24/7 pohotovost
777 626 682
24/7 pohotovost
777 626 682Vojtěch Kavan, specialista na forenzní obnovu dat, DATARECOVERY • 12.08.2026
Cizí data na novém USB flash disku nejsou hypotetické riziko, ale forenzně doložený jev. Mezinárodní tým z Friedrich-Alexander-Universität Erlangen-Nürnberg, Leiden University of Applied Sciences a společnosti MSAB analyzoval 614 nových, originálně zabalených USB flash disků z nejlevnějšího segmentu a na 75 z nich, tedy na více než dvanácti procentech, rekonstruoval uživatelská data předchozích majitelů. Nešlo přitom o bazarové ani repasované zboží. Data se na nové disky dostala s recyklovanými NAND čipy, které se do nejlevnějších výrobků osazují z elektronického odpadu.
Majitel takového disku o cizím obsahu nemá tušení a pro forenzní praxi z toho plyne zásadní otázka, jakou důkazní hodnotu má samotný nález dat na médiu.
Rekonstruovaný obsah pocházel ze zařízení, která s USB diskem nemají nic společného: fotografie a tapety, mapové podklady, booklety filmů a hudby, vyzváněcí tóny, hlasové nahrávky, dokumenty, archivy i zdrojový kód. Na šestnácti discích byly zbytky systému Android, na dalších data z chytrých televizorů, tiskárny nebo diktafonu a sedmadvacet disků obsahovalo mapové podklady odpovídající navigaci nebo meteorologickému zařízení. Největší nález obsahoval přes deset tisíc obrázků, převážně soukromé povahy.
Paměťové čipy se z elektronického odpadu získávají z prostého, ekonomického důvodu: Jednak prodej použitelné paměti vynáší podstatně víc než prodej surového kovu, jednak cena takové flash paměti je násobně nižší než paměti nové. Např. 64GB eMMC čip stál v době studie kolem 153 Kč, zatímco celý hotový disk ze zkoumaného vzorku vyšel na 43 až 88 Kč za kus. Distributoři paměti sice rozlišují třídu A s novými a plně funkčními čipy a třídu B s čipy s možnou vadou nebo neúplnou kapacitou, třída B se ale samostatně objednat nedá; kdo nakupuje čistě podle nejnižší ceny, dostane ji automaticky.
Recyklovaný čip přitom nelze rozpoznat pouhým okem. Na čipech byly nalezeny netovární značky, ruční poznámky, zbytky barvy i škrábance, žádný z těchto znaků však výskyt dat nepředpovídá: netovární značky byly na 28 čipech, data jen na devíti z nich. Jediná prokázaná souvislost vede k dodavateli: pokud data obsahoval jeden disk ze šarže, s vysokou pravděpodobností je obsahovaly i další kusy ze stejné dodávky.
Nález dat na zajištěném médiu se běžně vykládá jako doklad, že s daty pracoval majitel média. Studie ukazuje, že přinejmenším u levných flash disků tato úvaha bez dalšího zkoumání neobstojí: obsah mohl na paměťový čip zapsat jeho předchozí uživatel v úplně jiném zařízení a v jiné zemi.
Ukazuje to i modelový případ trestního řízení: náhodný nález na zajištěném USB disku vede k dalším úkonům a k obvinění z dalších skutků, a tvrzení obviněného, že disk koupil nový a nikdy ho nepoužil, působí jako lež, nebo přinejmenším účelová výmluva.
Praktický závěr zní, že řetězec nepřímých důkazů, jehož jednotlivé články samy o sobě dostatečnou vypovídací hodnotu nemají, nemůže být základem rozhodnutí. Nález na médiu je nutné posuzovat spolu s technickým zjištěním, jak a kdy se data na médium dostala, nikoli jen podle toho, že se na něm nacházejí.
V naší laboratoři čteme při obnově dat z flash pamětí obsah přímo z NAND čipů, tedy i bez funkčního řadiče, a surová data rekonstruujeme zpětným odvozením překladové vrstvy (FTL) konkrétního výrobce, modelu a firmware, včetně rozklíčování prokládání a randomizace stránek a korekce bitových chyb kódy ECC.
Odlišit obsah zapsaný v různých obdobích je však technicky možné jen v části případů; proveditelnost závisí na konkrétním řadiči. Někteří výrobci udržují ve služební oblasti média sekvenční čísla zápisu, podle nichž lze zápisy z různých období od sebe oddělit, takže rekonstruovaná data přestávají tvořit jedinou nerozlišenou vrstvu. Analýza předpokládá znalost interního uspořádání daného řadiče a firmware, práci s daty pod úrovní logického adresního prostoru a samostatné ověření, že nalezená metadata odpovídají skutečnému stavu datové oblasti paměti. U řadičů, které sekvenční čísla nezapisují, nebo tam, kde je recyklační proces přepsal, toto rozlišení k dispozici není a časové zařazení nálezu pak stojí na tom, co z média zbylo jinde: na zbytcích struktur souborového systému, které zaznamenávají zápis na médium, a na vnitřních metadatech rekonstruovaných souborů, jež ovšem popisují vznik obsahu v původním zařízení, nikoli okamžik zápisu. Ani jeden z těchto zdrojů nemusí být k dispozici a jejich přiřazení ke konkrétnímu nálezu je samostatná úloha, takže část nálezů zůstává bez použitelného časového kontextu.
Posouzení původu dat na médiu proto realizujeme vždy jako samostatnou zakázku forenzní analýzy a expertízy, zpracovanou protokolárně se zachováním řetězce úschovy, nikoli jako součást běžné záchrany dat.
Nejlevnější flash disky se nehodí pro nic, co má zůstat důvěrné, ani jako médium, jehož obsah by měl kdykoliv cokoliv dokládat. Rozhodující přitom není kvalita zpracování, ale původ paměťového čipu; ani jedno však kupující nemá jak ověřit.
Firmám z toho plyne obrácená povinnost. Vyřazená paměť, která se dostane do oběhu bez prokazatelné likvidace dat, končí přesně tímto způsobem, tedy jako rekonstruovatelná data v cizím výrobku. Likvidace dat u flash pamětí přitom nespočívá v přepsání ani naformátování, protože řadič fyzické mazání provádět nemusí a může ho odložit nebo provést jen částečně.
I na novém USB flash disku se mohou objevit cizí data, přestože současný majitel médium nikdy nepoužil.
Příčinou je používání recyklovaných paměťových čipů, vymontovaných z jiných zařízení, v nových USB flash. Ve zkoumaném vzorku 614 nejlevnějších flash disků obsahovalo rekonstruovatelná uživatelská data 75 kusů, tedy více než dvanáct procent. Kupující nemá jak takový stav rozpoznat, protože samotný disk je nový a plně funkční.
Rychlé formátování obsah paměťových buněk neodstraní. Přepíše pouze popisné struktury na začátku média, zatímco vlastní data zůstávají v paměti a nástroje pro data carving je zrekonstruují i bez existujícího souborového systému.
Ani úplné formátování nepomůže. U flash pamětí totiž fyzické mazání neřídí operační systém, ale řadič média, který provedení příkazu může odložit nebo provést jen částečně, takže potvrzení o smazání vrácené počítači nevypovídá o skutečném stavu paměti.
Recyklovaný paměťový čip nepoznáte ani po otevření pouzdra flash disku. Na čipech se sice vyskytují netovární značky, ruční poznámky, zbytky barvy, škrábance a nečistoty, žádný z těchto znaků však ve studii s výskytem dat nekoreloval: netovární značky neslo 28 čipů, data jen devět z nich. Souvislost se neprokázala ani s technologií paměti, ani se standardem architektury čipu. Jediným statisticky patrným vodítkem zůstala dodávka jako celek, protože nálezy se shlukovaly uvnitř jednotlivých šarží.
Kdy byla data na flash disk zapsána, lze určit, pokud se na médiu zachovaly struktury, které zápis zaznamenávají; samotný obsah souboru okamžik zápisu nenese.
Vnitřní metadata rekonstruovaného souboru, tedy například EXIF u fotografie nebo údaje uložené uvnitř dokumentu, se získají spolu s ním, popisují ale vznik obsahu v původním zařízení a jejich váhu snižuje snadná upravitelnost.
Zápis na médium zaznamenává souborový systém, jehož struktury sice výroba nového disku z recyklovaného čipu z větší části přepíše, jejich zbytky se však na médiu často nacházejí a časové údaje v nich představují nejsilnější podklad pro datování; přiřazení takového zbytku ke konkrétnímu nálezu je ovšem samostatná úloha.
Třetí vrstvu tvoří metadata překladové vrstvy (FTL) ve služební oblasti média, kde některé řadiče vedou sekvenční čísla zápisu: kalendářní datum z nich neplyne, stanovují jen pořadí, takže podle nich lze oddělit skupiny dat zapsané v různých obdobích a určit, co vzniklo dříve a co později. Náročnost úlohy určuje použitý řadič a jeho firmware, protože práce s těmito metadaty předpokládá znalost jejich interního uspořádání, čtení pod úrovní logického adresního prostoru a ověření, že nalezené hodnoty odpovídají skutečnému stavu paměti.
Výsledek se proto případ od případu pohybuje od obhajitelného určení doby zápisu až po nález, ke kterému žádný časový údaj přiřadit nelze.
U značkových výrobků zaměřených na kvalitu lze předpokládat pravděpodobnost nižší, přítomnost cizích dat však nelze vzhledem k netransparentním výrobním procesům vyloučit. Ve studii testovaný vzorek pokrývá výhradně nejlevnější disky.
Více než 66 000 spokojených klientů
