Что можно восстановить с телефона, а что уже нет

Обычно всё начинается с фразы «я всё удалил, но ведь это можно восстановить?». Или наоборот: «он всё стёр, а мне нужно доказать, что переписка была».

Честный ответ звучит неудобно: иногда можно, иногда нет, и заранее этого не знает никто. Стандарт Коллегии по фиксации цифровой информации прямо указывает, что гарантировать получение конкретных данных до исследования нельзя, а обещать такой результат недопустимо. Но понять, от чего зависит исход, можно — и это помогает не испортить шансы собственными руками.

Телефон — не флешка

Флешку или диск компьютера можно отключить и скопировать. Телефон устроен иначе, и стандарт Коллегии выделяет три его особенности.

Он постоянно на связи. Пока телефон в сети, он синхронизируется и может получить команду удалённой блокировки или полной очистки.

Значительная часть данных хранится не в нём, а в облачных сервисах, привязанных к учётной записи.

Его содержимое защищено аппаратным шифрованием. Удастся ли его преодолеть, зависит от модели, версии операционной системы и состояния устройства в момент, когда оно попало к специалисту.

От чего зависит, что удастся получить

Главное — уровень извлечения данных. Их несколько, и дают они очень разный результат.

Логическое извлечение — через штатные интерфейсы телефона. Доступны файлы, контакты, сообщения тех приложений, которые такой доступ позволяют. Удалённые данные этим способом, как правило, недоступны.

Извлечение файловой системы — доступ к базам данных приложений. Здесь уже можно найти и частично удалённые записи.

Физическое извлечение — побитовая копия накопителя целиком, включая удалённые данные и неразмеченные области. Самый глубокий уровень, но применим он к ограниченному кругу моделей.

Извлечение резервной копии — через штатный механизм резервного копирования.

Какой уровень окажется доступен, решают модель, версия системы и пароль. Без пароля современные устройства извлекаются в ограниченном объёме, а некоторые модели — не извлекаются вовсе. Поэтому известный вам код доступа — одна из самых ценных вещей, которые можно передать эксперту.

Почему удалённое со временем исчезает окончательно

Удаление не всегда уничтожает данные сразу. Но на твердотельных накопителях и современных телефонах их быстро затирают служебные механизмы очистки. Чем дольше телефоном пользуются после удаления, тем меньше остаётся.

Практический вывод простой: чем раньше устройство попадёт на исследование и чем меньше им пользовались до этого, тем выше шансы.

Облако часто помнит больше телефона

Резервные копии, которые телефон сам отправляет в облако, нередко содержат данные, уже удалённые с устройства. У каждой копии есть дата создания, и именно она определяет, на какой момент отражено содержимое: весенняя копия не расскажет о переписке, которая была летом.

Переписка в мессенджерах тоже часто существует не в одном месте: на втором телефоне, на компьютере с установленным мессенджером, у собеседника. Иногда искомое проще найти там, чем восстанавливать на исходном устройстве.

Но с облаком есть важное правило: нужен законный доступ. Своя учётная запись — одно. Чужая — другое. Войти в неё по паролю, найденному в телефоне, технически возможно, но по стандарту Коллегии это влечёт признание полученных данных недопустимыми и может само по себе образовать правонарушение. Основанием доступа служит надлежаще оформленное согласие владельца, судебный акт, данные, которые владелец предоставил сам, или официальный ответ оператора сервиса на законный запрос.

Что уже не восстановить

Есть потери, после которых искать нечего.

Кто-то пытался подобрать код наугад, и сработала защита с автоматической очисткой. Стандарт Коллегии прямо указывает: утраченные так данные восстановлению не подлежат.

Телефон очищен — удалённой командой или сбросом до заводских настроек. Как правило, на самом устройстве после этого восстанавливать уже нечего, и надежда остаётся только на резервные копии и другие устройства.

Журнал входов и активности в облачном сервисе хранится ограниченное время, которое определяет оператор, а не эксперт. После удаления эти записи, как правило, не восстановить.

Сообщения исчезли по таймеру автоматического удаления, а на других устройствах и в резервных копиях их нет.

И общее правило: отсутствие данных в облаке сегодня не означает, что их там не было раньше. Но и доказать обратное без других источников может оказаться нечем.

Что нельзя делать до экспертизы

Большую часть вреда причиняют в первые часы, из лучших побуждений.

— Не листайте переписку сами. Ручной просмотр меняет статусы сообщений, а вторая сторона получает повод сказать, что данные могли измениться.
— Не устанавливайте на телефон программы «для восстановления»: запись новых данных на тот же накопитель может затереть то, что ещё можно было найти.
— Не подбирайте пароль наугад.
— Не выходите из учётных записей и не очищайте историю.
— Если телефон выключен — не включайте.

Что сделать сегодня

Отключите телефон от сети: включите режим полёта или извлеките SIM-карту. Это защищает от удалённой очистки и от синхронизации, которая может изменить содержимое приложений.

Запишите всё, что знаете: коды и графические ключи, учётные записи, какие мессенджеры установлены, за какой период нужны данные и что именно ищете. Чем конкретнее задача, тем точнее ответ.

Вспомните, где ещё могла сохраниться информация: второй телефон, компьютер, облачная резервная копия, устройство собеседника.

Если телефон не ваш — сначала разберитесь с основанием для исследования. Обычно это определение суда о назначении экспертизы или согласие владельца.

Если же вопрос не в данных, а в самом телефоне — сломался, залит, брак, — это другая задача, и решается она другим исследованием.

Как читать ответ эксперта

Если в заключении написано «удалённой переписки не обнаружено», первое, что нужно найти рядом, — каким уровнем извлечения пользовался эксперт. По стандарту Коллегии уровень извлечения указывается в заключении обязательно, а вывод об отсутствии данных без него необоснован: возможно, данных действительно нет, а возможно, их нельзя было увидеть выбранным способом.

Это же стоит проверить в заключении, которое представила другая сторона. Такое заключение можно отдать на разбор специалисту: по документам он проверит, как получены данные, указан ли уровень извлечения, посчитаны ли контрольные суммы, разделены ли данные телефона и данные облака.

И последнее: данные о местоположении показывают, где был телефон, а не человек. Вывод о том, что конкретный человек находился в конкретном месте, выходит за пределы технического исследования.

Короче говоря

Что удастся восстановить, зависит от модели, пароля, уровня извлечения и того, что происходило с телефоном после удаления. Гарантировать результат заранее нельзя, а испортить его легко: просмотром, программами «для восстановления», подбором кода. Отключите телефон от сети, ничего в нём не трогайте и вспомните, где ещё могли остаться копии.