Informatyka śledcza - znane przypadki (część I)

1. Sprawa gdańskiej gimnazjalistki

Działania związane z informatyką śledczą nie dotyczą jedynie danych zamieszczonych na dyskach twardych komputerów, ale również na takich urządzeniach, jak pamięci flash bądź telefony komórkowe.

W związku ze zwiększającą się liczbą funkcji i pojemności telefonów komórkowych, dane z nich pochodzące mogą stać się cennym źródłem dowodowym, wykorzystywanym w informatyce śledczej. Jednym z takich przypadków była udana próba odzyskania filmu zapisanego na telefonie komórkowym jednego z gdańskich uczniów w roku 2006.

Film ten był zapisem napastowania jednej z gimnazjalistek przez grupę jej kolegów, w tym chłopca nagrywającego to zdarzenie, podczas lekcji w szkole. Nagranie to zostało następnie opublikowane w Internecie, co mogło doprowadzić do samobójczej śmierci dziewczynki.

Po tym zdarzeniu i rozgłosie, jaki został mu nadany w mediach, chłopcy skasowali film. Telefon został jednak zabezpieczony przez policję, której przedstawiciele w toku postępowania przekazali aparat do analizy specjalistom firmy Kroll Ontrack. W katowickim laboratorium informatyki śledczej Kroll Ontrack odzyskano wykasowaną zawartość telefonu, w tym nagranie z lekcji. Film został wykorzystany w sprawie.

2. Komputer prezesa portalu wp.pl

Sprawa komputera prezesa Wirtualnej Polskiej jest przykładem straty jaką poniosła jedna ze stron z powodu braku świadomości istnienia usług informatyki śledczej w Polsce.

Większościowy udziałowiec portalu wp.pl zawarł porozumienie z posiadaczami udziałów stanowiącymi mniejszość, w którym zobowiązał się do odkupienia reszty udziałów po określonym czasie. Cena wykupienia udziałów miała zależeć bezpośrednio od ilości użytkowników portalu.

Po upływie terminu, w którym miało nastąpić odkupienie udziałów okazało się, że mniejszościowy pakiet udziałów był droższy niż łączna kapitalizacja dwóch najbardziej konkurencyjnych portali.

Większościowy udziałowiec wycofał się z podjętego zobowiązania. Podjęte zostały działania prowadzące do pogorszenia kondycji finansowej portalu, a w konsekwencji do doprowadzenia portalu do upadłości. Mniejszościowi udziałowcy zdecydowali się na zweryfikowanie zawartości komputera przenośnego jednego z managerów.

Komputer zawierający dane, które miały stanowić materiał dowodowy w sprawie, zdeponowano u notariusza. Zanim to jednak nastąpiło osoby te otwarły pliki, w których znajdowały się strategiczne dla sprawy informacje - materiały mające świadczyć o próbie doprowadzenia portalu do upadłości. Niestety otwierając dokument zmieniono jego atrybuty włącznie z datą utworzenia, pozbawiając dokument wartości dowodowej.

W przypadku zlecenia takich działań firmie Kroll Ontrack specjaliści zabezpieczyliby nośnik, wykonaliby kopię jego zawartości bez uruchamiania plików oraz umożliwiliby osobom prowadzącym dochodzenie wgląd do zawartości plików. W ten sposób wartość dowodowa zgromadzonego materiału zostałaby zachowana.

3. Kroll Ontrack dla FBI i Prokuratora Generalnego USA

W Stanach Zjednoczonych pewnemu pracownikowi dużej korporacji została wytoczona sprawa o umyślne spowodowanie utraty strategicznych danych jego pracodawcy. Miało to doprowadzić do znacznych strat firmy, a w rezultacie do zwolnienia 100 jej pracowników.

W trakcie analizy dokonywanej przez specjalistów Kroll Ontrack okazało się, że pracując jeszcze w korporacji, pracownik stworzył program komputerowy, który niszczył dane. Program umieścił na serwerze firmowym. Okazało się, że narzędzie działało na zasadzie bomby zegarowej. "Bombę" aktywował nieświadomie jeden z pracowników, logując się po określonym czasie na serwerze firmowym.

Specjaliści wykazali winę zwolnionego pracownika obalając główny argument obrony, jakoby dane firmowe zostały skasowane przypadkowo. Wykazali dodatkowo, że na prywatnym komputerze oskarżonego znajdowały się dane identyczne z tymi, które posłużyły do stworzenia groźnego programu. Po analizie wszystkich danych znajdujących się na serwerach pocztowych oraz koncie pocztowym podejrzanego pracownika specjaliści Kroll Ontrack przedstawili materiał dowodowy w sądzie. Dopiero te działania umożliwiły udowodnienie winy pracownika.

4. Dysk Aleksandry Jakubowskiej i dyski wykradzione z MSZ

Do końca lat dziewięćdziesiątych świadomość istnienia informatyki śledczej była w Polsce niemalże zerowa. Zmiany nastąpiły dopiero wtedy, gdy działania związane z informatyką śledczą (ang. computer forensics) stały się udziałem głośnych medialnie spraw, jak np. afera Rywina czy wykradzenie dysków z Ministerstwa Spraw Zagranicznych. Jednocześnie wydarzenia te pokazały, jak istotna może okazać się praca specjalistów takich firm, jak m.in. Kroll Ontrack.

W roku 2002 rozpoczęło się śledztwo związane z tzw. aferą Rywina. Jednym z kluczowych dla śledztwa działań było odzyskanie wiadomości pocztowej ze sformatowanego dysku Minister Aleksandry Jakubowskiej. Znajdowały się na nim dowody pozwalające prokuraturze na ustalenie przebiegu wydarzeń w jednym z wątków afery korupcyjnej.

Drugim wydarzeniem, które zwróciło uwagę opinii publicznej na tematykę Computer Forensics było wykradzenie dysków z Ministerstwa Spraw Zagranicznych. Brak zabezpieczenia zużytych nośników i monitorowania dostępności do nich mógł, w najgorszym wypadku, doprowadzić do pogorszenia stosunków międzynarodowych między Polską a innymi krajami.

5. Nieuczciwi pracownicy

Coraz powszechniejszy staje się ostatnio problem nieuczciwych pracowników. Do najliczniejszych przypadków, którymi zajmują się elektroniczni detektywi należy m.in. kradzież danych przez nieuczciwych pracowników.

Przykładem takiej sytuacji jest jedna z firm informatycznych, zajmująca się tworzeniem i wdrożeniami aplikacji biznesowych. Zespół zatrudniony do obsługi jednego z klientów firmy postanowił przejąć proponowane przez firmę rozwiązania (zespół przygotowywał się do kradzieży kodu źródłowego informacji) i sprzedać je poza nią, po uprzednim zwolnieniu się poszczególnych osób z pracy. Ustalono nawet osobną pulę pieniędzy, która miała być przeznaczona na ewentualną karę nałożoną przez pracodawcę. Propozycję, która miała być tańsza od oryginalnej, złożył jeden z handlowców, będący w bezpośrednim kontakcie z klientem. W wyniku tego klient postanowił zerwać umowę z firmą i skorzystać z tańszej oferty złożonej przez nieuczciwych pracowników.

Zaniepokojony takim postępowaniem klienta zarząd firmy postanowił przeanalizować zaistniałą sytuację i w wyniku własnych ustaleń dotyczących handlowca zdecydował się na dalsze kroki – zlecenie firmie Kroll Ontrack analizy komputerów, urządzeń PDA oraz telefonów komórkowych należących do zespołu. Podjęte przez specjalistów działania dały pełny obraz nieuczciwych działań pracowników i pozwoliły firmie na wyciągnięcie prawnych konsekwencji w stosunku do zaangażowanych w to działanie osób.