Как цифровая криминалистика находит удалённые сообщения и историю браузера
«Я это удалил» и «этого больше нет» — два разных утверждения, и цифровая криминалистика во многом существует именно из-за этого разрыва.
Почему приложения для сообщений особенно восстановимы
Большинство приложений для обмена сообщениями (WhatsApp, Telegram, базы данных SMS/iMessage) хранят переписки в локальном файле базы данных, и «удаление» сообщения в приложении обычно просто помечает эту запись как неактивную внутри базы данных — это не обязательно немедленно убирает лежащие в основе байты из файла.
Это усиливается собственным поведением резервного копирования приложений: многие мессенджеры хранят автоматические локальные резервные копии (для целей собственного восстановления после сбоев), которые криминалистические инструменты могут читать напрямую, иногда содержащие сообщения, уже удалённые из живой, видимой переписки.
История браузера работает похожим образом
Браузеры хранят историю в файлах базы данных SQLite. Удаление истории через интерфейс самого браузера обычно убирает видимые записи, но, как и большинство удалений, не обязательно немедленно обнуляет лежащие в основе данные — криминалистические инструменты вырезания баз данных часто могут восстановить записи из нераспределённого пространства внутри того же файла базы данных.
Что реально определяет восстанавливаемость
| Фактор | Влияние на восстанавливаемость |
|---|---|
| Время с момента удаления | Меньше времени = выше шансы (меньше вероятность перезаписи) |
| Тип хранилища устройства | SSD/флеш-память с TRIM ведёт себя иначе, чем старые хранилища — см. наш гайд по SSD и TRIM |
| Специфичное для приложения поведение резервного копирования | Приложения с автоматическими локальными резервами более восстановимы |
| Продолжало ли устройство использоваться после удаления | Продолжение использования увеличивает шанс перезаписи |
| Статус облачной синхронизации | Если синхронизировано, облачная копия может существовать независимо от локального удаления |
Где это реально применяется
Цифровая криминалистика в этой области встречается в таких контекстах, как: споры об опеке и семейное право, расследования на рабочем месте, дела о мошенничестве и домогательствах, уголовные расследования — везде, где содержание удалённой переписки или сессии браузинга имеет доказательное значение. Техническое восстановление — лишь половина работы; другая половина — сохранение надлежащей цепочки хранения доказательств и подтверждение находок способом, выдерживающим проверку, что и отличает криминалистическую экспертизу от обычного восстановления данных.
Если удалённые сообщения или история браузера имеют отношение к юридическому вопросу или вопросу на рабочем месте, прекратите использовать устройство как обычно и получите надлежащее криминалистическое заключение, прежде чем пытаться что-либо делать самостоятельно — самостоятельные попытки восстановления могут усложнить или подорвать доказательную ценность найденного. Свяжитесь со мной.
Частые вопросы
Можно ли реально восстановить удалённые сообщения WhatsApp или SMS?
Часто да, в зависимости от устройства, сколько времени прошло, и хранит ли само приложение локальные резервные копии базы данных (многие мессенджеры так делают, специально для собственного восстановления после сбоев, и криминалистические инструменты тоже могут это читать).
Удаление истории браузера реально её убирает?
Из видимого списка истории — да, но лежащие в основе файлы базы данных SQLite часто сохраняют удалённые записи в нераспределённом пространстве внутри того же файла, восстановимом криминалистическими инструментами работы с базами данных, похоже на то, как удалённые файлы сохраняются на диске.
Это может делать только правоохранительные органы?
Некоторые инструменты используются в основном правоохранительными органами и лицензированными экспертами, но лежащий в основе принцип — удалённые данные сохраняются, пока их не перезаписали — тот же самый, на который опирается обычное ПО восстановления. Специализированная часть — правильно интерпретировать и подтверждать найденное для использования в качестве доказательства.