Как силовики достают удаленные данные с телефонов

В сентября в Москве прошла десятая конференция по цифровой криминалистике. Методы цифровой криминалистики позволяют искать онлайн-преступников, но правоохранители активно используют их против правозащитников и журналистов. «Секьюрно» вместе с экспертами протестировал выводы доклада о мобильной криминалистике и рассказывает, почему переписки – не самое опасное, что можно найти в вашем телефоне, какое значение имеет стоимость устройства и какие методы помогут защитить информацию, а какие сделают только хуже.

Доклад касался только устройств на Android. Информация об iPhone собрана из открытых источников.

Откуда извлекаются данные  

Память мобильного устройства делится на оперативную и постоянную. Приложения пишут данные в обе: пользовательские файлы (изображения, контакты, переписки, история браузера и тд) кладутся в постоянную, а то, что нужно прямо сейчас для работы приложения — в оперативную память. И оперативная, и постоянная память состоят из множества «ящичков» (кэш для ускорения загрузки, системные базы, файлы и сервисы). Кроме этого, данные записываются в собственные и сторонние облачные хранилища (iCloud, Google Drive). 

Причина, по которой приложения все время что-то кладут в «ящички», практическая: логи нужны для диагностики и корректной работы системы. Это сильно упрощает жизнь криминалистам, но усложняет ее тем, кто хочет скрыть следы: данных много, они лежат в разных местах, и стереть их одним нажатием нельзя.  

Например, если вы сделали скриншот из Телеграм-канала «нежелательной» организации и сохранили его в приложение «Фото», информация об этом попадет:

• в собственную базу приложения Телеграм, которая записывает названия загруженных чатов и каналов, копии переписки (в тч некоторое время хранит и удаленные сообщения), а также когда и какие файлы вы скачивали; 
• в приложение «Фото»: оно запишет название файла, точное время создания и пометку, что это скриншот. Если включена синхронизация с iCloud или Google Фото, копия уйдет еще и в облако;
• в отдельные системные базы: что Телеграм был открыт в определенный момент и использовался определенное время. Если из канала приходили push-уведомления, сохранятся название канала и часть текста сообщения. 

Кроме этого, устройство запомнит, когда именно вы использовали Телеграм, к какому Wi-Fi или сотовому оператору подключились, и сколько времени провели в приложении. Сам скриншот при этом может даже не понадобиться, достаточно совпадения по времени. В 19:52 был открыт Телеграм, в 19:53 появился скриншот.

Удаление скриншота или даже всего приложения не стирает следы окончательно. После того, как вы нажали «удалить» на Android, в служебной базе сервисов Google (то есть, непосредственно на устройстве) останутся имя, версия и цифровой отпечаток установочного файла приложения. iPhone надежнее уничтожает следы удаленных файлов, но записи об установке и удалении приложения остаются и на нем.

Онлайн-сервисы (облака и серверы приложений) – одна из самых больших уязвимостей: они помнят то, что операционная система уже забыла. Это сделано для удобства пользователей на случай, если те захотят восстановить случайно удаленные данные, но в итоге работает против них. 

Главные уязвимости

Название файла, время его установки и удаления, запрошенные разрешения и с какого ресурса или чата он был скачан – это метаданные, или  данные о данных. Это служебная информация – она не позволяет понять, что именно было на картинке из нашего примера. Но зато по ней получится вычислить, что вы состояли в чате, и обвинить вас во взаимодействии с «нежелательной организацией». Факт удаления тоже работает против владельца, тк следствие считает, что обвиняемый знал о противоправности своих действий.

Данные на устройстве защищены системным шифрованием. Системное шифрование работает, пока телефон не разблокируют после включения. При первом же вводе пароля телефон получает доступ к ключам шифрования и загружает их в память (многие Android – в оперативную, новые Pixel, Samsung с Knox Vault, iPhone – в особый модуль). Там ключи хранятся до следующего выключения – даже когда экран заблокирован. Поэтому данные расшифровываются, и вы можете пользоваться телефоном. Оперативная память тоже никак не шифруется.

Шифрование внутри приложений, если оно есть (например, сквозное шифрование в WhatsApp), никак не защищает данные на самом устройстве, а только гарантирует, что при передаче данных никто ничего не перехватит. Метаданные тоже шифруются только на устройстве.  

Вычистить метаданные простым нажатием кнопки не получится. Остается только ждать, пока система сама их перезапишет. Но у системных журналов, или буфера (на Android называется logcat) ограниченный объем памяти, они перезаписываются за часы, и к тому же, они не переживают перезагрузку телефона. При этом, личный журнал приложения сотрется только при удалении приложения. 

Системные базы – самый долгоживущий объект: записи в них хранятся дольше, чем в буфере, и они переживают перезагрузку всего телефона. Против них помогает только одно: сброс телефона до заводских настроек. Это уничтожает ключи шифрования, и прочитать после этого нельзя ничего, включая служебные журналы. Останется только время сброса и то, что хранится в облачных аккаунтах.  

Что действительно может защитить

Чтобы достать метаданные и получить полную копию памяти, криминалисту нужно не просто завладеть разблокированным устройством, а получить привилегированный доступ. На разблокированном устройстве он увидит ваши переписки и сохраненные файлы, но не увидит то, что вы уже удалили, чаты, из которых вышли, и другую информацию из служебных баз. Не все устройства разрешают привилегированный доступ, и выбор устройства – единственное, что вы точно можете проконтролировать заранее и полностью. 

iPhone и Google Pixel в режиме расширенной защиты (как ее активировать, см. в разделе «Чек-лист») блокируют передачу данных по кабелю при заблокированном экране. На бюджетных устройствах таких преград нет. Но ориентироваться нужно не столько на стоимость, сколько на процессор и то, закрыт ли загрузчик (bootloader, программа, которая запускается первой после включения устройства и готовит систему к работе. Заблокированный загрузчик не позволяет установить другие операционные системы и лучше защищает от вредоносных атак).

Чек-лист 

Проверьте, насколько ваше устройство уязвимо для мобильной криминалистики. Советы отсортированы по убыванию полезности:

• если вы опасаетесь, что сведения о вас могут стать причиной административного или уголовного дела, не покупайте ультрабюджетный телефон на процессорах семейства Unisoc (в октябре 2026 года на Яндекс Маркете такие устройства стоили от 11 до 30 тыс рублей). При изъятии содержимое такого устройства будет прочитано полностью, независимо от пароля;
  
  
• загрузчик должен быть закрыт, заводская защита загрузки — цела. Разблокированный загрузчик, кастомная прошивка и режим администратора (root-права или расширенные права, когда у владельца есть доступ ко всем разделам системы) снимают почти всю защиту;
  
  
• регулярно обновляйте приложения и операционную систему. В новых версиях программ нет большинства старых дыр в безопасности;
  
  
• Установите длинный пин-код, желательно буквенно-цифровой, а не просто четыре-шесть цифр, которые достаточно легко подобрать;
  
  
• старайтесь не использовать вход по биометрии – ваши палец и лицо можно использовать для разблокировки без вашего активного участия. FaceID или TouchID на iPhone отключаются, если нажать и удерживать кнопку включения и любую из кнопок громкости в течение двух секунд, а когда появятся слайдеры – кнопку включения еще раз. На Android нужно заранее включить режим «Блокировка» (Lockdown) в настройках экрана блокировки, после этого он появится в меню кнопки питания;
  
  
• выключайте телефон в рисковых ситуациях, в частности, под угрозой изъятия. Вот почему это важно: сразу после включения операционная система загружает в память ключи шифрования, и после разблокировки они становятся доступны. Собственно, поэтому системное шифрование, о котором говорилось выше, перестает работать. Выключение не стирает данные – содержимое служебных журналов все еще будет на телефоне – но вот достать его будет намного сложнее;
  
  
• включите режим защиты. Он не даст установить шпионские программы, в тч для извлечения данных, но может мешать привычной работе с устройством. Если с ним совсем неудобно, включите его хотя бы на момент рисковой ситуации. Android – «Настройки» → раздел безопасности → «Расширенная защита». На iPhone – «Настройки» → «Конфиденциальность и безопасность» → «Режим блокировки».
  
  
• выходите из групп и каналов в мессенджерах. Это не менее важно, чем чистить в них переписку. Пока вы состоите в группе, это видно любому пользователю с разблокированным телефоном, а также полчищам ботов, в тч ботам пробива. После того, как вы вышли из чата, восстановить следы, свидетельствующие о вашем в нем участии, может только глубокий доступ к телефону. Но не забывайте, что запись о прошлом участии останется на сервере и у других участников.
  
  
• включите режим исчезающих сообщений, чтобы быстрее перезаписывать записи в буфере;
  
  
• шифруйте резервные копии устройств. Это поможет защититься от попыток прочитать ваши удаленные данные; 
  
  
• проверяйте разрешения приложений. Чем меньше доступов вы раздаете, тем меньше информации каждое отдельное приложение запишет в журналы;  
  
  
• не устанавливайте приложения из чатов и по ссылкам. Это защищает и от вредоносных программ, и от появления той самой связки «файл – чат – время», на которой реконструируется обвинение;
  
  
• Программы-«чистилки», «ускорители» и очистка истории помогают только освободить память. Служебные журналы операционной системы, записи сервисов Google и данные сторонних приложений они не трогают. Зато сами часто требуют избыточных разрешений.

Если вы опасаетесь что-либо упустить, берите отдельный чистый телефон для рискованных ситуаций, или полностью откатите свой до заводских настроек и сбросьте данные. Пустое устройство само по себе может вызвать подозрения, но по факту предъявить будет нечего. Не нужно бояться устройств на Android: уровень защиты зависит от того, на каком железе стоит эта операционная система. На ультрабюджетном телефоне просто нет нужных модулей, а современные Samsung, Pixel и тд защищены не хуже iPhone.