Cep Telefonu ve Tabletlerde Veri Kurtarma

Cep telefonu ve tablet veri kurtarma çalışmaları; yanlışlıkla silme, cihaz veya işletim sistemi sorunları, uygulama verilerinin kaybolması, cihazın hasar görmesi, kullanıcı işlemleri veya diğer teknik nedenlerle erişilemez hale gelen verilerin değerlendirilmesini kapsar. Uygulanacak veri kurtarma yöntemi; cihazın marka ve modeline, işletim sistemine, depolama yapısına, şifreleme durumuna ve mevcut teknik koşullara göre belirlenir.

Modern mobil cihazlarda veri güvenliği; donanımsal şifreleme, cihaz kilidi, uygulama korumaları ve flash bellek yönetim mekanizmalarıyla birlikte çalıştığından, silinen veya erişilemeyen her verinin geri elde edilmesi mümkün olmayabilir. Bu nedenle inceleme sırasında cihazın mevcut durumunun korunması, gereksiz işlemlerden kaçınılması ve teknik olarak uygulanabilir yöntemlerin değerlendirilmesi esas alınır; veri kurtarma konusunda kesin sonuç garantisi verilmez.

Hangi Mobil Cihazlar ve Veri Kaynakları İncelenebilir?

Mobil cihazlarda veri kurtarma ve teknik inceleme yöntemi; cihazın marka-modeline, işletim sistemine, depolama teknolojisine, erişim durumuna ve mevcut veri kaynağının niteliğine göre değişiklik gösterebilir. İnceleme yalnızca doğrudan cihaz üzerinde bulunan verilerle sınırlı olmayıp, mevcut yedekler, adli bilişim imajları ve teknik olarak erişilebilen diğer mobil veri kaynaklarını da kapsayabilir.

• Android işletim sistemli cep telefonları
• iPhone cihazlar
• Android işletim sistemli tabletler
• iPad cihazlar
• Farklı üreticilere ait akıllı telefon ve tabletler
• Teknik olarak desteklenen diğer mobil cihazlar
• Cihazların dahili flash depolama alanlarında bulunan mevcut veriler
• Android cihazlarda kullanılan eMMC ve UFS tabanlı dahili depolama yapıları
• Mobil cihazlarda kullanılan çıkarılabilir microSD ve diğer hafıza kartları
• Mobil cihazlardan daha önce alınmış adli bilişim imajları
• Mantıksal, dosya sistemi veya fiziksel yöntemlerle daha önce elde edilmiş mobil veri kopyaları
• JTAG, ISP, chip-off veya benzeri ileri yöntemlerle daha önce elde edilmiş uygun mobil cihaz imajları veya veri kopyaları
• Android cihazlara ait mevcut yerel veya bilgisayar tabanlı yedekler
• iPhone ve iPad cihazlarına ait Finder/iTunes veya benzeri bilgisayar yedekleri
• Şifreli veya şifresiz mevcut mobil cihaz yedekleri
• Mobil cihaz üreticilerinin masaüstü yazılımları veya yedekleme araçlarıyla oluşturulmuş mevcut yedekler
• Uygulamaların cihaz üzerinde oluşturduğu mevcut yerel yedek dosyaları
• Mesajlaşma uygulamalarına ait mevcut yerel veritabanları ve yedekler
• Cihaz içerisindeki kullanıcı dosyaları ve erişilebilir uygulama veri alanları
• Fotoğraf, video, ses kaydı, belge ve diğer kullanıcı tarafından oluşturulmuş dosyalar
• Mevcut mesajlaşma ve iletişim uygulaması verileri
• Mevcut çağrı kayıtları, kişiler ve diğer iletişim verileri
• E-posta uygulamalarına ait cihaz üzerinde mevcut veriler ve artefaktlar
• Tarayıcı geçmişi, arama kayıtları ve mevcut internet kullanım artefaktları
• Uygulama kullanımına ve kullanıcı aktivitelerine ilişkin mevcut dijital artefaktlar
• Cihaz üzerinde teknik olarak erişilebilen konum, tarih-saat ve kullanım kayıtları
• Uygulama veritabanları, SQLite dosyaları ve mevcut diğer yapılandırılmış veri kaynakları
• Dosya sistemi metadata bilgileri ve uygulama yapılandırma dosyaları
• Cihaz hesaplarına ilişkin cihaz üzerinde mevcut oturum, senkronizasyon ve hesap artefaktları
• Cihazdan veya mevcut bir adli bilişim incelemesinden elde edilmiş dışa aktarımlar
• Doğrulanmış çalışma kopyaları ve daha önce hazırlanmış teknik veri setleri
• Teknik olarak erişilebilen diğer mobil cihaz veri kaynakları

Hangi Veri Kaybı ve Erişim Sorunlarında İnceleme Yapılabilir?

Cep telefonu ve tabletlerde veri kaybı veya erişim sorunu; yanlışlıkla silme, cihaz veya işletim sistemi arızaları, uygulama verilerinin kaybolması, fiziksel hasar, şifreleme ve kullanıcı işlemleri gibi farklı nedenlerle ortaya çıkabilir. Uygulanabilecek yöntem; cihazın mevcut durumu, işletim sistemi, depolama yapısı, güvenlik özellikleri ve kurtarılması hedeflenen verinin niteliği dikkate alınarak belirlenir. Modern mobil cihazlarda silinen her verinin geri elde edilmesi teknik olarak mümkün olmayabileceğinden her olay kendi koşulları içinde değerlendirilir.

• Yanlışlıkla silinen fotoğraf, video, belge, ses kaydı ve diğer kullanıcı dosyalarının araştırılması
• Silinen veya erişilemeyen mesajlaşma uygulaması verilerinin teknik olarak araştırılması
• Silinen veya kaybolan çağrı kayıtları, kişiler ve mevcut diğer iletişim verilerinin araştırılması
• Tarayıcı geçmişi, indirilen dosyalar ve cihaz üzerinde mevcut diğer internet kullanım artefaktlarının araştırılması
• Uygulamanın silinmesi veya yeniden kurulması sonrasında cihaz üzerinde kalmış olabilecek verilerin araştırılması
• Uygulama güncellemesi sonrasında kaybolan veya erişilemeyen yerel uygulama verilerinin değerlendirilmesi
• Uygulama veritabanları veya SQLite dosyalarının bozulması nedeniyle erişilemeyen verilerin araştırılması
• SQLite veritabanlarına ait WAL, SHM ve mevcut diğer yardımcı dosyalarda kalmış olabilecek verilerin teknik olarak değerlendirilmesi
• Uygulama önbelleği, geçici dosyalar ve cihaz üzerinde mevcut diğer yerel artefaktlarda veri araştırılması
• Telefon veya tabletin fabrika ayarlarına döndürülmesi sonrasında veri kurtarma imkânının teknik olarak değerlendirilmesi
• Fabrika sıfırlaması, güvenli silme veya kriptografik anahtarların ortadan kaldırılması sonrasında veriye erişim durumunun değerlendirilmesi
• İşletim sistemi güncellemesi, sıfırlama veya yeniden yapılandırma işlemleri sonrasında meydana gelen veri kayıplarının araştırılması
• Cihazlar arası veri aktarımı, telefon taşıma veya yedekten geri yükleme işlemi sırasında eksik ya da kaybolmuş verilerin değerlendirilmesi
• Cihaz açıldığı halde kullanıcı verilerine veya belirli uygulamalara erişilemeyen durumların incelenmesi
• Cihazın açılmaması, sürekli yeniden başlaması, bootloop oluşması veya açılış ekranında kalması gibi sistem sorunlarının veri erişimine etkisinin değerlendirilmesi
• Recovery/DFU veya benzeri sınırlı çalışma durumlarında bulunan cihazlarda mevcut veri erişim imkânlarının değerlendirilmesi
• Ekran, dokunmatik veya diğer kullanıcı arayüzü bileşenlerinin arızalanması nedeniyle cihaz içeriğine normal yollarla erişilemeyen durumlar
• USB/veri bağlantısının veya cihaz bağlantı noktasının çalışmaması nedeniyle veri aktarımı yapılamayan durumlar
• Anakart/logic board, güç devresi veya diğer elektronik bileşenlerdeki arızaların veri erişimine etkisinin değerlendirilmesi
• Dahili eMMC/UFS depolama, controller veya ilgili flash bellek bileşenlerindeki sorunların veri erişimine etkisinin değerlendirilmesi
• Fiziksel darbe, kırılma, sıvı teması, yanma veya diğer donanımsal hasarlar sonrasında mevcut verilerin teknik olarak değerlendirilmesi
• Cihaz kilidi, parola, PIN veya diğer erişim korumalarının bulunduğu durumlarda mevcut yetki ve teknik imkânlar çerçevesinde veri erişiminin değerlendirilmesi
• Donanımsal şifreleme, dosya tabanlı şifreleme veya cihaz güvenlik mimarisi nedeniyle verilere erişimin sınırlandığı durumlar
• Yanlış parola denemeleri, cihaz güvenlik politikaları veya kullanıcı işlemlerinin mevcut veri erişimine etkisinin değerlendirilmesi
• Secure Folder, güvenli alan, özel alan, iş profili veya benzeri ayrı şifrelenmiş kullanıcı alanlarında bulunan mevcut verilerin teknik olarak değerlendirilmesi
• Çoklu kullanıcı profilleri veya farklı kullanıcı alanlarında bulunan mevcut verilerin değerlendirilmesi
• Cihaz üzerindeki microSD veya diğer çıkarılabilir hafıza kartlarında meydana gelen veri kayıplarının araştırılması
• Mevcut mobil cihaz yedeklerinin bozulması, eksik olması veya normal yöntemlerle açılamaması
• Finder/iTunes, Android veya üreticiye özgü yedekler içerisindeki mevcut verilerin araştırılması
• Şifreli mobil cihaz yedeklerinin gerekli parola veya erişim bilgileri mevcut olduğunda teknik olarak değerlendirilmesi
• Eksik veya başarısız yedekten geri yükleme işlemleri sonrasında mevcut veri kaynaklarının araştırılması
• Mevcut adli bilişim imajı veya mobil veri kopyası içerisindeki silinmiş ya da erişilemeyen verilerin araştırılması
• Daha önce alınmış mantıksal, dosya sistemi veya fiziksel mobil veri çıktılarının yeniden incelenmesi
• Daha önce JTAG, ISP, chip-off veya benzeri yöntemlerle elde edilmiş uygun veri kopyalarının teknik olarak yeniden değerlendirilmesi
• Dosya veya uygulama verilerinde bozulma, eksiklik veya tutarsızlık bulunan durumların araştırılması
• Fotoğraf, video, ses veya diğer medya dosyalarının açılamaması, eksik kaydedilmesi veya kısmen bozuk olması durumlarının değerlendirilmesi
• Kayıt sırasında cihazın kapanması veya uygulamanın çökmesi nedeniyle yarım kalmış fotoğraf, video, ses veya diğer dosyaların araştırılması
• Dosya ve uygulama metadata bilgilerinin kaybolduğu veya bozulduğu durumların değerlendirilmesi
• Zararlı yazılım veya başka bir teknik olay sonrasında cihazdaki verilerin silindiği, değiştirildiği, gizlendiği veya erişilemez hale geldiği durumların araştırılması
• Kullanıcı aktiviteleri veya belirli bir zaman aralığıyla ilişkili mevcut verilerin teknik olarak araştırılması
• Daha önce yapılmış veri kurtarma, cihaz sıfırlama, yazılım yükleme, servis/onarım veya başka teknik müdahalelerin mevcut veri yapısına etkisinin değerlendirilmesi
• Teknik olarak erişilebilen diğer mobil veri kaybı ve erişim sorunlarının değerlendirilmesi

Cep Telefonu ve Tablet Veri Kurtarma Süreci Nasıl İlerler?

Cep telefonu ve tabletlerde veri kurtarma süreci; cihazın marka-modeli, işletim sistemi, mevcut çalışma durumu, depolama ve şifreleme yapısı, erişim seviyesi ve kurtarılması hedeflenen verilerin niteliğine göre planlanır. Modern mobil cihazlarda güvenlik ve depolama mimarileri birbirinden farklı olduğundan her cihaz için tek bir standart kurtarma yöntemi uygulanamaz. Amaç; cihazın mevcut durumunu mümkün olduğunca koruyarak teknik olarak erişilebilen verileri güvenli ve doğrulanabilir yöntemlerle elde etmek ve değerlendirmektir.

1. Cihazın teslim alınması ve kayıt altına alınması: Cep telefonu veya tabletin marka-modeli, seri numarası/IMEI gibi mevcut tanımlayıcı bilgileri, fiziksel durumu, SIM/eSIM ve hafıza kartı durumu ile inceleme açısından gerekli diğer bilgiler kayıt altına alınır.
2. Hukuki süreçlerde gerekli kayıtların oluşturulması: İnceleme hukuki bir süreç kapsamında gerçekleştiriliyorsa teslim, muhafaza, materyal envanteri ve uygun durumlarda delil zinciri bilgileri ayrıca belgelenir.
3. Veri kaybı veya erişim sorununun belirlenmesi: Silinen veri, uygulama verisi kaybı, işletim sistemi sorunu, cihazın açılmaması, fiziksel hasar, yedek problemi veya diğer veri kaybı senaryoları değerlendirilir.
4. Kurtarılması hedeflenen verilerin belirlenmesi: Fotoğraf, video, mesaj, uygulama verisi, belge, çağrı kaydı veya diğer veri türleri ile mümkünse ilgili tarih aralığı ve teknik beklentiler belirlenir.
5. Cihazın mevcut durumunun belgelenmesi: Cihazın açık/kapalı olması, ekran kilidi durumu, batarya seviyesi, tarih-saat ayarları, ağ bağlantıları ve inceleme açısından önem taşıyan mevcut çalışma koşulları kayıt altına alınır.
6. Cihazın mevcut çalışma durumunun korunması: Cihazın kapanması, yeniden başlaması, otomatik kilitlenmesi, güncellenmesi veya veri durumunun değişmesine neden olabilecek gereksiz işlemlerden mümkün olduğunca kaçınılır.
7. Uzaktan müdahale ve veri değişikliği riskinin değerlendirilmesi: Uygun durumlarda ağ bağlantıları, uzaktan silme, senkronizasyon veya başka bir dış müdahale olasılığı değerlendirilir; cihazın mevcut durumunu gereksiz yere değiştirmeden uygun koruma yöntemi belirlenir.
8. Canlı veya geçici verilerin değerlendirilmesi: Cihaz açık ve erişilebilir durumdaysa, cihaz kapanması veya yeniden başlatılması halinde kaybolabilecek oturum, çalışma durumu veya diğer geçici bilgilerin inceleme açısından önem taşıyıp taşımadığı değerlendirilir.
9. Fiziksel ve elektronik durumun değerlendirilmesi: Ekran, dokunmatik, bağlantı noktası, batarya, anakart/logic board, eMMC/UFS depolama ve diğer donanım bileşenlerinde veri erişimini etkileyebilecek sorunlar belirlenir.
10. İşletim sistemi ve güvenlik yapısının belirlenmesi: Android/iOS sürümü, cihaz güvenlik mimarisi, ekran kilidi, dosya tabanlı veya donanımsal şifreleme ve mevcut diğer erişim korumaları değerlendirilir.
11. Yetki ve erişim bilgilerinin değerlendirilmesi: Mevcut PIN, parola, yedek parolası, kurtarma bilgileri veya diğer erişim bilgileri değerlendirilir. Veri erişimi yalnızca mevcut yetki ve teknik imkânlar çerçevesinde ele alınır.
12. Cihaz üzerinde değişiklik yaratabilecek yöntemlerin değerlendirilmesi: Uygulama yükleme, sistem değişikliği, root/jailbreak veya benzeri işlemlerin veri bütünlüğüne etkisi dikkate alınır. Teknik olarak gerekli bir değişiklik yapılması halinde nedeni ve gerçekleştirilen işlem belgelenir.
13. Uygun veri edinim yönteminin belirlenmesi: Cihazın marka-modeli, işletim sistemi, güvenlik durumu ve desteklenen teknik imkânlara göre mantıksal edinim, dosya sistemi edinimi, mevcut yedeklerin kullanılması veya uygun diğer yöntemler belirlenir.
14. Mevcut yedek ve veri kaynaklarının korunması: Finder/iTunes, Android, üreticiye özgü yedekler, hafıza kartları veya daha önce oluşturulmuş adli bilişim çıktıları mevcutsa ayrı veri kaynakları olarak kayıt altına alınır ve korunur.
15. Veri ediniminin gerçekleştirilmesi: Teknik olarak uygun yöntemle cihazdan veya mevcut veri kaynağından incelemeye esas veriler elde edilir; kaynak üzerinde gereksiz değişiklik yapılmamasına dikkat edilir.
16. Edinim loglarının ve işlem sonucunun kontrol edilmesi: Kullanılan aracın oluşturduğu işlem kayıtları, hata mesajları, erişilemeyen alanlar ve edinimin tamamlanma durumu kontrol edilir.
17. Edinilen verinin bütünlüğünün doğrulanması: Uygun durumlarda oluşturulan veri kopyaları, imajlar veya yedekler için hash değerleri ve mevcut diğer bütünlük kontrolleri kayıt altına alınır.
18. Ana veri kaynağı ile çalışma kopyalarının ayrılması: Mümkün olduğu durumlarda doğrulanmış edinim çıktısı değiştirilmeden korunur; analiz ve veri kurtarma işlemleri ayrı çalışma kopyaları üzerinden yürütülür.
19. Dosya sistemi ve kullanıcı verilerinin incelenmesi: Fotoğraf, video, belge, ses kaydı, indirilen dosyalar ve teknik olarak erişilebilen diğer kullanıcı veri alanları değerlendirilir.
20. Uygulama verilerinin teknik olarak incelenmesi: Mesajlaşma, iletişim ve diğer uygulamalara ait mevcut veritabanları, ek dosyalar, yapılandırma dosyaları, önbellekler ve diğer erişilebilir uygulama artefaktları incelenir.
21. SQLite ve ilişkili veri yapılarının değerlendirilmesi: SQLite veritabanları ile mevcut WAL, SHM ve diğer yardımcı dosyalar içerisinde erişilebilir veya geçmiş kayıt niteliği taşıyabilecek veriler teknik olarak araştırılır.
22. Silinmiş veya erişilemeyen verilerin araştırılması: İşletim sistemi, dosya sistemi, uygulama mimarisi, şifreleme durumu ve elde edilen veri türünün sağladığı teknik imkânlar çerçevesinde silinmiş veya erişilemeyen veriler araştırılır.
23. Medya ve diğer dosyaların kontrol edilmesi: Elde edilen fotoğraf, video, ses, belge ve diğer dosyaların açılabilirliği, bütünlüğü, dosya yapısı ve kullanılabilirliği değerlendirilir.
24. Metadata ve dijital artefaktların korunması: Dosya tarih-saat bilgileri, EXIF verileri, uygulama metadata değerleri, konum bilgileri ve mevcut diğer teknik kayıtların mümkün olduğunca korunmasına dikkat edilir.
25. Farklı veri kaynaklarının karşılaştırılması: Gerektiğinde cihazdan elde edilen veriler mevcut yedekler, hafıza kartları, önceki veri kopyaları veya adli bilişim çıktılarıyla karşılaştırılır.
26. Fiziksel veya ileri donanım müdahalesi gerektiren durumların ayrılması: Anakart, eMMC/UFS veya diğer bileşenlerde ileri elektronik müdahale gerektiren durumlarda standart yöntemlerle cihaz gereksiz yere zorlanmaz; özel laboratuvar veya ileri donanım ihtiyacı açıkça belirtilir.
27. Kurtarılabilir verilerin güvenli hedef ortama aktarılması: Elde edilen veriler kaynak cihazdan ayrı ve uygun bir depolama ortamında muhafaza edilir; kaynak cihaza geri yazılmaz.
28. Kurtarılan verilerin doğrulanması: Bir veri veya dosyanın tespit edilmiş olması onun eksiksiz ve sağlam olduğu anlamına gelmediğinden, dosyalar, veritabanları ve diğer çıktılar mümkün olduğu ölçüde doğrulanır.
29. Yapılan işlemlerin kayıt altına alınması: Kullanılan yöntemler, yazılım ve gerekli sürüm bilgileri, edinim çıktıları, hash değerleri, işlem logları, önemli teknik kararlar ve karşılaşılan sınırlılıklar yeniden değerlendirilebilecek şekilde belgelenir.
30. Teknik sınırlılıkların değerlendirilmesi: Şifreleme, fabrika sıfırlaması, ortadan kaldırılmış şifreleme anahtarları, flash bellek yönetimi, üzerine yazılma, fiziksel hasar ve önceki müdahalelerin veri kurtarma sonucuna etkisi açıklanır.
31. Sonuçların teslimi ve gerektiğinde teknik raporlama: Teknik olarak elde edilebilen veriler uygun biçimde teslim edilir; uygulanan yöntemler, elde edilen sonuçlar, kurtarılamayan veya kesin değerlendirilemeyen hususlar ve mevcut teknik sınırlılıklar gerektiğinde raporlanır.

Veri Kurtarmada Teknik Sınırlılıklar ve Dikkat Edilmesi Gerekenler

Cep telefonu ve tabletlerde veri kurtarma imkânı; cihazın marka-modeli, işletim sistemi sürümü, güvenlik mimarisi, depolama teknolojisi, şifreleme durumu, cihazın mevcut çalışma koşulları ve veri kaybından sonra yapılan işlemlere bağlı olarak değişebilir. Modern mobil cihazlarda kullanıcı verileri güçlü donanımsal ve yazılımsal güvenlik mekanizmalarıyla korunabildiğinden, silinen veya erişilemeyen her verinin geri elde edilmesi mümkün değildir. Bu nedenle her cihaz ve veri kaybı senaryosu kendi teknik koşulları içerisinde değerlendirilir.

• Modern cihaz şifrelemesi: Android ve iOS cihazlarda kullanılan donanımsal, dosya tabanlı veya kullanıcı kimlik bilgilerine bağlı şifreleme mekanizmaları, gerekli anahtarlar veya erişim bilgileri bulunmadığında verilere erişimi sınırlandırabilir veya tamamen engelleyebilir.
• Cihaz kilidi ve erişim korumaları: PIN, parola, ekran kilidi ve diğer güvenlik mekanizmalarının bulunduğu cihazlarda inceleme yalnızca mevcut yetki ve teknik imkânlar çerçevesinde gerçekleştirilebilir.
• Cihazın kilit açılma durumu (BFU/AFU): Modern mobil cihazlarda cihazın yeniden başlatıldıktan sonra henüz kilidi açılmamış olması ile kullanıcı tarafından bir kez kilidi açılmış olması farklı veri erişim seviyeleri oluşturabilir. Cihazın kapanması veya yeniden başlatılması erişilebilir veri miktarını değiştirebilir.
• Güvenli donanım bileşenleri: Secure Enclave, TEE, Secure Element, donanımsal anahtar depolama ve benzeri güvenlik yapıları nedeniyle kullanıcı verileri yalnızca depolama çipinin fiziksel olarak okunmasıyla elde edilebilir durumda olmayabilir.
• Keychain, Keystore ve uygulama anahtarları: Uygulama veritabanı veya dosyaları cihaz üzerinde mevcut olsa bile bunları çözmek için gerekli Keychain, Android Keystore veya uygulamaya özgü şifreleme anahtarlarının bulunmaması içeriğe erişimi engelleyebilir.
• Fabrika ayarlarına sıfırlama: Modern cihazlarda fabrika sıfırlaması yalnızca dosya kayıtlarını kaldırmakla kalmayıp verilere erişmek için kullanılan şifreleme anahtarlarını da ortadan kaldırabilir. Bu durumda önceki kullanıcı verilerinin kurtarılması teknik olarak mümkün olmayabilir.
• Silinen verilerin üzerine yazılması: Veri kaybından sonra cihazın kullanılmaya devam edilmesi, yeni uygulamalar kurulması, fotoğraf veya video çekilmesi ve sistem işlemlerinin devam etmesi silinmiş verilere ait alanların değişmesine neden olabilir.
• Flash bellek yönetim mekanizmaları: eMMC/UFS ve diğer flash depolama teknolojilerindeki wear-leveling, garbage collection, TRIM benzeri işlemler ve dahili bellek yönetimi silinmiş verilerin fiziksel konumunu veya erişilebilirliğini değiştirebilir.
• Uygulama düzeyinde şifreleme: Mesajlaşma, finans, kurumsal veya güvenli uygulamalar kendi şifreleme mekanizmalarını kullanabilir. Cihazın genel dosya sistemine erişilebilmesi uygulama içeriğinin mutlaka okunabileceği anlamına gelmez.
• Uçtan uca şifreleme ve uygulamaya özgü anahtarlar: Bazı iletişim uygulamalarında içeriklerin okunabilmesi cihaz üzerinde bulunan belirli anahtar, oturum veya veritabanı yapılarının birlikte mevcut olmasına bağlı olabilir.
• Secure Folder, özel alan ve iş profilleri: Güvenli klasörler, özel kullanıcı alanları veya kurumsal iş profilleri ana kullanıcı alanından farklı güvenlik ve şifreleme mekanizmalarına sahip olabilir.
• Çoklu kullanıcı ve profil yapıları: Aynı cihazdaki farklı kullanıcı profillerinin verileri birbirinden ayrılmış olabilir ve her profil için farklı erişim koşulları bulunabilir.
• Android adoptable storage: Bazı Android cihazlarda microSD kart dahili depolamanın parçası olarak biçimlendirilip şifrelenebilir. Böyle bir kartın cihazdan çıkarılarak tek başına okunması kullanılabilir veriye erişmek için yeterli olmayabilir.
• Uygulamanın silinmesi veya yeniden kurulması: Uygulamanın kaldırılması, yeniden kurulması veya “verileri temizle” işlemi; veritabanlarını, yerel dosyaları veya bunlara ait şifreleme anahtarlarını değiştirebilir ya da ortadan kaldırabilir.
• Geçici ve kendiliğinden silinen uygulama verileri: Kaybolan mesajlar, süreli içerikler, geçici dosyalar, önbellekler ve benzeri veriler uygulama veya işletim sistemi tarafından otomatik olarak temizlenebilir; geçmişte mevcut olmaları cihazda kalıntı bulunacağı anlamına gelmez.
• SQLite ve uygulama veritabanlarının değişmesi: WAL, SHM ve diğer yardımcı veritabanı dosyaları zaman içerisinde birleştirilebilir, temizlenebilir veya üzerine yazılabilir; geçmiş kayıtların her zaman geri elde edilmesi mümkün değildir.
• İşletim sistemi güncellemeleri: Android/iOS güncellemeleri; dosya sistemi, uygulama yapıları, güvenlik politikaları, şifreleme mekanizmaları veya mevcut dijital artefaktları değiştirebilir.
• Cihaz ve işletim sistemi sürümünün teknik araç desteğine etkisi: Veri edinim araçları her cihaz modeli, chipset veya Android/iOS sürümünde aynı erişim seviyesini sağlayamayabilir. Bir yöntem eski bir sürümde çalışırken yeni bir güvenlik güncellemesi sonrasında kullanılamayabilir.
• Cihazın yeniden başlatılması veya kapanması: Yeniden başlatma sonrasında güvenlik durumu değişebilir ve kullanıcı kimlik bilgileri tekrar girilmeden daha önce erişilebilir olan bazı veri alanlarına erişilemeyebilir.
• Uzaktan silme ve senkronizasyon işlemleri: Ağ bağlantısı bulunan cihazlarda uzaktan silme, hesap senkronizasyonu veya uygulama işlemleri cihaz üzerindeki mevcut verinin durumunu değiştirebilir.
• MDM ve kurumsal cihaz yönetimi: Kurumsal cihazlarda MDM politikaları uzaktan kilitleme, veri silme, iş profilini kaldırma veya belirli uygulama verilerinin erişimini sınırlandırma gibi işlemler gerçekleştirebilir.
• Fiziksel ve elektronik hasarlar: Anakart/logic board, eMMC/UFS, güç devresi, bağlantı noktası, sıvı teması veya diğer donanım arızaları standart veri edinim yöntemlerini engelleyebilir.
• Donanım bileşenlerinin cihazla eşleştirilmiş olması: Bazı modern cihazlarda işlemci, güvenlik bileşenleri ve depolama alanı kriptografik olarak birbirine bağlıdır. Yalnızca bellek çipinin başka bir cihaza aktarılması kullanılabilir veri elde edilmesini sağlamayabilir. İleri donanım müdahalesi gerektiren durumlar: Anakart onarımı, mikro lehim, ISP/JTAG, chip-off veya benzeri işlemler özel ekipman ve laboratuvar altyapısı gerektirebilir ve her cihazda uygulanabilir değildir.
• Hasarlı cihazın tekrar tekrar çalıştırılması: Güç veya anakart arızası bulunan bir cihazın kontrolsüz biçimde tekrar tekrar açılmaya çalışılması bazı durumlarda mevcut arızayı ilerletebilir ve veri erişimini daha da zorlaştırabilir.
• Root, jailbreak veya sistem değişiklikleri: Veri erişimi amacıyla cihaz üzerinde yapılan sistem değişiklikleri yeni dosyalar oluşturabilir veya mevcut veriyi değiştirebilir. Böyle bir yöntem gerekli olduğunda etkisi ayrıca değerlendirilmelidir.
• Daha önce yapılan servis ve onarım işlemleri: Anakart değişimi, depolama bileşeni değişimi, işletim sistemi yeniden kurulumu, cihaz sıfırlama veya servis yazılımı yüklenmesi önceki kullanıcı verilerine erişimi ortadan kaldırmış olabilir.
• Yedeklerin eksik veya şifreli olması: Mobil cihaz yedeğinin bulunması bütün cihaz verilerinin yedekte bulunduğu anlamına gelmez. Şifreli yedeklerde gerekli parola veya anahtarların bulunmaması da erişimi engelleyebilir.
• Uygulamaların veri saklama politikaları: Bazı uygulamalar verileri yalnızca geçici olarak, sınırlı süreyle veya şifreli biçimde cihaz üzerinde saklayabilir. Bu nedenle belirli bir kaydın cihazda bulunmaması geçmişte hiç var olmadığı anlamına gelmeyebilir.
• Dosyanın tespit edilmesi, sağlam olduğu anlamına gelmez: Kurtarılan fotoğraf, video, veritabanı veya başka bir dosya eksik, bozuk veya kısmen üzerine yazılmış olabilir; kullanılabilirliği ayrıca doğrulanmalıdır.
• Metadata bilgilerinin eksikliği: Dosya içeriği elde edilse bile özgün dosya adı, klasör yolu, oluşturma/değiştirme zamanı, EXIF veya diğer metadata bilgilerinin tamamı korunmamış olabilir.
• Zaman bilgilerinin farklı kaynaklardan gelmesi: Cihaz saati, uygulama zamanı, UTC, yerel saat ve sunucu kaynaklı zaman değerleri birbirinden farklı olabilir. Zaman bilgisinin doğrudan kesin olay zamanı olarak yorumlanmadan önce kaynağı ve zaman dilimi değerlendirilmelidir.
• Kurtarılamayan verinin geçmişte hiç var olmadığı sonucuna doğrudan ulaşılamaması: Silinme, şifreleme, üzerine yazılma, sıfırlama, uygulama temizliği veya flash bellek yönetimi nedeniyle geçmişte mevcut olan bir veri artık teknik olarak tespit edilemeyebilir.
• Kurtarma sonucunun garanti edilememesi: Veri kurtarma başarısı; cihazın güvenlik mimarisi, işletim sistemi sürümü, fiziksel durumu, şifreleme yapısı, veri kaybından sonra gerçekleştirilen işlemler ve mevcut teknik imkânlara bağlı olduğundan belirli bir veri veya dosyanın kesin olarak kurtarılacağı önceden taahhüt edilmez.

Kimler İçin Uygundur?

Cep telefonu ve tablet veri kurtarma hizmetleri; mobil cihazlarda silinen, kaybolan, erişilemeyen veya teknik sorunlar nedeniyle ulaşılamayan verilerin araştırılmasına ihtiyaç duyulan bireysel, kurumsal ve hukuki süreçlerde uygulanabilir. İnceleme kapsamı; cihazın mevcut durumu, işletim sistemi, güvenlik yapısı, erişim seviyesi ve kurtarılması hedeflenen verilerin niteliğine göre belirlenir.

• Bireysel başvurular: Cep telefonu veya tabletlerinde silinen, kaybolan ya da erişilemeyen fotoğraf, video, belge, mesajlaşma verisi, kişi, çağrı kaydı ve diğer kullanıcı verilerinin araştırılmasına ihtiyaç duyan kişiler.
• Avukatlar ve hukuk büroları: Hukuki süreçlerde önem taşıyan mobil cihaz verilerinin, mevcut yedeklerin veya adli bilişim çıktılarının teknik olarak incelenmesi ve gerektiğinde uzman mütalaasına esas değerlendirme yapılmasına ihtiyaç duyanlar.
• Ceza ve hukuk yargılamalarının tarafları: Dosya kapsamında önem taşıyan mobil cihaz verilerinin silinme, erişilebilirlik, zaman bilgisi, kullanıcı aktivitesi veya teknik bütünlük açısından değerlendirilmesine ihtiyaç duyulan süreçler.
• Şirketler ve diğer tüzel kişiler: Kurumsal cep telefonu ve tabletlerde meydana gelen veri kaybı, uygulama verisi kaybı, cihaz arızası veya erişim problemlerinin teknik olarak değerlendirilmesine ihtiyaç duyan kurum ve işletmeler.
• Kurum içi hukuk, uyum ve denetim birimleri: Kurumsal bir olay, uyuşmazlık veya iç inceleme kapsamında mobil cihazlardaki mevcut verilerin teknik olarak değerlendirilmesine ihtiyaç duyan birimler.
• Bilgi işlem ve teknik destek ekipleri: Kurumsal mobil cihazlarda oluşan veri kaybı, yedekleme, cihaz taşıma, işletim sistemi veya uygulama kaynaklı erişim sorunlarında teknik inceleme ve veri kurtarma desteğine ihtiyaç duyan ekipler.
• Bilgi güvenliği, kurum içi inceleme ve olay müdahale ekipleri: Mobil cihazlarda meydana gelen veri silme, uygulama verisi değişikliği, yetkisiz işlem veya diğer teknik olayların değerlendirilmesine ihtiyaç duyan ekipler.
• Kurumsal olarak yönetilen mobil cihazlara sahip işletmeler: MDM, iş profili, Secure Folder veya benzeri güvenlik ve yönetim yapılarına sahip cihazlarda veri erişimi veya veri kaybının teknik olarak değerlendirilmesine ihtiyaç duyan kurumlar.
• Mobil cihaz servisleri ve teknik destek firmaları: Onarım veya teknik müdahale sonrasında cihaz üzerindeki verilerin erişilemez durumda kaldığı ve ayrıca veri kurtarma veya teknik veri incelemesi gerektiği durumlarda uzman desteğine ihtiyaç duyan işletmeler.
• Mevcut yedek veya mobil veri çıktısı üzerinden çalışma talep edenler: Finder/iTunes, Android, üreticiye özgü yedekler veya daha önce elde edilmiş mantıksal, dosya sistemi ya da fiziksel veri çıktılarındaki mevcut verilerin araştırılmasına ihtiyaç duyanlar.
• Mevcut adli bilişim imajlarının yeniden değerlendirilmesini isteyenler: Daha önce elde edilmiş mobil cihaz imajları veya veri kopyalarında ek inceleme, yeniden analiz ya da silinmiş veri araştırılmasına ihtiyaç duyanlar.
• Bilirkişiler ve diğer teknik uzmanlar: Mevcut mobil cihaz verisi, yedek veya adli bilişim çıktısı üzerinde belirli bir teknik inceleme, veri çıkarımı veya ikinci teknik değerlendirmeye ihtiyaç duyan uzmanlar.
• Mevcut bilirkişi veya teknik raporların yeniden değerlendirilmesini isteyenler: Mobil cihaz verilerine ilişkin kullanılan yöntemlerin, zaman bilgilerinin, teknik tespitlerin veya ulaşılan sonuçların yeniden incelenmesine ihtiyaç duyan kişiler veya kurumlar.
• Uzman mütalaasına ihtiyaç duyanlar: Mobil cihazlarda bulunan veya kurtarılan verilerin teknik anlamının, zaman bilgilerinin ve diğer dijital bulguların hukuki süreçte uzman görüşü kapsamında açıklanmasına ihtiyaç duyanlar.

Raporlama ve Uzman Mütalaası

Cep telefonu ve tablet veri kurtarma çalışmalarında elde edilen teknik bulgular; cihazın marka-modeli, işletim sistemi, güvenlik ve şifreleme yapısı, kullanılan veri edinim yöntemi, elde edilen veri kaynakları, bütünlük kontrolleri ve mevcut teknik sınırlılıklar dikkate alınarak değerlendirilir. Gerektiğinde yapılan işlemler ve elde edilen sonuçlar açık, anlaşılır ve teknik olarak yeniden değerlendirilebilir biçimde raporlanır.

Hukuki bir süreç kapsamında mobil cihaz verilerinin teknik anlamının açıklanması, mevcut bilirkişi raporlarının değerlendirilmesi, silinmiş veya erişilemeyen verilerin araştırılması ya da belirli kullanıcı aktivitelerinin zaman açısından incelenmesi gerektiğinde elde edilen bulgular uzman mütalaasına esas olacak şekilde ayrıca değerlendirilebilir.

• İncelemeye sunulan cep telefonu, tablet, mobil cihaz yedeği, adli bilişim imajı veya diğer mobil veri kaynaklarının tanımlanması
• Cihazın marka-model, seri numarası/IMEI gibi mevcut tanımlayıcı bilgileri, işletim sistemi sürümü ve fiziksel durumunun belirtilmesi
• Hukuki süreçlerde gerekli olması halinde teslim, muhafaza, delil zinciri ve materyal envanteri bilgilerinin belgelenmesi
• İnceleme öncesinde cihaz üzerinde yapılmış sıfırlama, servis, onarım, yazılım yükleme, root/jailbreak veya diğer teknik müdahalelerin mevcut bilgiler doğrultusunda belirtilmesi
• İnceleme kapsamının, araştırılması talep edilen veri türlerinin ve cevaplanması beklenen teknik soruların açıklanması
• Cihazın açık/kapalı, kilitli/kilitsiz ve mevcut güvenlik durumunun gerektiğinde belgelenmesi
• Android/iOS sürümü, cihaz şifreleme yapısı, Secure Enclave/TEE, Keychain/Keystore ve diğer ilgili güvenlik mekanizmalarının incelemeye etkisinin açıklanması
• Kullanılan mantıksal, dosya sistemi, fiziksel veya diğer uygun veri edinim yöntemlerinin belirtilmesi
• Kullanılan edinim yönteminin hangi veri alanlarına erişim sağladığının ve hangi alanları kapsamayabileceğinin açıklanması
• Kullanılan yazılım, donanım ve gerekli durumlarda sürüm bilgilerinin belirtilmesi
• Uygulama sürümü, işletim sistemi sürümü veya veritabanı şeması değişikliklerinin otomatik ayrıştırma ve yorumlama sonuçlarına etkisinin gerektiğinde değerlendirilmesi
• Veri edinimi sırasında cihaz üzerinde değişiklik yaratabilecek bir işlem uygulanmışsa bunun teknik gerekçesinin ve etkisinin belgelenmesi
• Oluşturulan mobil veri kopyaları, yedekler, imajlar veya diğer edinim çıktılarının tanımlanması
• Ana edinim çıktısı ile analiz amacıyla kullanılan çalışma kopyalarının birbirinden ayrılarak belirtilmesi
• Uygun durumlarda veri kopyalarına ilişkin hash ve diğer bütünlük kontrollerinin belirtilmesi
• Edinim logları, hata mesajları, erişilemeyen alanlar ve edinimin tamamlanma durumunun açıklanması
• Otomatik olarak ayrıştırılamayan, desteklenmeyen veya hatalı yorumlanma ihtimali bulunan veri yapılarının açıkça belirtilmesi
• Kullanıcı dosyaları, fotoğraflar, videolar, belgeler, ses kayıtları ve mevcut diğer veri türlerinden elde edilen bulguların açıklanması
• Mesajlaşma, iletişim ve diğer uygulamalara ait mevcut veritabanları, yapılandırma dosyaları ve dijital artefaktların değerlendirilmesi
• SQLite veritabanları ile WAL, SHM ve mevcut diğer yardımcı dosyalardan elde edilen bulguların belirtilmesi
• Önemli bir dijital bulgunun gerektiğinde kaynak dosya yolu, veritabanı, tablo, kayıt veya ilgili artefakt bilgisiyle birlikte gösterilmesi
• Silinmiş veya erişilemeyen verilerin hangi veri kaynağı ve teknik yöntem üzerinden araştırıldığının açıklanması
• Bir kaydın mevcut, silinmiş, kurtarılmış veya başka bir kaynaktan yeniden oluşturulmuş olduğunun mümkün olduğunca birbirinden ayrılması
• Kritik teknik bulguların mümkün olduğu durumlarda farklı artefaktlar, ham kayıtlar veya manuel inceleme yöntemleriyle doğrulanması
• Kurtarılan veya elde edilen dosyaların açılabilirlik, bütünlük ve kullanılabilirlik durumlarının belirtilmesi

Zaman Damgası ve Timeline Değerlendirmeleri

• Dosya oluşturma, değiştirme ve erişim zaman damgalarının (timestamps) değerlendirilmesi
• Fotoğraf ve videolardaki EXIF/metadata tarih-saat bilgilerinin değerlendirilmesi
• Uygulama ve SQLite veritabanlarındaki tarih-saat kayıtlarının incelenmesi
• Mesaj, çağrı, uygulama ve kullanıcı aktivitelerine ilişkin zaman bilgilerinin karşılaştırılması
• UTC, yerel saat, saat dilimi ve farklı timestamp formatlarının gerektiğinde normalleştirilmesi
• Cihazın tarih-saat ve saat dilimi ayarlarının inceleme açısından değerlendirilmesi
• Mevcut veriler izin verdiği ölçüde cihaz saatinde sonradan değişiklik veya zaman sapması bulunup bulunmadığının değerlendirilmesi
• Cihaz tarafından oluşturulan zaman bilgileri ile sunucu, servis veya ağ kaynaklı zaman bilgilerinin birbirinden ayrılarak değerlendirilmesi
• Timestamp değerlerinin saniye, milisaniye, mikrosaniye veya diğer hassasiyet farklılıklarının gerektiğinde dikkate alınması
• Farklı veri kaynaklarının zaman çizelgesi (timeline) üzerinde ilişkilendirilmesi
• Silinmiş veya kurtarılmış verilerin mevcut zaman bilgileriyle olay akışına yerleştirilmesi
• Zaman bilgilerindeki tutarsızlıkların, saat farklarının veya farklı veri kaynakları arasındaki zaman uyumsuzluklarının belirtilmesi

Diğer Teknik Değerlendirmeler

• Konum bilgileri ve mevcut diğer zamanla ilişkili dijital artefaktların gerektiğinde birlikte değerlendirilmesi
• GPS, ağ, Wi-Fi, uygulama veya metadata kaynaklı konum bilgilerinin hassasiyet ve doğruluk sınırlarının belirtilmesi; tek bir konum kaydının gerektiğinden daha kesin yorumlanmaması
• Cihazdan elde edilen verilerin mevcut yedekler, hafıza kartları veya önceki adli bilişim çıktılarıyla gerektiğinde karşılaştırılması
• Aynı kaydın farklı veri kaynaklarında tekrar bulunması halinde mükerrer kayıtların ayrıştırılması ve ilişkilerinin değerlendirilmesi
• Şifreleme, fabrika sıfırlaması, uygulama temizliği, flash bellek yönetimi veya üzerine yazılma gibi koşulların kurtarma sonucuna etkisinin açıklanması
• Kurtarılamayan veya yalnızca kısmen elde edilebilen verilere ilişkin teknik nedenlerin mümkün olduğunca belirtilmesi
• Belirli bir verinin bulunamamasının, o verinin geçmişte hiç mevcut olmadığı anlamına gelmeyebileceği gibi yorum sınırlılıklarının açıklanması
• Bir cihazın, telefon numarasının, hesabın veya uygulama kaydının bulunmasının tek başına belirli bir işlemi belirli bir kişinin gerçekleştirdiğini kanıtlamayabileceğinin; kullanıcı atfının mevcut diğer verilerle birlikte değerlendirilmesi
• Mevcut bilirkişi veya teknik raporların kullanılan yöntemler, zaman bilgileri, veri kaynakları ve teknik sonuçlar açısından gerektiğinde karşılaştırmalı olarak değerlendirilmesi
• Mevcut raporlardaki teknik tespitlerin kaynak veri ve yeniden yapılan inceleme sonuçlarıyla uyumunun değerlendirilmesi
• Teknik bulgular ile yorum veya kanaatin birbirinden açık biçimde ayrılması
• Kesin teknik sonuca ulaşılamayan hususların ve mevcut sınırlılıkların açıkça belirtilmesi
• Uzman mütalaasına esas teknik tespit, değerlendirme ve sonuçların hazırlanması
• Gerektiğinde uzman mütalaasında yer alan teknik tespitlerin duruşmada açıklanmasına ve teknik soruların cevaplandırılmasına yönelik destek sağlanması