Телефон є найінформативнішим об’єктом на більшості сучасних місць подій і його найпростіше знищити необережним поводженням. Майже кожної помилки, якої припускаються з телефоном, припускається хтось, хто намагається допомогти.
Зафіксуйте його стан, у якому ви його виявили, перш ніж робити будь-що інше. Увімкнений чи вимкнений. Заблокований чи розблокований. Що на екрані. Рівень заряду акумулятора. Чи під’єднаний він до мережі живлення. Чи підключений він до мережі. Ці факти стають такими, які вже неможливо встановити, щойно хтось торкнеться телефону.
Не переглядайте його. Відкриття повідомлення позначає його як прочитане, переміщує його та змінює часові позначки, якими інакше скористався б експерт. Фотографія екрана, по якому ви провели пальцем, є фотографією речового доказу, який ви змінили, — і вас під присягою запитають, що ще ви переглядали.
Не вмикайте його, щоб «перевірити щось». Увімкнення пристрою може запустити заплановані завдання, синхронізацію та виконати віддалену команду.
Ізолюйте його від мережі. Пристрій, який залишається підключеним, можна дистанційно очистити, поки він лежить у пакеті для речових доказів. Режим польоту, якщо пристрій уже розблокований і це дозволено правилами, або екранований пакет; зафіксуйте, що саме було зроблено і коли.
Зберігайте живлення в тому стані, у якому його було виявлено. Після вимкнення енергозалежна пам’ять втрачається, а пристрій, акумулятор якого повністю розрядився, під час наступного запуску може повторно зашифрувати дані. Акумулятор і кабель мають залишатися разом із ним.
Коди доступу не вгадують. На багатьох пристроях спроби враховуються до моменту стирання даних. Якщо хтось повідомляє код, зафіксуйте, хто його повідомив і коли.
Джерело. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Чим це не є. Судово-експертним дослідженням, яке проводять кваліфіковані експерти на копіях образів даних за допомогою інструментів, що залишають оригінал без змін. Ця сторінка стосується перших десяти хвилин, до того як будь-що з цього стане можливим.