W poprzednich częściach cyklu omówiliśmy postępowanie patroli interwencyjnych w razie nieoczekiwanego pojawienia się wątku CSAM, zasady zabezpieczania dowodów oraz uzyskiwanie dostępu do danych na nośnikach innych niż urządzenia mobilne. Ten artykuł poświęcamy w całości smartfonom. Tekst kierujemy zarówno do funkcjonariuszy zabezpieczających urządzenia w terenie, jak i do tych, którzy następnie je badają.
Punktem wyjścia jest jedna zasada przewijająca się przez cały artykuł: w przypadku smartfona liczy się czas i świadomość konsekwencji każdej czynności. Wiele danych w telefonie ma charakter ulotny – znika po upływie ustawionego czasu, po restarcie albo po zsynchronizowaniu z siecią. Dlatego każdy ruch funkcjonariusza powinien być wyborem przemyślanym, a nie odruchem. Poniżej układamy te wybory w logiczną kolejność: od zrozumienia stanu urządzenia, przez świadome zabezpieczenie i ewentualną weryfikację treści na miejscu, ocenę profilu sprawcy i zagrożeń antykryminalistycznych (ang. anti-forensics), aż po analizę laboratoryjną i raportowanie.
Stan urządzenia: AFU I BFU
Dwa skróty, które powinien znać każdy, kto styka się z zabezpieczaniem telefonów, to AFU i BFU. Opisują one stan urządzenia i przesądzają o tym, ile danych w ogóle da się z niego pozyskać.
BFU (Before First Unlock – „przed pierwszym odblokowaniem”, stan zimny) to telefon włączony, który od momentu uruchomienia systemu ani razu nie został odblokowany prawidłowym hasłem, PIN-em lub wzorem. W tym stanie zdecydowana większość danych użytkownika pozostaje zaszyfrowana, ponieważ klucze szyfrujące nie zostały jeszcze wygenerowane na podstawie hasła. Ekstrakcja w trybie BFU zwraca bardzo ograniczony zbiór informacji – zwykle podstawowe dane systemowe i część metadanych. Treści, które najbardziej interesują śledczych – zdjęcia, wiadomości, zawartość komunikatorów – najczęściej są niedostępne.
AFU (After First Unlock – „po pierwszym odblokowaniu”, stan gorący) to telefon, który po włączeniu został przynajmniej raz odblokowany. Klucze szyfrujące znajdują się wówczas w pamięci urządzenia, a znacząca część danych użytkownika jest odszyfrowana lub możliwa do odszyfrowania. To właśnie w stanie AFU istnieje realna szansa na szeroką ekstrakcję plików i treści aplikacji, a niekiedy także na uzyskanie hasła.
Praktyczny wniosek jest prosty: stan AFU jest cenniejszy dowodowo niż BFU, a każdy restart lub wyłączenie urządzenia powoduje przejście z AFU do BFU. Po ponownym uruchomieniu telefon wraca do najbezpieczniejszego stanu, a część danych może stać się trwale niedostępna. Stąd opisana w poprzedniej części praktyka: co do zasady nie wyłączamy zabezpieczanego telefonu i utrzymujemy go naładowanym. Trzeba przy tym pamiętać o wbudowanych mechanizmach samoczynnego restartu po określonym czasie bezczynności (omówionych wcześniej na przykładzie urządzeń Apple), które same z siebie potrafią przenieść telefon w stan pełnej blokady. To kolejny argument za niezwłocznym przekazaniem urządzenia do badania.
Zachodnie standardy, w szczególności dokument SWGDE Best Practices for Mobile Device Evidence Collection Preservation Handling and Acquisition (18-F-003-2.0, wersja z 2025 r.), porządkują kolejność akwizycji właśnie według tego kryterium: najpierw ustala się, czy urządzenie jest włączone, następnie czy jest odblokowane i czy znane jest hasło, a dopiero potem dobiera metodę. Świadomy wybór, czy i kiedy zaryzykować przejście w tryb BFU (np. gdy ekstrakcja AFU jest niemożliwa), powinien należeć do specjalisty, a nie wynikać z przypadku czy dostępnych pod ręką narzędzi. Jeżeli telefon jest wyłączony, co do zasady nie należy go uruchamiać na miejscu tylko po to, żeby „sprawdzić, co jest w środku”; każde odstępstwo powinno wynikać z konkretnej potrzeby procesowej i zostać opisane.
Dobre praktyki SWGDE warto traktować jako sprawdzony punkt odniesienia, pamiętając jednak, że powstały w realiach amerykańskich. W polskim postępowaniu obowiązują nas własne ramy – zatrzymanie rzeczy następuje w trybie art. 217 kpk i jest dokumentowane protokołem, badanie urządzenia to oględziny rzeczy w rozumieniu art. 207 kpk, a wiele czynności wymaga postanowienia prokuratora lub sądu. Część rozwiązań organizacyjnych z dokumentu SWGDE (jak rola nakazu przeszukania w modelu amerykańskim) nie przekłada się wprost na polską praktykę, natomiast zalecenia czysto techniczne – izolacja od sieci, utrzymanie zasilania, ograniczenie ingerencji, dokumentowanie każdej zmiany stanu – pozostają w pełni aktualne także u nas.
Świadome zabezpieczenie danych dostępowych
Najważniejsze zasady zabezpieczenia telefonu omówiliśmy w poprzedniej części cyklu (utrzymanie stanu włączonego, izolacja od sieci za pomocą trybu samolotowego i torby Faradaya, wyjęcie karty SIM, zapewnienie zasilania, racjonalny dobór sprzętu, „higiena kryminalistyczna” przy pakowaniu). Tu podkreślmy element o szczególnym znaczeniu – świadome pozyskanie i precyzyjne zapisanie danych dostępowych.
Ustalenie hasła wprost od użytkownika jest często najszybszą i najpewniejszą drogą do danych – znacznie tańszą i mniej ryzykowną niż późniejsze próby obejścia zabezpieczeń. Przy zabezpieczaniu telefonu należy:
• poprosić o podanie wszystkich haseł, PIN-ów i wzorów do urządzenia oraz do najważniejszych aplikacji i kont;
• zapisać hasło na metryczce jednoznacznie – z zachowaniem wielkości liter, wszystkich cyfr i znaków specjalnych (hasła są wrażliwe na wielkość liter);
• w przypadku hasła graficznego (patternu) narysować schemat siatki, oznaczyć kolejność łączenia punktów numerami oraz zaznaczyć kierunek rysowania – sam rysunek bez kolejności i kierunku bywa bezużyteczny;
• zweryfikować zapis, prosząc użytkownika o potwierdzenie lub ponowne narysowanie wzoru, jednak przed próbą odblokowania uwzględnić ryzyko aktywnych mechanizmów zabezpieczających; niektóre urządzenia lub aplikacje mogą być skonfigurowane tak, by automatycznie usunąć dane, zablokować dostęp lub uruchomić inne procedury ochronne już po pierwszej nieudanej próbie uwierzytelnienia; deklarowana współpraca użytkownika nie jest więc wystarczającą gwarancją bezpieczeństwa, a każdą próbę weryfikacji hasła powinna poprzedzać ocena ryzyka utraty danych;
• fakt dobrowolnego przekazania hasła oraz sposób jego wykorzystania należy każdorazowo odnotować w dokumentacji procesowej właściwej dla danej czynności.
Trzeba liczyć się z tym, że podejrzany może celowo podać błędne dane, aby sprowokować wielokrotne nieudane próby i uruchomić mechanizmy ochronne – od opóźnień czasowych po automatyczne kasowanie zawartości. Dlatego liczbę i przebieg prób uwierzytelnienia należy odnotować, a samo testowanie ograniczyć do niezbędnego minimum.
Metryczka stanowi podstawowy element prawidłowego zabezpieczenia procesowego, ponieważ umożliwia jednoznaczną identyfikację urządzenia na każdym etapie transportu, przechowywania i badań. Powinna zostać sporządzona niezwłocznie po zabezpieczeniu i trwale dołączona do opakowania. Należy w niej umieścić co najmniej: markę i model urządzenia, numer lub numery IMEI, numer seryjny (jeżeli dostępny), sposób zabezpieczenia dostępu (PIN, hasło, wzór graficzny), datę, godzinę i miejsce zabezpieczenia, dane osoby, od której urządzenie zabezpieczono, dane funkcjonariusza wykonującego czynność oraz informacje o stanie urządzenia (włączone, wyłączone, zablokowane, uszkodzone). W przypadku telefonów dodatkowo odnotowuje się obecność kart SIM i kart pamięci, numer abonencki (MSISDN), jeżeli da się go ustalić, operatora sieci oraz godzinę ewentualnego wyłączenia urządzenia. Umieszczenie telefonu w torbie Faradaya nie zwalnia z obowiązku sporządzenia metryczki – powinna zostać przymocowana bezpośrednio do torby, a jeżeli jej konstrukcja na to nie pozwala, dołączona oddzielnie w sposób zapewniający jednoznaczne przyporządkowanie do urządzenia.
Włączenie trybu samolotowego to jedna z podstawowych dobrych praktyk, bo ogranicza ryzyko zdalnej ingerencji w dane. Nie jest to jednak rozwiązanie uniwersalne i nie powinno być wykonywane automatycznie. Niektóre urządzenia lub aplikacje mogą wykorzystywać zmodyfikowane mechanizmy systemowe, których aktywacja prowadzi do usunięcia danych lub zablokowania dostępu. Dlatego każdą decyzję o interakcji z telefonem powinna poprzedzać ocena sytuacji na miejscu i potencjalnego ryzyka utraty danych.
podkom. Patryk Misiórski
Centralne Biuro Zwalczania Cyberprzestępczości Zarząd w Gdańsku
Tomasz Sidor
biegły sądowy z zakresu informatyki śledczej Instytut Antrotech
Bartosz Mataczyński
biegły sądowy z zakresu analizy urządzeń mobilnych Instytut Antrotech