Nie wolno klikać tych linków w badanym urządzeniu. Powód jest dwojaki. Po pierwsze, otwarcie linku zmienia stan urządzenia i łączy je z siecią, czego konsekwentnie unikamy. Po drugie, badamy zawartość telefonu, a nie zasób internetowy, do którego ten link prowadzi. To dwie różne czynności o różnej podstawie prawnej, które w realiach cyfrowych łatwo ze sobą pomylić. 

Oględziny a eksperyment procesowy

Oględziny (art. 207 § 1 k.p.k.) dotyczą miejsca, osoby lub rzeczy. W odniesieniu do telefonu są to oględziny rzeczy – polegają na spostrzeżeniu i utrwaleniu tego, co znajduje się na urządzeniu w chwili jego zabezpieczenia: plików, wiadomości, metadanych, zawartości aplikacji, a także linku rozumianego jako ciąg znaków. Zgodnie z orzecznictwem oględziny rzeczy odnoszą się do właściwości i zawartości samego przedmiotu, a nie do dynamicznego odtwarzania zdarzeń.

Eksperyment procesowy (art. 211 k.p.k.) to czynność, w której – w celu sprawdzenia okoliczności istotnych dla sprawy – przeprowadza się doświadczenie albo odtwarza przebieg zdarzeń lub ich fragmentów. Jeżeli organ chce sprawdzić, czy link nadal działa czy prowadzi do określonej zawartości albo wymaga hasła lub po kliknięciu rozpoczyna się pobieranie – wchodzi pod link, pobiera i dokumentuje treść ukrytą w zewnętrznym zasobie, a więc odtwarza pewien przebieg. Jest to działanie wykraczające poza statyczne oględziny urządzenia, wymagające trybu eksperymentu albo co najmniej wyraźnego procesowego umocowania i opisania celu.

Linki i zasoby zewnętrzne

Nie oznacza to, że każdy link automatycznie wymaga eksperymentu. Jeżeli tylko opisujemy link znajdujący się w telefonie, pozostajemy przy analizie zabezpieczonych danych. Jeżeli natomiast aktywnie łączymy się z zewnętrznym serwerem i sprawdzamy jego reakcję, wychodzimy poza telefon. 

W sprawach CSAM granicę tę należy traktować szczególnie ostrożnie i uzgadniać z prokuratorem. Obie czynności są czynnościami organu procesowego; w ich toku można wezwać biegłego lub specjalistę, a także – na podstawie art. 212 k.p.k. – dokonywać przesłuchań i innych czynności dowodowych. Każdą z nich się protokołuje (art. 143 k.p.k.). Rozdzielenie tych dwóch trybów chroni wartość dowodową ustaleń i pozwala uniknąć zarzutu, że treści internetowe potraktowano tak, jakby od początku znajdowały się w pamięci telefonu. Warto pamiętać również o pozostałych przepisach mających tu zastosowanie: art. 217 k.p.k. (wydanie i zatrzymanie rzeczy), art. 218 i 218a k.p.k. (dane u podmiotów zewnętrznych), art. 227 k.p.k. (czynności z umiarem i poszanowaniem prywatności), art. 229 k.p.k. (protokół) oraz art. 236a k.p.k., który odnosi przepisy rozdziału także do danych przechowywanych w urządzeniu, systemie lub na nośniku, w tym do korespondencji elektronicznej.

Czym są zasoby, do których prowadzą takie linki? Najczęściej to serwisy hostingu plików i chmury, na których – ze względu na pojemność, anonimowość i ograniczoną kontrolę treści – bywają zamieszczane materiały CSAM.

Dostęp do takiego linku należy realizować w laboratorium, ze specjalnie przygotowanego, odizolowanego środowiska (SWGDE wskazuje wprost na konieczność stosowania wydzielonych sieci i maszyn wirtualnych w sprawach dotyczących m.in. CSAM, by zapobiec kontaminacji; w polskich realiach nie ma takiego wymogu i nie zawsze jest to dokładnie przestrzegane). Zawartość należy pobrać, zabezpieczyć i opisać cały proces – od adresu zasobu, przez warunki dostępu, po sumy kontrolne pobranych plików.

Komunikatory – na co zwrócić uwagę

Rozmowy i przesyłane treści to w sprawach CSAM często sedno materiału dowodowego. Poszczególne komunikatory różnią się jednak architekturą, sposobem przechowywania danych i mechanizmami ochrony, co przekłada się wprost na możliwości odtworzenia korespondencji.

Przy pracy nad danymi z komunikatorów analityk powinien zwracać uwagę na: rodzaj szyfrowania (e2e vs. po stronie serwera), obecność i ustawienia znikających wiadomości, czaty grupowe i kanały, wersję aplikacji (mechanizmy bywają zależne od wersji i platformy iOS/Android), metody zabezpieczania dostępu (PIN/blokada aplikacji, osobne kontenery) oraz lokalizację danych – na urządzeniu, w kopii zapasowej czy w chmurze. Trzeba też pamiętać, że rozmowy nie zawsze toczą się w „klasycznych” komunikatorach. Istotna korespondencja, w tym próby nawiązania kontaktu z małoletnimi, bywa prowadzona w aplikacjach o zupełnie innej podstawowej funkcji – w wiadomościach na Instagramie, w czatach serwisów ogłoszeniowych (np. OLX), w aplikacjach randkowych (np. Tinder), a także w komunikatorach wbudowanych w gry i platformy społecznościowe. Przegląd zainstalowanych aplikacji pod tym kątem powinien być elementem analizy.

Studium przypadku: ograniczenia formy raportu a użyteczność dowodowa

Do biegłej z zakresu antropologii wpłynęło postanowienie dotyczące oceny wieku osób widocznych na zabezpieczonych nagraniach. Wraz z nim dostarczono raport z zabezpieczenia urządzenia. Z uwagi na brak możliwości odczytu kluczy kryptograficznych części baz danych nie udało się rozszyfrować – dotyczyło to m.in. komunikatora Signal. W raporcie nie znalazły się więc ani treści rozmów, ani materiały multimedialne przesyłane za jego pośrednictwem. Biegły zabezpieczył je jednak techniką live forensic: w raporcie umieszczono zrzuty ekranu (print screeny) przedstawiające treści rozmów oraz przesyłane zdjęcia i filmy.

Na tym etapie ujawnił się problem. Zadaniem biegłej była ocena treści widocznych na materiałach multimedialnych, tymczasem zrzuty ekranu z plików wideo przedstawiały wyłącznie pierwszą, początkową klatkę każdego filmu. Statyczny kadr nie pozwalał stwierdzić, co w istocie znajduje się na nagraniu. Po konsultacji z prokuratorem okazało się, że konieczne będzie ponowne wykonanie odczytu urządzenia – tym razem przy użyciu innego narzędzia. Istotne jest, że prokurator nie był świadomy istnienia alternatywnych metod; działał w przekonaniu, że dostarczony materiał wyczerpuje techniczne możliwości zabezpieczenia.

Przypadek ten ilustruje dwie kwestie. Po pierwsze, technika live forensic powinna być stosowana w ostateczności – wówczas, gdy rzeczywiście brak innych możliwości odczytu danych. Po drugie, nawet sięgając po tę metodę, można ją zrealizować na różne sposoby. Zamiast statycznych zrzutów ekranu prezentujących jedynie pierwszą klatkę, możliwe było nagranie obrazu wyświetlanego na ekranie urządzenia w trakcie odtwarzania filmów. Taki materiał zachowałby pełną treść nagrań i pozwoliłby na ich merytoryczną ocenę bez powtarzania całej czynności. Sprawa pokazuje również, jak istotna jest świadomość organu procesowego co do dostępnych metod. Jej brak może prowadzić do wyboru rozwiązania, które – choć formalnie poprawne – okazuje się niewystarczające z punktu widzenia celu dowodowego, generując dodatkowy czas, koszty i ryzyko utraty danych przy ponownym odczycie.

podkom. Patryk Misiórski

CBZC Zarząd w Gdańsku

Tomasz Sidor

biegły sądowy z zakresu informatyki śledczej, Instytut Antrotech

Bartosz Mataczyński

biegły sądowy z zakresu analizy urządzeń mobilnych, Instytut Antrotech