スマートフォン・モバイルフォレンジック

スマートフォン・モバイルフォレンジックでは何を調べる？

スマートフォン・モバイルフォレンジックでは、iPhoneやAndroid端末、そのバックアップやクラウドサービスなどに残るデータを保全・解析し、通話、メッセージ、アプリ利用、写真、位置情報、ファイル、削除データなどを確認します。

スマートフォンには、PCとは異なる保存構造、暗号化、アプリごとのデータ領域、クラウド同期などがあるため、確認できる範囲は端末、OS、ロック状態、バックアップ、アプリ、取得方法などによって大きく変わります。

また、「端末内にデータが存在した」「アプリ上に記録が残っていた」「特定のアカウントが使用された」「端末所有者本人が操作した」は、それぞれ別の事実として評価する必要があります。

iPhoneのフォレンジック調査

iPhoneでは、端末本体だけでなく、取得可能なバックアップ、iCloud等の関連データ、アプリデータなどが調査対象になる場合があります。

確認対象には、通話履歴、メッセージ、写真・動画、連絡先、アプリデータ、ブラウザ、位置情報に関するデータなどがあります。

ただし、端末やOSの状態、パスコード、暗号化、バックアップの有無などによって、取得できるデータは異なります。

Androidのフォレンジック調査

Android端末では、メーカー、機種、OSバージョン、暗号化方式、アプリ、microSDカードの有無などによって調査方法が変わります。

端末本体のデータに加えて、microSDカードやクラウドサービス、Googleアカウント側の記録などが確認対象になる場合があります。

Androidについても、端末を操作すれば必ず削除データを復元できるわけではありません。取得できる範囲を確認したうえで、必要な保全・解析方法を選択します。

スマートフォンで確認する主な証拠

• 通話履歴
• SMS・メッセージ
• 連絡先
• 写真・動画
• アプリデータ
• ブラウザ関連データ
• 位置情報に関する記録
• ダウンロード・保存ファイル
• 端末バックアップ
• クラウド同期データ
• microSDカード等の外部媒体

実際に何を確認できるかは、端末やアプリの状態によって異なります。「スマートフォンだからすべての履歴が残っている」とは限りません。

削除データは必ず復元できるわけではない

削除されたメッセージ、写真、ファイル等については、削除後の状態や保存方式によって確認できる場合とできない場合があります。

現在のスマートフォンでは暗号化やストレージ管理が高度化しているため、単純に「削除したデータが未使用領域に残っているので必ず復元できる」とは考えられません。

一方、削除されたデータ本体を回収できなくても、バックアップ、クラウド、アプリ、通知、関連ファイルなどに別の痕跡が残っている場合があります。

端末のデータとクラウドのデータを分けて考える

スマートフォン上で使用しているサービスのデータが、すべて端末本体だけに保存されているとは限りません。

iCloud、Google、Microsoft 365、Google Workspace、各種SNSやメッセージサービスなど、サービス側に記録が残っている場合があります。

そのため、端末側でデータが見つからない場合でも、適切な権限と調査目的のもとで、クラウド側の記録を確認することがあります。

クラウドフォレンジックについてはこちら

端末の所有者と実際の操作者は同じとは限らない

スマートフォンに特定のアカウントやメッセージが残っていても、それだけで必ず端末所有者本人が操作したと判断できるわけではありません。

他人への貸与、認証情報の共有、複数端末での同期、Web版サービスの利用などが存在する場合があります。

人物との関係を評価する場合は、端末、アカウント、認証記録、関連PC、クラウド側のログなどを組み合わせます。

調査前に初期化や不用意な操作をしない

証拠として使用する可能性があるスマートフォンは、調査前に初期化、OS更新、アプリ削除、バックアップの上書きなどを行わないことが重要です。

端末の操作によってデータや時刻情報、同期状態などが変化する場合があります。

一方、不正アクセスや情報流出が現在も継続している場合は、被害停止が必要になることもあります。端末の状態、ネットワーク接続、電源状態、既に行った操作を記録し、状況に応じて保全方法を判断します。

スマートフォンフォレンジックは端末だけで完結しない

実際の調査では、スマートフォン本体だけでなく、PC、クラウド、メール、Wi-Fi、バックアップなどを組み合わせる場合があります。

例えば、スマートフォンからクラウドサービスを利用した疑いがある場合は、端末内の痕跡だけでなく、サービス側の監査ログや認証記録を照合します。

重要なのは、確認できた記録が「端末」「アカウント」「人物」「具体的な操作」のどこまでを示しているのかを区別することです。