- Po smazané zprávě mohou v telefonu zůstat čitelné stopy, další kopii může uchovat záloha nebo telefon příjemce
- Policie České republiky používá nástroje Cellebrite, které hledají i data běžně neviditelná v aplikacích
- Ani přečtení paměťového čipu nemusí stačit k získání obsahu šifrovaného telefonu
- Od ledna 2026 upravuje prohlížení chráněného obsahu telefonu nový paragraf, který počítá i s cloudem
Představte si, že jste přes internet prodali Karlův most a kupující se bohužel rozhodl domáhat předání. Jedné noci vás budí policie a odnáší si váš telefon. Vy jste ale překvapivě klidní. Domluvu s kupujícím i fotografie jste přece smazali, takže v mobilu už není co najít. Tedy alespoň podle toho, co ukazují aplikace.
ℹ️ Stačí jeden klik! Přidejte si nás mezi mezi preferované weby, případně nás sledujte v Google Zprávách, nebo na Seznam.cz
Právě v tom je háček. Zpráva může z chatu zmizet, a přesto po ní v telefonu něco zůstane. Aplikace totiž ukládají data do databází a pomocných souborů, další kopie mohou vznikat na jiných zařízeních nebo na serverech. Forenzní specialista hledá i v těchto místech. Někdy najde obsah smazané zprávy, jindy jen časový údaj nebo zmínku o souboru.
A kvůli takové analýze nemusí telefon cestovat do laboratoře FBI. Policie ČR používá techniku izraelské společnosti Cellebrite už od roku 2010. V lednu 2026 mezi používanými nástroji výslovně jmenovala Cellebrite UFED i Magnet AXIOM, forenzní program pro získávání a analýzu dat z mobilů, počítačů a cloudu.
Smazaná zpráva nemusí zmizet ze všech souborů
Konverzace bývá v telefonu uložená v databázi. Aplikace v ní vedle textu zaznamenává například, kdo zprávu odeslal, kdy a jaká příloha k ní patří. Když zprávu smažete, aplikace tyto záznamy upraví. Jejich starší podoby ale mohou v souborech zůstat, podle toho, jak aplikace mazání řeší.
U rozšířené databáze SQLite mohou po odstranění záznamu zůstat v souboru zbytky původního obsahu. Některé databáze navíc změny nejprve zapisují do pomocného souboru a teprve později je promítnou do hlavní databáze. Specialista, který se k těmto souborům dostane, tak může najít i informaci, kterou aplikace už nezobrazuje.
Kolik takových pozůstatků zůstane, může změnit i aktualizace systému. Výrobce forenzního softwaru MSAB například v roce 2024 popsal, že po přechodu na iOS 17.4 dokázal ze záloh iPhonu uložených v počítači získat více smazaných dat. Spojoval to se změnou ukládání databází a s tím, že záloha obsahovala i jejich pomocné soubory.
U fotografií zase může vedle originálu existovat menší náhled nebo kopie odeslaná v chatu. Nalezený náhled přitom může ukázat, co na snímku bylo, aniž by se podařilo obnovit původní fotografii v plném rozlišení. Pro vyšetřování to může mít cenu, i když by taková „obnova fotky“ jejího majitele zklamala.
Zprávu může prozradit telefon příjemce
Další kopii zprávy může mít člověk, kterému jste ji poslali. To platí i pro komunikaci chráněnou koncovým šifrováním. WhatsApp chrání osobní zprávy tak, aby je mohli číst odesílatel a příjemce, a ne někdo cestou mezi nimi. U příjemce se ale zpráva musí dát zobrazit. Pokud se vyšetřovatel dostane k jejímu obsahu v telefonu, může ji přečíst právě tam.
Šifrování komunikace přitom zůstalo neporušené: zprávu už rozšifrovala aplikace pro svého uživatele. Když tedy smažete konverzaci u sebe, policie ji může najít u druhého účastníka, aniž by z vašeho mobilu obnovila jediný smazaný bajt.
Kde jste byli? Telefon může napovědět i zmást
Někdy přitom vyšetřovatele zajímá spíš místo a čas než obsah konverzace. Napovědět mohou souřadnice uložené u fotografie. Když je specialista porovná se záznamy navigace nebo s údaji o tom, kdy se telefon připojil k Wi-Fi, může zjistit, jestli si tyto stopy odpovídají. Pohyb telefonu tak může doložit i z dat rozptýlených mezi více aplikací.
Záleží ovšem na tom, proč záznam vznikl. Právě podle toho Cellebrite rozlišuje údaje ve svém přehledu polohových stop. Mapa může uchovat hledaný cíl, kam uživatel nakonec nejel. Aplikace počasí zase místo, jehož předpověď si přidal do oblíbených. Ani fotografie s polohou nemusí pocházet z fotoaparátu zkoumaného telefonu, mohla přijít od někoho jiného. Předpověď pro Palermo z vás zkrátka nedělá návštěvníka Sicílie.
Zamčený mobil není pokaždé stejně zamčený
Aby mohl specialista tyto stopy zkoumat, musí nejprve získat přístup k datům. Moderní telefony obsah úložiště šifrují. U iPhonu se na ochraně šifrovacích klíčů podílí hardware telefonu a u části dat také uživatelský kód. Android vyžaduje šifrování po souborech u zařízení, která přišla na trh s Androidem 10 nebo novějším.
Odemčením telefonu se zpřístupňují i klíče potřebné ke čtení chráněných souborů. Forenzní nástroj musí bez této pomoci hledat jinou cestu k chráněným datům.
Rozdíl může být i mezi dvěma stejně vypadajícími zamčenými iPhony. Systém rozděluje soubory do ochranných tříd, které určují, kdy jsou data dostupná. U některých tříd se klíče krátce po uzamčení z paměti odstraní. U jiných zůstávají po prvním odemčení dostupné až do restartu, aby aplikace mohly pracovat na pozadí. Telefon po restartu, do kterého ještě nikdo nezadal kód, tak může vyšetřovateli klást jiné překážky než přístroj, který uživatel během dne používal. Ani druhý případ ale sám o sobě nezaručuje přístup.
Nepomůže automaticky ani filmově působivé odpájení paměťového čipu. Laboratoř může přečíst uložené bity, ale bez potřebných klíčů získá zašifrovaný obsah.
Na šifrovacích klíčích stojí i rozdíl mezi smazáním několika zpráv a továrním vymazáním telefonu. Apple u funkce Smazat data a nastavení popisuje odstranění klíče, bez kterého už soubory nelze rozšifrovat. Samostatné kopie uložené jinde ovšem vymazáním přístroje nezmizí.
Další kopie může ležet daleko od telefonu
Fotografie mohou být uložené v cloudu, konverzace v záloze na počítači a přílohy na dalším zařízení. Synchronizace přitom někdy přenese i smazání, zatímco starší samostatná záloha může obsah dál uchovávat.
K datům v cloudu mohou pomoci i přihlašovací údaje uložené v telefonu. Oxygen například nabízí cloudovou extrakci, při které je využívá k získání dat z online účtu. Vedle hesla může posloužit také autentizační token, digitální potvrzení předchozího přihlášení, díky kterému služba nemusí heslo znovu požadovat. Token ovšem musí být stále platný a služba musí takový přístup umožňovat.
I v cloudu ale může přístup k souborům zastavit šifrování. Při zapnuté pokročilé ochraně dat na iCloudu jsou například zálohy zařízení a obsah osobní knihovny fotografií chráněné koncovým šifrováním. Apple nemá klíče k jejich přečtení, takže ani žádost adresovaná přímo jemu tento obsah nezpřístupní. Přes důvěryhodné zařízení uživatele přitom mohou být stejná data dostupná.
Co z toho smí Policie ČR?
I když se policie k datům technicky dostat dokáže, k jejich prohlížení potřebuje zákonné oprávnění. Od 1. ledna 2026 upravuje ohledání chráněného obsahu zajištěného telefonu nový § 113a trestního řádu. Policie musí mít důvod předpokládat, že v něm najde skutečnosti důležité pro trestní řízení. Ohledání lze povolit jen tehdy, když stejného cíle nelze dosáhnout jinak nebo by to bylo podstatně obtížnější.
V přípravném řízení ohledání standardně povoluje soudce na návrh státního zástupce, písemně a s odůvodněním. Zákon však stanoví výjimky. Samostatné povolení nevyžaduje například při souhlasu oprávněného uživatele nebo u telefonu zajištěného při domovní prohlídce. V neodkladné situaci, kdy povolení nelze získat předem, musí policie bezodkladně požádat o dodatečný souhlas. Pokud ho soud neudělí, výsledek se nesmí použít jako důkaz a pořízené kopie dat se musejí zničit.
Povolené ohledání se přitom může týkat i zmíněného cloudu. Zákon zahrnuje také vzdáleně uložená data, pokud jsou ze zajištěného zařízení přístupná bez překonání dalšího zabezpečení. Tento postup se liší od získávání provozních údajů od mobilního operátora, pro které platí vlastní právní pravidla.
Nepřehlédněte
Jaká data operátoři uchovávají? Sledování elektronické komunikace u nás funguje ve velkém
Telefon přitom může vedle vyšetřované konverzace obsahovat rodinné fotografie a důvěrné zprávy lidí, kteří s případem nemají nic společného.
Náš nešťastný prodejce Karlova mostu tedy z prázdného chatu mnoho jistoty nezíská. Domluva může přežít v záloze, telefonu příjemce nebo pomocném souboru. Ani policista však nemůže počítat s tím, že stačí připojit kabel a získá všechno.
