Kada se privatne poruke otkriju iako im nitko ne bi trebao imati pristup, kada pametni telefon pokazuje neobičnu aktivnost ili kada važna komunikacija iznenada nestane, brzo se javlja sumnja na digitalni upad. Međutim, postoji ključna razlika između sumnjivog opažanja i tehnički provjerljivog neovlaštenog pristupa.

Naše IT forenzičke usluge u Bayreuthu stoga su posebno namijenjene privatnim osobama kojima je potrebna jasnoća o aktivnostima na njihovim pametnim telefonima, računalima ili unutar njihovih digitalnih računa. Umjesto potvrđivanja pretpostavki, objektivno ispitujemo dostupne podatke: Koji digitalni tragovi zapravo postoje? Što se može kronološki rekonstruirati? Koje su izjave tehnički pouzdane – i gdje završava dokazna vrijednost dostupnih podataka?

Nadalje, podržavamo tvrtke, odvjetničke tvrtke i druge klijente u osiguravanju i analizi digitalnih dokaza. Na sveučilišnoj, istraživačkoj i poslovnoj lokaciji poput Bayreutha, to može uključivati ​​ne samo osobne uređaje, već i istraživačke informacije, poslovnu komunikaciju, podatke o tvrtki i tehničko znanje.

Sumnjate li na neovlašteni pristup vašem pametnom telefonu?

Mnoge privatne istrage ne počinju s jednim, jasnim tehničkim incidentom, već s nizom anomalija. Netko drugi zna sadržaj privatnih razgovora. Čini se da su poruke pročitane. Nepoznati uređaj pojavljuje se unutar korisničkog računa. Nakon prekida veze postoji sumnja da bivši partner još uvijek prima informacije.

Takve opažanja treba shvatiti ozbiljno, ali ne i prenagljeno tumačiti.

Neovlašteni pristup ne mora nužno biti putem tradicionalne špijunske aplikacije. Mogući uzroci uključuju poznate pristupne podatke, uređaje koji ostaju prijavljeni, povezane sesije razmjene poruka, sinkronizacije u oblaku ili prethodno dodijeljena dopuštenja.

Forenzička istraga stoga ne uzima u obzir samo pitanje "Je li instaliran špijunski softver?", već i cjelokupnu tehničku sliku.

Forenzika mobilnih telefona za privatne osobe iz Bayreutha

Danas je pametni telefon često najvažniji digitalni dokaz za privatnu osobu. Komunikacija, fotografije, aplikacije za razmjenu poruka, e-pošta, kontakti, korisnički računi i brojni drugi osobni podaci objedinjeni su na jednom uređaju.

Pregled može biti koristan, na primjer ako želite razjasniti:

• postoje li naznake neovlaštenog pristupa,
• mogu li se otkriti neobične aplikacije ili konfiguracije,
• jesu li drugi uređaji povezani s osobnim računima,
• jesu li podaci WhatsAppa ili Messengera još uvijek dostupni,
• može li se izbrisana komunikacija tehnički rekonstruirati,
• hoće li se digitalni pristupni putevi nastaviti nakon razdvajanja,
• mogu li se spremiti relevantne fotografije, poruke ili dokumenti,
• ili treba li digitalne informacije dokumentirati u pravne svrhe.

Koji su podaci zapravo dostupni uvelike ovisi o modelu pametnog telefona, operativnom sustavu, sigurnosnom statusu, enkripciji i tehnički izvedivoj metodi ekstrakcije. Osnove objašnjavamo u članku " Što je forenzika pametnih telefona?".

Hakiranje telefona – koji su tragovi zaista pouzdani?

Brzo pražnjenje baterije, pregrijavanje uređaja, velika potrošnja podataka ili povremeni prekidi rada mogu imati brojne uzroke. Nijedno od ovih zapažanja, pojedinačno gledano, ne dokazuje kompromis.

Od većeg forenzičkog interesa su tehnički artefakti i njihovi međusobni odnosi. Ovisno o uređaju, mogu se ispitati aplikacije, dopuštenja, podaci o računu, sistemski podaci i drugi dostupni tragovi.

Negativan rezultat također se mora ispravno protumačiti. Ako se u pregledanoj bazi podataka ne pronađu pouzdani dokazi, to ne znači automatski da se pristup nije mogao dogoditi ranije.

Opseg nalaza uvijek je ograničen stvarno dostupnom bazom podataka.

Digitalni pristup nakon razdvajanja

Rastava i sukobi u vezama spadaju među najosjetljivija područja privatne IT forenzike. Često postoji sumnja da bivši partner još uvijek ima pristup osobnoj komunikaciji, fotografijama ili drugim informacijama.

Međutim, posebno u dugoročnim vezama, digitalne usluge su često bile postavljene zajednički. Lozinke su bile poznate, tableti su se dijelili, obiteljske značajke su se aktivirale ili su se korisnički računi prijavljivali na više uređaja.

To omogućuje pristup informacijama bez instaliranja tradicionalnog špijunskog softvera.

Ovisno o okolnostima, pametni telefon stoga ne treba promatrati izolirano. Korisnički računi, povezani uređaji, veze putem messengera i druge tehnički izvedive metode pristupa također mogu biti relevantni.

WhatsApp kao dokaz: više od pukog snimka zaslona

Komunikacija putem WhatsAppa često igra središnju ulogu u privatnim sukobima, prijetnjama, slučajevima prijevare i pravnim sporovima.

Snimka zaslona, ​​međutim, dokumentira samo sliku prikazanu na zaslonu. Za detaljniju tehničku procjenu, izvorni izvor podataka je puno relevantniji.

Ovisno o dostupnim opcijama ekstrakcije, mogu se pregledati poruke, informacije o vremenu, dodjele sudionika, mediji, dokumenti, informacije o grupi i drugi WhatsApp artefakti.

Tehničke mogućnosti detaljnije objašnjavamo u odjeljku "Forenzička analiza WhatsApp poruka".

Izbrisane WhatsApp poruke – što je još moguće?

Izjava "izbrisano uvijek znači trajno izgubljeno" jednako je neiskrena kao i obećanje da se svaka izbrisana poruka može vratiti.

Odlučujući faktor je specifična podatkovna situacija.

Ovisno o uređaju i aplikaciji, baze podataka, mediji, sigurnosne kopije ili drugi postojeći artefakti mogu biti relevantni. Starija sigurnosna kopija može sadržavati i informacije koje više nisu vidljive u trenutnim podacima.

Međutim, moderni pametni telefoni koriste enkripciju i složene mehanizme pohrane. Stoga se potpuni oporavak podataka nikada ne može jamčiti.

Ako su izbrisane informacije važne, uređaj treba koristiti što je manje moguće i WhatsApp ne treba prerano ponovno instalirati.

Forenzička analiza fotografija, videozapisa i dokumenata

Nije uvijek riječ o aplikacijama za razmjenu poruka. Privatni sporovi mogu se vrtjeti i oko fotografija, videozapisa, dokumenata ili drugih datoteka.

Prvi korak je utvrditi gdje su dotične informacije izvorno pohranjene. Osim samog pametnog telefona, relevantne mogu biti sigurnosne kopije, sinkronizirani podaci ili drugi uređaji.

Isto vrijedi i za izbrisane datoteke: mogućnosti oporavka ovise o tehnologiji pohrane, šifriranju, procesu brisanja i daljnjoj upotrebi.

iPhone i Android uređaji zahtijevaju različite metode istraživanja.

Moderni iPhone ne može se ispitati kao tradicionalni tvrdi disk. Isto vrijedi i za moderne Android pametne telefone.

Na Apple uređajima, čimbenici poput modela, verzije iOS-a, stanja uređaja i sigurnosne konfiguracije utječu na dostupne opcije. Android uređaji se također značajno razlikuju ovisno o proizvođaču, čipsetu, verziji Androida i sigurnosnoj zakrpi.

Stoga se za svaki uređaj prvo utvrđuje koja je vrsta sigurnosne kopije ili ekstrakcije podataka tehnički dostupna i ima smisla za konkretno pitanje.

Dodatne informacije možete pronaći u našim specijaliziranim člancima o forenzici za iPhone i forenzici za Android.

Računalna forenzika za privatne stvari

Neki digitalni procesi ne mogu se razumjeti isključivo putem pametnog telefona. Windows računala, Macovi i prijenosna računala mogu sadržavati dodatne tragove.

Ovisno o sustavu, mogu se, između ostalog, ispitati aktivnost korisnika, informacije o datotečnom sustavu, podaci preglednika, povezani uređaji i instalirani programi.

To može biti relevantno, na primjer, ako su se na računalu koristili i programi za razmjenu poruka, korisnički račun je bio prijavljen na više uređaja ili su datoteke prenesene između različitih sustava.

Dodatne tehničke informacije mogu se pronaći pod naslovom Što je računalna forenzika ?.

Phishing, online prijevare i kompromitirani korisnički računi

Nakon phishinga ili prijevare, često postoji zabrinutost da je cijeli pametni telefon kompromitiran. Tehnički, to nije nužno slučaj.

Za smislenu istragu, bitno je prvo rekonstruirati što se zapravo dogodilo: Je li poveznica otvorena? Jesu li uneseni podaci za prijavu? Je li datoteka preuzeta? Je li nakon toga bilo neke neobične aktivnosti na računu?

Ovisno o okolnostima, poruke, e-poruke, informacije iz preglednika, preuzimanja i drugi tehnički tragovi mogu biti relevantni.

Forenzička istraga može pomoći u dokumentiranju digitalnog procesa. Međutim, ne može automatski identificirati fizičku osobu koja stoji iza lažnog poslužitelja, telefonskog broja ili korisničkog računa.

Digitalni dokazi za odvjetnike i pravne sporove

U privatnim sporovima, samo pronalaženje informacije često nije dovoljno. Izvor i način na koji je informacija osigurana mogu kasnije biti ključni.

Stoga razlikujemo jednostavan vizualni pregled i provjerljivu forenzičku istragu.

Za podatke relevantne za dokaze dokumentira se koji je predmet istrage bio prisutan, koja je metoda osiguranja korištena i na kojoj je osnovi podataka provedena naknadna analiza.

Za prikladne skupove podataka, hash vrijednosti mogu se koristiti za provjeru njihovog kontinuiranog integriteta. Naš članak o integritetu digitalnih dokaza objašnjava što hash vrijednosti mogu – a što ne mogu – učiniti.

Koji forenzički softver koristimo?

Pametni telefoni, računala i uređaji za pohranu podataka značajno se razlikuju po svojim tehničkim specifikacijama. Stoga ne radimo s jednim univerzalnim rješenjem, već s nekoliko specijaliziranih forenzičkih sustava.

Cellebrite Inseyets

Cellebrite Inseyets se koristi posebno u području mobilne forenzike. Ovisno o uređaju i dostupnim tehnikama ekstrakcije, podaci s pametnih telefona mogu se analizirati na strukturiran način, a relevantni artefakti mogu se procijeniti za odgovarajuće istraživačko pitanje.

Cellebrite digitalni kolekcionar i inspektor

Za računalna istraživanja i istraživanja nosača podataka dostupni su specijalizirani alati poput Cellebrite Digital Collectora i Inspectora za prikupljanje podataka i naknadno ispitivanje digitalnih skupova podataka.

X-Ways forenzika

X-Ways Forensics omogućuje dubinska istraživanja datotečnih sustava, medija za pohranu, particija i drugih računalnih forenzičkih struktura. To može biti posebno važno za detaljne analize datotečnih sustava.

MOBILedit Forensic i MEFF 3 Pro

MOBILedit Forensic i MEFF 3 Pro nadopunjuju mogućnosti mobilnih istraga i mogu otvoriti dodatne puteve analize ovisno o uređaju i zadatku.

Međutim, sam korišteni softver ne određuje kvalitetu rezultata. Automatski generirani rezultati moraju se profesionalno pregledati i procijeniti unutar njihovog tehničkog konteksta. Stoga, softversko izvješće nije automatski stručno mišljenje.

Bayreuth: Sveučilišni grad, istraživačko središte i gospodarsko središte Gornje Frankonije

Bayreuth ima vlastitu namjensku strukturu za digitalne forenzičke istrage. Osim uloge regionalnog centra, grad karakteriziraju sveučilište, istraživačke institucije, javne ustanove, zdravstveni sektor, usluge te proizvodne i tehnološki orijentirane tvrtke.

Veza između znanosti i poslovanja, posebno, znači da digitalne informacije mogu imati vrlo različita značenja. Osim tradicionalnih podataka o tvrtkama, istraživački dokumenti, informacije o projektima, tehnička dokumentacija, statusi razvoja i ostalo znanje mogu biti vrijedni zaštite.

Za forenzičku istragu to znači: cilj nije prikupiti što veću količinu podataka. Ključni faktor je identificiranje onih uređaja i izvora podataka koji su zapravo relevantni za određeno pitanje.

IT forenzika za tvrtke i institucije u Bayreuthu

Poslovni zadaci usredotočuju se na drugačija pitanja od privatnog pregleda pametnih telefona.

Tipične prigode mogu uključivati:

• Sumnja na curenje povjerljivih informacija,
• neuobičajena aktivnost s datotekama prije odlaska zaposlenika,
• Korištenje vanjskih USB uređaja za pohranu,
• izbrisane ili izmijenjene poslovne podatke,
• kompromitirani korisnički računi ili računala,
• incidenti unutarnje sigurnosti,
• Cyber ​​napadi
• ili osiguranje elektroničkih dokaza.

Pogotovo kada se radi o osjetljivim korporativnim ili istraživačkim podacima, opseg istrage treba biti precizno definiran. Ciljana analiza može biti informativnija od nediferencirane evaluacije velikih skupova podataka.

Pronađen USB stick - dokazuje li to krađu podataka?

Ne. Ovo je dobar primjer zašto tehničke nalaze treba pažljivo formulirati.

Pod određenim uvjetima, računalni sustav može dokumentirati da je određeni USB uređaj bio spojen. Međutim, to ne znači automatski da su povjerljive datoteke kopirane na taj uređaj.

Za temeljitiju procjenu potrebno je uzeti u obzir dodatne dokaze. Samo međudjelovanje nekoliko artefakata može potencijalno podržati konkretniji slijed događaja.

Kibernetički incident: Prvo reagirati ili prvo osigurati dokaze?

Oboje mora biti koordinirano.

U slučaju trajnog sigurnosnog incidenta, kontrola štete ima prioritet. Istovremeno, nekoordinirane nove instalacije ili mjere brisanja mogu eliminirati digitalne tragove koji su kasnije potrebni za analizu uzroka.

Stoga bi odluke o tome koje sustave treba izolirati, koje podatke treba sigurnosno kopirati i koje mjere treba dokumentirati trebalo donijeti što je ranije moguće.

Provjerljiva kvaliteta umjesto automatiziranih softverskih izvješća

LB Detektive GmbH ima sustav upravljanja kvalitetom certificiran od strane TÜV NORD-a prema DIN EN ISO 9001, čiji opseg uključuje IT forenziku. Osim toga, stručnjak je certificiran prema DIN EN ISO/IEC 17024.

To su dvije različite razine: Upravljanje kvalitetom odnosi se na definirane organizacijske procese; certifikacija osoblja odnosi se na dokazanu kompetentnost certificirane osobe.

Za klijenta su najvažniji čimbenici transparentni postupci istrage, kontrolirano rukovanje podacima i jasno razdvajanje tehničkih nalaza od stručne interpretacije.

Tri tipične situacije iz naše ispitne prakse

Privatna komunikacija više ne izgleda kao privatna.

Nakon prekida veze, druga osoba ima pristup sadržaju koji bi trebao biti samo na korisnikovom pametnom telefonu. Umjesto da se odmah pretpostavi da se radi o špijunskom softveru, moguće tehničke točke pristupa se sužavaju, a dostupni podaci se zatim sustavno ispituju.

Izbrisane poruke postaju važne u pravnom sporu.

Određena komunikacijska povijest više nije u potpunosti vidljiva. Prvo se ispituje koji su izvori podataka još uvijek dostupni. Tek tada se može procijeniti ima li rekonstrukcija ikakve tehničke izglede za uspjeh.

Podaci tvrtke mogli su procuriti prije nego što je zaposlenik napustio tvrtku.

Neobična aktivnost datoteka događa se unutar usko definiranog razdoblja. Umjesto da se odmah zaključi da se radi o krađi podataka, uspoređuju se relevantni računalni sustavi, vanjski uređaji za pohranu i drugi tehnički tragovi.

Ovako počinje forenzička istraga.

1. Što treba pojasniti?

Ne počinje sa softverom, već sa specifičnim pitanjem. To nam omogućuje da utvrdimo koji digitalni tragovi mogu biti relevantni.

2. Koji su izvori podataka prikladni?

Ovisno o slučaju, važni mogu biti pametni telefoni, računala, uređaji za pohranu podataka, sigurnosne kopije ili druga dostupna spremišta podataka.

3. Koja je sigurnosna metoda prikladna?

Postupak ovisi o uređaju, operativnom sustavu, enkripciji i cilju istraživanja. Identična izrada sigurnosnih kopija bit po bit nije moguća u svakoj tehničkoj konfiguraciji modernih pametnih telefona.

4. Koji dokazi podupiru ili opovrgavaju početnu pretpostavku?

Podaci se ne pretražuju samo za pojedinačne ključne riječi. Relevantni artefakti se klasificiraju tehnički i kronološki te, gdje je to značajno, međusobno koreliraju.

5. Koji se zaključci zapravo mogu izvući iz ovoga?

Rezultati se dokumentiraju na način da se može razlikovati utvrđene tehničke činjenice, stručno tumačenje i neodgovorena pitanja.

Prije istrage: Ove pogreške mogu promijeniti digitalne tragove

• Nemojte prerano resetirati sumnjivi pametni telefon.
• Nemojte sami brisati sumnjivi špijunski softver.
• Nemojte instalirati nikakve nepoznate programe za analizu ili čišćenje.
• Nemojte ponovno instalirati WhatsApp ako ste izbrisali važne poruke.
• Nemojte nepotrebno prepisivati ​​postojeće sigurnosne kopije.
• Uređaj s izbrisanim relevantnim podacima koristite što je manje moguće.
• Dokumentirajte sva neuobičajena izvješća, vremena i zapažanja.

IT forenzika za Bayreuth i Gornju Frankonu

Naše usluge dostupne su privatnim osobama, tvrtkama i odvjetničkim uredima u Bayreuthu i okolnoj Gornjoj Franačkoj regiji. To uključuje, između ostalog, Kulmbach, Hof, Coburg, Forchheim, Bamberg i druge lokacije u tom području.

Za slučajeve koji se odnose na metropolitansku regiju Nürnberga , dostupna je i naša regionalna stranica o IT forenzici za Nürnberg.

Često postavljana pitanja o IT forenzici u Bayreuthu

Mislim da netko prati moj telefon. Što trebam prvo učiniti?

Izbjegavajte nagle promjene na uređaju. Zabilježite ili dokumentirajte sve specifične abnormalnosti i prvo ga provjerite kako biste utvrdili koji je pregled prikladan na temelju vašeg uređaja i pitanja koje se postavlja.

Je li moguće da privatne osobe daju svoje mobitele na pregled?

Da. Neovlašteni pristup, sumnja na špijunski softver, izbrisana komunikacija, problemi s računom i digitalni sukobi nakon razvoda tipični su razlozi za privatne istrage.

Je li moguće utvrditi ima li moj bivši partner pristup mojim podacima?

Ovisno o okolnostima, mogu se istražiti tehnički pristupni putovi. To može uključivati ​​ne samo pametni telefon, već i povezane račune i uređaje. Može li se dokazati određeni pristup ovisi o dostupnim dokazima.

Može li se otkriti sav špijunski softver?

Ne. Takvo jamstvo ne bi bilo tehnički ispravno. Mogućnosti dokaza ovise, između ostalog, o uređaju, operativnom sustavu, potencijalnom napadu, vremenu napada i dostupnim podacima.

Jesu li izbrisane WhatsApp poruke trajno izgubljene?

Ne nužno. U određenim okolnostima, podaci ili drugi relevantni artefakti mogu i dalje biti prisutni. Međutim, potpuni oporavak se ne može jamčiti.

Je li moguće provjeriti je li snimka zaslona WhatsAppa autentična?

Sama snimka zaslona ima ograničenu vrijednost. Ako je dostupan originalni pametni telefon ili odgovarajući izvadak podataka, temeljni komunikacijski podaci mogu biti znatno informativniji.

Može li se pregledati i Mac ili Windows računalo?

Da. Specifičan postupak ovisi o hardveru, operativnom sustavu, enkripciji, stanju uređaja i pitanju na koje treba odgovoriti.

Može li tvrtka utvrditi jesu li podaci kopirani?

Pod odgovarajućim uvjetima, aktivnost datoteka, vanjski uređaji za pohranu i drugi sistemski artefakti mogu se ispitati. Može li se određena operacija kopiranja provjeriti mora se procijeniti na temelju ukupnih dostupnih tragova.

Je li forenzički program dovoljan za istragu?

Softver može izdvajati podatke i prikazivati ​​artefakte. Stručna interpretacija, provjera korelacija i procjena značajnosti nalaza ostaju odgovornost istraživača.

Kako se određuje opseg istrage?

Polazna točka je uređaj, specifična abnormalnost, relevantno vremensko razdoblje i željeni cilj istrage. Iz toga se može zaključiti koje su sigurnosne mjere i analize zapravo potrebne.

Povjerljiva početna procjena za slučaj iz Bayreutha

Ako sumnjate na neovlašteni pristup svom pametnom telefonu, trebate izbrisane komunikacije ili želite osigurati digitalne podatke za spor, nekoliko je detalja ključnih: Koji je uređaj pogođen? Što ste točno primijetili? Koliko dugo sumnjate na ovo? Je li uređaj resetiran, ažuriran ili na neki drugi način modificiran od tada?

U korporativnim slučajevima, važni su i relevantno vremensko razdoblje, pogođeni sustavi i specifična sumnja. Tek tada se utvrđuje koja je sigurnosna i istražna metoda tehnički prikladna.

Daljnja razumljiva objašnjenja o forenzici pametnih telefona, računala i messengera, kao i o očuvanju digitalnih dokaza, mogu se pronaći u našoj bazi znanja.