“他把自己包装成坐拥百万、频繁飞往迪拜的商界精英。”数字取证专家马克·莫里斯在谈起这起案件时，语气里带着一丝嘲讽。但让这位“精英”栽跟头的，不是别的，正是一部屏幕碎了、键盘失灵的MacBook。
这是一场教科书级别的数字取证实战。嫌疑人杰森·坎宁安搞的是“先租后转租”的生意，说白了就是从房东手里租下房子，再分租出去做多户住宅或短租公寓。模式本身合法，但他偏偏不走正道，搞起了伪造合同、欺瞒房东和投资人的勾当，涉案金额超过11.3万英镑。
莫里斯接手这活儿的时候，手里只有两件东西：一部iPhone，以及那台半死不活的MacBook。你可能会想，电脑都坏成这样了还能挖出什么东西？但这次，我们得好好看看专业取证人员是怎么用技术手段把一个骗子的底裤扒干净的。
第一步：让“尸体”开口说话
笔记本屏幕挂了、键盘也罢工了，在普通人眼里这玩意儿已经可以拿去换不锈钢盆了。但在莫里斯看来，只要能通电，这事儿就还有戏。他直接给MacBook接上了一个带电源的扩展坞，外挂上独立显示器和键盘——一台“尸体”级电脑就这么被强行续了命。
进入系统后的第一件事，不是到处翻文件夹。莫里斯用了两个关键工具来构建一份完整的数据镜像：先用Time Machine把整机备份到外接硬盘上，然后用Belkasoft X对这个备份进行解析；同时，再用AweClone软件做了一个Mac到Mac的直接拷贝。为什么要搞两遍？原因很现实——这台机器本身就有物理损坏，谁也不知道它下一秒会不会彻底咽气。双通道采集，就是为了跟你赌一把数据恢复的上限。
拿到iPhone的数据同样走的是本地iTunes备份路径，整套流程也在Belkasoft X里完成解析。到这里，两部设备的所有数字残留都被完整地搬进了分析平台。
第二步：交叉验证，让谎言撞上时间线
这里面最狠的一个操作，是同步审查。莫里斯没有把手机和电脑分开看，因为坎宁安的沟通记录本身就散落在这两个终端上。Belkasoft X允许他把两台设备的数据加载到同一个案件里，然后做全库关键词搜索。
搜什么？WhatsApp、iMessage、还有传统的短信和彩信。把这些聊天记录全部拉出来过一遍，再用日期过滤功能，单独筛出跟特定交易时间段匹配的通信内容。这一招的效果是立竿见影的——那些声称记录了与房东、租户达成协议的文档，在证人的时间线叙述面前，出现了大量无法解释的错位和矛盾。
莫里斯事后是这么总结的：“从MacBook和iPhone里恢复出来的电子材料，我们会拿它跟银行流水和证人证词做比对。把所有东西拼在一起之后，你根本找不到任何证据能支持这是一个真实、合法运营的企业。”
第三步：财务流揭穿了“成功人设”
被告方的辩护思路其实不复杂：坎宁安本来就是个成功商人，他压根没动机去骗这点小钱。这个逻辑在法庭上其实挺常见的，属于“我这么有钱干嘛要骗你”的经典话术。
但数字取证直接把这条防线给轰塌了。通过对资金流向的追踪分析，莫里斯发现了一个黑色幽默般的事实：坎宁安那些炫富的标配——租来的兰博基尼、五星级酒店、私人飞机行程——它们的资金来源根本不是什么正经生意利润，而是从受害者那里骗来的钱。
用骗来的钱给自己打造成功人设，再用这个人设去骗更多的人。这就是一个典型的庞氏螺旋，而数字取证恰好从资金链上切中了它的死穴。
第四步：30个证人面前的铁证
整个审判持续了九周，传唤了超过30名证人。摆在陪审团面前的展品清单相当硬核：从两台设备里提取的文档原貌、带有时间戳的消息记录截图、清晰标注资金去向的财务流向图，以及那些与银行流水交叉比对后暴露出的伪造合同。
最终结果：两项欺诈交易罪、五项使用虚假文书罪成立，坎宁安在去年十一月被送进了监狱。而且故事还没完——从已识别的银行账户里追回了超过10万英镑，而根据《犯罪收益追缴法》发起的进一步调查仍在进行中。
第五步：AI正在改变取证的游戏规则
在复盘这个案子的时候，莫里斯特别提到了一个新趋势：AI在数字取证领域的冲击力已经开始显现。他专门点出了BelkaSoft新上线的一个叫BelkaGPT的AI功能。虽然关于这个功能的具体描述在原文中并没有展开太多，但从莫里斯的语境来看，自动化的数据关联、智能化的线索发现，很可能正在成为取证工程师们的下一个效率放大器。
两年前你也许还能靠格式化硬盘或者砸掉手机来毁灭证据，但现在情况彻底变了。取证工具对碎片化数据的重组能力、对跨设备通信记录的关联分析能力，再加上AI开始介入到模式识别和异常检测环节，留给犯罪嫌疑人的数字死角，正在以肉眼可见的速度消失。
一台摔坏的MacBook和一个被同步分析的数据集，就把一个精心包装了多年的骗局连根拔起。这件事本身就是一个很强的信号：如果你以为设备坏了就能保住秘密，那可能是你对现代取证技术有什么误解。
热门跟贴