שמירת ראיות דיגיטליות: קבצים, הודעות, דוא"ל ולוגים

ראיה דיגיטלית יכולה להיות הודעה, דוא"ל, קובץ, צילום, הקלטה חוקית, דף אינטרנט, לוג מערכת או רישום עסקה. הערך שלה אינו תלוי רק במה שרואים על המסך, אלא גם ביכולת להסביר מהו המקור, מתי נשמר, מי החזיק בו ומה השתנה בדרך. המדריך מציג שיטה מעשית לשימור מידע בלי לפרוץ למכשיר, לשנות קובץ או לסכן את הנפגע.

כלל הזהב: שומרים מקור, הקשר ושרשרת

• מקור: הקובץ, ההודעה או המערכת כפי שנמצאו.
• הקשר: חשבון, כתובת, תאריך, רצף הודעות ונסיבות.
• שרשרת: מי העתיק, לאן, מתי ובאילו כלים.

צילום מסך הוא לעיתים התחלה טובה, אך הוא עלול להחסיר כתובת URL, כותרות דוא"ל, מטא-דאטה או רצף. לכן שומרים גם ייצוא מקורי או עותק מלא כשאפשר לעשות זאת כחוק.

פרוטוקול עשר הדקות הראשונות

1. לא מוחקים, לא מגיבים ולא מתעמתים לפני שמירה.
2. מצלמים את המסך המלא, כולל שעה, שם חשבון וכתובת כשאלה מוצגים.
3. שומרים את הקובץ המקורי ולא רק תמונה שלו.
4. רושמים מועד, מכשיר, אפליקציה ומי ביצע את השמירה.
5. יוצרים עותק עבודה ומשאירים את המקור ללא עריכה.
6. אם החשבון בסיכון, משנים סיסמה ממכשיר בטוח ומפעילים אימות דו-שלבי לאחר השימור הראשוני.

טבלת שימור לפי סוג הראיה

מטא-דאטה וגיבוב: מה הם ומה הם לא מוכיחים?

מטא-דאטה עשוי לכלול תאריך יצירה, סוג מכשיר או תוכנה, אך אפשר לשנותו ולעיתים הוא נמחק בהעברה. ערך גיבוב (hash) הוא טביעת אצבע מתמטית לקובץ: אם הערך נשאר זהה, ניתן להראות שהקובץ לא השתנה מאז שחושב הערך. הוא אינו מוכיח מי יצר את הקובץ או אם התוכן אמיתי; הוא מוכיח שלמות מנקודת זמן מסוימת.

שימור דוא"ל והתחזות

בדוא"ל חשוד שומרים את ההודעה המקורית ואת הכותרות המלאות, הכוללות נתיבי מסירה ומזהים טכניים. אין ללחוץ על קישור כדי "לבדוק" אותו ואין לפתוח צרופה חשודה. מאמתים את השולח בערוץ אחר ובכתובת רשמית שהוקלדה עצמאית. בנק ישראל מזהיר מפני מתחזים שמפעילים לחץ ומבקשים פרטי חשבון או קודים; גוף לגיטימי אינו זקוק לקוד חד-פעמי שהתקבל אצל הלקוח כדי "להגן" עליו.

ראיות מטלפון החשוד ברוגלה

אם יש חשש ממשי שרוגלה פעילה, לא מתקינים באותו מכשיר אפליקציות אקראיות ולא מנהלים ממנו את השיחה עם גורמי הסיוע. מתעדים סימנים, משתמשים במכשיר אחר ליצירת קשר ומקבלים הנחיה מקצועית לפני איפוס. איפוס עשוי לעצור פגיעה אך גם למחוק חומר שיכול לסייע להבין מה קרה. במקרה של סכנה אישית, בטיחות קודמת לשימור טכני.

שרשרת שמירה פשוטה

מה לא לעשות

• לא לפרוץ לחשבון גם אם מאמינים שהוא שייך למתחזה.
• לא להתקין תוכנת מעקב על מכשיר של אדם אחר.
• לא לערוך מקור כדי להדגיש חלקים; מסמנים רק בעותק עבודה.
• לא לפרסם ראיה בקבוצה או ברשת לצורך "אימות המונים".
• לא לשלם ל"משחזר כספים" אנונימי שמבטיח להחזיר קריפטו.
• לא להניח שצילום מסך לבדו מוכיח זהות.

מתי מדווחים ומתי פונים לחוקר?

בחשד לאירוע סייבר ניתן לפנות למערך הסייבר הלאומי או למוקד 119. פגיעה בקטינים ברשת מדווחים למוקד 105; בחשש לחיי אדם מתקשרים מיד למשטרה 100. חוקר פרטי יכול לסייע באימות זהות, מיפוי קשרים, בניית ציר זמן ושימור מסודר, אך אינו מחליף משטרה, צוות תגובה טכנולוגי או עורך דין.

איך נראה תיק ראיות דיגיטלי מסודר?

התיק כולל אינדקס, קבצי מקור, עותקי עבודה, יומן פעולות, ציר זמן, הסבר על הכלים, רשימת מגבלות ודוח שמפריד בין עובדה, אינדיקציה והשערה. לכל מסקנה מצרפים את הפריטים שתומכים בה ואת הנתונים שסותרים אותה. כך ניתן להעביר את החומר לעורך דין, למשטרה או למומחה נוסף בלי לאבד את ההקשר.

ארבע שכבות לשימור ראיה דיגיטלית

שימור איכותי אינו מסתכם בצילום מסך. רצוי להפריד בין ארבע שכבות, משום שכל אחת עונה על שאלה אחרת:

1. המקור: המכשיר, הקובץ, ההודעה או החשבון כפי שנמצאו, בלי עריכה מיותרת.
2. עותק שמור: העתק שנוצר בדרך שאינה משנה את המקור, עם שם קובץ עקבי ומיקום אחסון מוגן.
3. עותק עבודה: עותק נפרד לניתוח, תמלול, סימון או המרה, כדי שהמקור לא ישתנה במהלך העבודה.
4. תיעוד ההקשר: מי קיבל את החומר, מתי, מאיזה מקור, באיזו דרך ומה נעשה בו לאחר מכן.

לא בכל מקרה אפשר להשיג את כל ארבע השכבות, אך חשוב לציין מה קיים ומה חסר. צילום מסך יכול לתעד מראה והקשר, אך אינו בהכרח משמר את הקובץ המקורי, הכותרות, היסטוריית הגרסאות או פרטי המערכת.

פרוטוקול שימור לפי מקור הראיה

גבול חשוב: שומרים רק חומר שיש הרשאה חוקית לגשת אליו. אין להיכנס לחשבון, למכשיר או למערכת של אדם אחר ללא הרשאה, גם אם המטרה היא “לשמור ראיה”. כאשר קיימת אי־ודאות, עוצרים ומתייעצים לפני הפעולה.

יומן ראיות: תבנית בסיסית

יומן קצר ועקבי מאפשר להסביר מהו כל פריט ומונע בלבול בין מקור לעותק. לכל פריט מומלץ לרשום:

מטא־דאטה וגיבוב: מה הם יכולים להראות?

מטא־דאטה הוא מידע נלווה כגון זמני יצירה ושינוי, סוג מכשיר, תוכנה או נתוני מיקום, כאשר הם קיימים. ערך גיבוב הוא טביעת אצבע חישובית של קובץ: שינוי בקובץ יוצר בדרך כלל ערך אחר, ולכן הוא יכול לסייע להראות שעותק מסוים לא השתנה מאז שחושב הערך.

עם זאת, אף אחד מהם אינו מוכיח לבדו מי יצר את הקובץ, שהאירוע המצולם התרחש כמתואר או שהמידע לא הוכן לפני רגע השימור. את המשמעות בוחנים יחד עם המקור, ההקשר, ציר הזמן, אופן האיסוף ומקורות נוספים. אין לשנות תאריך מערכת, “לתקן” מטא־דאטה או להריץ כלים לא מוכרים על המקור.

סדר פעולות כאשר הזמן קריטי

1. עצרו מחיקה אוטומטית או דריסה מחזורית רק אם יש לכם הרשאה לעשות זאת.
2. תעדו את המצב הקיים לפני שינוי סיסמה, ניתוק מערכת או עדכון תוכנה.
3. שמרו מקור ועותק, ורשמו מי ביצע כל פעולה.
4. טפלו בבטיחות ובעצירת נזק לפני ניסיון לייחס אחריות.
5. במקרה פלילי, סכנה, פגיעה בילד או אירוע סייבר פעיל, פנו גם לגורם הרשמי המתאים.
6. אם החומר מיועד להליך, תאמו מוקדם עם עורך דין או גורם מקצועי את דרך השימור והמסירה.

באירוע סייבר ניתן לדווח למערך הסייבר הלאומי. כאשר מדובר באירוע אבטחה חמור במאגר מידע, יש לבדוק גם את חובת הדיווח לרשות להגנת הפרטיות.

מדריכים משלימים

• שמירת ראיות מ-WhatsApp
• OSINT ואימות מקורות גלויים
• חקירת דיפ-פייק והתחזות AI
• קבילות ושרשרת שמירת ראיות

המידע כללי ואינו ייעוץ משפטי או הנחיה פורנזית למקרה מסוים.

ליישום עקרונות השמירה במקרה מתמשך, ראו יומן ראיות להטרדה מאיימת ומעקב.

ליישום עקרונות השמירה על רעש, מצלמות והודעות, ראו מדריך הראיות בסכסוכי שכנים.

בהקשר משפטי: קראו גם את המדריך על שימור ראיות דיגיטליות במסגרת חקירה משפטית, הכולל תכנון משימה, תיעוד ותוצרים לעורך הדין.

לקריאה משלימה: המדריך על כללי קבילות, מקור ושרשרת תיעוד מסביר כיצד לתעד את המקור, השלמות ודרך הטיפול בחומר.

לבדיקת חוקיות הפעולה: קראו גם גבולות הגישה למכשירים ולמידע דיגיטלי.

התרעת AirTag או פריט מעקב היא ראיה דיגיטלית רגישה לזמן. המדריך לאיתור GPS ברכב מסביר כיצד לתעד אותה לפני נטרול.

דליפת סוד מסחרי דורשת שמירת מקור, לוגים והרשאות. ראו את הפרוטוקול המלא לחקירת ריגול תעשייתי.

קובץ חשוד בדיפ־פייק דורש שמירת מקור, שרשרת מסירה והקשר. ראו את מדריך האימות המלא.

לפני חסימה או מחיקת חשבון, ראו את הפרוטוקול לפגיעה ברשת ושמירת המקור.

לאירוע הכולל חשבון, מכשיר, מערכת או ראיה מקוונת, עברו למדריך חקירות סייבר: עצירת נזק ושמירת ראיות.

במודעה, תשלום ומשלוח חשוב לשמור גם מזהים עסקיים ורצף עסקה. מדריך מעשי: שמירת ראיות בהונאת מסחר מקוון.

כאשר הראיה הדיגיטלית היא חוזה, סריקה או PDF שבמחלוקת, יש לשמור גם את ערוץ הקבלה והגרסאות. ראו זיוף חתימה או מסמך דיגיטלי.

כאשר קבצים, לוגים או טלפון משמשים לשחזור מקום וזמן, חשוב לבדוק גם את השעון ואת הקשר בין המכשיר לאדם. ראו שחזור אירוע ממקורות דיגיטליים.

לפני איסוף או העברה של חומר, ראו את המדריך ראיות לגירושין: חוקיות, שמירת מקור וקבילות.

חשד לצילום סמוי: עברו למדריך גילוי מצלמות נסתרות, הכולל בדיקה בשכבות, מניעת תוצאות שווא ושמירת ראיות.

שמירת ראיות בחשד למעילה

המדריך הייעודי מציג מטריצת ראיות והנחיות מעשיות למערכות, מסמכים, הרשאות וראיונות. למדריך המלא.

כאשר הראיות הדיגיטליות קשורות להתנהגות מינית אסורה, חשוב לשלב שמירה טכנית עם הגנה על פרטיות הנפגעת או הנפגע. ראו תיעוד ובירור בחשד להטרדה מינית.

להבחנה בין קובץ מקור, מטא-דאטה, Hash, שרשרת טיפול ומשקל ראייתי, ראו את מילון המונחים לראיות וחקירות.

לדוגמה מעשית של שימור מצלמת דרך, סרטון עסק וחותמות זמן, ראו חקירת תאונת דרכים ושימור ראיות.

צ'קליסט ל-24 השעות הראשונות לאחר גילוי הונאה

המטרה בשעות הראשונות היא לעצור נזק בלי למחוק את הסיפור שהמערכות והמסמכים יכולים לספר. סדר הפעולות משתנה לפי האירוע, אך הרשימה הבאה מספקת נקודת פתיחה:

1. עוצרים תשלום או גישה: פונים לבנק, לחברת האשראי או למנהל המערכת בערוץ רשמי ומתעדים מספר פנייה.
2. לא מתעמתים עם החשוד: עימות מוקדם עלול לגרום למחיקת חומר, תיאום גרסאות או הסטת נכסים.
3. שומרים מקור: לא מעבירים רק צילום מסך. שומרים הודעה, קובץ, דוא"ל עם כותרות, הקלטה, מסמך ותיעוד המכשיר שבו התקבלו.
4. מתעדים ציר זמן: שעה, פעולה, אדם, מערכת, סכום, חשבון, כתובת, מספר טלפון וקישור.
5. מגבילים שינויים: לפני איפוס, עדכון או מחיקה, מתעדים את המצב ומתייעצים כאשר החומר עשוי לשמש בהליך.
6. מגנים על חשבונות: ממכשיר בטוח מחליפים סיסמאות, מבטלים הפעלות לא מוכרות ומפעילים אימות רב-שלבי.
7. מרכזים את הטיפול: קובעים אדם אחד שמנהל את האירוע ורושם מי קיבל איזה חומר.
8. פונים לגורם המתאים: משטרה במקרה של חשד לעבירה או סכנה, מוקד 119 באירוע סייבר, ועורך דין או חוקר מורשה לפי צורכי התיק.

מה לא לעשות: אין לחדור לחשבון של אדם אחר, להתחזות, להתקין תוכנת מעקב או לפרסם האשמה. פעולה עצמאית לא חוקית עלולה להוסיף נזק ולפגוע בתיק.

להרחבה על תכנון הבדיקה והפרדת עובדה מהשערה, עברו למדריך חקירות הונאה: עצירת נזק ושמירת ראיות.

צריכים לשמר תכתובת WhatsApp?

צילום מסך לבדו עלול להשמיט את פרטי השולח, ההקשר והקבצים המקוריים. הכנו מדריך מעשי לשימור תכתובת WhatsApp כראיה, הכולל ייצוא שיחה, תיעוד הקשר ושמירת עותק מקור.

תוכן שנעלם מהרשת: פוסטים ודפי אינטרנט

כאשר המקור עשוי להשתנות, חשוב לשמור כתובת, זמן, הקשר וקובץ מקור ולא רק צילום חתוך. ראו את המדריכים על שימור פוסט וסטורי כראיה ועל שימור דף אינטרנט כראיה.

מארגנים ומוסרים את החומר

לאחר השימור, השתמשו בצ׳קליסט למסירת ראיות דיגיטליות. לדוגמה מעשית ראו את התרחיש המדומה על סטורי שנעלם.

תבנית להורדה: ציר זמן חקירתי

לריכוז הודעות, קבצים, לוגים, מצלמות ועדויות לפי זמן, הורידו את תבנית ציר הזמן החקירתי והדוגמה המדומה.

ראיות בתביעות ביטוח: ראו את המדריך לשימור ובדיקת חומר בתביעת ביטוח חשודה.

מדריך ממוקד לדוא״ל: כאשר הראיה היא הודעה, חשוב לשמור לא רק צילום מסך אלא גם קובץ הודעה וכותרות מלאות. ראו איך שומרים דוא״ל כראיה בפורמט EML או MSG.

מדריך ממוקד לצילום: ראו איך שומרים תמונה או סרטון כראיה, ומה אפשר ללמוד מ-EXIF ומטא-דאטה.

לשימור ראיות בזמן אירוע יש גם הקשר רגולטורי מתפתח. הסקירה על הצעת חוק הגנת הסייבר הלאומית 2026 כוללת נוהל תגובה מעשי.

מדריך ממוקד לטלפון: ראו איך שומרים יומן שיחות, תא קולי והודעה קולית כראיה ומה כל פריט אינו מוכיח.

לשמירת התראה וממצא פיזי מסוג תג מעקב, ראו: מדריך AirTag ותגי Bluetooth — בטיחות, תיעוד וראיות.

לתיעוד ניוד לא מורשה והתראות חשבון ראו: החלפת SIM והשתלטות על מספר, מדריך ראיות.

לשימור שיחה ממספר שנחזה להיות מוכר ראו: זיוף מספר טלפון ושמירת ראיות.

דוגמה מעשית להפרדה בין ממצא למסקנה: ניתוח תרחיש של שיחה מתחזה וקוד בנק אמיתי.

לשימור חומרי גיוס במקרה של חשד ראו: ראיון וידאו, זהות מועמד וראיות.

לשימור מידע במסגרת עיזבון ראו איתור ושמירת חשבונות ונכסים דיגיטליים לאחר פטירה.

דוגמה אקטואלית ליישום שימור מקור: פישינג שמתחזה לרשות המסים וטוען לפתיחת חקירה.

עדכון 2026: קיבלתם מסר שמנסה להפחיד, לזרז שיתוף או להתחזות לגוף רשמי? ראו את המדריך לשמירת ראיות מהודעת הפחדה, התחזות או מידע כוזב.

לארגונים המשתמשים ב־Microsoft 365: ראו את מדריך התגובה למתקפת Password Spray ושמירת לוגי Entra, כולל חלון פעולה וצ׳קליסט להורדה.

לא בטוחים למי לפנות קודם? מדריך מתי לא צריך חוקר פרטי ומתי פונים למשטרה, לעורך דין, לבנק או ל-119 מסדר את סדר הפעולות לפי סוג האירוע.

צילום שעשוי להימחק? ראו את המדריך המעשי לשליחת בקשת שימור לצילום ממצלמת אבטחה, כולל נוסח פנייה, חלון זמן ויומן תיעוד להורדה.

קול או וידאו שנראים אמיתיים אינם מספיקים לאימות: ראו את המדריך לDeepfake, שיבוט קול, אימות בערוץ נפרד ושמירת ראיות.

לפני שמסתמכים על הממצאים: המדריך לבדיקת דוח חקירה פרטית ובקרת האיכות שלו כולל כרטיס ניקוד להורדה, בדיקת עקיבות, מקורות, גרסאות ומגבלות.

תרחיש לימודי לעסקים: ראו כיצד מנתחים הונאת ספק ושינוי חשבון בנק בעקבות השתלטות אפשרית על דוא"ל, בלי לקבוע מראש מי נפרץ ומי אשם.

צריכים לפענח מונח טכני? עברו אל מילון המונחים בחקירות פרטיות, ראיות וסייבר, הכולל הגדרות קצרות, מגבלות פרשנות וכרטיסיות להורדה.

כאשר ניתוק הקשר חריג או קיים חשש לשלום האדם: ראו את המדריך מה עושים כשבן משפחה נעדר ומתי פונים מיד למשטרה, כולל רשימת הכנה לדיווח.

כאשר מטרד הופך לאיום, מעקב חוזר או הפרת צו: ראו את המדריך לתיעוד הטרדה מאיימת, פנייה למשטרה ובדיקת בקשה לצו.