Điện thoại thông minh là “hộp đen” chứa gần như toàn bộ đời sống số của một người: tin nhắn, vị trí, ảnh, giao dịch, mạng xã hội. Vì thế, điều tra số trên thiết bị di động (Mobile Forensics) là một trong những nhánh giá trị nhưng cũng khó khăn nhất.
Vì sao mobile forensics khó?
- Đa dạng thiết bị: hàng nghìn model, hệ điều hành, phiên bản khác nhau.
- Mã hóa mạnh: điện thoại hiện đại mã hóa toàn bộ dữ liệu theo mặc định.
- Dữ liệu luôn thay đổi: thiết bị liên tục đồng bộ, nhận thông báo, cập nhật.
- Ứng dụng khép kín: mỗi app lưu dữ liệu theo định dạng riêng.
Các cấp độ trích xuất dữ liệu
- Trích xuất thủ công: thao tác trực tiếp trên máy, chụp lại màn hình. Đơn giản nhưng hạn chế và dễ làm thay đổi dữ liệu.
- Trích xuất logic: lấy dữ liệu thông qua giao diện hệ thống — danh bạ, tin nhắn, nhật ký cuộc gọi.
- Trích xuất vật lý: tạo bản sao toàn bộ bộ nhớ, cho phép khôi phục cả dữ liệu đã xóa. Sâu nhất nhưng khó nhất.
Nguồn bằng chứng quan trọng
- Tin nhắn, ứng dụng chat và lịch sử cuộc gọi.
- Dữ liệu định vị và lịch sử di chuyển.
- Ảnh, video kèm metadata (thời gian, tọa độ).
- Lịch sử duyệt web và tài khoản đã đăng nhập.
- Dữ liệu ứng dụng và bản sao lưu đám mây liên kết.
Thách thức mã hóa và pháp lý
Mã hóa hiện đại khiến việc truy cập dữ liệu mà không có mật khẩu là cực kỳ khó. Điều này đặt ra ranh giới rõ ràng: điều tra phải hợp pháp, có thẩm quyền, và tôn trọng quyền riêng tư. Kỹ thuật chỉ là một nửa; nửa còn lại là khuôn khổ pháp lý.
Nguyên tắc bảo toàn riêng cho di động
Ngay khi thu giữ, nên cách ly thiết bị khỏi mạng (bật chế độ máy bay hoặc dùng túi chắn sóng Faraday) để tránh bị xóa từ xa hoặc đồng bộ làm thay đổi dữ liệu. Đây là bước đầu tiên và dễ bị bỏ quên nhất.