IT-forenzika · Posamezniki

Kako lahko preverim, ali je na napravi z operacijskim sistemom Android nameščena stalkerware ali skrite aplikacije za nadzor?

Android omogoča, odvisno od različice in proizvajalca, različne koncepte aplikacij, upraviteljev naprav, pomoči pri uporabi in pooblastil, ki jih je treba upoštevati pri preiskavi.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za posameznike

Digitalno ponovno preiskovanje lahko močno posega v osebno vsakdanje življenje. Hkrati pa lahko skupni računi, stare odobritve ali običajni tehnični postopki povzročijo podoben učinek. Neodvisna preiskava zato ne sme niti zmanjševati pomena zadeve niti prenaglo potrjevati suma.

Tehnični pristop k preiskavi

Preverjamo nameščene pakete, pooblastila, orodja za administratorje in pomoč uporabnikom, sistemske artefakte, konfiguracijo ter razpoložljive omrežne sledi.

Kje je meja izjavljanja

Že samo neobičajno pooblastilo še ne dokazuje tajnega nadzora.

Zakaj LanCologne?

Ob sumu na kiberpreganjanje ali digitalno nadzorovanje je situacija za prizadete osebe pogosto osebno obremenjujoča. Prav zato mora strokovna preiskava strogo razlikovati med opazovanjem, tehnično možnostjo in dejansko dokazanim dogodkom.

LanCologne ne izhaja iz predpostavke, da določena oseba nadzoruje napravo. Oblikujemo konkretna tehnična vprašanja: Ali obstaja neznana vezava naprave? Ali je lokacija aktivno odprta? Ali je bil račun uporabljen iz tuje seje? Ali so prisotne sledi aplikacije za nadzor? Ali obstajajo sledljivi oddaljeni dostopi? Katere običajne tehnične razlage je prav tako mogoče upoštevati?

Preučujemo le naprave, račune in podatke, ki so nam bili zakonito predani. Tehnična analiza ni namenjena vdoru v račune ali naprave drugih oseb.

Sporočila orodij in rezultati skeniranja se ne sprejemajo kot dokaz brez preverjanja. Ključne trditve se, kolikor je mogoče, preverjajo na podlagi primarnih artefaktov, podatkov o računih in neodvisnih sledi.

Tudi negativen izid je rezultat. Če obstoječi podatki ne potrjujejo domnevnega nadzora, se to prav tako jasno dokumentira kot pozitiven dokaz. Kadar podatki ne omogočajo zanesljive ugotovitve, te meje ne nadomeščajo domneve.

Naš način dela

1Zabeležite konkretna opažanja in obdobja, v katerih obstaja sum.

2Prednostno obravnavajte akutna tveganja za osebno varnost pred forenzičnimi vidiki.

3Namesto domnev o storilcih je treba oblikovati tehnična dokazna vprašanja.

4Ustrezne komunikacijske in podatke o računu je treba ohraniti čim bolj nespremenjene.

5Ločeno preučiti ravni naprav, računov, pooblastil in lokacij.

6Posebno pozornost je treba nameniti skupnim računom ali računom, ki so bili v preteklosti skupni.

7Preverjanje hipotez o vohunski programski opremi, programski opremi za nadzorovanje in programski opremi za oddaljeni dostop na podlagi konkretnih dokazov.

8Dokumentiranje opozoril sledilnikov in fizičnih sledilnikov skupaj s podatki o kraju najdbe.

9IP-naslova, računa, naprave in fizične osebe ne smemo enačiti.

10Upoštevajte tako obremenilne kot razbremenilne ugotovitve enakovredno.

11Izrecno navesti vrzeli v podatkih in vprašanja, na katera ni mogoče dati tehničnega odgovora.

12Ugotovitve je treba dokumentirati na razumljiv način, ki ga bodo lahko razumeli odvetnik, policija ali drugi strokovnjaki.

Osebna varnost ima prednost pred popolno zaščito dokazov

Če obstaja konkretna nevarnost, želja po čim bolj popolnih digitalnih dokazih ne sme zavlačevati potrebnih zaščitnih ukrepov. Policijska služba za preprečevanje kriminala v primeru neposredne nevarnosti priporoča klic na policijsko številko za nujne primere. Forenzično zavarovanje in zaščitni ukrepi morajo biti zato v posameznem primeru smiselno usklajeni.

Sum, možnost dostopa in dejanski dostop so tri različne stvari

Prej znano geslo, še vedno aktivna družinska delitev dostopa ali nameščena programska oprema za vzdrževanje na daljavo lahko predstavljajo možnost dostopa. Šele nadaljnje sledi lahko pokažejo, ali je bila ta možnost dejansko izkoriščena. Za pripisovanje uporabe določeni fizični osebi bodo morda potrebni še dodatni dokazi.

Zakaj LanCologne pri kiberpreganjanju in digitalnem nadzoru?

LanCologne ni pooblaščen za tehnično potrditev že ugotovljene domneve o storilcu. Razpoložljive digitalne sledi preverjamo brez vnaprejšnje predpostavke o izidu. Poročilo mora biti razumljivo za zadevno osebo in hkrati dovolj pregledno, da lahko odvetnik, preiskovalni organ ali drug usposobljen IT-forenzik razume bistvene tehnične ugotovitve.

Pravni okvir

§ 238 Kazenskega zakonika ureja nadlegovanje. Ta določba v okviru svojih pogojev zajema ponavljajoče se nepooblaščeno nadlegovanje, ki lahko v znatni meri ovira življenje prizadete osebe. Med drugim so navedeni poskusi vzpostavitve stika prek telekomunikacijskih ali drugih komunikacijskih sredstev, zloraba osebnih podatkov ter dejanja v skladu s §§ 202a do 202c Kazenskega zakonika v škodo prizadete osebe ali njenih bližnjih. § 238(2) Kazenskega zakonika (StGB) kot tipični primer posebej težkega primera navaja tudi uporabo računalniškega programa za digitalno vohunjenje pri ustreznem kaznivem dejanju.

Členi 202a in naslednji Kazenskega zakonika (StGB) so lahko relevantni v primeru nepooblaščenega dostopa do posebej zaščitenih podatkov oziroma določenih oblik prestrezanja ali priprave takšnih dejanj. Iz posameznega tehničnega artefakta ni mogoče samodejno sklepati, ali so izpolnjeni vsi zakonski sestavni elementi kaznivega dejanja.

Zakon o zaščiti pred nasiljem v skladu s svojimi pogoji omogoča sodne zaščitne ukrepe. § 1 Zakona o zaščiti pred nasiljem (GewSchG) na primer navaja prepoved vzpostavljanja stika z oškodovano osebo, tudi z uporabo sredstev za komunikacijo na daljavo. Ta določba pod določenimi pogoji zajema tudi ponavljajoče se nadlegovanje oziroma zasledovanje prek sredstev daljinske komunikacije. Kateri zaščitni ukrep je v konkretnem primeru mogoč, presodita pravni svetovalec in sodišče.

Policijska služba za preprečevanje kriminala priporoča žrtvam kiberpreganjanja, naj do prvega stika s policijo čim bolj v celoti in nespremenjeno ohranijo obstoječe podatke, kot so e-poštna sporočila, zgodovine klepetalnikov, digitalne fotografije ali videoposnetki. V primeru neposredne nevarnosti ima prednost osebna varnost.

LanCologne ne izreka kazenskih obsodb storilcev ali ugotavlja krivde ter ne odloča o zaščitnih ukrepih. Naša naloga je tehnično ugotavljanje dejstev na podlagi zakonito pridobljenih podatkov in njihova pregledna dokumentacija.

Pogosta vprašanja

Kako lahko preverim, ali je na napravi z operacijskim sistemom Android nameščena stalkerware ali skrite aplikacije za nadzor?

Kako poteka takšna tehnična preiskava v praksi?

Preverjamo nameščene pakete, pooblastila, orodja za administratorje in pomoč uporabnikom, sistemske artefakte, konfiguracijo ter razpoložljive omrežne sledi.

Ali lahko takšna preiskava vedno prinese nedvoumni rezultat?

Že samo neobičajno pooblastilo še ne dokazuje tajnega nadzora.

Ali za to obstaja pravna podlaga?

§ 238 Kazenskega zakonika ureja nadlegovanje. Ta določba v okviru svojih pogojev zajema ponavljajoče se nepooblaščeno nadlegovanje, ki lahko v znatni meri moti življenje prizadete osebe. Med drugim so navedeni poskusi vzpostavitve stika prek telekomunikacijskih ali drugih komunikacijskih sredstev, zloraba osebnih podatkov ter dejanja v skladu s §§ 202a do 202c Kazenskega zakonika v škodo prizadete osebe ali njenih bližnjih. § 238(2) Kazenskega zakonika (StGB) kot tipični primer posebej težkega primera navaja tudi uporabo računalniškega programa za digitalno vohunjenje pri ustreznem kaznivem dejanju. Členi 202a in naslednji Kazenskega zakonika (StGB) so lahko relevantni v primeru nepooblaščenega dostopa do posebej zaščitenih podatkov oziroma določenih oblik prestrezanja ali priprave ustreznih dejanj. Iz posameznega tehničnega artefakta ni mogoče samodejno sklepati, ali so izpolnjene vse zakonske sestavine kaznivega dejanja. Zakon o zaščiti pred nasiljem pod določenimi pogoji omogoča sodne zaščitne ukrepe. § 1 Zakona o zaščiti pred nasiljem (GewSchG) na primer navaja prepoved vzpostavljanja stika z oškodovano osebo tudi z uporabo sredstev za komunikacijo na daljavo. Določba pod določenimi pogoji zajema tudi ponavljajoče se nadlegovanje oziroma zasledovanje prek sredstev za komunikacijo na daljavo. Kateri zaščitni ukrep je v konkretnem primeru mogoč, presojata pravna služba in sodišče. Policijska služba za preprečevanje kriminala priporoča žrtvam kiberstalkinga, da do prvega stika s policijo čim bolj popolno in nespremenjeno ohranijo obstoječe podatke, kot so e-pošta, zgodovina sporočil v klepetalnikih, digitalne fotografije ali videoposnetki. V primeru neposredne grožnje ima prednost osebna varnost. LanCologne ne podaja kazenskopravnih ocen storilcev ali krivde ter ne odloča o zaščitnih odredbah. Naša naloga je tehnično ugotavljanje dejstev na podlagi zakonito posredovanih podatkov in njihovo pregledno dokumentiranje.