ראיה דיגיטלית יכולה להיות הודעה, דוא"ל, קובץ, צילום, הקלטה חוקית, דף אינטרנט, לוג מערכת או רישום עסקה. הערך שלה אינו תלוי רק במה שרואים על המסך, אלא גם ביכולת להסביר מהו המקור, מתי נשמר, מי החזיק בו ומה השתנה בדרך. המדריך מציג שיטה מעשית לשימור מידע בלי לפרוץ למכשיר, לשנות קובץ או לסכן את הנפגע.
כלל הזהב: שומרים מקור, הקשר ושרשרת
- מקור: הקובץ, ההודעה או המערכת כפי שנמצאו.
- הקשר: חשבון, כתובת, תאריך, רצף הודעות ונסיבות.
- שרשרת: מי העתיק, לאן, מתי ובאילו כלים.
צילום מסך הוא לעיתים התחלה טובה, אך הוא עלול להחסיר כתובת URL, כותרות דוא"ל, מטא-דאטה או רצף. לכן שומרים גם ייצוא מקורי או עותק מלא כשאפשר לעשות זאת כחוק.
פרוטוקול עשר הדקות הראשונות
- לא מוחקים, לא מגיבים ולא מתעמתים לפני שמירה.
- מצלמים את המסך המלא, כולל שעה, שם חשבון וכתובת כשאלה מוצגים.
- שומרים את הקובץ המקורי ולא רק תמונה שלו.
- רושמים מועד, מכשיר, אפליקציה ומי ביצע את השמירה.
- יוצרים עותק עבודה ומשאירים את המקור ללא עריכה.
- אם החשבון בסיכון, משנים סיסמה ממכשיר בטוח ומפעילים אימות דו-שלבי לאחר השימור הראשוני.
טבלת שימור לפי סוג הראיה
| סוג | מה לשמור | טעות נפוצה |
|---|---|---|
| WhatsApp או מסרון | צילום מסך, ייצוא שיחה, קבצים ופרטי איש קשר | חיתוך שמסתיר רצף או שולח |
| דוא"ל | הודעה מקורית, כותרות מלאות וצרופות | העברה בלבד, שמחליפה חלק מהכותרות |
| אתר או פרופיל | URL מלא, תאריך, צילום מלא וקובץ/הדפסה | צילום ללא כתובת או שם משתמש |
| תמונה או סרטון | קובץ מקורי, מקור הקבלה ומטא-דאטה זמין | שליחה מחדש באפליקציה שמכווצת את הקובץ |
| לוג מערכת | טווח זמן, אזור זמן, מקור ופורמט ייצוא | העתקה חלקית ללא שדות או הסבר |
| עסקת קריפטו | מזהה עסקה, כתובות ארנק, רשת, שעה וסכום | שמירת כינוי המשתמש בלבד |
מטא-דאטה וגיבוב: מה הם ומה הם לא מוכיחים?
מטא-דאטה עשוי לכלול תאריך יצירה, סוג מכשיר או תוכנה, אך אפשר לשנותו ולעיתים הוא נמחק בהעברה. ערך גיבוב (hash) הוא טביעת אצבע מתמטית לקובץ: אם הערך נשאר זהה, ניתן להראות שהקובץ לא השתנה מאז שחושב הערך. הוא אינו מוכיח מי יצר את הקובץ או אם התוכן אמיתי; הוא מוכיח שלמות מנקודת זמן מסוימת.
שימור דוא"ל והתחזות
בדוא"ל חשוד שומרים את ההודעה המקורית ואת הכותרות המלאות, הכוללות נתיבי מסירה ומזהים טכניים. אין ללחוץ על קישור כדי "לבדוק" אותו ואין לפתוח צרופה חשודה. מאמתים את השולח בערוץ אחר ובכתובת רשמית שהוקלדה עצמאית. בנק ישראל מזהיר מפני מתחזים שמפעילים לחץ ומבקשים פרטי חשבון או קודים; גוף לגיטימי אינו זקוק לקוד חד-פעמי שהתקבל אצל הלקוח כדי "להגן" עליו.
ראיות מטלפון החשוד ברוגלה
אם יש חשש ממשי שרוגלה פעילה, לא מתקינים באותו מכשיר אפליקציות אקראיות ולא מנהלים ממנו את השיחה עם גורמי הסיוע. מתעדים סימנים, משתמשים במכשיר אחר ליצירת קשר ומקבלים הנחיה מקצועית לפני איפוס. איפוס עשוי לעצור פגיעה אך גם למחוק חומר שיכול לסייע להבין מה קרה. במקרה של סכנה אישית, בטיחות קודמת לשימור טכני.
שרשרת שמירה פשוטה
| שדה | דוגמה למה מתעדים |
|---|---|
| מזהה פריט | DE-2026-001 |
| מקור | ייצוא מחשבון שבשליטת הפונה |
| מועד | תאריך, שעה ואזור זמן |
| מבצע | שם ותפקיד של מי ששמר |
| פעולה | העתקה, ייצוא, חישוב hash או מסירה |
| מיקום | מדיה מוצפנת או מערכת ניהול תיק |
מה לא לעשות
- לא לפרוץ לחשבון גם אם מאמינים שהוא שייך למתחזה.
- לא להתקין תוכנת מעקב על מכשיר של אדם אחר.
- לא לערוך מקור כדי להדגיש חלקים; מסמנים רק בעותק עבודה.
- לא לפרסם ראיה בקבוצה או ברשת לצורך "אימות המונים".
- לא לשלם ל"משחזר כספים" אנונימי שמבטיח להחזיר קריפטו.
- לא להניח שצילום מסך לבדו מוכיח זהות.
מתי מדווחים ומתי פונים לחוקר?
בחשד לאירוע סייבר ניתן לפנות למערך הסייבר הלאומי או למוקד 119. פגיעה בקטינים ברשת מדווחים למוקד 105; בחשש לחיי אדם מתקשרים מיד למשטרה 100. חוקר פרטי יכול לסייע באימות זהות, מיפוי קשרים, בניית ציר זמן ושימור מסודר, אך אינו מחליף משטרה, צוות תגובה טכנולוגי או עורך דין.
איך נראה תיק ראיות דיגיטלי מסודר?
התיק כולל אינדקס, קבצי מקור, עותקי עבודה, יומן פעולות, ציר זמן, הסבר על הכלים, רשימת מגבלות ודוח שמפריד בין עובדה, אינדיקציה והשערה. לכל מסקנה מצרפים את הפריטים שתומכים בה ואת הנתונים שסותרים אותה. כך ניתן להעביר את החומר לעורך דין, למשטרה או למומחה נוסף בלי לאבד את ההקשר.
ארבע שכבות לשימור ראיה דיגיטלית
שימור איכותי אינו מסתכם בצילום מסך. רצוי להפריד בין ארבע שכבות, משום שכל אחת עונה על שאלה אחרת:
- המקור: המכשיר, הקובץ, ההודעה או החשבון כפי שנמצאו, בלי עריכה מיותרת.
- עותק שמור: העתק שנוצר בדרך שאינה משנה את המקור, עם שם קובץ עקבי ומיקום אחסון מוגן.
- עותק עבודה: עותק נפרד לניתוח, תמלול, סימון או המרה, כדי שהמקור לא ישתנה במהלך העבודה.
- תיעוד ההקשר: מי קיבל את החומר, מתי, מאיזה מקור, באיזו דרך ומה נעשה בו לאחר מכן.
לא בכל מקרה אפשר להשיג את כל ארבע השכבות, אך חשוב לציין מה קיים ומה חסר. צילום מסך יכול לתעד מראה והקשר, אך אינו בהכרח משמר את הקובץ המקורי, הכותרות, היסטוריית הגרסאות או פרטי המערכת.
פרוטוקול שימור לפי מקור הראיה
| מקור | מה לשמור | טעות נפוצה |
|---|---|---|
| WhatsApp ואפליקציות מסרים | ייצוא השיחה כשהאפשרות זמינה, קבצי מדיה מקוריים, פרטי הצדדים, תאריך ושעה; לשמור גם את המכשיר במצבו הקיים | להסתפק בצילומי מסך חתוכים או למחוק את השיחה לאחר הייצוא |
| דוא״ל | הודעה בפורמט מקורי כגון EML, כותרות מלאות, קבצים מצורפים והקשר השרשור | להעביר את ההודעה לעצמכם בלבד, פעולה שעלולה לאבד חלק מהכותרות וההקשר |
| אתר או רשת חברתית | כתובת מלאה, מועד, צילום מסך רחב, שמירת עמוד או PDF והקלטת מסך כשיש תוכן דינמי | לשמור תמונה בלי כתובת, שם משתמש, שעה או הקשר לעמוד |
| מסמך ענן | קובץ מקורי, היסטוריית גרסאות והרשאות או יומן גישה כאשר קיימת הרשאה חוקית לצפות בהם | לערוך את המסמך המקורי לפני יצירת עותק |
| מצלמת אבטחה או רכב | ייצוא הקובץ המקורי, טווח זמן רחב מעט מהאירוע, פרטי המצלמה, סטיית שעון ונגן ייעודי אם נדרש | לצלם את מסך המצלמה במקום לייצא את הקובץ, או להמתין עד שמנגנון המחיקה המחזורי ידרוס אותו |
| אודיו או וידאו | הקובץ המקורי, פרטי המקור, מועד הקבלה ועותק עבודה נפרד לתמלול או המרה | לשלוח שוב ושוב באפליקציה שמכווצת את הקובץ או לערוך את המקור |
| יומן מערכת או קובץ לוג | הייצוא המקורי, טווח הזמנים, אזור הזמן, שם המערכת והאדם שביצע את הייצוא | להעתיק רק שורה בודדת בלי ההקשר שלפניה ואחריה |
גבול חשוב: שומרים רק חומר שיש הרשאה חוקית לגשת אליו. אין להיכנס לחשבון, למכשיר או למערכת של אדם אחר ללא הרשאה, גם אם המטרה היא “לשמור ראיה”. כאשר קיימת אי־ודאות, עוצרים ומתייעצים לפני הפעולה.
יומן ראיות: תבנית בסיסית
יומן קצר ועקבי מאפשר להסביר מהו כל פריט ומונע בלבול בין מקור לעותק. לכל פריט מומלץ לרשום:
| שדה | מה רושמים |
|---|---|
| מספר פריט | מזהה קבוע, לדוגמה E-001 |
| תיאור | מהו הפריט ומה הוא מציג, בלי להסיק מסקנה שאינה נראית בו |
| מקור | מכשיר, חשבון, אדם, מצלמה או מערכת שמהם התקבל |
| מועד אירוע | המועד שמופיע בפריט, כולל אזור זמן כאשר הוא רלוונטי |
| מועד איסוף | מתי ובאיזו דרך נשמר או יוצא |
| אחראי | מי ביצע את האיסוף ומי קיבל לאחר מכן |
| מיקום שמירה | היכן נמצא המקור והיכן נמצא עותק העבודה |
| פעולות שבוצעו | העתקה, המרה, תמלול, דחיסה או מסירה, כולל תאריך |
| מגבלות | חוסר במקור, צילום חלקי, שעון לא מכויל או מידע הקשרי שחסר |
מטא־דאטה וגיבוב: מה הם יכולים להראות?
מטא־דאטה הוא מידע נלווה כגון זמני יצירה ושינוי, סוג מכשיר, תוכנה או נתוני מיקום, כאשר הם קיימים. ערך גיבוב הוא טביעת אצבע חישובית של קובץ: שינוי בקובץ יוצר בדרך כלל ערך אחר, ולכן הוא יכול לסייע להראות שעותק מסוים לא השתנה מאז שחושב הערך.
עם זאת, אף אחד מהם אינו מוכיח לבדו מי יצר את הקובץ, שהאירוע המצולם התרחש כמתואר או שהמידע לא הוכן לפני רגע השימור. את המשמעות בוחנים יחד עם המקור, ההקשר, ציר הזמן, אופן האיסוף ומקורות נוספים. אין לשנות תאריך מערכת, “לתקן” מטא־דאטה או להריץ כלים לא מוכרים על המקור.
סדר פעולות כאשר הזמן קריטי
- עצרו מחיקה אוטומטית או דריסה מחזורית רק אם יש לכם הרשאה לעשות זאת.
- תעדו את המצב הקיים לפני שינוי סיסמה, ניתוק מערכת או עדכון תוכנה.
- שמרו מקור ועותק, ורשמו מי ביצע כל פעולה.
- טפלו בבטיחות ובעצירת נזק לפני ניסיון לייחס אחריות.
- במקרה פלילי, סכנה, פגיעה בילד או אירוע סייבר פעיל, פנו גם לגורם הרשמי המתאים.
- אם החומר מיועד להליך, תאמו מוקדם עם עורך דין או גורם מקצועי את דרך השימור והמסירה.
באירוע סייבר ניתן לדווח למערך הסייבר הלאומי. כאשר מדובר באירוע אבטחה חמור במאגר מידע, יש לבדוק גם את חובת הדיווח לרשות להגנת הפרטיות.
מדריכים משלימים
- שמירת ראיות מ-WhatsApp
- OSINT ואימות מקורות גלויים
- חקירת דיפ-פייק והתחזות AI
- קבילות ושרשרת שמירת ראיות
המידע כללי ואינו ייעוץ משפטי או הנחיה פורנזית למקרה מסוים.
ליישום עקרונות השמירה במקרה מתמשך, ראו יומן ראיות להטרדה מאיימת ומעקב.
ליישום עקרונות השמירה על רעש, מצלמות והודעות, ראו מדריך הראיות בסכסוכי שכנים.
בהקשר משפטי: קראו גם את המדריך על שימור ראיות דיגיטליות במסגרת חקירה משפטית, הכולל תכנון משימה, תיעוד ותוצרים לעורך הדין.
לקריאה משלימה: המדריך על כללי קבילות, מקור ושרשרת תיעוד מסביר כיצד לתעד את המקור, השלמות ודרך הטיפול בחומר.
לבדיקת חוקיות הפעולה: קראו גם גבולות הגישה למכשירים ולמידע דיגיטלי.
התרעת AirTag או פריט מעקב היא ראיה דיגיטלית רגישה לזמן. המדריך לאיתור GPS ברכב מסביר כיצד לתעד אותה לפני נטרול.
דליפת סוד מסחרי דורשת שמירת מקור, לוגים והרשאות. ראו את הפרוטוקול המלא לחקירת ריגול תעשייתי.
קובץ חשוד בדיפ־פייק דורש שמירת מקור, שרשרת מסירה והקשר. ראו את מדריך האימות המלא.
לפני חסימה או מחיקת חשבון, ראו את הפרוטוקול לפגיעה ברשת ושמירת המקור.
לאירוע הכולל חשבון, מכשיר, מערכת או ראיה מקוונת, עברו למדריך חקירות סייבר: עצירת נזק ושמירת ראיות.
במודעה, תשלום ומשלוח חשוב לשמור גם מזהים עסקיים ורצף עסקה. מדריך מעשי: שמירת ראיות בהונאת מסחר מקוון.
כאשר הראיה הדיגיטלית היא חוזה, סריקה או PDF שבמחלוקת, יש לשמור גם את ערוץ הקבלה והגרסאות. ראו זיוף חתימה או מסמך דיגיטלי.
כאשר קבצים, לוגים או טלפון משמשים לשחזור מקום וזמן, חשוב לבדוק גם את השעון ואת הקשר בין המכשיר לאדם. ראו שחזור אירוע ממקורות דיגיטליים.
כאשר הראיות הדיגיטליות קשורות להתנהגות מינית אסורה, חשוב לשלב שמירה טכנית עם הגנה על פרטיות הנפגעת או הנפגע. ראו תיעוד ובירור בחשד להטרדה מינית.
להבחנה בין קובץ מקור, מטא-דאטה, Hash, שרשרת טיפול ומשקל ראייתי, ראו את מילון המונחים לראיות וחקירות.
לדוגמה מעשית של שימור מצלמת דרך, סרטון עסק וחותמות זמן, ראו חקירת תאונת דרכים ושימור ראיות.
