Zrzut ekranu bywa użytecznym początkiem analizy: utrwala widok, który ktoś uznał za istotny, i pomaga wskazać treść wymagającą sprawdzenia. Nie jest jednak automatycznie pełną kopią wiadomości, konta ani strony internetowej. Warto określić, co pokazuje sam obraz, jakie informacje pochodzą wyłącznie z relacji osoby przekazującej materiał oraz jakie dodatkowe źródła mogą pomóc odpowiedzieć na pytania.

Obraz przedstawia wybrany widok

SWGDE opisuje zrzuty ekranu jako jedną z metod pozyskiwania treści internetowych, obok zachowania ich w innych dostępnych formach. Znaczenie mają widoczny adres, czas pozyskania oraz ciągłość przedstawionego materiału. Pojedynczy kadr może nie obejmować całej rozmowy, wcześniejszego wpisu ani elementów strony znajdujących się poza ekranem. [1]

Dlatego przy opisywaniu zrzutu używaj precyzyjnych sformułowań. „Na obrazie widnieje taka treść” jest innym stwierdzeniem niż „ta osoba wysłała wiadomość o tej godzinie”. Drugie wymaga ustalenia dodatkowych okoliczności. Nie oznacza to, że każdy obraz jest podejrzany; chodzi o dopasowanie wniosku do tego, co rzeczywiście można sprawdzić.

Metadane obrazu i dane wiadomości to różne rzeczy

Data zapisana w pliku graficznym może dotyczyć obrazu, a nie chwili wysłania przedstawionej wiadomości. Podobnie nazwa pliku nadana podczas kopiowania nie ustala autora rozmowy. W badaniu autentyczności SWGDE wskazuje na potrzebę rozpatrywania zarówno widocznej treści, jak i struktury pliku oraz dostępnych materiałów porównawczych. Pojedynczy obraz może nie dostarczać podstaw do rozstrzygnięcia wszystkich pytań. [2]

Przygotuj więc osobno opis tego, co widać, i opis pochodzenia. Kto wykonał zrzut? Na jakim urządzeniu? Czy jest to otrzymany plik, zdjęcie innego ekranu, czy obraz wklejony do dokumentu? Jeżeli nie znasz odpowiedzi, pozostaw informację jako nieustaloną. Brak danych nie powinien być zastępowany domysłem.

Zachowaj plik i dostępny kontekst

Przekaż posiadany plik w otrzymanej postaci. Własne oznaczenia, strzałki i przycięcia przygotuj na odrębnej kopii. SWGDE rozróżnia zachowanie niezmienionej zawartości materiału od ustalenia jego pochodzenia i zgodności z deklarowanym zdarzeniem. Opisanie tych kwestii oddzielnie pomaga uniknąć sytuacji, w której estetycznie uporządkowany załącznik zostaje pomylony z materiałem źródłowym. [3]

Jeżeli nadal masz uprawniony dostęp do źródła, uzgodnij możliwość zachowania szerszego materiału. Zależnie od sprawy przydatny może być eksport rozmowy, oryginalna wiadomość, załącznik lub zapis strony. Nie przeglądaj cudzych kont i nie próbuj obchodzić ograniczeń dostępu. Zgłoś, jakie źródła są dostępne, aby sposób ich wykorzystania można było wcześniej ustalić.

  • Zapisz znany adres strony albo identyfikator rozmowy.
  • Wskaż, czy obrazy obejmują cały istotny wątek, czy jego fragment.
  • Opisz kolejność otrzymania plików i znane daty.
  • Oznacz kopie z własnymi komentarzami jako opracowania.
  • Wyjaśnij, jakie konkretne twierdzenie ma zostać sprawdzone.

Suma kontrolna nie potwierdza prawdziwości sceny

Suma kontrolna pozwala porównać zawartość pliku z wcześniej obliczoną wartością i sprawdzić, czy nastąpiła zmiana. NIST zaznacza jednak, że materiał mógł zostać zmieniony przed takim zabezpieczeniem. Niezmienność od określonego momentu nie dowodzi zatem, że obraz od początku przedstawiał rzeczywiste zdarzenie w deklarowanych okolicznościach. Potrzebna jest także informacja o jego pochodzeniu. [4]

Warto z góry oddzielić trzy pytania: co przedstawia plik, czy zmienił się po zabezpieczeniu oraz czy można powiązać jego treść z określoną osobą i zdarzeniem. Każde może wymagać innego materiału. Odpowiedź na jedno nie rozstrzyga automatycznie pozostałych.

Przykład hipotetyczny

Klient dysponuje zrzutem rozmowy, na którym widnieje nazwa kontaktu „Wykonawca”. Chce wykazać, kto potwierdził zmianę ceny. Sam widok nazwy nie wyjaśnia jeszcze sposobu powiązania kontaktu z konkretną osobą ani przebiegu wcześniejszych uzgodnień. Dodatkowy materiał może obejmować identyfikator rozmówcy, pełniejszy wątek i oryginalne załączniki. Jeżeli ich brakuje, analiza powinna jasno wskazać tę granicę zamiast dopowiadać kontekst.

Źródła

Dokumenty pierwotne; data dostępu: 23.10.2026.

Informatyka śledcza — zakres badań →