Rafael Pfister

Consulting

E-postforensik för brottsbekämpande myndigheter

I förfaranden som rör bedrägeri, utpressning, identitetsmissbruk eller dataläckage är ett e-postmeddelande ofta det centrala bevismedlet. Om det är äkta, varifrån det lämnades in och vilken väg det tog kan beläggas utifrån headers, signaturer och serverloggar. Jag stöder åklagare, polis och andra myndigheter med tekniska analyser och skriftliga rapporter som även personer utan teknisk bakgrund kan följa.

Rådgivningen sker på tyska eller engelska.

  • E-postforensik
  • Headeranalys
  • DKIM-verifiering
  • Exchange och Microsoft 365
  • Brottmål
  • Sakkunnigutlåtanden

Tjänster

  • UrsprungsanalysUtvärdera Received chain, inlämnande IP-adresser, e-postservrar och tidsstämplar; tydligt skilja tillförlitliga headerfält från förfalskningsbara.
  • ÄkthetskontrollVerifiera DKIM-signaturer i efterhand, sätta SPF- och DMARC-resultat i sitt sammanhang, upptäcka manipulation av innehåll eller headers.
  • Logg- och plattformsanalysMeddelandespårning i Exchange, Message Trace och granskningsloggar från Microsoft 365, gatewayloggar: rekonstruera leverans, vidarebefordringar och åtkomster.
  • Komprometterade kontonFastställa om och sedan när en postlåda har tagits över och vilka meddelanden angriparen har skickat, läst eller raderat.
  • Rapport och förklaringSkriftlig rapport med metod, fynd och slutsatsernas begränsningar; förklaring inför utredare och domstol.

Metod och bevisvärde

Analysen görs på kopior av de säkrade uppgifterna, aldrig på originalen; hashvärden visar att kopiorna är oförändrade. För headeranalysen används verktyg som arbetar lokalt, så att bevismaterialet inte lämnar den kontrollerade miljön. Varje steg dokumenteras så att en annan sakkunnig kan upprepa det. Rapporten skiljer mellan fynd, tolkning och öppna frågor; det som inte kan beläggas utifrån uppgifterna anges som sådant. Möjliga är uppdrag som sakkunnig enligt art. 182 ff. i den schweiziska straffprocesslagen (StPO) liksom tekniskt stöd i pågående utredningar.

Så går ett uppdrag till

  1. Uppdrag och frågeställningMyndigheten formulerar frågorna; omfattning, tidsfrister och form för överlämnandet av data fastställs.
  2. Övertagande av dataKopior med hashvärden, dokumenterat överlämnande och säker förvaring.
  3. AnalysUtvärdera headers, signaturer och loggar, belägga fynden med rådata.
  4. RapportSvar på de ställda frågorna, metod och slutsatsernas begränsningar, vid behov muntlig förklaring.

Exempel från praktiken