Kryminalistyka informatyczna · Organy śledcze

W jaki sposób weryfikuje się, czy dane dostępowe zostały skradzione lub przekazane innym osobom, jako hipotezę przeciwną?

Czynność wykonana przy użyciu ważnego konta mogła zostać przeprowadzona również przez osobę trzecią.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla organów śledczych

W przypadku zaawansowanych zagadnień badawczych rzadko chodzi wyłącznie o to, czy dany artefakt istnieje. Decydujące znaczenie ma to, czy interpretacja techniczna jest wiarygodna, jakie istnieją hipotezy przeciwne oraz jakich wniosków nie wolno wyciągać na podstawie dostępnych danych.

Podejście badawcze o charakterze technicznym

Sprawdzamy wzorce logowania, nowe urządzenia, zmiany lokalizacji, tokeny, zdarzenia związane z uwierzytelnianiem wieloskładnikowym (MFA) oraz ostrzeżenia dotyczące bezpieczeństwa.

Gdzie leży granica możliwości wypowiedzi

Sama możliwość kradzieży danych dostępowych nie stanowi wiarygodnej alternatywy; musi być poparta konkretnymi dowodami.

Dlaczego LanCologne?

Metoda LanCologne nie jest stosowana w złożonych postępowaniach przygotowawczych w celu jak najskuteczniejszego potwierdzenia istniejącej hipotezy podejrzeniowej. Jej zadaniem jest niezależna weryfikacja konkretnej kwestii technicznej oraz ocena zarówno dowodów obciążających, jak i uniewinniających według tych samych kryteriów merytorycznych.

Baza danych jest jednoznacznie udokumentowana. O ile jest to technicznie możliwe, analiza przeprowadzana jest na zweryfikowanych kopiach zapasowych lub odpowiednich kopiach roboczych. W przypadku wyników mających znaczenie dla podjęcia decyzji nie opieramy się wyłącznie na raportach generowanych automatycznie. Sprawdzane są pochodzenie, logika powstania oraz kontekst systemowy; w razie potrzeby przeprowadzana jest walidacja na podstawie danych pierwotnych lub przy użyciu drugiej, odpowiedniej z merytorycznego punktu widzenia metody.

Szczególnie w przypadku złożonych sytuacji kluczowe znaczenie ma rozróżnienie między odniesieniem do urządzenia, konta, sesji, działaniem użytkownika a osobą fizyczną. Rozróżnia się również między stwierdzeniem pozytywnym, zwykłą zgodnością, brakiem dowodów a wykluczeniem technicznym.

Wyniki są dokumentowane w taki sposób, aby śledczy i prokuratorzy mogli zrozumieć ich zasadniczą treść bez specjalistycznej wiedzy kryminalistycznej. Jednocześnie podstawy techniczne pozostają udokumentowane w sposób umożliwiający ich odtworzenie w celu późniejszej weryfikacji przez innych ekspertów kryminalistycznych, obronę i sąd.

Od zlecenia dochodzeniowego do wiarygodnego zeznania

1Należy precyzyjnie określić przedmiot postępowania wyjaśniającego oraz zakres badania technicznego.
2Sformułować hipotezę obciążającą, hipotezy przeciwne ją podważające oraz możliwe alternatywne wyjaśnienia techniczne.
3Należy udokumentować środki dowodowe, dane wyjściowe, integralność oraz znane luki.
4Określić istotne źródła pierwotne, odniesienia do urządzeń, kont, Server oraz chmury.
5Analiza artefaktów mających znaczenie dla podejmowania decyzji w kontekście ich powstania i systemu.
6W przypadku wyników krytycznych należy niezależnie zweryfikować wyniki analizy i narzędzi.
7Przejrzyste rozwiązywanie problemów związanych z czasem, synchronizacją i wersjami lub dokumentowanie ich jako pozostałej niepewności.
8Oceniać wyniki obciążające i rozładowujące według tych samych kryteriów merytorycznych.
9Należy wyraźnie wskazać ograniczenia wniosków, luki w danych oraz alternatywne wyjaśnienia, które pozostają otwarte.
10Należy udzielić zrozumiałej odpowiedzi na pytanie badawcze i zapewnić możliwość weryfikacji technicznej.

Wyniki obciążające, uniewinniające i niejednoznaczne

Wynik badania pozostaje otwarty. Jeśli kilka wiarygodnych źródeł potwierdza hipotezę badawczą, wyjaśnia się jej związek techniczny. W przypadku wystąpienia wyników sprzecznych lub technicznie uzasadnionego alternatywnego wyjaśnienia, są one dokumentowane na równi z hipotezą. Jeśli baza danych jest niewystarczająca, wyraźnie wskazuje się na brak dowodów.

Powtarzalność i późniejsza kontrola sądowa

Główny wniosek jest sformułowany w sposób zrozumiały dla śledczych i prokuratorów. Jednocześnie podstawy techniczne istotne dla badania są dokumentowane w taki sposób, aby inny wykwalifikowany ekspert w dziedzinie informatyki śledczej mógł odtworzyć istotne ustalenia na podstawie tej samej bazy danych. Ułatwia to późniejsze zapytania, ponowne weryfikacje oraz ewentualne przeprowadzenie postępowania dowodowego przed sądem.

LanCologne jako niezależny zewnętrzny biegły w dziedzinie informatyki śledczej

Gdy organ ścigania musi zlecić dogłębną, niezależną lub powtarzalną analizę złożonej kwestii cyfrowej, firma LanCologne zapewnia wsparcie w postaci obiektywnego i otwartego na różne wyniki badania. Najważniejsze jest udzielenie wiarygodnej odpowiedzi na konkretne pytanie śledcze – z uwzględnieniem wyników przeciwnych, ograniczeń wniosków oraz możliwości technicznej weryfikacji.

Ramy prawne

Kierowanie dochodzeniem oraz ocena prawna pozostają w gestii właściwych organów ścigania. Zgodnie z § 160 kodeksu postępowania karnego prokuratura bada stan faktyczny i ma obowiązek ustalić zarówno okoliczności obciążające, jak i uniewinniające. § 161 kodeksu postępowania karnego reguluje ogólne uprawnienia prokuratury w zakresie prowadzenia postępowania przygotowawczego, a § 163 kodeksu postępowania karnego – zadania policji w postępowaniu przygotowawczym.

W odniesieniu do biegłych zasadniczo zastosowanie mają §§ 72 i nast. Kodeksu postępowania karnego (StPO). Zgodnie z § 161a ust. 1 StPO biegli są zobowiązani do stawienia się na wezwanie prokuratury i przedstawienia swojej opinii. § 82 kodeksu postępowania karnego reguluje formę sporządzania opinii w postępowaniu przygotowawczym. § 78 kodeksu postępowania karnego dotyczy nadzoru sądowego nad działalnością biegłego, o ile nadzór taki ma zastosowanie.

Zabezpieczenie i zajęcie regulują w szczególności §§ 94 i 98 kodeksu postępowania karnego (StPO). § 110 ust. 3 StPO dotyczy przeglądania elektronicznych nośników danych oraz zabezpieczania danych, które mogą mieć znaczenie dla postępowania. O dopuszczalności, zakresie i nakazaniu środków administracyjnych decydują wyłącznie właściwe organy ścigania i sądy.

Zgodnie z § 1 ust. 3 JVEG zlecenie wykonania zadania przez policję lub inne organy ścigania na zlecenie prokuratury lub za jej uprzednią zgodą jest traktowane pod względem wynagrodzenia na równi z zleceniem wydanym przez prokuraturę.

Najczęściej zadawane pytania

W jaki sposób weryfikuje się, czy dane dostępowe zostały skradzione lub przekazane innym osobom, jako hipotezę przeciwną?+
W przypadku zaawansowanych zagadnień badawczych rzadko chodzi wyłącznie o to, czy dany artefakt istnieje. Decydujące znaczenie ma to, czy interpretacja techniczna jest wiarygodna, jakie istnieją hipotezy przeciwne oraz jakich wniosków nie wolno wyciągać na podstawie dostępnych danych.
Jak w praktyce przebiega takie badanie techniczne?+
Sprawdzamy wzorce logowania, nowe urządzenia, zmiany lokalizacji, tokeny, zdarzenia związane z uwierzytelnianiem wieloskładnikowym (MFA) oraz ostrzeżenia dotyczące bezpieczeństwa.
Czy badanie zawsze daje jednoznaczny wynik obciążający lub uniewinniający?+
Sama możliwość kradzieży danych dostępowych nie stanowi wiarygodnej alternatywy; musi być poparta konkretnymi dowodami.
Czy istnieje ku temu podstawa prawna?+
Kierowanie dochodzeniem oraz ocena prawna pozostają w gestii właściwych organów ścigania. Zgodnie z § 160 kodeksu postępowania karnego prokuratura bada stan faktyczny i ma obowiązek ustalić zarówno okoliczności obciążające, jak i uniewinniające. § 161 kodeksu postępowania karnego reguluje ogólne uprawnienia prokuratury w zakresie prowadzenia postępowania przygotowawczego; § 163 kodeksu postępowania karnego określa zadania policji w postępowaniu przygotowawczym. W odniesieniu do biegłych zasadniczo zastosowanie mają §§ 72 i nast. kodeksu postępowania karnego. Zgodnie z § 161a ust. 1 kodeksu postępowania karnego biegli są zobowiązani do stawienia się na wezwanie prokuratury i złożenia opinii biegłej. § 82 kodeksu postępowania karnego reguluje formę sporządzania opinii w postępowaniu przygotowawczym. § 78 kodeksu postępowania karnego dotyczy nadzoru sądowego nad działalnością biegłego, o ile nadzór ten ma zastosowanie. Zabezpieczenie i zajęcie podlegają w szczególności przepisom §§ 94 i 98 kodeksu postępowania karnego. § 110 ust. 3 kodeksu postępowania karnego dotyczy przeglądania elektronicznych nośników danych oraz zabezpieczania danych, które mogą mieć znaczenie dla dochodzenia. O dopuszczalności, zakresie i nakazaniu środków o charakterze administracyjnym decydują wyłącznie właściwe organy ścigania i sądy. Zgodnie z § 1 ust. 3 ustawy o wynagrodzeniach biegłych (JVEG) zlecenie wykonania zadania przez policję lub inne organy ścigania na zlecenie lub za uprzednią zgodą prokuratury jest traktowane pod względem wynagrodzenia na równi z zleceniem przez prokuraturę.

LanCologne – informatyka śledcza dla organów ścigania

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz