Niezależna analiza techniczna dowodów cyfrowych
Sprawdzamy, cofaktycznie wynika z dowodów
Analizujemy dowody z akt: opinie biegłych informatyków, billingi i odpowiedzi operatorów, adresy IP logowań, protokoły oględzin telefonów, e-maile i zrzuty ekranu. Każdy wniosek sprawdzamy także pod kątem innych możliwych wersji zdarzeń. Piszemy wprost, czego materiał nie rozstrzyga i jakich danych w nim brakuje.
Pracujemy dla obrońców, pełnomocników pokrzywdzonych, kancelarii i biur detektywistycznych w sprawach karnych, cywilnych i gospodarczych, w tym dotyczących cyberprzestępczości i oszustw internetowych. Nasze opracowania trafiają do postępowań prowadzonych przez sądy i prokuraturę.
Nie jesteśmy biegłymi powołanymi przez sąd ani prokuratora. Pracujemy na zlecenie strony i nie dopasowujemy wniosków do jej oczekiwań. Wynik opisujemy w opracowaniu technicznym, które ma status dokumentu prywatnego.
IP 203.0.113.47 · 23:12:05 UTC · port: brak
Operator wskazał abonenta łącza, z którego w tym czasie zalogowano się na konto. W opinii przyjęto, że logował się właśnie ten abonent.
Kto jeszcze korzystał z łącza i czy zapytanie do operatora zawierało numer portu oraz właściwą strefę czasową. W sieci komórkowej z jednego adresu IP korzysta naraz wielu klientów, więc bez tych danych łatwo wskazać niewłaściwego abonenta.
Abonent łącza nie musi być osobą, która się logowała. Żeby to rozstrzygnąć, potrzebne są dodatkowe dane, a opracowanie wskazuje, o które z nich wystąpić.
W jakich sprawach pracujemy
Cztery przykładowe sytuacje. W każdej zaczynamy od sprawdzenia, na jakie pytania materiał w ogóle pozwala odpowiedzieć.
Czy dowody cyfrowe łączą zdarzenie z konkretną osobą?
opinie biegłych, protokoły policji, dane operatorów, adresy IP, konta i urządzenia
Sprawdzamy, co w aktach rzeczywiście wiąże zdarzenie z urządzeniem, kontem, kartą SIM albo łączem, a co tylko na to wskazuje. Oceniamy też opinię biegłego. Nie oceniamy programów, których użył, tylko to, czy z opisu da się odtworzyć, co zbadano i na czym oparto wnioski.
Każde ustalenie zestawiamy z innymi możliwymi wersjami zdarzeń, takimi jak przejęcie konta, duplikat karty SIM czy obca osoba w sieci domowej. Braki opisujemy jako pytania do biegłego i listę danych, o które pełnomocnik może wystąpić.
02 co ten związek osłabia
03 jakie wersje zdarzeń sprawdzono
04 czego materiał nie rozstrzyga
Pytania, wokół których układamy opracowanie.
Autentyczność korespondencji i dokumentów elektronicznych
e-maile, pliki PDF, wydruki i zrzuty ekranu, metadane
Strona przedstawia e-mail, plik albo zrzut ekranu jako dowód. Sprawdzamy, co da się z niego potwierdzić, czy dane techniczne zgadzają się z treścią i czego brakuje, żeby ustalić datę albo autora.
kiedy wykonano zrzut brak zapisu w pliku
data korespondencji nie wynika z samego obrazu
Przelew na podmieniony rachunek bankowy
fałszywe faktury, nagłówki wiadomości, logi poczty
Wiadomość od kontrahenta wyglądała wiarygodnie, ale numer rachunku był inny. Z nagłówków ustalamy, którędy przeszła i czy domena kontrahenta ją potwierdziła. Gdy wiadomość wyszła z prawdziwej, przejętej skrzynki, szukamy śladów przejęcia i wskazujemy, o jakie logi wystąpić.
serwer, który wysłał wiadomość obca domena
podpis domeny (DKIM) brak
weryfikacja domeny (DMARC) nieudana
Sprawa umorzona, bo nie wykryto sprawcy
oszustwa internetowe, przejęte konta, nękanie w sieci
Sprawdzamy w aktach, jakie dane mogły wskazać sprawcę i o które z nich organ nie wystąpił. Chodzi na przykład o bank, na którego rachunek trafiły pieniądze, rejestratora domeny, platformę albo operatora, któremu nie podano numeru portu.
Wynik to lista pominiętych czynności. Zaznaczamy w niej dane, które mogą wkrótce zniknąć, bo operatorzy i platformy przechowują je przez ograniczony czas. Zleceniodawca decyduje, czy wykorzysta ją w zażaleniu, czy w piśmie do prokuratury.
domena rejestrator nie był pytany
logowanie z IP brak portu w zapytaniu
Przykładowe braki zestawione w opracowaniu.
Z praktyki. Po umorzeniu sprawy oszustwa biuro detektywistyczne zleciło nam analizę. Wskazaliśmy czynności, których nie wykonano, a po piśmie biura prokuratura wróciła do sprawy. To opis jednej sprawy, nie obietnica podobnego wyniku.
Fragmenty w ramkach są przykładami przygotowanymi na potrzeby tej strony i nie pochodzą z prowadzonych spraw.
Otwórz pismo w PDF
Z pisemnej rekomendacji agencji detektywistycznej
„Opracowania są przejrzyste, logicznie uporządkowane, zawierają pełną dokumentację źródeł, szczegółowy opis metodologii oraz materiał dowodowy przedstawiony w sposób umożliwiający jego dalsze wykorzystanie przez detektywów, pełnomocników procesowych i przedstawicieli organów ścigania.”
„Forma dokumentacji i sposób zabezpieczenia materiału dowodowego pozwalały na jego wykorzystanie w postępowaniach prowadzonych przez sądy i prokuraturę, a także znacząco ułatwiały pracę pełnomocników procesowych.”
Katarzyna BracławPełnomocnik do spraw działalności detektywistycznejDetektyw24 Agencja Detektywistyczna, czerwiec 2026
Przeczytaj całą rekomendację, PDF ↗Biały wywiad (OSINT)
Gdy trzeba wyjść poza akta
Biały wywiad (z ang. OSINT) to ustalanie faktów na podstawie informacji dostępnych publicznie. Uzupełniamy nim analizę, gdy materiał z akt nie wystarcza, na przykład gdy trzeba ustalić:
- powiązania osobowe i kapitałowe podmiotów w sprawie
- wpisy w jawnych rejestrach i orzeczeniach
- historię domen i stron użytych w oszustwie
- treść stron, które zmieniono albo usunięto
- ślady kont i publikacji powiązanych ze sprawą
Przy każdym ustaleniu zapisujemy, skąd pochodzi informacja i jak ją zweryfikowaliśmy. Pracujemy w granicach uzgodnionego zakresu i prawa: nie podszywamy się pod inne osoby i nie obchodzimy zabezpieczeń. Nie pozyskujemy też danych w sposób, którego nie dałoby się opisać w dokumencie składanym do akt.
Co dostajesz
Opracowanie, w którym każde ustalenie ma źródło
To dokument prywatny, w praktyce nazywany opinią prywatną. Pełnomocnik decyduje, czy go wykorzysta. Może na jego podstawie zadać biegłemu pytania albo wnosić o opinię uzupełniającą lub o powołanie innego biegłego.
Zaczyna się od najważniejszych wniosków. Dalej opisujemy autora, zlecenie, materiał i metodę, a każde ustalenie odsyła do konkretnej karty akt albo źródła.
Osobny rozdział sprawdza inne możliwe wersje zdarzeń, kolejny opisuje braki i niespójności materiału. Na końcu wskazujemy, jakie dane i czynności pozwolą je uzupełnić. Braków nie wypełniamy domysłem.
Pełny spis to sześć rozdziałów i załączniki.
5. Braki i niespójności materiału
Materiał nie pozwala ustalić, z jakiego urządzenia zalogowano się na konto pocztowe w dniu 00.00.0000 . Przekazany eksport skrzynki z karty 000 obejmuje wyłącznie wiadomości i nie zawiera dziennika logowań.
6. Dane potrzebne do weryfikacji
Dziennik logowań do konta pocztowego za okres 00.00-00.00 , z adresami IP i znacznikami czasu, uzyskany od dostawcy usługi.
Układ odpowiada naszym opracowaniom technicznym. Treść jest przykładowa i nie pochodzi ze sprawy.
Co bierzemy na siebie, a czego nie
Opracowania w sprawach karnych podpisuje imiennie ich autor, Adam Gola. Przed wydaniem każde sprawdza osoba z wykształceniem prawniczym. Jeśli sąd albo prokurator wezwie autora, zeznaje on jako świadek o tym, co i jak zbadał. Nie wchodzimy w rolę prawnika: nie rozstrzygamy o winie ani o kwalifikacji prawnej i nie udzielamy porad procesowych. Znaczenie ustaleń dla sprawy ocenia pełnomocnik, sąd albo organ.
Biura detektywistyczne mogą zlecać nam raporty z białego wywiadu w modelu white label. Raport trafia wtedy do klienta pod marką biura, a biuro wie, kto go przygotował. Opracowań w sprawach karnych nie wydajemy pod cudzą firmą.
Kto prowadzi analizy
Adam Gola
Jestem informatykiem i niezależnym ekspertem technicznym. W IT pracuję od 2016 roku, a bezpieczeństwem aplikacji zajmuję się od 2018. Pracowałem przy systemach dla bankowości, e-commerce i infrastruktury krytycznej, a w jednej z firm kierowałem pięcioosobowym zespołem bezpieczeństwa.
Dziś wykorzystuję to doświadczenie w analizie dowodów cyfrowych w sprawach karnych, cywilnych i gospodarczych, a w mniejszej części w białym wywiadzie.
Jestem magistrem inżynierem informatyki. Występowałem na The Hack Summit, Warszawskich Dniach Informatyki i Konferencji Freelance, działam w ISSA Polska, a w Security Magazine opublikowałem artykuł „Cyberbezpieczeństwo bez budżetu”. Zobacz pełny życiorys zawodowy
Nie wiesz, czy materiał nadaje się do analizy?
Napisz krótko, jaki materiał jest w sprawie i na jakim etapie jest postępowanie. Sprawdzimy, czy pozwala sensownie zacząć pracę. Jeśli tak, przed startem dostaniesz zakres, termin i cenę. Jeśli sprawa wymaga innego specjalisty, powiemy to od razu.
Poza analizami prowadzimy szkolenia z białego wywiadu i cyberbezpieczeństwa i tworzymy materiały edukacyjne.