Відновлення видалених SMS, повідомлень WhatsApp чи розмов у Messenger потребує оцінки конкретного матеріалу. Під час першого звернення вкажіть модель телефона, застосунок, період розмови та вже наявні експорти й резервні копії. Потрібно з’ясувати, що означає видалення в цій ситуації та які джерела доступні. Самої назви месенджера недостатньо, щоб обіцяти відновлення всієї розмови.

Спочатку поясніть, що перестало відображатися

Опишіть власне спостереження: ви не бачите всієї гілки листування, окремого повідомлення, вкладення чи даних після зміни телефона? Занотуйте, коли востаннє бачили вміст і коли помітили його відсутність. Вам не потрібно самостійно визначати, чи причиною було видалення, архівування, інший обліковий запис або зміна налаштувань. Кожна з цих гіпотез потребує перевірки щодо конкретного застосунку та доступного матеріалу.

Функція відновлення, яку пропонує виробник, відрізняється від пошуку залишків після видалення. Apple повідомляє, що в підтримуваних версіях системи застосунок «Повідомлення» дає змогу відновити певні повідомлення, видалені протягом останніх 30–40 днів. Ця інформація стосується описаної функції та умов її роботи; вона не є гарантією відновлення з будь-якого месенджера. Якщо телефон має стати об’єктом дослідження, узгодьте використання функції відновлення, перш ніж змінювати його вміст. [1]

Видалення не має єдиного технічного наслідку

У застосунках, які використовують бази SQLite, збереження залишків залежить, зокрема, від способу видалення записів і подальшого використання пам’яті бази. Документація SQLite описує налаштування, що впливають на перезапис видаленого вмісту, та обмеження, пов’язані з різними типами таблиць. Тому саме формулювання «видалене повідомлення» не пояснює, чи зберігся текст, лише фрагмент запису або жодного корисного сліду. [2]

Додатковим обмеженням є доступ до зашифрованих даних. Документація Android показує, що різні ділянки пам’яті можуть мати різні умови доступу. Можливість увімкнути телефон або переглянути екран не визначає можливості отримання всіх даних застосунків. Також не слід переносити результат, отриманий на одній моделі телефона, на інший пристрій. [3]

Вкажіть доступні джерела та їхні дати

Підготуйте перелік матеріалів, які вже маєте: телефона, раніше виконаних експортів, резервних копій, вкладень і знімків екрана. Для кожного вкажіть відому дату створення та походження. Не відновлюйте чергові копії на досліджуваному телефоні лише для того, щоб «перевірити, у якій із них є розмова». Спочатку узгодьте спосіб використання цих матеріалів із виконавцем аналізу.

На практиці корисний простий перелік питань:

  • Якого застосунку та якого облікового запису стосується розмова?
  • Шукається текст, вкладення, дата чи підтвердження конкретної події?
  • Який найвужчий можливий проміжок часу?
  • Які дії виконували після виявлення відсутності повідомлень?
  • Чи є попередній експорт або матеріал, наданий учасником розмови?
  • Яка інформація достовірна, а яка ґрунтується лише на пам’яті?

Такий перелік спрощує погодження обсягу й послідовності дій. Він також дає змогу визначити, що важливіше для справи: пошук усієї розмови чи перевірка одного конкретного твердження.

Що означає результат дослідження?

SWGDE рекомендує враховувати обмеження засобів, версії системи та застосунків і перевіряти істотні встановлені обставини. Результат автоматичного зчитування потребує інтерпретації в контексті вихідних даних. Повне повідомлення, фрагмент тексту й технічна інформація про існування запису не є рівнозначними результатами. Потрібно вказати, що саме знайдено, як це пов’язано з розмовою та які сумніви залишаються. [4]

Висновок «у дослідженому матеріалі повідомлення не знайдено» описує обсяг і результат пошуку. Він не є автоматичним доказом того, що повідомлення ніколи не існувало. Так само виявлення фрагмента не дає підстав дописувати відсутній контекст. Матеріал має чітко відокремлювати зчитаний вміст, висновки аналізу та питання, які неможливо вирішити на підставі доступного матеріалу.

Гіпотетичний приклад

Двоє людей повідомляють про втрату повідомлень того самого дня. Перша має попередній експорт усієї розмови, друга — лише фотографію екрана. Навіть за схожих телефонів вихідні умови аналізу різні. Відповідальна оцінка врахує ці матеріали та їхні обмеження замість обіцянки однакового результату лише на підставі часу, що минув від події.

Джерела

Первинні документи; дата доступу: 23.10.2026.

Цифрова криміналістика — обсяг досліджень →