מה הופך ראיה דיגיטלית לראיה שאפשר להסתמך עליה בבית המשפט?

לקוח שולח את ההוכחה: תיקייה מלאה בצילומי מסך שמציגים את ההודעות שפוצצו עסקה, חשפו התחזות או תיעדו אירוע משמעותי. התוכן נראה חד וברור, אבל מכאן ועד לראיה שאפשר לבסס עליה טענה בבית המשפט יש מרחק.

השאלה אינה רק מה מופיע בקובץ. צריך לדעת מאיפה הגיע, מתי נאסף, איך נשמר, האם השתנה בדרך והאם ניתן לחבר אותו באופן אמין לאדם, לחשבון או לאירוע הרלוונטי.

ראיה דיגיטלית אינה רק מה שנראה בזמן אמת. היא מה שאפשר להציג, להסביר ולבסס גם חודשים אחר כך, מול מי שמבקש להטיל ספק בכל שלב בדרך.

מהי ראיה דיגיטלית?

ראיה דיגיטלית היא מידע שנוצר, נשמר או הועבר באמצעים דיגיטליים ושעשוי להיות רלוונטי להליך משפטי, חקירה או בירור עובדתי.

היא יכולה להיות הודעת WhatsApp, תכתובת דוא"ל, צילום או סרטון, רישום פעילות בחשבון, יומן שרת, פרסום ברשת חברתית, עמוד אינטרנט כפי שנראה במועד מסוים, מטא-דאטה של קובץ, רישום עסקה דיגיטלית או מידע שנאסף ממכשיר.

האתגר הוא שמידע דיגיטלי יכול להשתנות במהירות, ולעיתים בלי שינוי שנראה לעין. במקביל, ניתן ליצור ממנו העתקים זהים לחלוטין. לכן הערך הראייתי אינו תלוי רק בתוכן עצמו, אלא גם בדרך שבה הוא אותר, נאסף, נשמר ותועד.

צילום מסך יכול להראות מה הופיע על המסך. הוא לא בהכרח מספר מי יצר את התוכן, אם הוא הוצג כך גם במקור, מה היה סביבו או מה קרה לקובץ מאז שנוצר.

זו בדיוק הסיבה ששימור ראיות דיגיטליות דורש יותר מצילום מסך.

מה תקן ISO/IEC 27037 מכסה בפועל?

ISO/IEC 27037 הוא אחד התקנים המרכזיים לטיפול בראיות דיגיטליות, וחשוב להבין גם את גבולותיו.

ISO/IEC 27037 עוסק באופן שבו מטפלים בחומר כך שניתן יהיה לשמור על שלמותו ועל יכולת ההתחקות אחריו. הוא אינו קובע מה משמעות הממצא, איזו מסקנה חקירתית יש להסיק ממנו או כיצד יש לפרש אותו בתוך התמונה הרחבה.

במילים אחרות:

ISO/IEC 27037 מסייע לשמור על שלמות הראיה ועל יכולת ההתחקות אחריה. הוא אינו מחליף את החקירה שנדרשת כדי להבין מה הממצא אומר ובהקשר של איזה אירוע.

לכן גם עבודה טכנית מוקפדת אינה מספיקה בפני עצמה. ניתן לשמר קובץ בצורה מצוינת ועדיין להגיע למסקנה שגויה אם ההקשר, הזהות, ציר הזמן או הקשרים בין הממצאים נותחו בצורה לא נכונה.

ההבחנה הזאת חשובה במיוחד כאשר בוחרים מי יטפל בחומר: יש הבדל בין שמירה נכונה של מידע דיגיטלי לבין היכולת לחקור אותו, לאמת אותו ולחבר אותו לממצאים נוספים.

מה ערך ה־Hash מוכיח, ומה הוא לא מוכיח?

Hash הוא מעין טביעת אצבע מתמטית של קובץ דיגיטלי. אלגוריתם מחשב את תוכן הקובץ ומייצר ערך קבוע. שינוי אפילו קטן בתוכן הקובץ צפוי להפיק ערך שונה לחלוטין.

אם ערך ה־Hash חושב במועד האיסוף ונבדק שוב בהמשך, התאמה בין הערכים מאפשרת להראות שהקובץ שנבדק כעת זהה ברמת התוכן הדיגיטלי לקובץ שתועד קודם.

זה כלי חשוב מאוד לאימות שלמותה של ראיה דיגיטלית.

אבל חשוב להבין גם מה Hash לא מוכיח.

ערך Hash זהה אינו מוכיח שהאדם שמופיע בצילום באמת כתב את ההודעה. הוא אינו מוכיח שהפרופיל שייך לאדם מסוים. הוא אינו מוכיח שהתוכן אמיתי, רלוונטי או קביל. הוא מוכיח דבר צר אך חשוב מאוד: שהקובץ שנבדק לא השתנה ביחס לגרסה שאליה משווים אותו.

גם שינוי שם של קובץ, כשלעצמו, אינו משנה את ה־Hash של תוכנו. לעומת זאת, עריכה, המרה, דחיסה מחדש או פעולות אחרות שמשנות את תוכן הקובץ עשויות לשנות אותו.

לכן Hash הוא חלק משרשרת ההוכחה, לא השרשרת כולה.

מה עלול לשבור שרשרת ראיות?

שרשרת ראיות, או Chain of Custody, מתעדת מה קרה לראיה מהרגע שבו נאספה: מי החזיק בה, מתי הועברה, כיצד נשמרה ואילו פעולות בוצעו בה.

המטרה אינה לייצר בירוקרטיה. המטרה היא לאפשר לאדם שלא היה נוכח בזמן האיסוף להבין מה קרה לחומר בכל שלב.

שלוש טעויות חוזרות על עצמן:

• מישהו נוגע במקור לפני שהוא מתועד פתיחת קובץ, כניסה למכשיר או פעולה אחרת שנראית תמימה עלולות לשנות מטא-דאטה, זמני גישה, קבצי מערכת או מידע אחר שהיה חלק מהמצב המקורי.
• נוצר פער שאף אחד לא תיעד כונן, טלפון או קובץ עוברים מאדם אחד לאחר, אבל לא נרשם מתי, למי ובאיזה מצב. ייתכן שלא קרה להם דבר, אבל בהמשך קשה יותר להראות זאת.
• החומר עובר המרות בלי תיעוד קובץ מיוצא מחדש, נדחס, מומר לפורמט אחר או נשמר באמצעות תוכנה שמשנה את תוכנו. אם לא נשמר המקור ולא תועד מה נעשה בדרך, קשה יותר להתחקות אחר השרשרת.

שרשרת משמורת טובה אינה אומרת שהראיה בהכרח תתקבל בבית המשפט. היא מאפשרת להסביר בצורה מסודרת מה קרה לראיה מהרגע שבו אותרה ועד לרגע שבו מבקשים להסתמך עליה.

מה צריך להופיע בדוח המכיל ראיות דיגיטליות?

דוח טוב צריך לאפשר לאדם שלא השתתף בחקירה להבין מה נעשה ולהתחקות אחר הממצאים בחזרה למקור.

בדרך כלל צריך להיות ברור:

• מה הייתה שאלת הבדיקה.
• איזה חומר התקבל.
• ממי התקבל ומתי.
• באיזה מצב נמצא החומר.
• כיצד בוצעו האיסוף או ההעתקה.
• אילו כלים שימשו בתהליך, כאשר רלוונטי.
• אילו ערכי Hash תועדו.
• אילו ממצאים נמצאו.
• מהו ממצא עובדתי ומהי הערכה מקצועית.
• מה לא ניתן היה לקבוע.

הסעיף האחרון חשוב במיוחד.

חקירה מקצועית אינה מנסה לגרום לכל החומר להסתדר לסיפור מושלם. אם קיימת סתירה, אם מידע מסוים חסר או אם לא ניתן לבסס ממצא ברמת ודאות מספקת, גם זה צריך להופיע.

כך הדוח עושה שני דברים: הוא מציג את הממצאים, והוא מאפשר לבחון על מה הם נשענים.

בהליך משפטי, היכולת הזאת עשויה להיות חשובה לא פחות מהממצא עצמו.

למה צריך לשמר ראיות דיגיטליות מוקדם?

ראיות דיגיטליות הן לעיתים קרובות זמניות.

פרופיל נמחק. פוסט נערך. הודעה מוסרת. אתר משתנה. חשבון נסגר. שירות מפסיק לשמור לוגים ישנים. מצלמת אבטחה דורסת את ההקלטה הקודמת. קישור שהיה פעיל אתמול כבר לא קיים היום.

ברגע שהמידע נעלם, לא תמיד קיימת דרך אמינה לשחזר אותו.

זו הסיבה שאיסוף ושימור ראיות בשלב מוקדם יכולים להיות קריטיים, גם כשההליך המשפטי עצמו עדיין רחוק.

שימור מוקדם אינו אומר שכל חומר יהפוך לראיה או שיוגש לבית המשפט. הוא שומר על האפשרות לבדוק את החומר מאוחר יותר במקום לגלות שהמידע שהיה יכול להכריע את השאלה כבר איננו.

אם יש סיכוי סביר שפרסום, חשבון, תכתובת, קובץ או מקור אחר יהיו חשובים בהמשך, כדאי לחשוב על השימור לפני שחושבים על הניתוח.

ומה לגבי פורנזיקה של טלפונים ניידים?

פורנזיקה של טלפונים ניידים היא תחום מקצועי בפני עצמו.

בדיקה פורנזית של מכשיר יכולה לעסוק בהודעות, רישומי שיחות, נתוני אפליקציות, תמונות, קבצים, נתוני מערכת, מידע על מיקומים ולעיתים גם חומר שנמחק וטרם נדרס.

אבל כדי לבצע הפקה פורנזית מלאה ממכשיר נדרשים בדרך כלל המכשיר עצמו, כלי מעבדה ייעודיים, מתודולוגיה מתאימה ומיומנות שמאפשרת להסביר מה הכלי עשה ומה המשמעות של הממצאים.

UnderWave אינה מבצעת הפקה פורנזית ישירה ממכשירים ניידים כאשר נדרשת עבודת מעבדה מסוג זה.

במקרים שבהם הטלפון עצמו הוא מקור ראייתי מרכזי, ניתן להפנות את ההפקה למעבדה פורנזית מתאימה ולעבוד בהמשך עם התוצרים לצד מידע שנאסף מהרשת, מפלטפורמות, מרשומות וממקורות דיגיטליים נוספים.

העיקרון נשאר זהה: צריך לדעת מה נאסף, כיצד נאסף, מה השתנה בדרך ואיך כל ממצא מתחבר למקור שלו.

איך UnderWave מטפלת בראיות דיגיטליות?

כאשר חקירה כוללת ראיות אלקטרוניות או מידע דיגיטלי, הטיפול מתחיל בהבנה של השאלה שצריך לענות עליה ושל המקורות שעשויים להכיל את המידע הרלוונטי.

החומר נאסף ומתועד באופן שמאפשר להתחקות אחר מקורו, המועד שבו נמצא וההקשר שבו הופיע. במקרים המתאימים מתועדים גם ערכי Hash ומידע טכני נוסף, והחומר נשמר יחד עם התיעוד שמסביר כיצד הגיע לתיק.

משם מתחילה החקירה עצמה.

מידע ממקורות שונים נבדק ומוצלב, זהויות וקשרים נבחנים, צירי זמן נבנים וממצאים משמעותיים מקבלים הערכת ודאות. עובדה מבוססת, אינדיקציה וקצה חוט אינם מוצגים כאילו הם אותו דבר.

כאשר התיק מיועד לעורך דין או להליך משפטי, המטרה היא לספק חומר מסודר ומתועד שהצוות המשפטי יכול לבחון ולהחליט כיצד להשתמש בו.

UnderWave אינה קובעת אם ראיה קבילה בבית המשפט. היא פועלת כדי שהמידע שנאסף יהיה ניתן להתחקות, לבדיקה ולהסבר.

וזה הבדל משמעותי.

ראיה דיגיטלית חזקה אינה מתחילה ביום שבו מגישים אותה לבית המשפט. היא מתחילה ברגע שבו מישהו מבין שהמידע שעל המסך עשוי להיות חשוב, ודואג שלא יאבד את מה שיידרש להוכיח אחר כך.