Co zawiera Facebook Takeout i dlaczego to ważne

Opracowanie ma charakter pomocniczy — przygotowany dla funkcjonariuszy jako wzorzec żądań i zakresu analiz. Nie zawiera danych wrażliwych.

Co zawiera Facebook Takeout i dlaczego to ważne

Typowe pliki używane w analizie:

• account_activity.html — lista zdarzeń (login, session update, password change, name change) z oznaczeniem czasu, IP i user-agent;
• ip_address_activity.html — aktywność pogrupowana po adresach IP;
• record_details.html — wpisy administracyjne (zmiany haseł, 2FA, checkpointy) z odniesieniem do IP i device fingerprint;
• where_you're_logged_in.html / recognized_devices.html — zaufane urządzenia i aktywne sesje;
• messages (e2ee_cutover) — treści wysłanych wiadomości (ważne do wykazania szkody i mechanizmu phishingu).

Z Facebook Takeout można odtworzyć: sekwencję zdarzeń (timeline), przypisanie zdarzeń do adresów IP i user-agentów, orientacyjną geolokalizację IP i typ użytego klienta (np. Messenger Lite, przeglądarka Chrome, aplikacja mobilna).

Co z Takeout nie ustalisz bez operatora telekomunikacyjnego

• konkretnej osoby (tożsamości) korzystającej z adresu IP — wymaga to danych operatora;
• przy CGNAT: bez portów źródłowych nie da się jednoznacznie przypisać sesji do abonenta;
• bez logów radiowych nie da się powiązać IMSI ↔ IMEI ↔ BTS z zachowaniem precyzji czasowej.

Przykładowa chronologia — ilustracja interpretacji danych z Takeout FB

Tabela nr 1

Zestawienie zdarzeń pokazuje typowy przebieg włamania na konto Facebook. Około 20:50 pojawia się pierwsza aktywność z nowego, wcześniej nie występującego w historii konta urządzenia — telefonu Pixel 6 z Androidem — korzystającego z adresu IPv6 spoza zwyczajowego zakresu logowań właścicielki. W ciągu następnych minut następuje skuteczne logowanie, a potem z innego adresu IPv4 i komputera z przeglądarką Chrome/Windows dochodzi do administracyjnej zmiany hasła i zmiany nazwy profilu — zachowania typowe dla pełnego przejęcia konta.

Przesłanki wskazujące na działanie osoby trzeciej: użycie adresów IP i user-agentów, które nigdy wcześniej nie były przypisane do aktywności tej użytkowniczki w archiwum Takeout; nagła zmiana platformy (z iPhone/Safari → Pixel/Android → Chrome/Windows) w krótkim oknie czasowym; oraz sekwencja zdarzeń: reset hasła → zmiana hasła → zmiana nazwy → masowe wysyłanie wiadomości.

Około 07:13 następnego dnia widoczne są działania naprawcze z urządzenia właścicielki (iPhone), m.in. włączenie 2FA i ponowna zmiana hasła, co potwierdza moment odzyskania kontroli nad kontem. Całość koreluje z atakiem prowadzonym z zewnętrznego urządzenia i różnych punktów sieciowych, a nie z normalnej aktywności właściciela.

Precyzyjne żądanie danych do operatora telekomunikacyjnego— pola niezbędne technicznie
Wniosek do operatora (PT) powinien wymagać (dla wskazanego IP i ścisłego przedziału czasowego — najlepiej z dokładnością do minut):

1. Dane abonenta / użytkownika końcowego: imię, nazwisko, adres instalacji, ewentualnie PESEL (jeśli dostępny prawnie).
2. Karty SIM / identyfikatory mobilne: MSISDN, IMSI, ICCID.
3. Numer(y) IMEI powiązane z sesjami (oraz — jeżeli dostępne — producent i model z bazy IMEI).
4. Dokładne czasy startu i zakończenia każdej sesji (w UTC oraz lokalnym CEST) i informację, jak czas jest synchronizowany w logach.
5. Pełne mapowania NAT/CGNAT: zewnętrzny_IP:port_źródłowy ↔ wewnętrzny_IP:port_wewnętrzny ↔ identyfikator sesji (z timestampami).
   • Uwaga praktyczna: jeśli stosowane są translacje CGNAT, operator musi dołączyć numer portu źródłowego — bez niego identyfikacja abonenta jest niemożliwa.
6. Identyfikatory sieci radiowej (dla ruchu mobilnego): BTS / eNodeB / CellID, eNodeB sector, APN, ewentualnie GTP TEID.
7. Logi DHCP / PPPoE / CPE MAC (dla połączeń stacjonarnych) — MAC urządzenia CPE, przydzielony wewnętrzny IP.
8. Metadane i format: pliki w formacie CSV/TSV z opisem kolumn, kopie oryginalnych logów i sumy kontrolne (SHA-256).
9. Wskazanie wszystkich translacji w ramach żądanego okna — nie tylko jednego rekordu.

Jak formułować zakres czasowy i porty (praktyka)

• Organa ścigania powinny wskazać bardzo wąski przedział czasowy (np. ±2 minuty wokół zdarzenia z logów Facebooka) — to zmniejsza ilość rekordów i przyspiesza identyfikację.
• Jeśli log Facebooka pokazuje jedynie przybliżony czas (np. co do sekundy), użyć tego czasu jako punktu odniesienia.
• Żądać od operatora wszystkich mapowań NAT dla tego zewnętrznego IP w podanym oknie (to operator ma porty w swoich zapisach).

Dodatkowe środki dowodowe do rozważenia

• Obrazowanie iPhone/iPad/Mac właściciela (jeśli dostępne) — pozwala potwierdzić ustawienia 2FA, zaufane urządzenia, lokalnie zapisane sesje i pliki cookie;
• Analiza SIM / IMSI / operatora — korelacja IMSI ↔ IMEI ↔ logi sieciowe;
• Wniosek o logi DNS/Proxy/VPN — jeśli podejrzenie użycia VPN/proxy (adresy niepasujące do geolokalizacji), można żądać informacji od usług VPN (jeśli rozpoznane) lub providerów proxy;
• Zabezpieczenie treści wiadomości z katalogu messages jako dowód socjotechniki (treść phishingu).

Typowe pułapki i ograniczenia

• CGNAT i duże zakresy adresów: bez portów lub bez wąskiego przedziału czasowego operator wskaże wielu potencjalnych abonentów;
• VPN / serwery pośredniczące: geolokalizacja IP może wskazywać miasto serwera, nie rzeczywiste położenie użytkownika;
• User-Agent to nie dowód — informacja o „Pixel 6” czy „iPhone17,3” pochodzi z UA i może być sfałszowana; prawdziwy dowód to IMEI;
• Różnice czasowe: serwisy mogą rejestrować zdarzenia w UTC; normalizować wszystkie czasy do CEST w analizie.

Przykładowy fragment żądania do operatora

„Na podstawie przepisów ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz.U. z 2024 r. poz. 1221), która z dniem 10 listopada 2024 r. zastąpiła Prawo telekomunikacyjne, w związku z prowadzonym postępowaniem przygotowawczym sygn. <sygnatura sprawy>, Policja zwraca się z uprzejmą prośbą o udostępnienie danych telekomunikacyjnych oraz danych abonenta lub użytkownika końcowego powiązanych z poniższymi adresami IP w określonych przedziałach czasu:

Zakres żądanych danych:

1. Dane abonenta lub użytkownika końcowego
   • imię i nazwisko lub nazwa firmy,
   • numer PESEL lub NIP (jeśli dostępny),
   • adres instalacji (adres świadczenia usługi / adres punktu dostępowego),
   • dane kontaktowe (numer telefonu, adres e-mail, jeśli występują w systemie operatora),
   • status umowy (aktywny / rozwiązany, typ umowy: prepaid, postpaid, stacjonarny, mobilny).
2. Dane techniczne i eksploatacyjne sesji:
   • pełne mapowania translacji NAT / CGNAT (zewnętrzny_IP:port_źródłowy ↔ wewnętrzny_IP:port ↔ identyfikator sesji) wraz z dokładnymi znacznikami czasu (timestamp, w UTC i CEST);
   • przypisane do tych sesji identyfikatory SIM / urządzenia: MSISDN, IMSI, ICCID,
   • numery IMEI urządzeń (z oznaczeniem producenta i modelu, jeśli dostępne w bazie IMEI operatora);
   • dokładny czas rozpoczęcia i zakończenia każdej sesji;
   • identyfikatory sieci mobilnej lub stacjonarnej: BTS / eNodeB / CellID / APN / GTP TEID lub, w przypadku połączeń stacjonarnych, logi DHCP / PPPoE oraz MAC urządzenia końcowego (CPE);
   • lokalizacja przybliżona wynikająca z logów sieciowych (adres punktu dostępowego, stacja bazowa, węzeł dostępu).
3. Forma przekazania danych:
   • dane należy przekazać w formacie elektronicznym (CSV, TSV lub JSON) wraz z opisem pól i formatów czasowych,
   • pliki powinny być opatrzone sumami kontrolnymi (np. SHA-256) celem zapewnienia integralności,
   • odpowiedź proszę przekazać drogą służbową na wskazany adres Policji lub poprzez bezpieczny kanał SFTP/FTP.”

Rekomendacje operacyjne (krok po kroku)

1. Uzyskać i zabezpieczyć Facebook Takeout od pokrzywdzonego — zapisać sumy kontrolne.
2. Wstępna analiza i utworzenie timeline (wskazanie zdarzeń kluczowych i IP).
3. Policja składa wnioski do operatorów z dokładnymi przedziałami czasowymi i żądaniem mapowań NAT oraz IMEI/IMSI/MSISDN.
4. Po otrzymaniu logów operatora — korelacja IMSI ↔ IMEI ↔ zewnętrzny_IP:port ↔ timestamp.
5. W razie potrzeby: zabezpieczenie urządzeń (obraz telefonu/komputera) i dalsza ekspertyza.

Zaproszenie do współpracy

Kancelaria biegłego sądowego z zakresu informatyki i teleinformatyki oferuje kompleksowe wsparcie organom ścigania w sprawach dotyczących nieuprawnionego dostępu do kont, wyłudzeń internetowych i ustalania źródeł logowań. Pomagamy w identyfikacji i bezpiecznym pobraniu danych cyfrowych (np. archiwów Facebook Takeout), ich analizie pod kątem adresów IP, urządzeń, zmian haseł i aktywności użytkowników. W oparciu o wyniki analizy opracowujemy projekty formalnych wniosków do operatorów telekomunikacyjnych zgodnych z art. 218 §1 k.p.k. oraz przepisów o retencji danych ustawy – Prawo komunikacji elektronicznej, wskazując zakres danych, które pozwolą jednoznacznie zidentyfikować sprawcę (abonenta, urządzenie, lokalizację). Po uzyskaniu odpowiedzi od operatorów dokonujemy korelacji ich logów z danymi z serwisów internetowych i przygotowujemy opinię biegłego wraz z załącznikami analitycznymi i wnioskami końcowymi. Zapewniamy również wsparcie merytoryczne przy dalszych czynnościach procesowych i interpretacji danych teleinformatycznych.