Informatyka śledcza · Osoby prywatne

Jak mogę sprawdzić, czy film został zmontowany lub zmodyfikowany?

Filmy są często automatycznie transkodowane, kompresowane lub modyfikowane przez platformy. Nie każda różnica techniczna oznacza manipulację treścią.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla osób prywatnych

Czat, zdjęcia, filmy i zrzuty ekranu mogą mieć istotne znaczenie w sporach prywatnych, cywilnych lub karnych. Ich widoczna forma nie daje jednak automatycznie odpowiedzi na pytania dotyczące pochodzenia, zmian, czasu powstania czy autorstwa.

Podejście badawcze o charakterze technicznym

Analizujemy struktury kontenerów, kodeków, danych czasowych i metadanych, a także istniejące informacje dotyczące cięcia lub transkodowania oraz, w miarę możliwości, porównujemy plik oryginalny z innymi wersjami.

Gdzie leży granica możliwości wypowiedzi

Na podstawie samego przekodowania nie można wywnioskować, że widoczna treść została celowo zafałszowana.

Dlaczego LanCologne?

Dla osób niebędących specjalistami dowody cyfrowe często wydają się bardziej jednoznaczne, niż są w rzeczywistości z technicznego punktu widzenia. Zrzut ekranu może wyglądać na autentyczny, a mimo to być zmodyfikowany. Z drugiej strony brak metadanych lub ponowna kompresja mogą wynikać z zupełnie zwyczajnych przyczyn. Plik może znajdować się na smartfonie, mimo że nie został tam utworzony.

W związku z tym LanCologne rozkłada pozornie proste pytanie „Czy to jest prawdziwe?“ na podpytań, które można zweryfikować technicznie: Czy dostępny jest plik oryginalny? Z jakiej aplikacji lub źródła danych pochodzi? Czy struktury wewnętrzne i metadane są spójne? Czy istnieją odpowiadające mu wpisy w bazach danych, kopiach zapasowych, chmurze lub artefaktach systemowych? Czy plik został wyeksportowany, przekonwertowany lub edytowany? Które z tych operacji da się faktycznie udowodnić?

Szczególnie ważne jest oddzielenie autentyczności od autorstwa. Nawet jeśli wiadomość technicznie znajdowała się na danym koncie, nie oznacza to automatycznie, że wiadomo, która osoba fizyczna ją wprowadziła. Podobnie model aparatu w danych EXIF nie dowodzi bez dodatkowej weryfikacji, które konkretne urządzenie fizyczne utworzyło dany plik.

Preferujemy dane pierwotne zamiast samych przedstawień. Oryginalne wiadomości, bazy danych i oryginalne pliki zazwyczaj zawierają więcej kontekstu technicznego niż zrzuty ekranu, wydruki lub eksporty sporządzone po fakcie.

Wynik pozostaje otwarty. Dokumentujemy w równym stopniu wyniki potwierdzające, zaprzeczające i niejednoznaczne oraz w przystępny sposób wyjaśniamy, jaki jest faktyczny zakres danego stwierdzenia technicznego.

Nasze podejście do pracy

1Określić konkretny przedmiot dowodu: treść, pochodzenie, czas, zmianę lub autorstwo.
2Otrzymać oryginalne urządzenie lub oryginalny plik, o ile są one legalnie dostępne.
3Tworzenie kopii roboczych i dokumentowanie integralności odpowiednich stanów danych.
4Należy wyraźnie odróżniać zrzuty ekranu, eksport i dane pierwotne.
5Przeanalizować strukturę plików, metadane oraz artefakty specyficzne dla aplikacji.
6Interpretować sygnały czasowe zgodnie z ich odpowiednim znaczeniem technicznym.
7Sprawdzić odpowiednie bazy danych, kopie zapasowe, dane w chmurze oraz ślady systemowe.
8Należy odróżnić zwykłą konwersję od przetwarzania platformowego w kontekście celowej manipulacji.
9Nie należy nigdy pozostawiać decyzji wyłącznie automatycznym detektorom manipulacji lub detektorom opartym na sztucznej inteligencji.
10Nie należy utożsamiać autentyczności, pochodzenia, własności i autorstwa.
11Należy udokumentować hipotezy przeciwne oraz luki w danych.
12Przedstawić wynik w sposób zrozumiały i umożliwiający powtórzenie badania przez innego specjalistę.

Autentyczność to nie to samo, co autorstwo

Z technicznego punktu widzenia wiadomość może być autentycznie zapisana na koncie lub urządzeniu, co jednak samo w sobie nie pozwala jednoznacznie ustalić, która osoba fizyczna ją napisała. Takie rozróżnienie zapobiega łączeniu prawidłowych ustaleń technicznych z niepotwierdzonymi twierdzeniami dotyczącymi tożsamości danej osoby.

Dane źródłowe są ważniejsze niż sam obraz wyświetlany na ekranie

Zrzut ekranu może być cenny, zwłaszcza gdy treści znikną później. Jednak w celu przeprowadzenia bardziej szczegółowej analizy staramy się dodatkowo pozyskać oryginalne pliki, dane aplikacji, bazy danych lub inne źródła pierwotne. Często zawierają one kontekst, którego brakuje w widocznej prezentacji.

Dlaczego stosuje się metodę LanCologne podczas badania dowodów cyfrowych?

LanCologne nie traktuje treści cyfrowych jako prawdziwych lub fałszywych tylko dlatego, że wydają się wiarygodne. Sprawdzamy dostępne techniczne podstawy dowodowe, dokumentujemy pochodzenie i ograniczenia wniosków oraz przedstawiamy proces dedukcji w taki sposób, aby był on zrozumiały dla klientów indywidualnych, a jednocześnie przejrzysty dla prawników, organów śledczych, sądów lub innych wykwalifikowanych ekspertów z zakresu informatyki śledczej.

Ramy prawne

W przypadku sfałszowanych danych dowodowych o charakterze cyfrowym, w zależności od konkretnego stanu faktycznego, zastosowanie może mieć § 269 niemieckiego kodeksu karnego (StGB). Przepis ten dotyczy, pod spełnieniem określonych warunków, zapisywania lub zmiany danych mających znaczenie dowodowe z zamiarem wprowadzenia w błąd lub wykorzystania odpowiednio zapisanych lub zmienionych danych. To, czy konkretny plik lub wiadomość spełnia wszystkie znamiona przestępstwa, jest kwestią prawną; samo techniczne stwierdzenie manipulacji nie daje na to odpowiedzi.

W przypadku postępowań cywilnych zastosowanie ma § 371 ZPO. Zgodnie z nim dowód z oględzin można przedstawić również poprzez przedłożenie lub przekazanie dokumentów elektronicznych. § 371a ZPO zawiera szczególne przepisy dotyczące mocy dowodowej dokumentów elektronicznych, w szczególności w przypadku kwalifikowanych podpisów elektronicznych oraz określonych publicznych dokumentów elektronicznych. Nie każda zwykła wiadomość na czacie lub plik graficzny posiada zatem automatycznie określoną w tym przepisie szczególną moc dowodową.

W odniesieniu do dowodów z opinii biegłych zastosowanie mają §§ 402 i nast. ZPO. Ekspertyza informatyczno-kryminalistyczna zlecona prywatnie nie stanowi ekspertyzy sądowej wyłącznie ze względu na swoją jakość techniczną. Jej przejrzysta metodologia i zgromadzone podstawy dowodowe mogą jednak mieć znaczenie dla adwokatów oraz dla późniejszej fachowej weryfikacji.

Wartości skrótu stanowią ważne narzędzie służące do zapewnienia integralności, ale nie gwarantują autentyczności pierwotnej treści. Skrót potwierdza, że określony zestaw danych pozostał niezmieniony od momentu jego wygenerowania lub że jest on zgodny bit po bicie z zestawem porównawczym. Nie daje on jednak automatycznej odpowiedzi na pytanie, czy treść została zmodyfikowana przed utworzeniem kopii zapasowej.

LanCologne ocenia dane techniczne i ich znaczenie. Ocena dowodów z punktu widzenia prawa, kwalifikacja prawna pod kątem prawa karnego oraz decyzja o tym, jakie znaczenie w postępowaniu przypisuje się poszczególnym dowodom, należą do kompetencji adwokatów, organów śledczych i sądów.

Najczęściej zadawane pytania

Jak mogę sprawdzić, czy film został zmontowany lub zmodyfikowany?
Czat, zdjęcia, filmy i zrzuty ekranu mogą mieć istotne znaczenie w sporach prywatnych, cywilnych lub karnych. Ich widoczna forma nie daje jednak automatycznie odpowiedzi na pytania dotyczące pochodzenia, zmian, czasu powstania czy autorstwa.
Jak w praktyce przebiega takie badanie techniczne?
Analizujemy struktury kontenerów, kodeków, danych czasowych i metadanych, a także istniejące informacje dotyczące cięcia lub transkodowania oraz, w miarę możliwości, porównujemy plik oryginalny z innymi wersjami.
Czy takie badanie zawsze może dać jednoznaczny wynik?
Na podstawie samego przekodowania nie można wywnioskować, że widoczna treść została celowo zafałszowana.
Czy istnieje ku temu podstawa prawna?
W przypadku sfałszowanych danych dowodowych o charakterze cyfrowym, w zależności od konkretnego stanu faktycznego, zastosowanie może mieć § 269 niemieckiego kodeksu karnego (StGB). Przepis ten, pod spełnieniem określonych warunków, dotyczy zapisywania lub zmiany danych mających znaczenie dowodowe z zamiarem wprowadzenia w błąd, a także wykorzystania danych zapisanych lub zmienionych w ten sposób. To, czy konkretny plik lub wiadomość spełnia wszystkie znamiona przestępstwa, jest kwestią prawną; samo techniczne stwierdzenie manipulacji nie daje na to odpowiedzi. W postępowaniach cywilnych zastosowanie ma § 371 kodeksu postępowania cywilnego (ZPO). Zgodnie z nim dowód z oględzin może zostać przedstawiony również poprzez przedłożenie lub przekazanie dokumentów elektronicznych. § 371a ZPO zawiera szczególne przepisy dotyczące mocy dowodowej dokumentów elektronicznych, w szczególności w przypadku kwalifikowanych podpisów elektronicznych oraz określonych publicznych dokumentów elektronicznych. Nie każda zwykła wiadomość na czacie lub plik graficzny posiada zatem automatycznie określoną w tych przepisach szczególną moc dowodową. W odniesieniu do dowodów z opinii biegłych zastosowanie mają §§ 402 i nast. ZPO. Prywatnie zlecona ekspertyza informatyczno-kryminalistyczna nie stanowi opinii biegłego sądowego wyłącznie ze względu na swoją jakość techniczną. Jednak jego przejrzysta metodologia i zebrana podstawa dowodowa mogą mieć znaczenie dla adwokatów oraz w przypadku późniejszej fachowej weryfikacji. Wartości skrótu (hash) są ważnym narzędziem zapewniającym integralność, ale nie stanowią gwarancji autentyczności pierwotnej treści. Hash dokumentuje, że określony stan danych pozostał niezmieniony od momentu utworzenia skrótu lub jest zgodny bit po bicie ze stanem porównawczym. Nie daje on automatycznej odpowiedzi na pytanie, czy treść została zmanipulowana przed utworzeniem kopii zapasowej. LanCologne ocenia dane techniczne i ich wartość dowodową. Ocena dowodów z punktu widzenia prawa, kwalifikacja prawna w świetle prawa karnego oraz decyzja o tym, jakie znaczenie w postępowaniu przypisuje się poszczególnym dowodom, należą do kompetencji adwokatów, organów śledczych i sądów.

LanCologne – informatyka śledcza dla osób prywatnych

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz