Problem z iPhone’em zamachowca z Krakowa. Służby mówią o pomocy Apple’a

Cztery telefony mogą dostarczyć śledczym ważnych informacji o działaniach zamachowca z Krakowa. Największym problemem jest jednak samo dotarcie do danych zapisanych na jednym z urządzeń.

Cztery telefony komórkowe należące do sprawcy ataku w Krakowie trafiły do analizy Centralnego Biura Zwalczania Cyberprzestępczości. Wśród zabezpieczonych urządzeń znajduje się iPhone, którego zabezpieczenia mogą stanowić dla śledczych szczególne wyzwanie.

Śledczy badają cztery telefony zabezpieczone po ataku w Krakowie

Jak ustaliła Rzeczpospolita, telefony znaleziono w samochodzie napastnika. Zabezpieczono je razem z bronią i około 500 sztukami amunicji. Wszystkie urządzenia przekazano do krakowskiego zarządu CBZC, gdzie trwa analiza ich zawartości.

Dla śledczych najważniejsze może być ustalenie, w jaki sposób sprawca korzystał z poszczególnych telefonów. Istotne mogą okazać się nie tylko zapisane kontakty i wiadomości, ale również historia połączeń, aktywność w aplikacjach czy inne ślady pozostawione w pamięci urządzeń.

iPhone może stanowić szczególne wyzwanie dla śledczych

Śledczy nie wykluczają zwrócenia się o pomoc do Apple’a, jeżeli samodzielne odblokowanie urządzenia okaże się niemożliwe. W takim przypadku konieczne byłoby wystąpienie o pomoc prawną do strony amerykańskiej.

– Możliwe, iż w tym przypadku będziemy potrzebowali pomocy firmy Apple, co będzie się wiązało z koniecznością skierowania wniosku o pomoc prawną do strony amerykańskiej – powiedział prok. Eryk Stasielak.

Powód jest czysto techniczny. Współczesne iPhone’y wykorzystują szyfrowanie danych oraz mechanizmy sprzętowe odpowiedzialne za ochronę kluczy kryptograficznych. Kod blokady telefonu jest częścią systemu zabezpieczeń, który ma uniemożliwić osobie bez uprawnień dostęp do zawartości urządzenia.

Jednak problem staje się jeszcze większy, jeżeli iPhone został całkowicie wyłączony. Jak tłumaczy Michał Tatar, ekspert informatyki śledczej Mediarecovery, po utracie zasilania urządzenie traci klucze kryptograficzne potrzebne do odszyfrowania plików. Po ponownym uruchomieniu konieczne jest więc podanie kodu blokady, który pozwala uruchomić klucze deszyfrujące. Tatar podkreśla przy tym, iż wiele zależy od konkretnego modelu iPhone’a oraz wersji zainstalowanego systemu operacyjnego. Dostęp do zabezpieczonych danych może wymagać wykorzystania specjalistycznych narzędzi korzystających z luk w oprogramowaniu.

Prokurator Stasielak przekazał „Rzeczpospolitej”, iż śledczym udało się już uzyskać dostęp do komputera sprawcy.

Nie wiadomo, który telefon był najważniejszy

Śledczy nie informują, czy którykolwiek z czterech telefonów był głównym urządzeniem używanym przez sprawcę. Nie wiadomo również, czy wszystkie urządzenia były przez niego używane na co dzień, czy część została przygotowana specjalnie na potrzeby planowanego ataku.

Według Andrzeja Mroczka, byłego funkcjonariusza operacyjnego Wydziału do walki z Terrorem Kryminalnym i Zabójstw Komendy Stołecznej Policji, a w tej chwili eksperta zajmującego się przestępczością i terroryzmem, każdy z telefonów mógł pełnić inną funkcję. Są to jednak hipotezy eksperta, a nie ustalenia śledczych.

Jedno z urządzeń mogło służyć do nagrywania materiałów i przesyłania ich do chmury albo grup internetowych. Inny telefon mógł być wykorzystywany podczas przejazdu samochodem, między innymi do nawigacji lub korzystania z aplikacji informujących o kontrolach policyjnych.

Także sposób korzystania z kart SIM może być dla śledczych istotny. „Rzeczpospolita” zwraca uwagę na możliwość sprawdzenia, czy telefony były nowe, czy wcześniej używane, a także na to, na kogo zostały zarejestrowane znajdujące się w nich karty. Prokuratura nie ujawnia na razie szczegółów dotyczących numerów ani operatorów.

Telefony mogą odpowiedzieć na pytanie o kontakty

Znacznie ważniejsza od samej liczby urządzeń może być ich zawartość. Śledczy badają między innymi kontakty utrzymywane przez sprawcę oraz ich intensywność przed atakiem. Wstępnie ustalono również, iż korzystał on z Telegrama, dlatego aktywność w tym komunikatorze ma zostać dokładnie przeanalizowana.

Takie dane mogą pomóc ustalić, czy sprawca działał całkowicie sam, czy przed atakiem kontaktował się z innymi osobami lub grupami. Szczególnie istotne mogą być wiadomości i połączenia z ostatnich dni oraz wszelkie materiały zapisane lokalnie albo przesyłane z telefonu.

Śledczy mają jeszcze jedną możliwość. Według Michała Tatara, w przypadku posiadania kilku urządzeń warto sprawdzić również starszy sprzęt. Starszy telefon może mieć słabsze zabezpieczenia, a poznanie jego kodu zabezpieczającego może pomóc w uzyskaniu dostępu do innych urządzeń, jeżeli właściciel stosował ten sam kod blokady.