Na pytanie „czy da się odzyskać usunięte wiadomości?” nie można rzetelnie odpowiedzieć wyłącznie na podstawie nazwy komunikatora. Trzeba ustalić, co oznacza usunięcie w tej konkretnej sytuacji, z jakiego urządzenia i okresu pochodzi materiał oraz czy dostępne są inne źródła. Celem pierwszej rozmowy jest rozpoznanie możliwości badania. Obietnica odzyskania całej rozmowy przed taką oceną byłaby przedwczesna.

Najpierw wyjaśnij, co przestało być widoczne

Opisz własną obserwację: nie widzisz całego wątku, pojedynczej wiadomości, załącznika czy danych po zmianie telefonu? Zanotuj, kiedy ostatnio widziałeś treść i kiedy zauważyłeś jej brak. Nie musisz sam rozstrzygać, czy przyczyną było usunięcie, archiwizacja, inne konto lub zmiana ustawień. Każda z tych hipotez wymaga odniesienia do konkretnej aplikacji i dostępnego materiału.

Funkcja odzyskiwania oferowana przez producenta jest odrębną sytuacją od poszukiwania pozostałości po usunięciu. Apple podaje, że w obsługiwanych wersjach systemu aplikacja Wiadomości pozwala odzyskać określone wiadomości usunięte w ciągu ostatnich 30–40 dni. Ta informacja dotyczy opisanej funkcji i warunków jej działania; nie stanowi gwarancji odzysku z dowolnego komunikatora. Jeżeli telefon ma być przedmiotem badania, uzgodnij użycie funkcji przywracania przed zmianą jego zawartości. [1]

Usunięcie nie ma jednego technicznego skutku

W aplikacjach wykorzystujących bazy SQLite zachowanie pozostałości zależy między innymi od sposobu usuwania rekordów i późniejszego zagospodarowania pamięci bazy. Dokumentacja SQLite opisuje ustawienia wpływające na nadpisywanie usuwanej zawartości oraz ograniczenia związane z różnymi rodzajami tabel. Samo określenie „usunięta wiadomość” nie mówi więc, czy zachował się tekst, jedynie fragment rekordu, czy żaden użyteczny ślad. [2]

Dodatkową granicą jest dostęp do zaszyfrowanych danych. Dokumentacja Androida pokazuje, że różne obszary pamięci mogą mieć różne warunki udostępnienia. Możliwość uruchomienia telefonu lub obejrzenia ekranu nie przesądza o możliwości pozyskania wszystkich danych aplikacji. Nie należy również przenosić wyniku uzyskanego na jednym modelu telefonu na inne urządzenie. [3]

Wskaż dostępne źródła i ich daty

Przygotuj wykaz materiałów, które już posiadasz: telefonu, wykonanych wcześniej eksportów, kopii zapasowych, załączników i zrzutów ekranu. Przy każdym podaj znaną datę powstania i pochodzenie. Nie odtwarzaj kolejnych kopii na badanym telefonie tylko po to, aby „sprawdzić, w której jest rozmowa”. Najpierw uzgodnij sposób wykorzystania tych materiałów z wykonawcą analizy.

W praktyce pomocna jest prosta lista pytań:

  • Jakiej aplikacji i jakiego konta dotyczy rozmowa?
  • Czy poszukiwany jest tekst, załącznik, data czy potwierdzenie konkretnego zdarzenia?
  • Jaki jest możliwie wąski przedział czasu?
  • Jakie czynności wykonano po zauważeniu braku wiadomości?
  • Czy istnieje wcześniejszy eksport albo materiał przekazany przez uczestnika rozmowy?
  • Które informacje są pewne, a które wynikają tylko z pamięci?

Takie zestawienie ułatwia uzgodnienie zakresu i kolejności czynności. Pozwala też określić, czy dla sprawy ważniejsze jest poszukiwanie całej rozmowy, czy sprawdzenie jednego konkretnego twierdzenia.

Co oznacza wynik badania?

SWGDE zaleca uwzględnianie ograniczeń narzędzi, wersji systemu i aplikacji oraz weryfikowanie istotnych ustaleń. Wynik automatycznego odczytu wymaga interpretacji w kontekście źródłowych danych. Pełna wiadomość, fragment tekstu i techniczna informacja o istnieniu rekordu nie są równoważnymi ustaleniami. Trzeba wskazać, co dokładnie odnaleziono, jak to powiązano z rozmową i jakie pozostają wątpliwości. [4]

Wniosek „w zbadanym materiale nie znaleziono wiadomości” opisuje zakres i wynik poszukiwania. Nie jest automatycznie dowodem, że wiadomość nigdy nie istniała. Podobnie odnalezienie fragmentu nie uprawnia do dopisania brakującego kontekstu. Opracowanie powinno wyraźnie oddzielać odczytaną treść, wnioski z analizy oraz kwestie, których dostępny materiał nie pozwala rozstrzygnąć.

Przykład hipotetyczny

Dwie osoby zgłaszają utratę wiadomości tego samego dnia. Pierwsza ma wcześniejszy eksport całej rozmowy, druga dysponuje jedynie zdjęciem ekranu. Nawet przy podobnych telefonach punkt wyjścia do analizy jest różny. Odpowiedzialna ocena uwzględni te materiały i ich ograniczenia, zamiast obiecywać identyczny rezultat na podstawie samego czasu, który upłynął od zdarzenia.

Źródła

Dokumenty pierwotne; data dostępu: 23.10.2026.

Informatyka śledcza — zakres badań →