируемого эксперимента. Дедлайн подачи заявок и регистрации — 12 октября 2026 года, 23:59 по центральноевропейскому времени. Участие бесплатное. Подробнее об условиях и подаче заявки: https://law.prf.cuni.cz/empiricalcrime/

Последний доклад с этой секции EUROCRIM Кто с кем «хактивит»: как устроены сети политически мотивированных хакеров Последний доклад на этой секции EUROCRIM был посвящён hacktivism — точнее, ideologically motivated defacements, когда содержание сайта несанкционированно изменяют, чтобы разместить политическое или идеологическое сообщение. Исследователи решили посмотреть не столько на содержание этих сообщений, сколько на социальную структуру самого hacktivism: кто действует вместе с кем, какие группы образуются и как связаны между собой разные участники. Для этого использовали базу Zone-H, куда сами defacers сообщают об атаках и где сохраняются snapshots изменённых страниц. Массив охватывает период с января 2010 по декабрь 2023 года и содержит около 230 000 ideologically related defacements. Вручную разобрать такой массив практически невозможно, поэтому для классификации страниц исследователи использовали большие языковые модели. Из текстов извлекались имена хакеров, названия групп и другие упомянутые участники. В результате получилось около 25 000 уникальных hacker names и примерно 16 000 групп или конфигураций участников. Здесь сразу возникает очень знакомая проблема очистки данных: один и тот же хакер может писать свой nickname немного по-разному. Поэтому часть узлов, которые сейчас выглядят как разные люди, вероятно, после дальнейшей очистки данных сольются. Авторы специально подчёркивали, что эта работа ещё продолжается. Но уже сейчас в данных видны разные сетевые структуры. Есть chains — цепочки участников, последовательно связанных друг с другом. Есть cliques – небольшие группы, где практически каждый взаимодействует с каждым. И есть “звезды” с одним или двумя центральными участниками, вокруг которых появляются разные коллаборации. А есть большие сети, внутри которых видны отдельные небольшие группы, соединённые между собой одним человеком. При этом за большой красивой визуализацией скрывается важная эмпирическая деталь: большинство defacers вообще действуют в одиночку или вдвоём. Из примерно 16 000 выделенных конфигураций лишь около 600 включали трёх и более участников. Одновременно видны отдельные центральные акторы, которые сохраняются в данных долгое время, но совершают хактивности с разными людьми. В зале сразу возник вопрос о времени. Когда мы строим одну сеть сразу по данным за 2010–2023 годы, связь между двумя группами через одного человека выглядит как элемент устойчивой сетевой структуры. Но действительно ли эти группы существовали одновременно? Вполне возможно другое объяснение: человек сначала состоял в одной группе, затем произошёл конфликт, распад или просто смена участников — и спустя несколько лет он оказался уже в другой. Тогда на агрегированном графе он выглядит как мост между двумя сообществами, хотя исторически перед нами не единая сеть, а последовательность разных групп. Авторы согласились, что временная динамика здесь принципиальна, и как раз позволяют поставить следующий вопрос: можно ли проследить, как группа возникает, меняет состав, распадается, а отдельные участники переходят между разными конфигурациями. Пока проект находится ещё на стадии очистки данных и первоначального анализа. Это заодно хороший методологический пример для сетевого анализа вообще. Большая сеть, построенная по многолетнему массиву данных, очень легко производит впечатление существующей социальной структуры. Но часть её связей может никогда не существовать одновременно. Иногда network нужно читать не только как пространство связей, но и как историю. #EUROCRIM2026 #Hacktivism #Cybercrime #NetworkAnalysis #SocialNetworks #DigitalMethods #CyberCriminology #EmpiricalCriminology #LEADLab

Ransomware как переговоры: угрозы, скидки и «клиентский сервис» Ещё один доклад на этой секции EUROCRIM был основан на довольно редком типе данных — реальных переговорах между ransomware-группой LockBit и её жертвами. Исследователям удалось скачать данные с dark web и восстановить 147 переговорных цепочек — около 4 000 сообщений между 28 offenders и их жертвами. Переписка охватывала период с декабря 2024 по апрель 2025 года. При этом точное число уникальных жертв установить невозможно: одна и та же организация могла открывать несколько отдельных чатов. В большинстве случаев переговоры начинались так: сумма выкупа за заблокированное устройство не была указана в первоначальной записке. Жертва сама должна была связаться с группой и спросить, сколько от неё хотят. Обычно цену называли сразу. Но иногда преступники сначала изучали финансовое положение жертвы. В одном из чатов они буквально сообщили, что их «team of lawyers» пока анализирует финансовую документацию и поэтому ещё не готова назвать цену. В другом случае жертве вообще предложили самой сделать первое предложение. Разброс первоначальных требований был огромным: примерно от $2 500 до $4,5 млн, в среднем — около $160 000. Из переписки видно, что при определении суммы злоумышленники учитывали выручку или чистый доход организации, объём украденных или зашифрованных данных, географическое положение и другие характеристики жертвы. Причём заявления о том, что преступники изучили финансовое положение компании, были не просто переговорной тактикой. Когда одна из жертв заявила, что не может заплатить требуемую сумму, ей предложили посмотреть на собственную банковскую выписку — и действительно прислали документ с остатком на счёте. В другом разговоре злоумышленники цитировали условия cyber insurance policy самой жертвы, доказывая, что страховка позволяет произвести выплату. Особенностью является то, что переговоры с вымогателями строятся одновременно и на давлении и на доверии. С одной стороны — угрозы. Опубликовать или продать данные. Передать их конкурентам. Связаться с сотрудниками, клиентами и партнёрами. Увеличить сумму выкупа или отменить уже предложенную скидку. В одном разговоре группа даже упоминает собственный колл центр, который, судя по переписке, мог звонить связанным с жертвой людям и дополнительно усиливать давление. С другой стороны, преступникам необходимо убедить жертву, что после оплаты они действительно выполнят обещание. Поэтому они предлагают бесплатно протестировать дешифратор на нескольких файлах, показывают перечень похищенных данных, присылают отдельные файлы как proof of possession (метод проверки безопасности) и постоянно апеллируют к собственной репутации. Логика почти рыночная: «мы давно работаем, нам можно доверять; вы платите — мы возвращаем данные». И, как на вполне обычном рынке, здесь торгуются. В большинстве случаев, когда жертва в итоге платила, она получала скидку. Размер скидки варьировался от 9% до совершенно впечатляющих 92%. Правда, исследователи обнаружили и случаи, когда после оплаты возникали проблемы с дешифратором: заявленная «репутационная гарантия» работала не всегда. А в конце обнаружилась совсем неожиданная трансформация отношений между нарушителем и жертвой. В нескольких разговорах жертвам предлагали присоединиться к LockBit — и некоторые, судя по переписке, были готовы обсуждать возможность самим начать преступную деятельность. Получается довольно необычный нелегальный рынок. Его участники одновременно угрожают друг другу и торгуются, собирают информацию о платёжеспособности клиента, предлагают скидки, демонстрируют качество «продукта» и инвестируют в собственную репутацию. Именно поэтому ransomware здесь интересно рассматривать не только как техническую атаку, но и как организацию обмена в условиях, где принуждение и рыночные механизмы существуют одновременно. #EUROCRIM2026 #Cybercrime #Ransomware #LockBit #IllegalMarkets #CyberCriminology #DigitalMethods #EmpiricalCriminology #LEADLab

#EUROCRIM2026 #Cybercrime #CyberCriminology #Hackers #SituatedLearning #CommunitiesOfPractice #Expertise #SociologyOfProfessions #EmpiricalCriminology #LEADLab

Как становятся хакерами — и обязательно ли вообще становиться экспертом? Следующий доклад на той же секции EUROCRIM был уже не про устройство киберкриминальных рынков, а про траектории самих хакеров: как технически любопытный подросток постепенно переходит от экспериментов с компьютером к criminal hacking. Исследователи проанализировали 21 качественное интервью с мужчинами, занимавшимися cyber-dependent offending в Нидерландах. 14 из них уже были обнаружены и привлечены к ответственности, ещё семь сами рассказывали о своей криминальной активности, но никогда не попадали в поле зрения уголовного правосудия.. Для анализа авторы использовали теорию ситуативного обучения (situated learning theory) — подход в образовательной (педагогической) теории, в котором обучение рассматривается не просто как приобретение знаний, а как участие в сообществе практиков. Новичок сначала находится на периферии сообщества: наблюдает, задаёт элементарные вопросы, выполняет простые задачи. Постепенно он осваивает способы действия, получает признание других участников и может начать воспринимать себя как полноценного участника сообщества. То есть в процессе меняются одновременно и практические и социальные навыки, и появляется профессиональная идентичность/самоопределение. Интересно, как банально начинались многие хакерские траектории. Никакого dark web поначалу могло вообще не быть. Google, GitHub, YouTube, обычные форумы. Человек смотрит туториалы, пытается повторить показанное шаг за шагом, сталкивается с незнакомым термином — гуглит его, находит следующий “урок” пробует снова. Другие, наоборот, последовательно проходили целые серии обучающих материалов по конкретному инструменту. Есть прекрасная деталь про инструменты. Некоторые респонденты специально скачивали скрипты и ПО с сайтов, которыми пользуются cybersecurity professionals и ethical hackers: раз инструменты предназначены для легального применения, рассуждали они, меньше вероятность самим скачать вредоносное ПО. А затем полученный из «надёжного» источника инструмент использовали для заражения чужого компьютера. Обучение происходило и через других людей. Сначала новичка могли попросить поправить кусок кода или написать небольшую программу. Затем задачи постепенно становились серьёзнее. А переход из большого форума в небольшую устойчивую группу оказывался особенно важным: такие группы часто формировались уже вокруг конкретной преступной операции. Некоторые участники описывали возникшие там отношения как отношения доверия и союзничества или буквально partners in crime. Но самый интересный результат доклада — экспертиза вовсе не обязательно развивается вместе с нарушениями закона. Все начинали примерно на периферии сообщества — как lurkers или script kiddies. Одни постепенно учились производить собственные инструменты, становились заметными участниками сообщества и приобретали репутацию. Другие там и оставались: сами ничего не создавали, иногда даже не понимали, как устроен используемый ими инструмент. Если программа переставала работать, они не чинили её — просто находили другую. И при этом тоже совершали преступления. Получается важное расхождение между двумя траекториями, которые легко принять за одну: trajectory of expertise и trajectory of offending. Чтобы перейти к criminal hacking, необязательно сначала стать технически компетентным хакером. Современная цифровая инфраструктура позволяет пользоваться уже существующими знаниями и инструментами, не становясь их производителем. На это исследование, по нашему мнению, можно посмотреть и через sociology of professions and expertise. Ведь здесь фактически описывается производство экспертизы: периферийное участие, разделение новичков и признанных участников, репутация, специализация, формирование идентичности. И тогда вопрос можно поставить немного иначе: не только как именно люди обучаются киберпреступлениям, но и как внутри этих сообществ производится — или, что неожиданно, оказывается необязательной — сама экспертиза.

Сколько стоит взломанный компьютер? Экономика Genesis Market На той же секции EUROCRIM Hannah Kuhn, PhD candidate, представила исследование Genesis Market — одного из крупных рынков, где продавался доступ к уже скомпрометированным компьютерам. Рынок существовал в clear web и был закрыт FBI в 2023 году. Продавался там, по сути, не компьютер и не отдельный украденный пароль, а готовый цифровой профиль жертвы — bot: набор данных, полученных с заражённого устройства. В него могли входить cookies, browser fingerprints, сведения об операционной системе и другие данные, позволяющие покупателю использовать уже скомпрометированную систему. Исследователей заинтересовал довольно простой вопрос: как вообще формируется цена такого товара на нелегальном рынке? Для обычного рынка мы можем предполагать, что цена в какой-то степени сигнализирует о качестве товара. Но на криминальном рынке возникает дополнительная проблема доверия. Покупатель не может обратиться в службу защиты потребителей, если продавец продал ему бесполезный доступ. Поэтому цена и характеристики товара могут одновременно работать как signals of quality, credibility and risk. Авторы соединяют здесь rational choice perspective Cornish and Clarke с signalling theory Gambetta: покупатель сопоставляет ожидаемую выгоду, цену и риски, но вынужден одновременно искать признаки того, что продавцу и предлагаемому товару вообще можно доверять. И данные здесь впечатляющие. Исследователи собрали информацию с Genesis Market за период с декабря 2017 по март 2022 года — в общей сложности о 262 018 bots. Для каждого были доступны характеристики вроде количества браузеров, cookies, наличия fingerprint, операционной системы, региона происхождения и скидки. Причём Kuhn анализировала не просто среднюю связь каждой характеристики с ценой. Использовался conjunctive analysis of case configurations: исследователей интересовали комбинации характеристик, которые особенно часто встречаются среди необычно дешёвых или, наоборот, необычно дорогих предложений. Например, overpriced bots чаще содержали большое количество cookies, происходили из Европы и Северной Америки и не продавались со скидкой. Для operating system и региона тоже обнаруживались устойчивые комбинации. А вот для самих скидок такой ясной структуры исследователи не увидели. После доклада из зала прозвучал очень правильный вопрос: хорошо, мы научились предсказывать, какие комбинации характеристик связаны с overpricing и underpricing. А что именно это позволяет нам объяснить? Ведь в самом исследовании Cybercrime market не только как места совершения преступлений, но и буквально как рынка (с ценообразованием, информационной асимметрией, сигналами качества и проблемой доверия между участниками etc), нет ничего революционного.. Здесь обнаружилось слабое место исследования. Авторы предполагают, что цена и характеристики bot могут работать как сигналы качества и доверия на рынке, где покупатель особенно рискует быть обманутым. Возможно, через них можно изучать и preferences покупателей — какие скомпрометированные системы для них более привлекательны. Но представленный анализ этого пока непосредственно не показывает: он хорошо описывает структуру pricing, но не позволяет увидеть, как покупатели интерпретируют эти сигналы и как они влияют на их выбор. Получился почти учебный пример того, что очень большой и необычный dataset, сложный метод и обнаруженные patterns ещё не автоматически складываются в объяснение. Между вопросом «какие закономерности есть в данных?» и вопросом «что мы благодаря им узнали о поведении участников криминального рынка?» остаётся ещё один исследовательский шаг. #EUROCRIM2026 #Cybercrime #CyberCriminology #IllegalMarkets #GenesisMarket #DigitalMethods #EmpiricalCriminology #LEADLab

Осталась ровно неделя до первого онлайн-семинар LEADLab по обсуждению исследовательских работ (ваших или тех, что вам интересно разобрать вместе с нами). Ближайший состоится 30 сентября в 11:00 CET и вы еще успеваете на него зарегистрироваться. Тема семинара: Why so many and so few? Premises, strategies, and outcomes of criminal prosecution for systemic crimes of the GDR in the unified Germany (1990–2000s)/ подробности семинара тут ссылка на форму для регистрации на семинар 30 сентября тут Отдельно напомним, что у нас есть общая форма для обмена идеями, новостями и исследовательскими возможностями. Будем на связи. Команда LeadLab

Часть 2 Открыли один black box — получили другой После доклада Asier Moneva про экспериментальный cybercrime market из зала задали довольно простой вопрос: Обычно у нас есть black box offender behavior: мы знаем, что человек совершил преступление, но не видели непосредственно, как он принимал решения и как разворачивался crime commission process. Эксперимент Asier и коллег переворачивает ситуацию. Теперь исследователи прекрасно видят поведение: куда человек зашёл, что проверил, какие команды вводил, пытался ли обойти защиту или получить persistence в системе. Но откуда мы знаем, что все эти люди — преступники? Особенно те самые beginners, которые зашли, немного исследовали машину и не продемонстрировали сложного offending behavior. Это вполне может быть cybersecurity researcher. Журналист. Любопытный программист. Или, в конце концов, полицейский. Ответ Asier был прекрасен своей простотой: «We don't know». Исследователи попытались максимально увеличить вероятность того, что к ним придут именно criminally inclined users: рекламировали фальшивый market только на подфорумах реальных криминальных рынков. Но это всё равно ничего не гарантирует. Security researcher тоже может читать такой форум. А спросить посетителя: «Простите, а вы настоящий преступник?» — по понятным причинам невозможно. Получается очень красивый методологический обмен. При интервью мы лучше знаем, кто перед нами, но видим преступное поведение через его ретроспективный рассказ. В эксперименте мы непосредственно наблюдаем, что человек делает, но хуже знаем, кто именно это делает и с каким намерением. Открыли один black box — появился другой. Но в конце обсуждения выяснилась ещё одна прекрасная деталь про сам эксперимент. Когда команда только собиралась запускать fake cybercrime market, computer scientists, с которыми они работали, предсказывали ему очень короткую жизнь. По их оценке, примерно через два дня посетители поймут, что перед ними fake, сайт раскроют или атакуют — и эксперимент закончится. В реальности market спокойно проработал пять месяцев. И закрыли его вовсе не потому, что киберпреступники разоблачили исследователей. У исследователей просто закончились деньги. Поддержание экспериментальной инфраструктуры и сбор данных обходились примерно в 600–700 евро в месяц. В какой-то момент бюджет исчерпался — и market пришлось закрыть самим. Причём были признаки того, что окружающие воспринимали его вполне всерьёз. Кто-то предложил исследователям business partnership и долю от прибыли. Администраторы криминальных форумов предлагали купить premium space для рекламы market. Сам Asier предположил, что эксперимент мог продержаться так долго именно потому, что площадка была новой и небольшой: она не представляла угрозы другим market actors и просто не была достаточно важной, чтобы кто-то специально занялся её разоблачением. #EUROCRIM2026 #Cybercrime #CyberCriminology #ResearchMethods #DigitalMethods #CrimeScripts #ExperimentalMethods #EmpiricalCriminology #LEADLab

Продолжаем репортажи с EUROCRIM Как наблюдать процесс совершения киберпреступления? На одной из секций EUROCRIM Asier Moneva из Netherlands Institute for the Study of Crime and Law Enforcement (NSCR) и The Hague University of Applied Sciences представил необычный экспериментальный дизайн для исследования того, как киберпреступники принимают решения на ранних стадиях совершения преступления. Эта команда вообще славится такими экспериментами - в прошлые годы они тоже представляли эксперимент на грани этики - создали фишинговые сайты и рассылки и изучали пользователей на виктимное поведение. Исследователей интересовала стадия reconnaissance — сбор информации о потенциальной цели перед атакой. Именно на этой стадии оценивается привлекательность цели, вероятность успешной атаки и связанные с ней риски. В терминах криминологии это часть crime commission process и crime script: последовательности действий и решений, из которых складывается преступление. Наблюдая эту последовательность, можно судить и об expertise потенциального нарушителя — насколько систематично он действует, какие инструменты использует и способен ли обходить защиту. Проблема в данных. Исследования обычно реконструируют crime commission process через интервью с правонарушителями, опросы или полицейские материалы. Но все эти источники описывают преступление ретроспективно: мы имеем дело либо с рассказом самого участника, либо с его реконструкцией правоохранительными органами. Поэтому исследователи поставили другой вопрос: можно ли наблюдать подготовительные действия потенциальных киберпреступников непосредственно в момент их совершения? Для этого команда создала экспериментальный фальшивый cybercrime market и рекламировала его как настоящий. На рынке предлагался доступ к якобы скомпрометированным компьютерам — модель access-as-a-service, существующая на реальных киберкриминальных рынках. Потенциальным покупателям давали 10 минут бесплатного тестового доступа к такому компьютеру. Всё, что они делали внутри системы, записывалось. Таким образом, вместо вопроса «как вы обычно действуете?» исследователи получили возможность непосредственно наблюдать reconnaissance: какие характеристики машины проверяет пользователь, куда заходит, какие данные ищет, пытается ли обойти ограничения или получить устойчивый доступ к системе. Все находившиеся внутри данные при этом были синтетическими. Через Telegram-бот на рынке зарегистрировалось около 100 человек, а записи поведения внутри экспериментальных машин удалось получить для 32 пользователей. Большинство демонстрировали сравнительно базовые reconnaissance capabilities: повторяли действия, прерывали последовательности, проверяли основные характеристики системы. Но несколько пользователей применяли существенно более сложные тактики. Один, например, сумел обойти установленные исследователями ограничения, установить дополнительное программное обеспечение и попытался сохранить доступ к машине. Неожиданным оказался и сам объект интереса пользователей. Исследователи специально создали внутри машин фальшивые базы данных, предполагая, что именно информация станет основной целью. Но многие посетители интересовались прежде всего инфраструктурой: пытались получить persistence, обойти ограничения и сохранить контроль над системой. В итоге получается интересный методологический ход: вместо ретроспективной реконструкции crime commission process исследователи создают контролируемую возможность для действия и фиксируют возникающее поведение непосредственно. Но у такого дизайна возникает свой black box. Мы теперь гораздо лучше видим, что именно делает пользователь. Но откуда мы знаем, что наблюдаем именно преступников? Об этом — в следующем посте. #EUROCRIM2026 #Cybercrime #CyberCriminology #CrimeScripts #ResearchMethods #EmpiricalCriminology

Пока мы обсуждали 200 метров вокруг японского kōban, вспомнили другие исследования, в котором среда — не просто фон для преступности, а само место связано с риском стать её жертвой. Несколько лет назад наш коллега Алексей Кнорре вместе с соавторами исследовал риск огнестрельного насилия в четырёх американских городах — Чикаго, Филадельфии, Нью-Йорке и Лос-Анджелесе.[1] В японском исследовании речь шла о нескольких сотнях метров: зарегистрированная преступность была ниже примерно в пределах 200 метров от полицейского поста, а дальше постепенно росла. У Кнорре и Ко масштаб другой — целые городские территории. Но логика похожая: важно было не просто «в каком городе», а «в какой именно его части» произошло преступление. Исследователи выделили 10% наиболее опасных zip codes и отдельно посчитали риск для молодых мужчин 18–29 лет. А потом сравнили его с риском для американских военнослужащих, служивших в Ираке и Афганистане. Получилось, что в самом опасном zip code Филадельфии годовой риск погибнуть от огнестрельного оружия у молодых мужчин оказался примерно в два раза выше, чем риск для американских военнослужащих в Афганистане. Если считать не только погибших, но и получивших ранения, годовой риск оказаться жертвой огнестрельного насилия составлял около 3,2%. Но это исследование хорошо показывает масштаб пространственной концентрации, а не объясняет, почему одни места оказываются настолько опаснее других. Возникает тот же вопрос, который у нас появился у постера Kudo: а что именно в этом пространстве производит такой эффект? Если у Kudo — маленький spatial effect вокруг конкретного объекта: что происходит с зарегистрированной преступностью, когда мы удаляемся от kōban на несколько сотен метров? То в своей другой работе [2] Кнорре и соавторы попытались посмотреть шире: чем вообще отличаются места, в которых преступность концентрируется, от остальных городских территорий? И разложили spatial concentration на социальные и физические характеристики самого места. Они проанализировали данные о стрельбах за 2018–2021 годы в шести крупных американских городах — уже включая Балтимор и Вашингтон — и сопоставили их с характеристиками городской среды. Например, что делает несколько соседних кварталов в Филадельфии настолько опаснее остальных? Концентрация определённых типов заведений? Социальная структура? Доступность оружия? Предыдущая история насилия? Уличная среда? Или сочетание всего этого? Ответ получается вполне конкретным, хотя и не причинным: прежде всего значение имеют концентрация социально-экономического неблагополучия и характеристики физической среды. Причём concentrated economic disadvantage оказывается самым устойчивым коррелятом: районы с его более высоким уровнем имеют больше стрельб во всех шести городах. Более высокая плотность перекрёстков связана с большим числом стрельб в пяти из шести городов. Стрельбы чаще происходят в районах с высокой долей residential и commercial land use. А вот mixed land use, напротив, в большинстве городов связано с меньшим числом стрельб. Авторы связывают эти результаты с двумя большими объяснительными подходами: social disorganization / informal social control — с одной стороны, и built environment / opportunities for crime — с другой. ___________________________________________ 1. Comparing risks of firearm-related death and injury among young adult males in selected US cities with wartime service in Iraq and Afghanistan B Del Pozo, A Knorre, MJ Mello, A Chalfin - JAMA network open, 2022 2. Alex Knorre, John MacDonald, “Shootings and land use”, Journal of Criminal Justice, 2023

А теперь ответ на вчерашнюю загадку с EUROCRIM. И заодно немного о том, зачем ходить на постерские сессии. EUROCRIM — огромная конференция, больше тысячи участников. И в конце первого дня всех отправили на большую постерскую сессию: в одном пространстве одновременно висит под сотню постеров, рядом стоят их авторы, можно подходить, расспрашивать, спорить. А чтобы поздним вечером участники не разбежались, организаторы ещё и кормили всех бесплатным мороженым. Отличный способ заманить людей посмотреть исследования, которые иначе легко пропустить. И вот среди этих десятков постеров мы нашли исследование Saizo Kudo про японские полицейские посты — kōban. Правы были те, кто в нашей загадке выбрал жилые районы. Эффект близости kōban оказался заметнее, и главное статистически значимым, именно там, где меньше коммерческой застройки. Kudo исследовал 23 специальных района Токио: взял данные о зарегистрированных преступлениях и посмотрел, как их количество связано с расстоянием до ближайшего kōban. Районы отдельно поделил на более и менее коммерческие: порог — 30% территории, отведённой под коммерческое использование. Получилась довольно занятная зависимость. Локальный минимум зарегистрированной преступности — примерно в пределах 200 метров от kōban. Дальше преступность сначала растёт, а затем эффект расстояния постепенно исчезает. Причём эта зависимость гораздо отчётливее и статистически значима именно в менее коммерческих, преимущественно жилых районах. Для обычных больших полицейских участков такого устойчивого эффекта расстояния вообще не обнаружилось. То есть теория police presence / capable guardianship вроде бы работает. Но почему близость полиции эффективнее именно в residential areas, из самого исследования пока непонятно. И вот здесь Ходжаева и ещё один коллега, имени которого мы, к сожалению, не знаем, зависли у постера и начали спорить. Гипотеза Ходжаевой: в коммерческих районах уже существует собственная security infrastructure — охрана магазинов и торговых центров, камеры, сотрудники, которые следят за происходящим и при необходимости вызывают полицию. Поэтому дополнительный эффект от kōban поблизости оказывается меньше. Второй коллега топил за другой механизм: в жилых районах сильнее informal social control. Люди знают свой район и соседей, замечают чужих, взаимодействуют с местной полицией. И маленький полицейский пост тогда работает не просто как физическое присутствие полиции, а как часть локальной системы социального контроля. И сразу появляется ещё куча вопросов. Что именно создаёт этот эффект: видимое присутствие полиции и deterrence? Скорость реакции? Связи с местными жителями? Informal social control? Почему граница проходит примерно на 200 метрах? Одинаков ли эффект для разных видов преступлений? И, наконец, куда девать reverse causality: kōban ведь тоже размещаются в городе не случайным образом. Приходите обсуждать их в комментариях. Но самое прекрасное произошло в конце разговора. Saizo сказал нам примерно следующее: «Вообще-то я сейчас ищу новую тему. Эта ужасно скучная». А два человека перед его постером стали его убеждать: «Да ты что?! Ты просто не понимаешь, сколько у тебя здесь исследовательских вопросов и какие у тебя шикарные данные». Вот за этим, собственно, и стоит ходить на постерские сессии. Иногда очень интересное исследование конференции висит где-то среди сотни других, его автор считает тему скучной, а вы просто пришли за бесплатным мороженым. #EUROCRIM2026