עשרות פרופילים. אישה אחת. פסק דין של 4.8 מיליון דולר.

חברת שילוח בינלאומית החלה להיתקל שוב ושוב באותן האשמות. עשרות פרופילים הופיעו בפייסבוק, בטיקטוק, באתרי ביקורות, בפורומים מקצועיים ובתגובות לסרטונים של החברה. חלקם הציגו את עצמם כלקוחות לשעבר, אחרים כעובדים לשעבר, בעלי עסקים או אנשי מקצוע מהתחום.

השמות היו שונים, התמונות היו שונות וגם סגנון הכתיבה השתנה. במבט ראשון היה קל לחשוב שמדובר בקבוצה של אנשים בלתי קשורים.

אבל ככל שהמידע הצטבר, משהו התחיל לחזור על עצמו.

אותם אירועים הופיעו שוב בגרסאות מעט שונות, פרטים דומים צצו אצל חשבונות שונים, והכיוון היה עקבי: פגיעה במוניטין של החברה.

השאלה שהגיעה ל־UnderWave הייתה פשוטה:

מי עומד מאחורי הפעילות?

למה כתובת IP לא הייתה נקודת ההתחלה

בחקירות מהסוג הזה, כתובת IP לבדה בדרך כלל אינה מספיקה כדי לייחס פעילות לאדם מסוים. VPN, רשתות סלולריות, תשתיות משותפות ושירותי אחסון יכולים ליצור מרחק גדול בין החשבון לבין האדם שמפעיל אותו.

לכן החקירה התחילה ממיפוי רחב הרבה יותר.

כל פרופיל, דומיין, כתובת דוא״ל, אתר, שם משתמש, תמונת פרופיל, קישור, זמני פעילות ודפוסי ניסוח הונחו על אותה מפה ונבדקו זה מול זה.

המטרה לא הייתה למצוא "ראיית קסם" אחת.

המטרה הייתה לזהות את הקשרים שחוזרים שוב ושוב בין נכסים שנראו בתחילה בלתי קשורים.

אתר קטן שהתברר כמשמעותי

אחד הפרופילים קישר לאתר אישי קטן. במבט ראשון לא היה בו שום דבר יוצא דופן: עמוד בית, כמה מאמרים וטופס יצירת קשר.

אבל האתר הפעיל היה רק שכבה אחת.

בדיקה של היסטוריית הדומיין והתשתית שלו חשפה שינויים שנצברו לאורך השנים: שרתי שמות שהתחלפו, ספקי אחסון שהשתנו ותתי־דומיינים שהופיעו ונעלמו. בתוך ההיסטוריה הזאת החלו להופיע דפוסים שהתחברו גם לדומיינים אחרים.

אחד הדומיינים הישנים הוביל לאתר שנראה בתחילה בלתי קשור לחלוטין. באתר הופיעה כתובת דוא״ל שכבר לא הייתה פעילה, אבל אותה כתובת הופיעה בעבר גם במקומות נוספים ברשת.

משם החקירה המשיכה לחשבונות, שמות משתמש, תמונות, גרסאות קודמות של תוכן ונכסים דיגיטליים נוספים.

אף פרט כזה לא הספיק בפני עצמו.

אבל דומיין הוביל לכתובת דוא״ל. כתובת הדוא״ל הובילה לאתר ישן. האתר הוביל לחשבון נוסף. אותו חשבון השתמש בשם משתמש שכבר הופיע במקום אחר, ומשם נוצר חיבור חזרה לאחד הפרופילים שפעל נגד החברה.

כשהחשבונות הונחו על ציר זמן, הדפוס נחשף

בשלב הזה החקירה עברה מהתוכן עצמו להתנהגות של החשבונות.

כאשר הפעילות הושוותה לאורך זמן, התחיל להופיע רצף שחזר על עצמו: חשבון אחד פרסם, אחר הופיע זמן קצר לאחר מכן, חשבון שלישי הגיב, וחשבון נוסף שיתף או הגביר את אותו מסר.

מה שנראה מבחוץ כמו כמה אנשים שונים התחיל להיראות כמו מערכת מתואמת, או לפחות פעילות שמקורה באותו גורם.

גם הזהויות עצמן שירתו מטרה ברורה.

לקוח, עובד לשעבר, בעל עסק ואיש מקצוע מהתחום סיפרו לכאורה את אותו סיפור מארבע נקודות מבט שונות. כך נוצר הרושם שמספר אנשים בלתי תלויים הגיעו לאותה מסקנה.

בפועל, החקירה החלה לחשוף את הקשרים שחיברו בין הזהויות האלה.

מה היה ממצא, ומה עדיין היה רק חשד

בחקירה מהסוג הזה, החיבור בין הפרטים חשוב, אבל ההפרדה ביניהם חשובה לא פחות.

לכן נבנתה מטריצת ראיות שכללה את הממצא, המקור, המועד ורמת הוודאות. קשרים ישירים הופרדו מקשרים נסיבתיים, ועובדות הופרדו מאינדיקציות שתמכו בכיוון חקירה אך עדיין לא הספיקו לבדן לקביעה.

המטרה הייתה לבנות תיק שבו ברור מה ניתן לבסס, מה מחזק את התמונה ומה עדיין דורש זהירות.

ככל שהחקירה התקדמה, מספר זהויות דיגיטליות נקשרו לאותן תשתיות אינטרנט, כתובות דוא״ל ונכסים דיגיטליים, עד שהקשרים הובילו שוב ושוב לאותה אישה.

מאות פרטים קטנים הובילו לזהות אחת

לא היה רגע אחד שבו הופיעה הראיה שפתרה את החקירה.

היו מאות פרטים קטנים.

דומיינים, חשבונות, כתובות דוא״ל, שמות משתמש, תמונות, זמני פעילות, אתרים ישנים, קשרים בין נכסים ותוכן שנשאר ברשת לאורך השנים.

כאשר כל החיבורים הונחו זה לצד זה, התמונה הפכה ברורה: מספר זהויות מקוונות שנראו בלתי קשורות הופעלו לאורך זמן כחלק מאותה פעילות, שנועדה להגביר את אותו נרטיב וליצור רושם של תלונות עצמאיות מצד אנשים שונים.

מה קיבל הלקוח

הלקוח קיבל הרבה יותר משם.

החקירה הציגה כיצד הפעילות בוצעה, אילו זהויות שימשו בה, אילו נכסים דיגיטליים התחברו זה לזה, מתי הופיעה כל פעילות ואיך כל חוליה בשרשרת נתמכה בממצא נוסף.

בשלב האחרון הממצאים הוסבו לתיק ראיות מסודר. כל ממצא תועד במקורו, נשמרו העמודים והתכנים כפי שהיו בזמן החקירה, והחומר אורגן כך שהצוות המשפטי יוכל לעבור מהממצא למקור, מהמקור לקשר ומהקשר למסקנה.

התיק נמסר לעורכי הדין של החברה ושימש במסגרת ההליך המשפטי.

ההליך הסתיים בפסק דין לטובת החברה ובפיצוי של 4.8 מיליון דולר.

למה נדרשה כאן חקירה דיגיטלית

מה שהתחיל כפרופיל מזויף אחד התברר כרשת של דומיינים, חשבונות, כתובות דוא״ל, נכסים דיגיטליים וזהויות שנבנו והופעלו לאורך זמן.

אפשר להחליף שם. אפשר להחליף תמונה. אפשר לפתוח חשבון חדש ולהציג סיפור אחר.

הרבה יותר קשה למחוק את כל העקבות שנשארו בדרך.

בחקירה דיגיטלית מתקדמת, לא תמיד מחפשים את הראיה האחת שמספרת את כל הסיפור.

לפעמים צריך למצוא מאות עקבות קטנים, להבין אילו מהם שייכים לאותו אדם, ולבנות מהם שרשרת שמובילה חזרה לזהות אחת.