Làm thế nào để Cảnh sát & Nhà phân tích pháp y khôi phục dữ liệu đã xóa từ điện thoại?

Nếu bạn đã xem một chương trình truyền hình tội phạm trước đây, chắc chắn bạn đã thấy các nhà phân tích trích xuất dữ liệu từ điện thoại. Các thủ tục này thực tế như thế nào và cảnh sát có thể khôi phục ảnh, văn bản và tệp đã xóa khỏi điện thoại không?

Hãy xem xét những gì một nhà phân tích pháp y có thể làm với điện thoại.

Tại sao điều tra pháp y di động lại xảy ra

Một cuộc điều tra pháp y di động diễn ra khi dữ liệu trên điện thoại rất quan trọng đối với một vụ án. Trở lại năm 2014, khi hai cô gái Minnesotan mất tích, pháp y kỹ thuật số đã giúp cảnh sát tìm ra kẻ bắt cóc họ. Nhiều trường hợp khác đã bị phá vỡ bởi thông tin lấy từ điện thoại của nạn nhân hoặc hung thủ.

Ngay cả một thông tin đơn giản, như một tin nhắn văn bản, cũng có thể giúp các nhà điều tra phá án. Lần khác, đó là một bức tranh phức tạp hơn được vẽ bởi nhật ký cuộc gọi đã xóa, dấu thời gian, dữ liệu vị trí địa lý và việc sử dụng ứng dụng.

Lịch sử tìm kiếm có thể chứng minh là buộc tội. Nhiều loại thông tin có thể giúp cảnh sát giải quyết tội phạm — và điện thoại lưu trữ rất nhiều loại thông tin đó.

Ngay cả khi bạn không phải là nghi phạm chính, cảnh sát có thể muốn xem xét điện thoại của bạn. Điện thoại của nạn nhân tội phạm có thể cung cấp cho cảnh sát những dữ liệu có giá trị, đặc biệt nếu những nạn nhân đó mất khả năng lao động hoặc mất tích.

Cảnh sát có thể tìm được gì?

Các nhà phân tích pháp y có thể thực hiện các loại thu thập dữ liệu khác nhau. Đơn giản nhất được gọi là “mua thủ công” và nó liên quan đến việc tìm kiếm thông qua điện thoại. Điều này không tiết lộ dữ liệu đã xóa, vì vậy nó không cho các nhà phân tích biết nhiều.

Một “mua lại hợp lý” cung cấp dữ liệu chi tiết hơn. Điều này liên quan đến việc chuyển dữ liệu từ điện thoại sang PC. Việc chuyển giao này giúp các nhà điều tra pháp y dễ dàng làm việc với dữ liệu nhưng vẫn không có khả năng khôi phục thông tin đã bị xóa.

Khi các nhà điều tra muốn xem dữ liệu ẩn, họ sử dụng “thu thập hệ thống tệp”. Thiết bị di động là cơ sở dữ liệu lớn và việc thu thập hệ thống tệp cho phép người điều tra truy cập vào tất cả các tệp trong cơ sở dữ liệu. Điều này bao gồm các tệp ẩn và gốc, nhưng vẫn không có dữ liệu bị xóa.

Cuối cùng, có một “mua lại vật chất.” Đây là loại chuyển đổi khó nhất, vì nó cần các công cụ đặc biệt để kết xuất một bản sao của bộ nhớ vào một tệp. Tuy nhiên, điều này khiến mọi thứ trở nên trống rỗng – ngay cả các tệp đã bị xóa. Điều này cho phép các thủ tục như khôi phục tin nhắn văn bản pháp y diễn ra.

Cảnh sát có thể khôi phục các tin nhắn văn bản và phương tiện đã xóa không?

Bạn có thể tự hỏi làm thế nào mà cảnh sát có thể đọc được các tin nhắn văn bản đã bị xóa. Trên thực tế, khi bạn xóa nội dung nào đó khỏi điện thoại, nó không biến mất ngay lập tức.

Bộ nhớ flash trong thiết bị di động không xóa tệp cho đến khi nó cần mở thêm dung lượng cho thứ gì đó mới. Nó chỉ đơn thuần là “deindexes” nó, về cơ bản là quên nó đang ở đâu. Nó vẫn còn được lưu trữ, nhưng điện thoại không biết nó ở đâu hay cái gì.

Nếu điện thoại không ghi đè lên dữ liệu đã xóa, một phần mềm khác có thể tìm thấy dữ liệu đó. Việc xác định và giải mã không phải lúc nào cũng dễ dàng, nhưng cộng đồng pháp y có những công cụ cực kỳ mạnh mẽ giúp họ thực hiện quá trình này.

Bạn càng xóa nội dung gần đây thì khả năng nó bị ghi đè càng ít. Nếu bạn đã xóa nội dung nào đó vài tháng trước và sử dụng điện thoại nhiều, rất có thể hệ thống tệp đã ghi đè lên nó. Nếu bạn chỉ mới xóa nó vài ngày trước, thì khả năng cao là nó vẫn còn ở đâu đó.

Một số thiết bị iOS, như iPhone mới hơn, thực hiện thêm một bước. Ngoài việc lập chỉ mục dữ liệu, chúng cũng mã hóa nó — và không có khóa giải mã nào được biết đến. Điều đó sẽ chứng tỏ là cực kỳ khó (nếu không muốn nói là không thể) để vượt qua.

Nhiều điện thoại tự động sao lưu vào máy tính của người dùng hoặc lên đám mây. Có thể dễ dàng trích xuất dữ liệu từ bản sao lưu đó hơn từ điện thoại. Hiệu quả của chiến lược này phụ thuộc vào mức độ gần đây điện thoại đã thực hiện sao lưu và dịch vụ được sử dụng để lưu trữ các tệp.

Loại tệp nào có thể được khôi phục?

Các loại tệp có thể khôi phục có thể phụ thuộc vào thiết bị mà nhà phân tích pháp y đang làm việc. Tuy nhiên, có một số loại cơ bản có khả năng được phục hồi:

• Tin nhắn văn bản và iMessages
• Lịch sử cuộc gọi
• Email
• Ghi chú
• Liên lạc
• Lịch sự kiện
• Hình ảnh và video

Cũng có thể các nhà điều tra có thể theo dõi các tin nhắn WhatsApp đã xóa — trừ khi chúng được mã hóa. Nếu bạn sử dụng Android để lưu trữ tệp, thì những tệp đó cũng có thể vẫn nằm trong bộ nhớ.

Mã hóa dữ liệu điện thoại của bạn thì sao?

Mã hóa thiết bị di động đặt ra một vấn đề lớn cho phân tích pháp y. Nếu người dùng đã sử dụng mã hóa an toàn và không có cách nào để lấy khóa mã hóa, thì sẽ rất khó hoặc không thể lấy được bất kỳ dữ liệu nào từ điện thoại. iTunes thậm chí còn yêu cầu người dùng mã hóa các bản sao lưu mà họ tạo trên máy tính của mình.

Mặc dù điều này làm cho điện thoại ít hữu ích hơn đối với các nhà điều tra pháp y, nhưng có một số cách để vượt qua mã hóa. Một số điện thoại có cửa hậu được tích hợp sẵn cho phép các chuyên gia truy cập vào các tệp. Các nhà điều tra khác có thể đoán hoặc bẻ khóa mật khẩu của bạn.

Tuy nhiên, nếu chúng không thể, những tệp được mã hóa đó sẽ gây ra sự cố nghiêm trọng. Nếu bạn lo lắng về việc kiểm tra pháp y đối với điện thoại của mình (ví dụ: bạn là nhà báo với các nguồn nhạy cảm), bạn nên sử dụng các cài đặt mã hóa an toàn nhất có thể.

Điều gì về WhatsApp?

WhatsApp tạo ra một trường hợp lớn về quyền riêng tư, với các dịch vụ mã hóa đầu cuối và các thực tiễn tốt về quyền riêng tư. Nhưng một cuộc gọi WhatsApp có thể được theo dõi không? Và làm thế nào để cảnh sát khôi phục các tin nhắn WhatsApp đã xóa?

Tại thời điểm viết bài, trang Bảo mật của WhatsApp có một số tin tốt cho những người đam mê quyền riêng tư:

Một số khoảnh khắc cá nhân nhất của bạn được chia sẻ với WhatsApp, đó là lý do tại sao chúng tôi tích hợp mã hóa end-to-end vào ứng dụng của mình. Khi được mã hóa end-to-end, tin nhắn, ảnh, video, tin nhắn thoại, tài liệu và cuộc gọi của bạn sẽ được bảo mật khỏi rơi vào tay kẻ xấu.

Điều này có nghĩa là bẻ khóa hệ thống phòng thủ của WhatsApps sẽ là một thử thách khó khăn đối với ai đó muốn có được thông tin của bạn.

Không chỉ vậy, trên Trung tâm trợ giúp WhatsApp về Thông tin cho Cơ quan Thực thi Pháp luật, nó tuyên bố rằng WhatsApp không lưu trữ tin nhắn trên máy chủ của mình. Công ty sẽ tuân thủ các yêu cầu của cảnh sát, nhưng chỉ “trước khi người dùng xóa nội dung đó khỏi dịch vụ của chúng tôi.”

Tuy nhiên, nó không hoàn hảo. Ví dụ: Ars Technica đã báo cáo rằng, nếu ai đó báo cáo nội dung là không phù hợp với nền tảng, dịch vụ sẽ giải mã một số nhật ký trò chuyện và gửi chúng cho người kiểm duyệt để kiểm tra. Và cơ quan thực thi pháp luật đã quan tâm đến việc xem xét siêu dữ liệu thông tin liên lạc để truy bắt tội phạm.

Có bất kỳ thông tin nào của bạn an toàn không?

Cuối cùng, không có gì đảm bảo khi nói đến điều tra pháp y di động. Không có cách nào để bảo mật hoàn toàn mọi phần dữ liệu trên điện thoại của bạn trước một điều tra viên thông minh và tận tâm. Đồng thời, không có cách nào để truy cập dữ liệu trên mọi điện thoại.

Tuy nhiên, có rất nhiều công cụ liên tục phát triển trên mạng. Những điều này có tính đến bối cảnh luôn thay đổi của việc bảo vệ dữ liệu. Và, tất nhiên, có một số may mắn liên quan.

Như mọi khi, chúng tôi đề xuất những điều tương tự nếu bạn muốn giữ an toàn cho dữ liệu của mình. Mã hóa mọi thứ. Hãy thông minh về vị trí và cách bạn sao lưu. Sử dụng mật khẩu mạnh. Cuối cùng, đừng làm bất cứ điều gì có thể đưa bạn vào tình thế khó khăn của cuộc điều tra pháp y.

Cách khôi phục tin nhắn văn bản đã xóa

Nếu bạn muốn tự mình thực hiện một số pháp y trên điện thoại di động, bạn có thể khôi phục các tin nhắn văn bản đã xóa trên điện thoại của mình. Có một số hạn chế bạn sẽ phải vượt qua, nhưng nó hoàn toàn có thể!

Các bước liên quan khá dài, vì vậy hãy nhớ đọc toàn bộ cách khôi phục tin nhắn văn bản trên Android hoặc iPhone.

Giữ an toàn cho dữ liệu của bạn

Vậy, cảnh sát có thể khôi phục ảnh, văn bản và tệp đã xóa từ điện thoại không? Câu trả lời là có — bằng cách sử dụng các công cụ đặc biệt, họ có thể tìm thấy dữ liệu chưa bị ghi đè. Tuy nhiên, bằng cách sử dụng các phương pháp mã hóa, bạn có thể đảm bảo dữ liệu của mình được giữ riêng tư, ngay cả sau khi xóa.

Đọc tiếp

Giới thiệu về tác giả