Mobilforensik er sikring og analyse af data fra telefoner og tablets: beskeder, opkald, billeder, placeringer og app-data. I civile sager handler det sjældent om hele telefonen. Det handler om en afgrænset samtale, en periode eller et billede, og om at dokumentere det, så det kan tåle at blive sammenlignet med modpartens version. Telefonen er samtidig den enhed, der indeholder flest private oplysninger, så afgrænsningen er en del af metoden.

Udtrækket laves af en uvildig IT-sagkyndig, der ikke er knyttet til nogen producent af udtræksværktøjer eller MDM-løsninger, og indholdet af telefonen er dækket af tavshedspligt.

Situationen

Typiske anledninger er:

• en firmatelefon er afleveret efter en fratræden, og beskeder til kunder eller konkurrenter er centrale,
• en tvist afhænger af en chat i WhatsApp, Signal, Messenger eller sms,
• et skærmbillede er fremlagt, og ægtheden er bestridt,
• en telefon er nulstillet, og spørgsmålet er, hvad der findes i backup eller cloud,
• en person er udsat for digital stalking og skal have dokumenteret spor på sin egen telefon.

Det sidste er en særlig opgave. → Sporsikring ved digital stalking

Hvad der sikres, og hvordan

Hvilken type udtræk der er mulig, afhænger af model, styresystem, låsestatus og hvilken adgang der lovligt er til rådighed. → Udtræk fra mobiltelefoner

• Logisk udtræk henter det, telefonen selv kan udlevere, typisk via en backupfunktion. Det er hurtigt og skånsomt, men mangler en del app-data og slettede poster.
• Udvidet logisk udtræk henter flere app-databaser og systemfiler, hvor modellen og adgangen tillader det.
• Selektivt udtræk begrænser sikringen til bestemte apps, kontakter eller perioder, når der er private data, der ikke må indgå. → Firmatelefonen i en ansættelsessag
• Backup og cloud som supplement: krypteret iOS-backup, iCloud, Google-kontoens sikkerhedskopi og MDM-data. → iOS-backup og Android-backup

Adgang sker kun ad lovlige veje: brugerens kode, samtykke, virksomhedens administratoradgang eller en afgørelse fra retten. Der arbejdes ikke med at bryde koder eller omgå låse. → Krypterede data: de lovlige adgangsveje

Mobiludtræk kan ikke gentages med samme hashværdi, fordi telefonen ændrer sig, mens den er tændt. Derfor hashes selve udtrækket, og forløbet dokumenteres trin for trin. → Hvorfor hashværdien ikke kan gentages

Hvad undersøgelsen kan vise

• beskeder og opkald i en afgrænset periode, med afsender, modtager og tidsstempel,
• om en besked er slettet, og om den kan genfindes i databasen eller en backup, → Slettede beskeder på telefonen
• om et skærmbillede stemmer med appens egen database, → Falske chatbilleder
• billeders metadata, herunder optagetid og eventuel redigering,
• placeringsdata, med de fejlkilder, de har. → Lokationsdata og fejlkilder

Grænserne

Krypterede beskedapps gemmer ofte kun lokalt, og forsvindende beskeder kan være væk. En nulstillet telefon kan som regel ikke gendannes lokalt. Det, operatøren har, er noget andet end det, telefonen har. En undersøgelse kan derfor ende med, at et spørgsmål ikke kan besvares, og det står i rapporten. → Telefonen eller teleoperatøren

Hvad I får

• Et dokumenteret udtræk med metode, værktøj og version, hashværdi og bevislog.
• En afgrænset rapport med de beskeder, billeder og tidsstempler, sagen drejer sig om.
• En vurdering af ægthed, hvis et skærmbillede eller en eksport er bestridt.
• En redegørelse for det, udtrækket ikke kunne nå, og årsagen.

Se eksempler på sikringsrapport og overdragelsesformular for beviser, som bruges, når telefonen skifter hænder.

Den juridiske proces omkring sikring af en telefon er beskrevet på Sikring af mobiltelefonen i en civil sag.

Samarbejde med jeres IT, MSP eller IR-leverandør

Firmatelefoner er ofte tilmeldt Intune, Jamf eller en anden MDM, som jeres IT eller MSP styrer. Før udtrækket aftales det, at ingen sender fjernsletning, nulstilling eller nye profiler til enheden, og at MDM-loggen over kommandoer og compliance-status eksporteres. Har en IR-leverandør været inde over, fordi telefonen indgår i et angreb, noteres det i bevisloggen. Rollerne er beskrevet på Samarbejde med IR-leverandøren, og hvad der spørges om i første samtale, på Når I ringer. Ved tvivl om, hvilket udtræk der giver mening, kan IT-afdelingen bruge teknisk sparring som mellemtrin.

Omfang og pris

Her er ingen beløb. Prisen bestemmes især af:

• antal enheder og modeller,
• om adgangskoden kendes, og om en backup findes,
• antal apps og længden af perioden,
• om cloudkonti og computer skal sammenholdes med telefonen,
• hast (hastesager koster ekstra),
• om der skal skrives rapport, og om der skal vidnes.

Hvordan opgaverne prissættes, står på nielcoit.dk/priser.

Bag udtrækket

Udtrækket laves af John Nielsen, som har drevet Nielco IT siden 2009 og samlet har over 30 års erfaring i IT-sikkerhed. Fra egne opgaver kender John Nielsen rollen som IT-sagkyndig, både i danske retskredse og ved patentdomstolen UPC. Nielco IT hjælper i hele Danmark.

Fortrolighed

En telefon indeholder private oplysninger om ejeren og om alle, ejeren kommunikerer med. Tavshedspligten omfatter udtrækket, arbejdskopierne og rapportens bilag; domstolene er de eneste, der kan kræve oplysningerne. NDA kan underskrives, når I beder om det.

Afgrænsning

Telefoner undersøges i tvister, interne sager og ved digital stalking. Politiets efterforskning hører ikke med. Se afgrænsningen.

Spørgsmål om et udtræk: ring 70 13 63 23. Nielco IT beskriver ydelsen på digital bevissikring.