En telefon er den mest informative gjenstanden på de fleste moderne åsteder og den enkleste gjenstanden å ødelegge ved håndtering. Nesten alle feil som gjøres med en telefon, gjøres av noen som prøver å være hjelpsom.
Registrer tilstanden du fant den i, før noe annet. På eller av. Låst eller ulåst. Hva som vises på skjermen. Batterinivå. Om den er tilkoblet. Om den er tilkoblet et nettverk. Disse opplysningene kan ikke lenger fastslås det øyeblikket noen berører den.
Ikke bla gjennom den. Å åpne en melding markerer den som lest, flytter den og endrer tidsstempler som en etterforsker ellers ville ha brukt. Et fotografi av en skjerm du har sveipet gjennom, er et fotografi av en bevisgjenstand du har endret — og du vil bli spurt, under ed, om hva annet du så på.
Ikke slå den på for å «sjekke noe». En enhet som starter opp, kan kjøre planlagte oppgaver, synkronisere og utføre en fjerninstruksjon.
Isoler den fra nettverket. En enhet som forblir tilkoblet, kan slettes fra avstand mens den ligger i en bevispose. Flymodus når enheten allerede er ulåst og retningslinjene tillater det, eller en skjermet pose; noter hva som ble gjort og når.
La den være tilkoblet strøm der den var tilkoblet strøm. Flyktig minne går tapt ved avslutning, og en enhet som går tom for strøm, kan kryptere seg på nytt ved neste oppstart. Batteri og kabel følger med den.
Passkoder gjettes ikke. Forsøk teller mot sletting på mange enheter. Hvis noen tilbyr en kode, registrer hvem som ga den og når.
Kilde. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Dette er ikke. Kriminalteknisk undersøkelse, som utføres av kvalifiserte undersøkere på avbildede kopier med verktøy som lar originalen være uendret. Denne siden handler om de første ti minuttene, før noe av dette er mulig.