Jak odzyskać usunięte wiadomości i pliki, które mogą stanowić materiał dowodowy?

Usunięta rozmowa na WhatsAppie, skasowany e-mail z groźbami albo zaginiony plik z ustaleniami finansowymi mogą przesądzić o wyniku sporu sądowego. Problem pojawia się wtedy, gdy wiadomości znikają, a ich treść trzeba przedstawić jako dowód. Odzyskanie usuniętych danych jest możliwe, ale zależy od rodzaju urządzenia, sposobu usunięcia informacji i dostępności kopii zapasowych. Liczy się również czas. Niektóre systemy przechowują skasowane pliki przez 30 dni, inne mogą zwolnić zajmowaną przez nie przestrzeń niemal natychmiast. Co ważne, samo przywrócenie wiadomości nie wystarczy. Trzeba jeszcze zabezpieczyć jej pochodzenie, datę i integralność, aby druga strona nie mogła łatwo zakwestionować autentyczności materiału.

Gdzie szukać usuniętych wiadomości i dokumentów, zanim przepadną bezpowrotnie?

Pierwszym krokiem powinno być ustalenie, czy dane rzeczywiście zostały trwale usunięte. W wielu przypadkach plik znika jedynie z widoku użytkownika, ale nadal pozostaje w koszu, archiwum albo kopii zapasowej. Największym błędem jest rozpoczynanie odzyskiwania od instalowania przypadkowych programów, zanim sprawdzi się mechanizmy dostępne w samej aplikacji.

Poszczególne usługi mają odmienne zasady przechowywania danych:

• iPhone – Wiadomości: w systemie iOS 16 i nowszych usunięte SMS-y i rozmowy iMessage można przywrócić przez folder „Ostatnio usunięte”. Apple przewiduje możliwość odzyskania wiadomości usuniętych w ciągu ostatnich 30–40 dni, zależnie od wersji systemu.
• Dysk Google: pliki pozostają w koszu przez 30 dni, chyba że wcześniej zostaną trwale usunięte. Przywracanie odbywa się przez wybór pliku i polecenie „Przywróć”.
• OneDrive: na kontach osobistych Microsoft standardowy okres przechowywania w koszu wynosi 30 dni, a na kontach służbowych lub szkolnych do 93 dni, o ile administrator nie zmienił zasad retencji.
• WhatsApp: odzyskanie rozmów zależy przede wszystkim od istnienia odpowiedniej kopii zapasowej w Google lub iCloud albo możliwości przeniesienia historii z innego urządzenia. WhatsApp nie przechowuje pełnej historii czatów na swoich serwerach w sposób pozwalający obsłudze przywrócić usuniętą korespondencję na żądanie.

Przykład? Pracownik otrzymał na WhatsAppie wiadomości dotyczące niewypłaconego wynagrodzenia, ale przypadkowo usunął całą rozmowę. Ostatnia kopia zapasowa pochodzi z poniedziałku, a wiadomości skasowano w środę. Jeżeli istotna korespondencja znajdowała się w poniedziałkowej kopii, jej odzyskanie jest realne. Trzeba jednak uwzględnić, że przywrócenie starszej kopii może spowodować utratę nowszych wiadomości, których w niej nie zapisano. Dlatego przed reinstalacją aplikacji należy zabezpieczyć aktualne dane i sprawdzić datę ostatniego backupu. Nie należy też uruchamiać nowej kopii, zanim ustali się, czy nie zastąpi ona starszej, potrzebnej wersji.

Inaczej wygląda sytuacja z dokumentami na komputerze. Jeśli plik został usunięty z dysku HDD, jego zawartość może pozostawać w nieprzydzielonej przestrzeni do chwili nadpisania. Na dyskach SSD działa mechanizm TRIM, który informuje nośnik o zwolnionych blokach danych. W połączeniu z wewnętrznym zarządzaniem pamięcią może to znacznie ograniczyć możliwość odzyskania plików, nawet niedługo po usunięciu.

Jeżeli dokument ma znaczenie procesowe, nie należy instalować programu do odzyskiwania na tym samym dysku ani zapisywać na nim nowych plików. Każda operacja zapisu może zmniejszyć szanse powodzenia. W przypadku aktywnego dysku systemowego najlepiej ograniczyć jego używanie i zlecić wykonanie kopii nośnika specjaliście.

Jak odzyskać dane i zabezpieczyć ich autentyczność przed sądem?

Odzyskanie pliku i przygotowanie wiarygodnego materiału dowodowego to dwa różne zadania. Program może odtworzyć treść dokumentu, ale nie zawsze zachowa jego pierwotną nazwę, daty czy powiązanie z konkretnym użytkownikiem. W postępowaniu sądowym te informacje bywają równie istotne jak sama zawartość.

Dobrym przykładem jest spór z kontrahentem, który twierdzi, że nie zaakceptował zmiany warunków umowy. Przedsiębiorca odnajduje usuniętego e-maila zawierającego potwierdzenie ustaleń. Sam zrzut ekranu pokazujący treść wiadomości może być pomocny, ale znacznie mocniejszym materiałem będzie oryginalna wiadomość zapisana w formacie EML, zachowująca nagłówki techniczne, adresy nadawcy i odbiorcy oraz informacje o drodze dostarczenia.

Nagłówki nie stanowią automatycznego dowodu, że wiadomość jest autentyczna. Pozwalają jednak przeanalizować jej pochodzenie i zestawić ją z innymi informacjami, np. korespondencją odbiorcy czy danymi serwera pocztowego.

Przy zabezpieczaniu odzyskanych materiałów warto zastosować następującą procedurę:

1. Zachować oryginał. Nie edytować odzyskanej wiadomości, nagrania ani dokumentu. Analizę prowadzić na kopii.
2. Udokumentować pochodzenie. Zapisać nazwę urządzenia, źródło danych, datę odzyskania i sposób wykonania kopii.
3. Zachować metadane. Nie ograniczać się do zrzutu ekranu, jeżeli możliwy jest eksport oryginalnego pliku lub całej rozmowy.
4. Obliczyć sumę kontrolną SHA-256. Skrót kryptograficzny pozwala później sprawdzić, czy plik pozostał niezmieniony. Można go obliczyć np. poleceniem Get-FileHash -Algorithm SHA256 w PowerShellu.
5. Przechowywać materiał w bezpiecznym miejscu. Najlepiej zachować co najmniej dwie kopie, z ograniczonym dostępem i informacją, kto oraz kiedy wykonywał na nich czynności.

W przypadku poważnego sporu znaczenie ma również sposób pozyskania materiału. Art. 243¹ i 308 Kodeksu postępowania cywilnego przewidują wykorzystanie odpowiednich dokumentów i zapisów elektronicznych w postępowaniu dowodowym. Nie oznacza to jednak, że każdy przedstawiony plik zostanie uznany za autentyczny lub rozstrzygający. Sąd ocenia dowody w kontekście całej sprawy.

Jeżeli istnieje ryzyko utraty istotnego materiału, art. 310 Kodeksu postępowania cywilnego umożliwia wystąpienie o zabezpieczenie dowodu, także przed rozpoczęciem procesu, gdy spełnione są ustawowe przesłanki. Takie rozwiązanie ma sens szczególnie wtedy, gdy dane znajdują się u drugiej strony, a ich późniejsze uzyskanie może być znacznie utrudnione.

Nie zawsze potrzebna jest jednak ekspertyza informatyczna. Przy prostym sporze o płatność może wystarczyć kompletna korespondencja wraz z potwierdzeniem przelewu i pozostałymi dokumentami. Badanie informatyki śledczej staje się uzasadnione, kiedy druga strona kwestionuje autentyczność wiadomości, wskazuje na możliwość manipulacji albo gdy trzeba odtworzyć historię usuwania danych.

Kiedy odzyskiwanie danych trzeba powierzyć specjalistom?

Samodzielne przywracanie plików ma sens, gdy wiadomości pozostają w koszu, dostępny jest prawidłowy backup, a źródło danych należy do osoby przeprowadzającej odzyskiwanie. Sytuacja komplikuje się przy uszkodzonych nośnikach, zaszyfrowanych telefonach, brakujących kopiach zapasowych oraz podejrzeniu celowego usunięcia dowodów.

Załóżmy, że przedsiębiorca podejrzewa byłego wspólnika o usunięcie korespondencji dotyczącej nieautoryzowanych przelewów. Na komputerze firmowym brakuje wiadomości, a część dokumentów została skasowana z dysku. Próby samodzielnego przywracania mogą zmodyfikować dane systemowe, utrudniając późniejsze ustalenie, kiedy i przez kogo wykonano określone działania.

W takiej sytuacji potrzebna bywa współpraca kilku specjalistów. Informatyk śledczy zajmuje się technicznym zabezpieczeniem i analizą danych. Z kolei licencjonowany detektyw może prowadzić legalne czynności polegające na ustalaniu faktów, poszukiwaniu informacji i dokumentowaniu okoliczności sprawy. W przypadku podejrzenia nadużyć gospodarczych pomocne może być również zaangażowanie biura detektywistycznego, szczególnie gdy odzyskane wiadomości trzeba zestawić z przebiegiem zdarzeń, dokumentami lub informacjami dotyczącymi osób zaangażowanych w sprawę.

Trzeba przy tym rozróżnić kompetencje. Detektyw nie uzyskuje prawa do włamywania się na konta, przełamywania zabezpieczeń czy przechwytywania cudzej komunikacji. Art. 7 ustawy o usługach detektywistycznych zabrania mu stosowania metod i środków operacyjno-rozpoznawczych zastrzeżonych dla uprawnionych organów. Zlecenie odzyskania danych nie legalizuje dostępu do cudzego telefonu ani prywatnej skrzynki pocztowej.

Przed wyborem wykonawcy należy ustalić, jaki rezultat jest faktycznie potrzebny:

• Utracone pliki z własnego komputera: właściwym wykonawcą będzie specjalista od odzyskiwania danych, a w sprawach dowodowych najlepiej informatyk śledczy.
• Podejrzenie manipulacji korespondencją: potrzebne jest badanie oryginalnych danych, metadanych i możliwych śladów ingerencji.
• Ustalenie przebiegu zdarzeń lub powiązań między osobami: uzasadnione może być zaangażowanie licencjonowanego detektywa.
• Dane znajdujące się wyłącznie u innej osoby: należy rozważyć działania przez pełnomocnika, sąd lub organy ścigania, zamiast prób nieuprawnionego dostępu.

Najbardziej problematyczne są współczesne smartfony z włączonym szyfrowaniem. Usuniętych danych nie da się z nich odzyskać wyłącznie dlatego, że laboratorium dysponuje zaawansowanym oprogramowaniem. Jeśli odpowiednie klucze szyfrujące zostały utracone, pamięć wyczyszczona, a kopia zapasowa nie istnieje, odzyskanie konkretnej wiadomości może być technicznie niemożliwe.

Przed zleceniem usługi trzeba zapytać o zakres badania, sposób zabezpieczenia oryginału, dokumentację wykonanych czynności oraz zasady rozliczenia w razie niepowodzenia. Nie należy akceptować obietnicy stuprocentowego odzyskania danych bez wcześniejszej diagnostyki. To szczególnie niepokojący sygnał w przypadku telefonów i dysków SSD.

Jeżeli sprawa dotyczy oszustwa, szantażu lub gróźb, samo zamówienie ekspertyzy może nie wystarczyć. W pierwszej kolejności należy zabezpieczyć posiadane materiały i rozważyć zawiadomienie policji lub prokuratury. Zwlekanie może doprowadzić do utraty kolejnych informacji, np. danych przechowywanych przez usługodawcę przez ograniczony czas.

FAQ – najczęstsze pytania o odzyskiwanie danych dowodowych

Czy można odzyskać wiadomości z WhatsAppa bez kopii zapasowej?
Nie ma gwarantowanej metody. Można sprawdzić inne własne urządzenia, zachowane eksporty rozmów i kopie multimediów. Jeżeli historia została trwale usunięta, nie istnieje backup ani inna zachowana kopia, odzyskanie może być niemożliwe.

Czy zrzut ekranu rozmowy jest dowodem w sądzie?
Może stanowić materiał dowodowy, ale jego autentyczność może zostać zakwestionowana. Lepiej zachować również oryginalną rozmowę, dane nadawcy, daty oraz pliki źródłowe.

Czy da się odzyskać pliki po opróżnieniu kosza?
Czasami tak, zwłaszcza z dysków HDD, jeśli dane nie zostały nadpisane. Na dyskach SSD mechanizm TRIM może uniemożliwić ich odtworzenie. Istotny jest także stan kopii zapasowych.

Czy można odzyskać wiadomości z telefonu innej osoby?
Nie wolno samodzielnie uzyskiwać nieuprawnionego dostępu do cudzych danych. W sprawie sądowej lub karnej należy skorzystać z legalnych procedur pozyskiwania i zabezpieczania materiału.

Czy odzyskane wiadomości automatycznie zostaną uznane przez sąd?
Nie. Znaczenie ma ich autentyczność, sposób pozyskania, związek ze sprawą oraz możliwość zweryfikowania treści i pochodzenia.

Co zrobić natychmiast po odkryciu usunięcia ważnych danych?
Najpierw ograniczyć korzystanie z urządzenia, nie instalować programów odzyskujących i sprawdzić istniejące kopie zapasowe bez ich nadpisywania. Jeśli materiał ma znaczenie procesowe, zabezpieczyć nośnik w niezmienionym stanie i skonsultować dalsze działania ze specjalistą.

Najważniejsza decyzja zapada przed pierwszą próbą odzyskiwania. Jeśli wiadomości nadal są w koszu aplikacji, skorzystaj z jej standardowej funkcji przywracania i zachowaj oryginały. Jeśli dane zniknęły z pamięci urządzenia, a mają stanowić dowód w poważnej sprawie, wstrzymaj zapisywanie nowych informacji i zabezpiecz nośnik do profesjonalnej analizy. Nieudana próba wykonana przypadkowym programem może pozbawić Cię materiału, którego później nie odzyska nawet specjalistyczne laboratorium.

Więcej informacji na: biuro detektywistyczne w Krakowie