Экспертиза электронной почты: исследование email, вложений и метаданных
Какие вопросы поставили эксперту
Экспертиза электронной почты касалась трёх связанных технических задач: зафиксировать содержание определённых электронных писем и прикреплённых документов, проверить письма на наличие признаков внесения изменений после получения, а также исследовать технологию и хронологию создания электронного документа-вложения.
Это важный пример того, что исследование email не ограничивается текстом, который пользователь видит в почтовом клиенте. Электронное письмо содержит служебные данные, а вложенный файл — собственные метаданные, которые могут отражать дату создания, дату модификации, программное обеспечение и другие технические характеристики.
Исследование электронных писем и вложений
Исследуемые сообщения хранились в базе почтового клиента The Bat! на компьютере заказчика. Эксперт дистанционно осмотрел соответствующий компьютер, выгрузил нужные электронные письма из почтовой базы и перенёс их на свою рабочую станцию для дальнейшего анализа.
Для выгруженных файлов электронных писем были зафиксированы контрольные значения MD5 и SHA-256. Сами письма, их служебные данные и хронология были систематизированы в отдельной таблице, а цифровые копии сохранены в электронном приложении к заключению.
Проверка электронной почты на признаки изменений
Эксперт исследовал служебную структуру файлов электронной почты на предмет возможного вмешательства. Служебные записи в исследованных письмах согласовывались между собой и не содержали необычных или противоречивых данных, которые свидетельствовали бы об изменении содержания после получения.
В итоге для исследованных сообщений не было установлено признаков вмешательства в их содержание после того, как они были получены почтовой системой. Это технический вывод относительно конкретных файлов и служебных данных, а не универсальная оценка любого скриншота или распечатки email.
Метаданные и хронология создания электронного документа
Отдельным объектом стало вложение в формате Microsoft Word. Анализ внутренних метаданных показал дату первичного создания документа, дату последнего изменения, продолжительность редактирования, имя пользователя, от имени которого документ создавался и изменялся, а также версию программного обеспечения.
В конкретном кейсе метаданные двух экземпляров вложенного документа совпадали. Было установлено, что файл первично создали в конце 2015 года, современное содержание он приобрёл в январе 2016 года, а суммарное время редактирования составило около 4,8 часа. Документ был подготовлен в Microsoft Office Word 14 / Office 2010.
Результаты компьютерно-технической экспертизы
Электронные письма и прикреплённые документы были технически зафиксированы, для цифровых файлов определены контрольные хеш-значения. Исследованные сообщения не содержали признаков вмешательства в их содержание после получения.
Метаданные вложения позволили воссоздать ключевые этапы создания и редактирования электронного документа. Именно сочетание служебных данных email и метаданных вложенного файла позволило ответить на разные по содержанию вопросы в рамках одной компьютерно-технической экспертизы.
Когда нужна экспертиза электронной почты
Экспертиза email может быть полезной, когда нужно не просто распечатать письмо, а технически зафиксировать электронное сообщение, исследовать его служебную структуру, вложения, контрольные значения и признаки возможных изменений. Отдельное направление — установление метаданных и хронологии создания документа, который отправлялся электронной почтой.
Для исследования желательно сохранять оригинальные файлы писем или доступ к почтовой базе, а не только скриншоты. Конкретный набор вопросов зависит от того, что именно нужно установить: содержание переписки, признаки вмешательства, дату создания вложения или другие цифровые характеристики.
Нужна компьютерно-техническая экспертиза?
Опишите цифровые данные и устройство — определим возможность исследования и перечень необходимых материалов.