警察和法证分析师如何从电话中恢复已删除的数据?

如果您以前看过犯罪电视节目,则可能已经看到分析师从电话中提取数据。这些程序有多现实?警察可以从电话中恢复已删除的照片,文字和文件吗?

让我们研究一下法医分析师可以用手机做什么。

为什么要进行移动取证调查

当电话中的数据对案件至关重要时,将进行移动取证调查。早在2014年,当两名明尼苏达州女孩失踪时,数字取证就帮助警察找到了绑架者。从受害者或犯罪者的电话中获取的信息也打破了许多其他案件。

即使是一条简单的信息(如一条短信)也可以帮助调查人员解决案件。有时,这是由删除的呼叫日志,时间戳,地理位置数据和应用使用情况所绘制的更为复杂的图片。

搜索历史可能证明是罪魁祸首。许多类型的信息可以帮助警察解决犯罪,并且电话可以存储大量此类信息。

即使您不是主要犯罪嫌疑人,警方也可能希望调查您的手机。属于犯罪受害人的电话可以为警察提供有价值的数据,尤其是在这些受害人无行为能力或失踪的情况下。

警察取证可以找到什么?

法医分析师可以执行各种数据采集。最简单的称为“手动获取”,它涉及通过电话正常搜索。这不会显示已删除的数据,因此不会告诉分析人员太多信息。

“逻辑获取”提供了更详细的数据。这涉及将数据从手机传输到PC。这种转移使法医调查人员易于处理数据,但仍不太可能恢复已删除的信息。

当调查人员想要查看隐藏的数据时,他们使用“文件系统获取”。移动设备是大型数据库,文件系统的获取使研究人员可以访问数据库中的所有文件。这包括隐藏文件和根文件,但仍然没有删除的数据。

最后,有一个“物理获取”。这是最困难的一种获取,因为它需要特殊的工具才能将存储的副本转储到文件中。但是,这使所有内容暴露无遗-甚至删除了文件。这允许进行诸如取证文本消息恢复之类的过程。

警察可以恢复已删除的短信和媒体吗?

您可能想知道警察如何读取已删除的短信。实际上,当您从手机中删除某些内容时,该内容不会立即消失。

移动设备中的闪存在需要为新内容打开空间之前不会删除文件。它只是“索引”它,本质上忘记了它在哪里。它仍然被存储,但是手机不知道它在哪里或在哪里。

如果电话没有覆盖已删除的数据,则另一软件可以找到它。识别并解码它并不总是那么容易,但是法医界拥有极其强大的工具,可以帮助他们进行此过程。

您删除的内容越新,被覆盖的可能性就越小。如果您几个月前删除了某些内容,并且经常使用手机,则很有可能文件系统已经覆盖了该文件系统。如果您几天前才将其删除,则它仍然存在的可能性更高。

某些iOS设备(例如较新的iPhone)需要采取其他措施。除了对数据进行索引编制之外,他们还对数据进行加密-并且没有已知的解密密钥。事实证明,绕过它非常困难(如果不是不可能的话)。

许多电话会自动备份到用户的计算机或云中。从备份中提取数据比从电话提取数据更容易。该策略的有效性取决于手机最近执行备份的时间以及用于存储文件的服务。

可以恢复哪些文件类型?

可恢复文件的类型可能取决于法证分析师正在使用的设备。但是,可能会恢复一些基本类型:

  • 短信和iMessages
  • 通话记录
  • 电邮
  • 笔记
  • 联络人
  • 日历活动
  • 图片和视频

调查人员也有可能跟踪已删除的WhatsApp消息,除非已对其进行加密。如果您使用Android进行文件存储,那么这些文件可能仍会在存储中徘徊。

加密手机数据怎么办?

移动设备加密给取证分析带来了一个大问题。如果用户使用了安全加密,并且无法获取加密密钥,那么从手机中获取任何数据将变得非常困难或不可能。 iTunes甚至要求用户加密他们在计算机上制作的备份。

虽然这使电话对法医调查人员的作用降低了,但仍有一些方法可以绕过加密。某些电话具有内置的后门,允许专业人士访问文件。其他调查人员也许能够猜出或破解您的密码。

但是,如果不能,则这些加密文件将引起严重的问题。如果您担心要对手机进行取证检查(例如,您是一位消息灵通的记者),则最好使用最安全的加密设置。

您的信息安全吗?

最后,对于移动取证调查无法保证。没有办法让专职和聪明的调查员完全保护手机上的所有数据。同时,无法访问每部手机上的数据。

但是,那里有各种各样不断发展的工具。这些考虑了不断变化的数据保护格局。当然,还涉及一些运气。

相关:社交媒体用户帮助警察解决犯罪的主要范例

与往常一样,如果您想确保数据安全,我们建议您采取同样的措施。加密所有内容。明智地备份位置和备份方式。使用强密码。最后,不要做任何会让您陷入法医调查的十字准线的事情。

如何恢复已删除的短信

如果您想进行一些自己动手的手机取证,则可以在手机上恢复已删除的短信。您必须克服一些限制,但这是可能的!

涉及的步骤相当冗长,因此请务必阅读如何在AndroidiPhone上恢复整个图片的短信

确保您的数据安全

因此,警察可以从电话中恢复已删除的图片,文本和文件吗?答案是肯定的-通过使用特殊工具,他们可以找到尚未被覆盖的数据。但是,通过使用加密方法,即使删除后,也可以确保数据保持私密性。

如果您不知道什么是加密以及它如何提供帮助,那么现在是开始的绝佳时机。这可能意味着隐藏您的详细信息和将其公开显示给其他人看是有区别的。