Telefon byl na místě činu. Byl tam i jeho majitel?

Ve 2:13 ráno leží vyšetřovateli na stole první použitelný údaj. Telefonní číslo registrované na muže, který se v případu už objevil, komunikovalo přes sektor základnové stanice v okolí místa činu. V mapě se objeví symbol telefonu. Čas sedí. Oblast sedí.

První závěr přijde skoro sám. Telefon byl u činu. Telefon patří jemu. Takže tam byl i on.

Je to přirozená úvaha. Často je dokonce správná. Vyšetřování ale nezačíná tam, kde zkratka funguje. Začíná otázkou, co jsme právě dokázali.

Dokázali jsme, že záznam mobilní sítě spojil určitou předplatitelskou identitu s určitou buňkou v určitém čase. Mezi tím a větou, že on byl na místě činu, leží několik samostatných kroků.

Digitální údaj může být technicky přesný a přesto dovolovat lidský závěr jen s určitou mírou jistoty. Americký NIST po velkém přezkumu oboru dospěl k tomu, že digitální vyšetřovací metody stojí na zavedených informatických principech a při správném použití jsou spolehlivé. Zároveň říká, že význam stopy závisí na tom, jak vznikla, jak byla získána, jaké má limity a jestli jí rozumíme. Přesnost nevzniká tím, že zpochybníme každou stopu. Vzniká tím, že jí nepřisoudíme víc, než obsahuje.

Věta, že jeho telefon byl na místě činu, schovává pět různých věcí.

Záznam patří určitému zařízení nebo předplatitelské identitě. Tahle identita byla v danou chvíli v určité oblasti. Zařízení patří osobě X. Osoba X ho v tu chvíli nesla nebo používala. A pokud zařízení něco udělalo, udělala to právě ona.

První dva kroky můžou opřít technické záznamy. Další už jsou přiřazení ke člověku. Síla toho přiřazení nevznikne tím, že zařízení v textu přejmenujeme na člověka. Vznikne propojením článků.

Samostatný článek je čas. Ve 2:13 může znamenat okamžik, kdy zařízení událost vytvořilo. Kdy ji aplikace zapsala. Kdy ji přijal server. Nebo kdy ji operátor zaúčtoval. Telefon může mít ručně nastavené pásmo, server světový čas a operátor vlastní pravidla. Odborná skupina SWGDE doporučuje možné odchylky času zařízení dokumentovat. U operátora je potřeba ověřit, jak čas vykazuje.

Fyzické zařízení má identifikační číslo IMEI a výrobní číslo. SIM nebo eSIM nese údaje, kterými se ověřuje předplatitel. Elektronická SIM přitom nemusí být vyjímatelná karta. Profil se dá stáhnout do zabezpečeného prvku v telefonu. Telefonní číslo je adresa služby, ne výrobní číslo přístroje. Může přežít výměnu karty, telefonu i operátora. Uživatelský účet může být přihlášený na telefonu, na notebooku i ve webovém okně.

Ve hře je tak osm identit. Fyzické zařízení. SIM nebo eSIM. Telefonní číslo. Účet. Vlastník. Obvyklý uživatel. Skutečný uživatel v danou chvíli. A autor konkrétního úkonu.

Rozdíl mezi vlastníkem a uživatelem nevyřeší jeden artefakt. Vzor skládají kontakty, účty, fotky, jazyk, trasy, známé wi-fi sítě, spárovaná zařízení, platební karty, způsob odemykání i výpovědi lidí. A rozhoduje časová blízkost. Jinak důkaz říká, že tenhle telefon zpravidla používá určitý člověk. Jinak říká, že ho v kritickou chvíli ovládal.

Různá data se na mapě nakreslí stejným puntíkem. Důkazní význam je v tom, co je za ním.

Satelitní poloha je odhad, který spočítalo zařízení. Důležitý je čas, zdroj a odhad nejistoty. Android u vodorovné přesnosti pracuje s poloměrem, uvnitř kterého leží skutečná poloha s pravděpodobností 68 procent. Oficiální popis systému GPS navíc odděluje přesnost samotného signálu od přesnosti, kterou nakonec uvidí uživatel. Hraje v tom roli geometrie družic, zakrytí oblohy, atmosféra i přijímač. Počet desetinných míst není totéž co přesnost.

Mobilní síť říká, se kterou buňkou a kterým sektorem zařízení komunikovalo. SWGDE bere historické záznamy o buňkách jako podklad pro přibližnou oblast, ne pro přesnou adresu. Takzvaný timing advance pracuje s pásmem odvozené vzdálenosti, ne s bodem na chodníku. Buňka není totéž co uživatel.

Wi-fi může znamenat, že telefon jen viděl okolní sítě. Že se k jedné připojil. Že to zapsal řadič v budově. Nebo že šlo o měření vzdálenosti podle doby letu signálu. Věta, že telefon byl na wi-fi, je neúplná.

IP adresa popisuje síťovou cestu. Přes sdílenou veřejnou adresu ji může používat víc zařízení najednou. Sama obvykle neukáže místnost ani člověka. K přesnějšímu přiřazení předplatitele bývá potřeba i čas a port, ne jen adresa.

Cloudový účet není senzor polohy. Je to místo, kam se propíšou údaje z různých zdrojů. Dědí význam toho mechanismu, ze kterého původně přišly.

Bluetooth může potvrdit, že dvě rádia byla blízko sebe. Síla signálu ale není univerzální metr. NIST ukázal, že orientace telefonu, tělo člověka i stěny výrazně mění vztah mezi signálem a vzdáleností.

Metadata fotky můžou obsahovat čas a souřadnice. Nepotvrzují autora snímku ani to, že se soubor mezitím nezměnil. Řádek v databázi aplikace zase nemusí být úkon uživatele. Záleží na verzi, na tom, jak je záznam uspořádaný, odkud bere čas a jestli se teprve dosynchronizoval.

Údaj, že zařízení bylo v sektoru u místa činu, není bezcenný. Zvyšuje pravděpodobnost, že se v té oblasti nacházelo. Neuzavře ale alternativy. Telefon mohl mít člen domácnosti, kolega nebo spolupachatel. Mohl zůstat ve vozidle. Karta mohla být v jiném přístroji. Účet mohl událost vytvořit z propojeného počítače.

Forenzní poctivost neznamená postavit všechny alternativy na stejnou úroveň. Znamená pojmenovat, kterou otázku osamocený údaj ještě neuzavřel. A absence záznamu nedokazuje nepřítomnost. Zařízení mohlo být vypnuté, nebo mimo rozsah dat, která se podařilo získat.

Pět artefaktů nemusí být pět důkazů. Místní databáze, náhled a export té samé databáze můžou být tři pohledy na jednu událost. U shody je potřeba ptát se, jestli údaje vznikly nezávisle.Silný obraz vypadá jinak. Operátor zaznamená zařízení v sektoru. Aplikace uloží satelitní polohu. Řadič wi-fi eviduje připojení. Kamera zachytí člověka s telefonem. Server přijme zprávu z přihlášené relace. Každý zdroj odpovídá na jinou otázku. Jejich překryv zmenšuje prostor pro jiné vysvětlení. Alternativa pak musí unést celý soubor shod, ne jen jeden bod na mapě.

Síla digitálního důkazu není v nejpřesnějším bodu. Je v tom, kolik nezávislých cest vede ke stejnému příběhu.

Místní databáze ukáže odchozí záznam. Server potvrdí, že zprávu přijal z přihlášené relace. To prokazuje, že určitý účet zprávu vytvořil. Autorství konkrétního člověka může potřebovat další oporu.

Účet mohl být otevřený na propojeném počítači. Zařízení mohl držet někdo jiný. Text mohl být připravený dřív, nebo odeslaný automaticky. NIST definuje autentizaci jako prokázání, že někdo drží a ovládá prostředek svázaný s účtem. To není totéž jako vidět člověka u klávesnice.

Správná věta nezní, že autorství nelze nikdy prokázat. Zní, že závěr o autorovi musí stát na stopách, které jdou dál než pouhá existence zprávy v účtu.

Ve forenzním zápisu se hodí oddělit čtyři vrstvy. Co bylo nalezeno. Jak takový artefakt vzniká. Jaký má vztah k hypotéze. A jaký závěr z indicií plyne.

Kryptografický otisk prokazuje, že se data po zajištění nezměnila. Neříká, co v nich bylo předtím, ani kdo je vytvořil. Řetězec zajištění chrání celistvost. Analýza přiřazení řeší význam. Jsou to různé práce.

Český Ústavní soud v nálezu sp. zn. IV. ÚS 1098/15 ze dne 22. března 2016 zdůraznil, že nepřímé důkazy můžou samy stačit k prokázání viny. Podmínka je, že tvoří ucelený řetězec a nenechávají rozumnou alternativu.

Opatrnost přitom nesmí skončit absurdním relativismem. Každý důkaz se dá obklopit představou. Telefon mohl být půjčený. Účet prolomený. Kamera mohla zachytit dvojníka. Kdyby stačila samotná představitelnost, nešlo by prokázat skoro nic.

Rozumná alternativa musí mít oporu v okolnostech. Musí vysvětlit celý soubor stop. A nesmí pořád přidávat nové nepodložené výjimky. Forenzní přesnost není nekonečný seznam myslitelných scénářů. Je to odstupňované hodnocení. Co stopa přímo dokazuje. Co silně podporuje. Co pouze umožňuje.Na začátku zněla věta jednoduše. Jeho telefon byl u místa činu. Poctivý závěr může znít míň efektně a přesněji. Předplatitelská identita evidovaná na určitou osobu použila v kritické době sektor, který pokrývá okolí. Další stopy z konkrétního zařízení, nezávislý záznam wi-fi a obraz podporují závěr, že zařízení v té době držela právě ona.

Digitální technologie nevytvořily svět bez nejistoty. Vytvořily svět s obrovským množstvím stop. Jejich hodnota je velká právě tehdy, když respektujeme hranice jednotlivých mechanismů a necháme různé zdroje, aby se navzájem ověřovaly.

Zvlášť nebezpečná chyba nemusí vzniknout tehdy, když je stopa nepřesná. Může vzniknout tehdy, když je stopa přesná a náš závěr je ještě přesnější než ona.

- NIST IR 8354 (2022). Digital Investigation Techniques: A NIST Scientific Foundation Review.

- SWGDE. Best Practices for Mobile Device Forensic Analysis; Best Practices for Historical Cell Site Analysis.

- NIST SP 800-101 Rev. 1. Guidelines on Mobile Device Forensics.

- NIST SP 800-63B-4 (2025). Digital Identity Guidelines.

- Nález Ústavního soudu sp. zn. IV. ÚS 1098/15 ze dne 22. 3. 2016.

Původně publikováno na jinykontext.cz: https://jinykontext.cz/clanek/telefon-byl-na-miste-cinu