Телефон — самый информативный объект на большинстве современных мест происшествий, и его легче всего уничтожить при обращении с ним. Почти каждую ошибку при обращении с ним совершает человек, пытающийся помочь.
Зафиксируйте состояние, в котором вы его обнаружили, прежде чем делать что-либо ещё. Включён он или выключен. Заблокирован или разблокирован. Что отображается на экране. Уровень заряда батареи. Подключён ли он к источнику питания. Подключён ли он к сети. Сразу после того, как кто-либо прикоснётся к нему, эти факты уже невозможно будет установить.
Не просматривайте его. Открытие сообщения помечает его как прочитанное, перемещает его и изменяет временные метки, которые в противном случае использовал бы эксперт. Фотография экрана, по которому вы провели пальцем, — это фотография вещественного доказательства, которое вы изменили, — и вас под присягой спросят, что ещё вы просматривали.
Не включайте его, чтобы «проверить кое-что». Включение устройства может запустить запланированные задачи, синхронизацию и выполнить удалённую команду.
Изолируйте его от сети. Устройство, остающееся подключённым, может быть удалённо очищено, пока находится в пакете для хранения вещественных доказательств. Авиарежим, если устройство уже разблокировано и это разрешено правилами, либо экранирующий пакет; зафиксируйте, какой способ был применён и когда.
Оставьте его включённым, если он был включён. При выключении энергозависимая память утрачивается, а устройство, разрядившееся до полного отключения, при следующем запуске может повторно зашифровать данные. Батарея и кабель должны оставаться вместе с ним.
Коды доступа не угадывают. На многих устройствах попытки учитываются при срабатывании функции удаления данных. Если кто-либо сообщает код, зафиксируйте, кто его сообщил и когда.
Источник. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Чем это не является. Судебно-криминалистическим исследованием, которое проводят квалифицированные эксперты на образах данных с использованием инструментов, не изменяющих оригинал. Эта страница посвящена первым десяти минутам, до того как что-либо из этого станет возможным.