Smartfon to najbogatsze źródło informacji o człowieku, jakie nosimy przy sobie: wiadomości, zdjęcia, lokalizacje, historia połączeń i aktywność w aplikacjach. Dlatego w sprawach rozwodowych, gospodarczych czy karnych telefon bywa kluczowym materiałem dowodowym. Najczęstsze pytanie, jakie słyszymy, brzmi: „przecież to usunąłem — czy da się to jeszcze odzyskać?". Odpowiedź zwykle brzmi: częściej niż myślisz — ale nie zawsze.

Dlaczego „usunięte" nie znaczy „zniknęło"

Analiza danych z urządzenia — informatyka śledcza (zdjęcie poglądowe)
Skasowanie wpisu zwykle tylko oznacza miejsce jako „wolne" — dane fizycznie pozostają, dopóki nie zostaną nadpisane.

Kiedy kasujesz plik lub wiadomość, system operacyjny najczęściej nie wymazuje danych fizycznie. Oznacza jedynie zajmowane przez nie miejsce jako „wolne", a rekord znika z widoku aplikacji. Do czasu, aż to miejsce zostanie nadpisane nowymi danymi, treść wciąż istnieje w pamięci urządzenia i można ją odtworzyć narzędziami forensycznymi.

Dochodzi do tego specyfika aplikacji: wiele z nich przechowuje dane w bazach SQLite, gdzie „usunięte" rekordy lądują w obszarach takich jak free pages czy dziennik transakcji (WAL) i bywają odczytywalne jeszcze długo po skasowaniu. Dlatego czas ma znaczenie: im mniej urządzenie było używane po usunięciu, tym większa szansa na odzysk.

Co realnie da się odzyskać

Zakres zależy od modelu, systemu i stanu urządzenia, ale w praktyce najczęściej udaje się odtworzyć:

  • usunięte SMS-y i MMS-y oraz logi połączeń i kontakty;
  • zdjęcia i wideo — często wraz z metadanymi EXIF (data, model aparatu, a bywa że współrzędne GPS);
  • historię lokalizacji i dane z aplikacji map;
  • artefakty z komunikatorów (np. WhatsApp) — zwłaszcza gdy istnieją lokalne kopie lub kopie w chmurze;
  • historię przeglądarki, wyszukiwań i śladów po odinstalowanych aplikacjach.

Osobną wartością są metadane — nawet jeśli sama treść jest niepełna, informacje „kto, kiedy i skąd" potrafią przesądzić sprawę. Bywa, że to właśnie znacznik czasu zdjęcia albo współrzędne z EXIF, a nie sama fotografia, stają się kluczowym elementem materiału dowodowego.

Czego nie da się (albo tylko z trudem)

Uczciwa analiza to także zarządzanie oczekiwaniami. Bardzo trudne lub niemożliwe bywa odzyskanie danych, gdy:

  • urządzenie jest zaszyfrowane i zablokowane, a nie znamy kodu/hasła (nowoczesne telefony szyfrują dane domyślnie);
  • interesujący obszar pamięci został już nadpisany nowymi danymi;
  • komunikator używał wiadomości znikających i pełnego szyfrowania E2E, a lokalna kopia nie zachowała treści;
  • wykonano factory reset na zaszyfrowanym urządzeniu (usunięcie klucza zwykle czyni dane nieodzyskiwalnymi).

Najważniejsza zasada: jeśli podejrzewasz, że telefon zawiera istotne dane — przestań go używać. Każde nowe zdjęcie, wiadomość czy aktualizacja może bezpowrotnie nadpisać to, co chcesz odzyskać.

Kiedy analiza telefonu ma sens

Do informatyki śledczej urządzeń mobilnych klienci trafiają najczęściej w kilku powtarzalnych sytuacjach:

  • Sprawy rodzinne i rozwodowe — odtworzenie skasowanej korespondencji lub zdjęć jako materiał w postępowaniu (z zachowaniem podstaw prawnych).
  • Wyciek danych firmowych — ustalenie, czy z telefonu służbowego kopiowano pliki albo wysyłano je na prywatne skrzynki i nośniki.
  • Podejrzenie stalkerware — telefon działa dziwnie, bateria znika, a ktoś „za dużo wie". Analizę łączymy wtedy z wykrywaniem spyware i wirusów.
  • Oszustwa i wyłudzenia — zabezpieczenie rozmów, wiadomości i śladów kontaktu ze sprawcą.
  • Odzysk po awarii — utrata ważnych danych po zawieszeniu, aktualizacji lub przypadkowym skasowaniu.

W każdym z tych przypadków liczy się nie tylko sama treść, ale też możliwość wykazania jej autentyczności — dlatego kolejność działań i sposób zabezpieczenia urządzenia są równie istotne jak użyte narzędzia.

Jak wygląda profesjonalna analiza forensyczna

Stanowisko do analizy forensycznej urządzeń (zdjęcie poglądowe)
Kluczowa jest nienaruszalność danych — pracuje się na kopii, a nie na oryginale.

Profesjonalna informatyka śledcza różni się od „przeklikania" telefonu przede wszystkim metodyką i wartością dowodową. Chodzi o to, by na żadnym etapie nie zmienić danych na urządzeniu i by każdy krok dało się później odtworzyć oraz zweryfikować. Uproszczony przebieg wygląda tak:

  • Zabezpieczenie — urządzenie izoluje się od sieci (tryb samolotowy / torba Faradaya), by uniemożliwić zdalne czyszczenie danych.
  • Akwizycja — tworzy się wierną kopię (obraz) pamięci; dalsza praca odbywa się na kopii, oryginał pozostaje nienaruszony.
  • Analiza — narzędzia forensyczne odtwarzają usunięte rekordy, bazy aplikacji, metadane i artefakty systemowe.
  • Raport — czytelne zestawienie znalezisk z zachowaniem ciągłości dowodowej, gotowe do wykorzystania np. w postępowaniu.

Ten rygor sprawia, że odzyskane dane mają szansę zostać uznane za wiarygodny dowód. Szczegóły opisujemy przy usłudze informatyka śledcza (forensics), a przy uszkodzonym sprzęcie pomaga odzyskiwanie danych.

Aspekty prawne

Analiza własnego urządzenia jest co do zasady dopuszczalna. Badanie cudzego telefonu wymaga odpowiedniej podstawy — zgody właściciela albo umocowania (np. w ramach postępowania). Bezprawny dostęp do cudzych danych i korespondencji jest karalny, a dowód zdobyty nielegalnie może zostać zakwestionowany. Zakres i sposób działania zawsze ustalamy zgodnie z prawem.

Podsumowanie

„Usunięte" to najczęściej „ukryte", a nie „zniszczone" — dopóki dane nie zostaną nadpisane lub trwale zaszyfrowane. Wiek urządzenia, wersja systemu i to, jak było używane po skasowaniu, w praktyce decydują o realnych szansach na odzysk. Jeśli liczysz na odzysk, najważniejsze jest jedno: nie używaj urządzenia i jak najszybciej przekaż je do analizy. Chcesz sprawdzić, co da się odzyskać z konkretnego telefonu? Skontaktuj się z nami — pierwsza konsultacja jest bezpłatna i poufna.