Під час аналізу листування сама роздруківка або скопійований текст можуть не відповідати на питання про походження повідомлення, шлях його передавання чи вкладення. Варто підготувати файли повідомлень у форматі, доступному в поштовій програмі, зберегти повні заголовки та описати, з якого облікового запису вони походять. Обсяг експорту слід узгодити зі справою: одне повідомлення, конкретна гілка листування або погоджений проміжок часу.

Збережіть повідомлення як файл

У Gmail на комп’ютері виробник пропонує команду «Завантажити повідомлення», яка зберігає лист як файл EML. Це корисний спосіб передавання повідомлення разом із його структурою. Документація Google також описує надсилання листів як вкладень; звичайне вставлення тексту в новий лист є іншою формою матеріалу. Перед передаванням файлів узгодьте спосіб їх доставлення для дослідження. [1]

Якщо ви користуєтеся іншою програмою, вкажіть її назву й версію. Запитайте про відповідний експорт замість ручної зміни розширення файлу чи копіювання вмісту до редактора. Збережіть повідомлення у скриньці та працюйте з підготовленою копією. Перелік файлів може містити ваші порядкові номери, але не повинен замінювати опису походження кожного з них.

Додайте повні заголовки

Технічні заголовки — це більше, ніж видимі поля «Від», «Кому» й «Тема». Google зазначає, що в Gmail повний заголовок можна відкрити через меню повідомлення та команду «Показати оригінал». Це дає змогу переглянути інформацію, потрібну для аналізу шляху електронного листа. Сам знімок верхньої частини вікна зазвичай показує лише вибране представлення цих даних. [2]

В Outlook порядок дій залежить від версії. Документація Microsoft описує відомості повідомлення в новому Outlook і вебверсії, а також поле «Заголовки Інтернету» у властивостях повідомлення, відкритого окремо в класичному Outlook для Windows. Користуйтеся інструкцією для своєї програми; відсутність певного пункту меню не свідчить про відсутність заголовків. [3]

Час, ідентифікатори й автентифікація потребують інтерпретації

Стандарт RFC 5322 розрізняє, зокрема, поле Date, ідентифікатор Message-ID, зв’язки відповідей і поля відстеження передавання. Date означає час підготовки повідомлення до надсилання за даними його автора, а не автоматично час доставлення одержувачу. Відмінності часових поясів і послідовні етапи передавання потрібно розглядати в контексті всіх заголовків. [4]

Підпис DKIM може надавати інформацію про відповідальність домену, який підписує повідомлення, та цілісність даних, охоплених підписом. RFC 6376 чітко відокремлює ідентичність суб’єкта, що підписує, від заявленого автора. Успішний результат перевірки сам по собі не вказує людину, яка написала повідомлення, і не підтверджує, що адресат його прочитав. Сама адреса відправника, яку показує програма, також не вирішує цих питань. [5]

Підготуйте гілку листування та вкладення в погодженому обсязі

Поясніть, на яке запитання потрібна відповідь. Ідеться про зміст домовленостей, різницю між вкладеннями, послідовність подій чи походження конкретного електронного листа? Вкажіть повідомлення, безпосередньо пов’язані з проблемою, та опишіть, чи це повне листування, чи лише збережений фрагмент. Для представлення теми замовлення не потрібно надсилати всю поштову скриньку.

  • Збережіть наявні оригінальні файли повідомлень та їхні повні заголовки.
  • Додайте вкладення в отриманому вигляді, не зберігаючи їх повторно в редакторі.
  • Вкажіть обліковий запис і папку, з яких походить експорт.
  • Позначте матеріали, отримані від інших осіб, і відомі дати передання.
  • Опишіть попереднє пересилання, друк або перетворення матеріалу.
  • Підготуйте коротку хронологію та перелік питань для аналізу.

В описі відокремте факт наявності повідомлення від висновків про його автора. Паролі облікового запису в першому запиті не потрібні. Спосіб надання матеріалу, обсяг даних і можливий доступ до облікового запису слід узгодити заздалегідь.

Гіпотетичний приклад

Компанія отримала два електронні листи зі схожою темою, але різними номерами банківських рахунків у рахунках-фактурах. Замість надсилання лише роздруківок вона готує обидва листи як файли, зберігає вкладення та описує, коли було помічено різницю. Такий комплект дає змогу поставити окремі питання про вміст файлів, заголовки й перебіг листування. Водночас він ще не визначає, хто вніс зміну і чи достатньо наявного матеріалу для такого встановлення.

Джерела

Первинні документи; дата доступу: 23.10.2026.

Цифрова криміналістика — обсяг досліджень →