Kryminalistyka informatyczna · Sądy

Czy można ustalić, kto korzystał z komputera lub smartfona?

Pytanie „Kto korzystał z urządzenia?“ należy do najczęstszych, a jednocześnie najtrudniejszych pytań dowodowych w kryminalistyce informatycznej. Zalogowane konto użytkownika nie stanowi automatycznie dowodu na to, że osoba, której imię i nazwisko widnieje na koncie, sama korzystała z urządzenia. To samo dotyczy smartfona, który należy do danej osoby, ale mógł być używany przez osoby trzecie.

Wysyłaj zapytanie bez zobowiązań

Nie można zatem ustalić pewnego przyporządkowania na podstawie pojedynczego artefaktu. Wynika ona – o ile w ogóle – z łańcucha wzajemnie zgodnych śladów: logowania, stanu urządzenia, profilu użytkownika, danych komunikacyjnych, działań związanych z plikami, kont lokalnych lub w chmurze, ewentualnie wskazówek biometrycznych lub specyficznych dla urządzenia oraz powiązania czasowego z innymi zdarzeniami.

Naszym zadaniem nie jest utożsamianie konta użytkownika z konkretną osobą, lecz wyjaśnienie sądowi, które powiązania są potwierdzone technicznie, prawdopodobne, jedynie możliwe lub niemożliwe do udowodnienia.

Rzeczywista kwestia dowodowa

Jakie informacje mogą zawierać przypisania użytkowników?

W zależności od urządzenia i kontekstu istotne mogą być zdarzenia logowania, konta użytkowników, dane sesji, powiązania z urządzeniami, konta w aplikacjach, ślady komunikacji, informacje o lokalizacji lub sieci oraz aktywność w systemie plików. Kluczowe znaczenie ma korelacja.

Przykład: logowanie do systemu Windows o godz. 10:02, otwarty dokument o godz. 10:05 oraz wiadomość wysłana zaraz potem z konta zalogowanego na tym samym profilu mogą razem dostarczyć więcej informacji niż każdy z tych elementów z osobna. Niemniej jednak należy sprawdzić, czy jako alternatywne wyjaśnienie można rozważyć procesy zautomatyzowane, zdalny dostęp lub korzystanie z konta przez osoby trzecie.

Gdzie leży granica możliwości wypowiedzi

Urządzenia techniczne często są przypisane przede wszystkim do konta, sesji lub urządzenia – niekoniecznie do osoby fizycznej, która z nich korzysta. Ta granica musi być wyraźnie zaznaczona w ekspertyzie.

Dlaczego LanCologne?

W przypadku zleceń sądowych nie ma dla nas znaczenia, który program analityczny jako pierwszy wskaże wynik pozytywny. Decydujące znaczenie ma to, czy na pytanie dowodowe można udzielić merytorycznej odpowiedzi oraz czy odpowiedź ta wytrzyma niezależną weryfikację.

Pracujemy bez z góry przyjętych wniosków, dokumentujemy źródło kluczowych ustaleń i weryfikujemy alternatywne wyjaśnienia techniczne. Właściwa analiza odbywa się zasadniczo na kopii kryminalistycznej lub zbiorze danych zarejestrowanym w sposób zabezpieczający dowody. Oryginałów nie bada się bezpośrednio bez konieczności. W przypadkach, gdy działania na żywo są technicznie niezbędne, ewentualne zmiany wynikające z nich są wyraźnie dokumentowane.

W zależności od stawianego pytania kluczowe wyniki są weryfikowane za pomocą drugiej, odpowiedniej pod względem merytorycznym metody lub bezpośrednio na podstawie surowych danych źródłowych. Wybór narzędzi do tego celu zależy od rodzaju dowodów i stawianego pytania. Decydujące znaczenie mają przydatność, uznanie w środowisku fachowym oraz powtarzalność metody – a nie nazwa produktu.

W naszej ekspertyzie rozróżniamy ustalenia faktyczne, ocenę techniczną oraz pozostałą niepewność. Brak dowodów jest uzasadniony równie starannie, jak dowody potwierdzające.

Tak pracujemy w przypadku zleceń sądowych

Nasza metoda pracy – od zlecenia sądowego do odpowiedzi

1Sprawdzić przedmiot sprawy i kwestię dowodową

W pierwszej kolejności sprawdzamy, czy dana kwestia wchodzi w zakres naszej specjalizacji, na jakich faktach opiera się sąd oraz czy treść lub zakres zlecenia są jednoznaczne. W razie wątpliwości zwracamy się do sądu o wyjaśnienie. Jest to zgodne z § 404a i § 407a ZPO.

2Sprawdź niezależność

Ewentualne przyczyny, które mogłyby budzić wątpliwości co do bezstronności, są sprawdzane przed rozpoczęciem postępowania merytorycznego i w razie potrzeby ujawniane sądowi.

3Jednoznaczne rejestrowanie dowodów

Urządzenia, nośniki danych, kopie zapasowe i udostępnione pliki są identyfikowane i dokumentowane. Stan, w jakim przeprowadzono badanie, zostaje odnotowany.

4Zapewnienie integralności danych

O ile jest to technicznie możliwe, tworzona jest kopia kryminalistyczna lub obraz kryminalistyczny. Wartości skrótu i inne testy integralności służą jednoznacznemu przyporządkowaniu. Oryginał jest zachowywany do celów późniejszych kontroli.

5Wyprowadzenie hipotez badawczych z pytania badawczego

Określamy, jakie ślady potwierdzałyby rzekome zdarzenie, jakie są możliwe wyniki sprzeczne oraz jakie alternatywne wyjaśnienia techniczne należy zbadać.

6Przeanalizować odpowiednie źródła danych

Analizie poddawane są wyłącznie te artefakty, które mają wartość merytoryczną dla rozstrzygnięcia sprawy. Automatyczne trafienia nie są przyjmowane bez weryfikacji.

7Niezależna weryfikacja wyników badań

Ustalenia mające znaczenie dla podjęcia decyzji są – w razie potrzeby – weryfikowane przy użyciu drugiej uznanej metody, z innego punktu widzenia technicznego lub bezpośrednio na podstawie danych surowych.

8Określanie granic wypowiedzi

Wyraźnie sprawdzamy, jakich wniosków nie wolno wyciągać na podstawie tych danych. Wskazujemy na brakujące dane, ewentualne usunięcia, ograniczenia techniczne, niekompletne wyciągi lub sprzeczne ślady.

9Udzielić jednoznacznej odpowiedzi na pytanie dowodowe

Ostateczna odpowiedź wynika z udokumentowanych wyników badań. Nie jest ona sformułowana w sposób bardziej stanowczy, niż pozwalają na to dane.

10Załączyć załącznik techniczny

Główna część tekstu jest zrozumiała również dla osób niebędących ekspertami w dziedzinie informatyki śledczej. Załącznik techniczny zawiera informacje potrzebne niezależnemu ekspertowi w dziedzinie informatyki śledczej do przeprowadzenia fachowej weryfikacji lub sporządzenia kontr ekspertyzy.

Ramy prawne

§§ 403, 404a, 407a i 411 kodeksu postępowania cywilnego (ZPO); § 286 ZPO w odniesieniu do ostatecznej oceny sądowej. W postępowaniu karnym §§ 72 i nast. kodeksu postępowania karnego (StPO).

Biegły dostarcza merytoryczną podstawę faktyczną. Ocena prawna oraz ostateczna ocena dowodów pozostają w gestii sądu.

Najczęściej zadawane pytania

Czy można ustalić, kto korzystał z komputera lub smartfona?+
Pytanie „Kto korzystał z urządzenia?“ należy do najczęstszych, a jednocześnie najtrudniejszych kwestii dowodowych w kryminalistyce informatycznej. Zalogowane konto użytkownika nie stanowi automatycznie dowodu na to, że osoba, której imię i nazwisko widnieje na koncie, faktycznie korzystała z urządzenia.
Jak w praktyce przebiega takie badanie techniczne?+
Nasz sposób działania – od zlecenia sądowego do odpowiedzi Najpierw sprawdzamy, czy pytanie mieści się w zakresie naszej specjalizacji, na jakich faktach opiera się sąd oraz czy treść lub zakres zlecenia są jednoznaczne.
Czy wynik badania daje sądowi jednoznaczną podstawę do wydania orzeczenia?+
Urządzenia techniczne często są przypisane przede wszystkim do konta, sesji lub urządzenia – niekoniecznie do osoby fizycznej, która z nich korzysta. Ta granica musi być wyraźnie zaznaczona w ekspertyzie.
Czy istnieje ku temu podstawa prawna?+
§§ 403, 404a, 407a i 411 kodeksu postępowania cywilnego (ZPO); § 286 ZPO w odniesieniu do ostatecznej oceny dowodów przez sąd. W postępowaniu karnym §§ 72 i nast. kodeksu postępowania karnego (StPO). Biegły dostarcza merytoryczną podstawę faktyczną. Ocena prawna oraz ostateczna ocena dowodów pozostają w gestii sądu.

LanCologne – informatyka śledcza dla sądów

Potrzebują Państwo niezależnej ekspertyzy technicznej w sprawie dowodowej przed sądem? LanCologne bada ślady cyfrowe w sposób obiektywny, przejrzysty i powtarzalny. Dokumentujemy zarówno wyniki pozytywne, jak i brak dowodów oraz ograniczenia techniczne w taki sposób, aby wnioski były zrozumiałe dla sądu i możliwe do weryfikacji merytorycznej przez niezależnego eksperta w dziedzinie informatyki śledczej.

Skontaktuj się z nami już teraz