デジタルフォレンジック

スマホでメッセージを送ったり、ネットを見たり、写真を撮ったりするたびに、機器の中には目に見えない記録（ログ）がどんどん積み重なっていきます。ファイルを削除してゴミ箱を空にしても、データがすぐに消えないことは少なくありません。

コンピューターは効率を大切にします。だからファイルを消したときも、中身が入った引き出しをいちいち空にはせず、引き出しに貼ってある「ラベル」だけをはがします。本にたとえるなら、目次のページだけを破り取って、本文は次の文字で上書きされるまでそのまま放置しているようなものです。

デジタルフォレンジックの捜査官は、このすき間を利用して削除されたファイルの断片を探し出し、元の形に復元します。ただしSSDや最新のスマホは、消した場所を自動で整理したり、暗号化の鍵を破棄したりするため、削除された内容を元に戻すのが難しい場合が多くあります。メモリを一瞬よぎった一時データやネットの閲覧履歴も丹念に分析し、過去に何があったのかを時系列でパズルのように組み立てていきます。

デジタルフォレンジックは、単にファイルを復活させる技術のことではありません。法廷で裁判官が信頼できる客観的な法的証拠としての完全性（インテグリティ）を証明する手続きが、何より重要です。デジタルファイルはコピーも改変も簡単なので、捜査官が機器をうっかり触ってファイルの更新日時が1つ変わるだけでも、証拠としての価値を疑われかねません。

そのため捜査官は、できるだけ証拠の機器を直接開いて見ることはしません。ハードディスクなどの元の記憶装置には「書き込み防止装置」をつないで一切の変更を防いだうえで、データの0と1までそっくり写し取る「イメージング（完全複製）」をまず行います。分析は原則としてこの複製に対して行います。ただし、スマホや電源が入ったままの機器では、元の機器から直接データを抽出せざるを得ないこともあるため、その過程を細かく記録し、ハッシュ値で完全性を残します。

複製が元データと完全に同じであることは、「ハッシュ関数（デジタル指紋のアルゴリズム）」で証明します。収集時に元データから取り出した固有の指紋値と、分析した複製の指紋値が1ビットの誤差もなく一致しているかを確認することは、法廷で証拠として認められるための重要な条件です。

デジタルフォレンジックが使われるのは、ハッキング犯罪やニュースになる大事件だけではありません。会社の重要な技術が外部に流出したとき、誰がどんなルートで持ち出したのかを追跡したり、帳簿の改ざんといった企業の不正を暴いたりするときにも、中心的な役割を果たします。

また、身近な交通事故の現場でも活躍します。車に搭載された事故記録装置（EDR）やドライブレコーダー、スマホの位置情報を分析して、運転手がブレーキを踏んだか、事故の瞬間にスマホを使っていたか（メッセージ入力やアプリの操作など）を確認します。無実の罪を着せられそうな人のアリバイを証明し、無実を示す決定的な盾になることもあります。

現代人の生活のあらゆる場面がデジタル機器に記録される時代だけに、フォレンジックは真実を明らかにする強力な手段のひとつです。痕跡を消そうとするアンチフォレンジック技術と、それを見破ろうとするフォレンジック技術は、今も絶え間なく進化を続けています。