Przy analizie korespondencji sam wydruk albo skopiowany tekst może nie odpowiadać na pytania o pochodzenie wiadomości, drogę przesłania czy załączniki. Warto przygotować pliki wiadomości w formie udostępnianej przez program pocztowy, zachować pełne nagłówki i opisać, z jakiego konta pochodzą. Zakres eksportu należy dopasować do sprawy: jednej wiadomości, konkretnego wątku lub uzgodnionego przedziału czasu.

Zachowaj wiadomość jako plik

W Gmailu na komputerze producent udostępnia polecenie „Pobierz wiadomość”, które zapisuje e-mail jako plik EML. Jest to przydatna droga przekazania wiadomości wraz z jej strukturą. Dokumentacja Google opisuje również wysyłanie e-maili jako załączników; zwykłe wklejenie tekstu do nowej wiadomości jest inną formą materiału. Przed przekazaniem plików ustal sposób dostarczenia ich do badania. [1]

Jeżeli używasz innego programu, wskaż jego nazwę i wersję. Zapytaj o odpowiedni eksport zamiast zmieniać ręcznie rozszerzenie pliku lub kopiować treść do edytora. Zachowaj wiadomość w skrzynce i pracuj na przygotowanej kopii. Wykaz plików może zawierać własne numery porządkowe, ale nie powinien zastępować opisu, skąd każdy z nich pochodzi.

Dołącz pełne nagłówki

Nagłówki techniczne to więcej niż widoczne pola „Od”, „Do” i „Temat”. Google wskazuje, że w Gmailu pełny nagłówek można wyświetlić przez menu wiadomości i polecenie „Pokaż oryginał”. Umożliwia to obejrzenie informacji potrzebnych do analizy drogi e-maila. Sam zrzut górnej części okna zwykle pokazuje jedynie wybrany widok tych danych. [2]

W Outlooku ścieżka zależy od wersji. Dokumentacja Microsoft opisuje szczegóły wiadomości w nowym Outlooku i wersji internetowej oraz pole „Nagłówki internetowe” we właściwościach wiadomości otwartej osobno w klasycznym Outlooku dla Windows. Korzystaj z instrukcji właściwej dla używanego programu; brak danej pozycji menu nie przesądza o braku nagłówków. [3]

Czas, identyfikatory i uwierzytelnienie wymagają interpretacji

Standard RFC 5322 rozróżnia między innymi pole Date, identyfikator Message-ID, powiązania odpowiedzi oraz pola śledzenia transportu. Date oznacza czas przygotowania wiadomości do wysłania według jej twórcy, a nie automatycznie czas dostarczenia do odbiorcy. Różnice stref czasowych i kolejne etapy transportu trzeba rozpatrywać w kontekście całych nagłówków. [4]

Podpis DKIM może dostarczyć informacji o odpowiedzialności domeny podpisującej i zgodności objętych podpisem danych. RFC 6376 wyraźnie oddziela tożsamość podmiotu podpisującego od deklarowanego autora. Poprawny wynik weryfikacji nie wskazuje samodzielnie człowieka, który napisał wiadomość, ani nie potwierdza, że adresat ją przeczytał. Sam adres nadawcy wyświetlany w programie również nie rozstrzyga tych kwestii. [5]

Przygotuj wątek i załączniki w ustalonym zakresie

Wyjaśnij, jakie pytanie wymaga odpowiedzi. Czy chodzi o treść uzgodnień, różnicę między załącznikami, kolejność zdarzeń, czy pochodzenie konkretnego e-maila? Wskaż wiadomości bezpośrednio związane z problemem i opisz, czy stanowią kompletną korespondencję, czy tylko zachowany fragment. Nie musisz przesyłać całej skrzynki, aby przedstawić temat zlecenia.

  • Zachowaj dostępne oryginalne pliki wiadomości i ich pełne nagłówki.
  • Dołącz załączniki w otrzymanej postaci, bez ponownego zapisywania w edytorze.
  • Podaj konto i folder, z których pochodzi eksport.
  • Oznacz materiały otrzymane od innych osób i znane daty przekazania.
  • Opisz wcześniejsze przekierowanie, wydrukowanie lub konwersję materiału.
  • Przygotuj krótką chronologię oraz listę pytań do analizy.

W opisie oddziel fakt posiadania wiadomości od wniosków o jej autorze. Hasła do konta nie są potrzebne w pierwszym zapytaniu. Sposób udostępnienia materiału, zakres danych i ewentualny dostęp do konta powinny zostać wcześniej uzgodnione.

Przykład hipotetyczny

Firma otrzymała dwa e-maile z podobnym tematem, ale różnymi numerami rachunków na fakturach. Zamiast przesyłać wyłącznie wydruki, przygotowuje obie wiadomości jako pliki, zachowuje załączniki i opisuje, kiedy zauważono różnicę. Taki zestaw pozwala postawić odrębne pytania o treść plików, nagłówki i przebieg korespondencji. Nie przesądza jeszcze, kto dokonał zmiany ani czy dostępny materiał wystarczy do takiego ustalenia.

Źródła

Dokumenty pierwotne; data dostępu: 23.10.2026.

Informatyka śledcza — zakres badań →