24/7 pohotovosť
0948 626 682
24/7 pohotovosť
0948 626 682Vojtěch Kavan, špecialista na forenznú obnovu dát, DATARECOVERY • 12.08.2026
Cudzie dáta na novom USB flash disku nie sú hypotetické riziko, ale forenzne doložený jav. Medzinárodný tím z Friedrich-Alexander-Universität Erlangen-Nürnberg, Leiden University of Applied Sciences a spoločnosti MSAB analyzoval 614 nových, originálne zabalených USB flash diskov z najlacnejšieho segmentu a na 75 z nich, teda na viac ako dvanástich percentách, rekonštruoval používateľské dáta predchádzajúcich majiteľov. Nešlo pritom o bazárový ani repasovaný tovar. Dáta sa na nové disky dostali s recyklovanými NAND čipmi, ktoré sa do najlacnejších výrobkov osadzujú z elektronického odpadu.
Majiteľ takého disku o cudzom obsahu nemá tušenie a pre forenznú prax z toho vyplýva zásadná otázka, akú dôkaznú hodnotu má samotný nález dát na médiu.
Rekonštruovaný obsah pochádzal zo zariadení, ktoré s USB diskom nemajú nič spoločné: fotografie a tapety, mapové podklady, booklety filmov a hudby, vyzváňacie tóny, hlasové nahrávky, dokumenty, archívy aj zdrojový kód. Na šestnástich diskoch boli zvyšky systému Android, na ďalších dáta z chytrých televízorov, tlačiarne alebo diktafónu a dvadsaťsedem diskov obsahovalo mapové podklady zodpovedajúce navigácii alebo meteorologickému zariadeniu. Najväčší nález obsahoval vyše desaťtisíc obrázkov, prevažne súkromnej povahy.
Pamäťové čipy sa z elektronického odpadu získavajú z prostého, ekonomického dôvodu: Jednak predaj použiteľnej pamäte vynáša podstatne viac ako predaj surového kovu, jednak cena takej flash pamäte je násobne nižšia ako pamäte novej. Napr. 64GB eMMC čip stál v čase štúdie okolo 7 USD, zatiaľ čo celý hotový disk zo skúmanej vzorky vyšiel na 2 až 4 USD za kus. Distribútori pamäte síce rozlišujú triedu A s novými a plne funkčnými čipmi a triedu B s čipmi s možnou chybou alebo neúplnou kapacitou, trieda B sa ale samostatne objednať nedá; kto nakupuje čisto podľa najnižšej ceny, dostane ju automaticky.
Recyklovaný čip pritom nemožno rozpoznať voľným okom. Na čipoch boli nájdené netovárne značky, ručné poznámky, zvyšky farby i škrabance, žiadny z týchto znakov však výskyt dát nepredpovedá: netovárne značky boli na 28 čipoch, dáta len na deviatich z nich. Jediná preukázaná súvislosť vedie k dodávateľovi: pokiaľ dáta obsahoval jeden disk zo šarže, s vysokou pravdepodobnosťou ich obsahovali aj ďalšie kusy z rovnakej dodávky.
Nález dát na zaistenom médiu sa bežne vykladá ako doklad, že s dátami pracoval majiteľ média. Štúdia ukazuje, že prinajmenšom u lacných flash diskov táto úvaha bez ďalšieho skúmania neobstojí: obsah mohol na pamäťový čip zapísať jeho predchádzajúci používateľ v úplne inom zariadení av inej krajine.
Ukazuje to aj modelový prípad trestného konania: náhodný nález na zaistenom USB disku vedie k ďalším úkonom ak obvineniu z ďalších skutkov, a tvrdeniu obvineného, že disk kúpil nový a nikdy ho nepoužil, pôsobí ako lož, alebo prinajmenšom účelová výhovorka.
Praktický záver znie, že reťazec nepriamych dôkazov, ktorého jednotlivé články samy osebe dostatočnú vypovedaciu hodnotu nemajú, nemôže byť základom rozhodnutia. Nález na médiu je nutné posudzovať spolu s technickým zistením, ako a kedy sa dáta na médium dostali, nie len podľa toho, že sa na ňom nachádzajú.
V našom laboratóriu čítame pri obnove dát z flash pamätí obsah priamo z NAND čipov, teda aj bez funkčného radiča, a surové dáta rekonštruujeme spätným odvodením prekladovej vrstvy (FTL) konkrétneho výrobcu, modelu a firmware, vrátane rozklíčovania prekladania a randomizácie stránok a korekcie bitových chýb kódmi ECC.
Odlíšiť obsah zapísaný v rôznych obdobiach je však technicky možné len v časti prípadov; uskutočniteľnosť závisí od konkrétneho radiča. Niektorí výrobcovia udržujú v služobnej oblasti médiá sekvenčné čísla zápisu, podľa ktorých je možné zápisy z rôznych období od seba oddeliť, takže rekonštruované dáta prestávajú tvoriť jedinú nerozlíšenú vrstvu. Analýza predpokladá znalosť interného usporiadania daného radiča a firmware, prácu s dátami pod úrovňou logického adresného priestoru a samostatné overenie, že nájdené metadáta zodpovedajú skutočnému stavu dátovej oblasti pamäte. U radičov, ktoré sekvenčné čísla nezapisujú, alebo tam, kde ich recyklačný proces prepísal, toto rozlíšenie k dispozícii nie je a časové zaradenie nálezu potom stojí na tom, čo z média zostalo inde: na zvyškoch štruktúr súborového systému, ktoré zaznamenávajú zápis na médium, a na vnútorných metadátach rekonštruovaných súborov, ktoré však opisujú vznik obsahu v pôvodnom. Ani jeden z týchto zdrojov nemusí byť k dispozícii a ich priradenie ku konkrétnemu nálezu je samostatná úloha, takže časť nálezov zostáva bez použiteľného časového kontextu.
Posúdenie pôvodu dát na médiu preto realizujeme vždy ako samostatnú zákazku forenznej analýzy a expertízy, spracovanú protokolárne so zachovaním reťazca úschovy, nie ako súčasť bežnej záchrany dát.
Najlacnejšie flash disky sa nehodia pre nič, čo má zostať dôverné, ani ako médium, ktorého obsah by mal kedykoľvek čokoľvek dokladať. Rozhodujúca pritom nie je kvalita spracovania, ale pôvod pamäťového čipu; ani jedno však kupujúci nemá ako overiť.
Firmám z toho plynie obrátená povinnosť. Vyradená pamäť, ktorá sa dostane do obehu bez preukázateľnej likvidácie dát, končí presne týmto spôsobom, teda ako rekonštruovateľné dáta v cudzom výrobku. Likvidácia dát u flash pamätí pritom nespočíva v prepísaní ani naformátovaní, pretože radič fyzické mazanie vykonávať nemusí a môže ho odložiť alebo vykonať len čiastočne.
Aj na novom USB flash disku sa môžu objaviť cudzie dáta, hoci súčasný majiteľ médium nikdy nepoužil.
Príčinou je používanie recyklovaných pamäťových čipov, vymontovaných z iných zariadení, v nových USB flash. V skúmanej vzorke 614 najlacnejších flash diskov obsahovalo rekonštruovateľné užívateľské dáta 75 kusov, teda viac ako dvanásť percent. Kupujúci nemá ako taký stav rozpoznať, pretože samotný disk je nový a plne funkčný.
Rýchle formátovanie obsah pamäťových buniek neodstráni. Prepíše iba popisné štruktúry na začiatku média, zatiaľ čo vlastné dáta zostávajú v pamäti a nástroje pre data carving ich zrekonštruujú aj bez existujúceho súborového systému.
Ani úplné formátovanie nepomôže. Pri flash pamäti totiž fyzické mazanie neriadi operačný systém, ale radič média, ktorý vykonanie príkazu môže odložiť alebo vykonať len čiastočne, takže potvrdenie o zmazaní vrátené počítači nevypovedá o skutočnom stave pamäte.
Recyklovaný pamäťový čip nespoznáte ani po otvorení puzdra flash disku. Na čipoch sa síce vyskytujú netovárne značky, ručné poznámky, zvyšky farby, škrabance a nečistoty, žiadny z týchto znakov však v štúdii s výskytom dát nekoreloval: netovárne značky nieslo 28 čipov, dáta len deväť z nich. Súvislosť sa nepreukázala ani s technológiou pamäte, ani so štandardom architektúry čipu. Jediným štatisticky viditeľným vodítkom zostala dodávka ako celok, pretože nálezy sa zhlukovali vo vnútri jednotlivých šarží.
Kedy boli dáta na flash disk zapísané, možno určiť, ak sa na médiu zachovali štruktúry, ktoré zápis zaznamenávajú; samotný obsah súboru okamih zápisu nenesie.
Vnútorné metadáta rekonštruovaného súboru, teda napríklad EXIF pri fotografii alebo údaje uložené vo vnútri dokumentu, sa získajú spolu s ním, popisujú ale vznik obsahu v pôvodnom zariadení a ich váhu znižuje ľahká upraviteľnosť.
Zápis na médium zaznamenáva súborový systém, ktorého štruktúry síce výroba nového disku z recyklovaného čipu z väčšej časti prepíše, ich zvyšky sa však na médiu často nachádzajú a časové údaje v nich predstavujú najsilnejší podklad pre datovania; priradenie takéhoto zvyšku ku konkrétnemu nálezu je však samostatná úloha.
Tretiu vrstvu tvoria metadáta prekladovej vrstvy (FTL) v služobnej oblasti média, kde niektoré radiče vedú sekvenčné čísla zápisu: kalendárny dátum z nich neplynie, stanovujú len poradie, takže podľa nich je možné oddeliť skupiny dát zapísané v rôznych obdobiach a určiť, čo vzniklo skôr a čo neskôr. Náročnosť úlohy určuje použitý radič a jeho firmware, pretože práca s týmito metadátami predpokladá znalosť ich interného usporiadania, čítanie pod úrovňou logického adresného priestoru a overenie, že nájdené hodnoty zodpovedajú skutočnému stavu pamäte.
Výsledok sa preto prípad od prípadu pohybuje od obhájiteľného určenia doby zápisu až po nález, ku ktorému žiadny časový údaj priradiť nemožno.
U značkových výrobkov zameraných na kvalitu možno predpokladať pravdepodobnosť nižšiu, prítomnosť cudzích dát však nemožno vzhľadom na netransparentné výrobné procesy vylúčiť. V štúdii testovaná vzorka pokrýva výhradne najlacnejšie disky.
Viac ako 66 000 spokojných zákazníkov
