Pháp y số (digital forensics) là ngành thu thập, bảo quản và phân tích dữ liệu trên điện thoại, máy tính, thẻ nhớ, tài khoản trực tuyến sao cho kết quả dùng được làm chứng cứ. Nó trả lời những câu hỏi như: tệp này được tạo khi nào, ai đã đăng nhập, thiết bị ở đâu vào lúc nào, tin nhắn nào đã gửi đi. Nguyên tắc cốt lõi là không bao giờ làm việc trên dữ liệu gốc, và chứng minh được rằng dữ liệu không bị thay đổi từ lúc thu giữ.
Từ máy tính lớn đến chiếc điện thoại trong túi
Những vụ việc đầu tiên liên quan tới máy tính xuất hiện từ những năm 1970–1980, chủ yếu là gian lận trong ngân hàng, công ty. Năm 1984, FBI thành lập nhóm phân tích máy tính chuyên trách. Nhà thiên văn học Clifford Stoll, khi lần theo một khoản chênh lệch 75 xu trong hoá đơn sử dụng máy tính ở phòng thí nghiệm Lawrence Berkeley năm 1986, đã phát hiện một người xâm nhập hệ thống và lần ra tận nơi sau gần một năm theo dõi — câu chuyện ông kể lại trong cuốn The Cuckoo's Egg (1989), thường được coi là một trong những ghi chép sớm về điều tra số.
Sang thế kỷ 21, điện thoại thông minh thay đổi mọi thứ. Một chiếc điện thoại chứa tin nhắn, ảnh có kèm toạ độ, lịch sử di chuyển, tài khoản ngân hàng, danh bạ, dữ liệu sức khoẻ. Ngày nay ít có cuộc điều tra nào không đụng tới dữ liệu số, kể cả những vụ trộm cắp thông thường.
Bốn nguyên tắc của pháp y số
- Không làm thay đổi bản gốc. Chỉ cắm ổ cứng vào máy tính bình thường thôi cũng đã làm thay đổi một số thông tin (thời gian truy cập, nhật ký hệ thống). Chuyên gia dùng thiết bị chặn ghi (write blocker) để máy chỉ đọc được mà không ghi được gì vào ổ.
- Tạo bản sao nguyên khối. Sao chép toàn bộ thiết bị từng bit một, kể cả vùng trống — nơi dữ liệu đã xoá có thể còn sót lại. Mọi phân tích làm trên bản sao.
- Chứng minh bản sao giống hệt. Tính "giá trị băm" (hash) — một chuỗi ký tự như dấu vân tay của dữ liệu, ví dụ theo thuật toán SHA-256. Chỉ cần đổi một ký tự trong hàng tỷ ký tự, giá trị băm đã khác hoàn toàn. Giá trị băm của bản gốc và bản sao trùng nhau là bằng chứng không có gì thay đổi.
- Ghi chép mọi bước. Ai thu giữ, lúc nào, thiết bị đang bật hay tắt, ai mở, làm gì — chuỗi bảo quản y như với vật chứng hữu hình. Tiêu chuẩn quốc tế ISO/IEC 27037 (2012) hướng dẫn cách nhận diện, thu thập và bảo quản chứng cứ số.
Dữ liệu "đã xoá" còn lại được không
Câu trả lời ngắn: đôi khi có, đôi khi không, và ngày càng khó hơn.
Trên ổ cứng cơ học kiểu cũ, xoá một tệp thường chỉ xoá dòng ghi chỉ tới nó trong "mục lục" của ổ; phần nội dung vẫn nằm đó cho tới khi bị ghi đè. Nhờ vậy nhiều tệp phục hồi được. Trên ổ thể rắn (SSD) và bộ nhớ điện thoại hiện đại, cơ chế dọn dẹp tự động và mã hoá mặc định khiến dữ liệu đã xoá nhanh chóng không còn đọc được. Điện thoại đời mới mã hoá toàn bộ bộ nhớ; không có mã mở khoá thì việc đọc dữ liệu rất khó, kể cả với cơ quan điều tra.
Nhưng dữ liệu hiếm khi chỉ có một bản. Ảnh có thể đã tự sao lưu lên đám mây; tin nhắn nằm cả ở máy người nhận; nhà mạng, ngân hàng, mạng xã hội lưu nhật ký riêng của họ. Điều tra số hiện đại vì thế nhìn rộng ra ngoài chiếc máy, qua các yêu cầu cung cấp dữ liệu hợp pháp tới nhà cung cấp dịch vụ.
Những loại dấu vết số hay gặp
| Dấu vết | Có thể cho biết | Cần thận trọng |
|---|---|---|
| Siêu dữ liệu ảnh (EXIF) | Thời điểm chụp, loại máy, đôi khi toạ độ GPS | Giờ trên máy có thể sai; nhiều mạng xã hội xoá siêu dữ liệu khi đăng |
| Siêu dữ liệu tài liệu | Tên tác giả, ngày tạo, ngày sửa | Tên tác giả là tên cài trên phần mềm, không chắc là người thật đã viết |
| Lịch sử vị trí | Thiết bị ở khu vực nào, lúc nào | Định vị qua trạm phát sóng chỉ cho vùng rộng; thiết bị ở đâu không có nghĩa là chủ máy ở đó |
| Nhật ký đăng nhập | Tài khoản được truy cập từ thiết bị, địa chỉ mạng nào | Một địa chỉ mạng có thể dùng chung cho cả quán cà phê, cả khu chung cư |
| Dữ liệu từ đồng hồ, vòng đeo, xe hơi | Nhịp tim, số bước, thời điểm mở cửa xe | Thiết bị có thể ghi sai; cần đối chiếu nhiều nguồn |
Điểm chung: dữ liệu số cho biết thiết bị hay tài khoản đã làm gì. Nối thiết bị đó với một con người cụ thể là bước khác, cần thêm chứng cứ — ai đang cầm máy, ai biết mật khẩu, ai dùng chung.
Giới hạn và những cuộc tranh luận lớn
Mã hoá và quyền riêng tư. Mã hoá mạnh bảo vệ hàng tỷ người dùng khỏi bị đánh cắp dữ liệu, nhưng cũng khiến cơ quan điều tra khó đọc thiết bị. Từ giữa những năm 2010, cuộc tranh luận giữa các hãng công nghệ và cơ quan điều tra ở nhiều nước về việc có nên tạo "cửa sau" hay không vẫn chưa ngã ngũ. Phần lớn chuyên gia bảo mật cho rằng cửa sau dành cho người tốt rồi cũng sẽ bị kẻ xấu tìm ra.
Khối lượng dữ liệu. Một chiếc điện thoại có thể chứa hàng trăm nghìn tin nhắn và ảnh. Phòng thí nghiệm số ở nhiều nước quá tải; việc chọn đúng dữ liệu cần xem, không xâm phạm phần không liên quan, là thách thức cả về kỹ thuật lẫn đạo đức.
Ảnh và video giả tạo bằng trí tuệ nhân tạo. Khi hình ảnh có thể được tạo ra như thật, câu hỏi "tệp này có bị chỉnh sửa không" trở nên quan trọng hơn bao giờ hết. Các nhóm nghiên cứu và doanh nghiệp đang phát triển chuẩn gắn thông tin nguồn gốc vào tệp ngay khi chụp, nhưng chưa phổ biến.
Góc nhìn hôm nay: dấu vết số của chính mình
Hiểu pháp y số cũng là hiểu mình để lại bao nhiêu dấu vết mỗi ngày — và tự bảo vệ cho đúng:
- Đặt mã khoá màn hình đủ dài cho điện thoại; bật mã hoá (điện thoại đời mới thường bật sẵn).
- Bật xác thực hai lớp cho email và mạng xã hội; email là chìa khoá khôi phục mọi tài khoản khác.
- Kiểm tra định kỳ mục thiết bị đang đăng nhập trong tài khoản, đăng xuất những máy lạ (tên mục có thể khác theo phiên bản).
- Trước khi bán hoặc cho máy cũ: sao lưu, đăng xuất tài khoản, rồi khôi phục cài đặt gốc để người mua không đọc được dữ liệu của bạn.
- Khi bị lừa đảo hay bị xâm nhập tài khoản: đừng xoá tin nhắn, lịch sử giao dịch — chụp màn hình, giữ nguyên, và báo ngân hàng cùng công an xã/phường nơi gần nhất. Đó chính là chứng cứ số của bạn.
Muốn đọc thêm, The Cuckoo's Egg của Clifford Stoll vẫn là cuốn sách kể chuyện điều tra số hấp dẫn và dễ hiểu dù đã hơn ba mươi năm.
Câu hỏi thường gặp
Pháp y số là gì?
Là ngành thu thập, bảo quản và phân tích dữ liệu trên thiết bị số và tài khoản trực tuyến để dùng làm chứng cứ. Nguyên tắc cốt lõi là làm việc trên bản sao, chứng minh dữ liệu không bị thay đổi bằng giá trị băm, và ghi chép mọi bước.
Dữ liệu đã xoá trên điện thoại có khôi phục được không?
Trên điện thoại đời mới thì ngày càng khó, vì bộ nhớ được mã hoá và tự dọn dẹp vùng đã xoá. Tuy nhiên bản sao có thể vẫn còn trên đám mây, trên máy người nhận hoặc ở nhà cung cấp dịch vụ.
Giá trị băm (hash) dùng để làm gì?
Giá trị băm là một chuỗi ký tự tính ra từ toàn bộ dữ liệu, thay đổi hoàn toàn nếu dữ liệu bị sửa dù chỉ một ký tự. Chuyên gia dùng nó để chứng minh bản sao giống hệt bản gốc và không bị thay đổi trong quá trình phân tích.
Ảnh chụp có lưu vị trí không?
Nhiều điện thoại lưu toạ độ GPS trong siêu dữ liệu ảnh nếu bật quyền vị trí cho ứng dụng máy ảnh. Nhiều mạng xã hội xoá thông tin này khi đăng, nhưng gửi tệp gốc qua email hay một số ứng dụng thì vẫn còn.
Bị lừa đảo qua mạng thì nên giữ chứng cứ thế nào?
Không xoá tin nhắn, lịch sử cuộc gọi và giao dịch; chụp màn hình kèm thời gian, ghi lại số tài khoản và đường link. Sau đó báo ngay ngân hàng và công an xã/phường nơi gần nhất để được hướng dẫn.
