Восстановление удалённых SMS, сообщений WhatsApp или переписки Messenger требует оценки конкретного материала. При первом обращении укажите модель телефона, приложение, период переписки, а также уже имеющиеся экспорты и резервные копии. Необходимо установить, что означает удаление в этой ситуации и какие источники доступны. Одно название мессенджера не позволяет обещать восстановление всей переписки.

Сначала поясните, что перестало отображаться

Опишите своё наблюдение: вы не видите всю переписку, отдельное сообщение, вложение или данные после смены телефона? Запишите, когда вы в последний раз видели содержимое и когда заметили его отсутствие. Самостоятельно определять, вызвано ли это удалением, архивацией, другой учётной записью или изменением настроек, не нужно. Каждая из этих гипотез требует проверки применительно к конкретному приложению и доступному материалу.

Предусмотренная производителем функция восстановления отличается от поиска остатков удалённых данных. Apple сообщает, что в поддерживаемых версиях системы приложение «Сообщения» позволяет восстановить определённые сообщения, удалённые в течение последних 30–40 дней. Эта информация относится к описанной функции и условиям её работы; она не гарантирует восстановление данных из любого мессенджера. Если телефон предназначен для исследования, согласуйте использование функции восстановления до изменения его содержимого. [1]

Удаление не имеет единого технического результата

В приложениях с базами SQLite сохранность остаточных данных зависит, в частности, от способа удаления записей и последующего использования памяти базы. Документация SQLite описывает настройки, влияющие на перезапись удаляемого содержимого, и ограничения, связанные с разными типами таблиц. Поэтому само выражение «удалённое сообщение» не говорит о том, сохранился ли текст, только фрагмент записи или вообще никакой полезный след. [2]

Дополнительное ограничение связано с доступом к зашифрованным данным. Документация Android показывает, что для разных областей памяти могут действовать разные условия доступа. Возможность включить телефон или просмотреть экран ещё не означает возможности получить все данные приложений. Результат, полученный на одной модели телефона, также не следует переносить на другое устройство. [3]

Укажите доступные источники и их даты

Подготовьте перечень уже имеющихся материалов: телефона, ранее выполненных экспортов, резервных копий, вложений и снимков экрана. Для каждого укажите известную дату создания и происхождение. Не восстанавливайте одну копию за другой на исследуемом телефоне только для того, чтобы «проверить, в какой есть переписка». Сначала согласуйте использование этих материалов с исполнителем анализа.

На практике полезен простой список вопросов:

  • Какого приложения и какой учётной записи касается переписка?
  • Ищется текст, вложение, дата или подтверждение конкретного события?
  • Каков максимально узкий временной интервал?
  • Какие действия выполнялись после обнаружения отсутствия сообщений?
  • Есть ли ранее выполненный экспорт или материал, предоставленный участником переписки?
  • Какие сведения достоверны, а какие основаны только на памяти?

Такой перечень упрощает согласование объёма и последовательности действий. Он также позволяет определить, что важнее для дела: поиск всей переписки или проверка одного конкретного утверждения.

Что означает результат исследования?

SWGDE рекомендует учитывать ограничения инструментов, версии системы и приложений, а также проверять существенные выводы. Результат автоматического считывания требует интерпретации в контексте исходных данных. Полное сообщение, фрагмент текста и техническая информация о существовании записи не являются равнозначными результатами. Необходимо указать, что именно найдено, как это связано с перепиской и какие сомнения остаются. [4]

Вывод «в исследованном материале сообщения не обнаружены» описывает объём и результат поиска. Он не доказывает автоматически, что сообщение никогда не существовало. Аналогично обнаружение фрагмента не даёт оснований дописывать недостающий контекст. В исследовании следует чётко отделять прочитанное содержимое, аналитические выводы и вопросы, которые доступный материал не позволяет разрешить.

Гипотетический пример

Два человека сообщают об утрате сообщений в один и тот же день. У первого есть прежний экспорт всей переписки, у второго — только фотография экрана. Даже при похожих телефонах исходные условия анализа различаются. Ответственная оценка учитывает эти материалы и их ограничения, а не обещает одинаковый результат лишь на основании времени, прошедшего после события.

Источники

Первичные документы; дата обращения: 23.10.2026.

Цифровая криминалистика — направления исследований →