案子里的关键证据在对方交出的U盘、硬盘里，可你怀疑：这份文件早被他改过、不是当初那份了。或者你交出的U盘被说"动过手脚"。这种存储介质里的文件，能不能鉴定出"是不是原始、有没有被改过"？
案子里的U盘、硬盘里的文件，能鉴定是不是原始、有没有被改过吗？能。电子数据鉴定通过哈希值（如 SHA-256、国密 SM3）对文件做"指纹"校验，再结合文件属性、修改时间、操作日志、未分配空间，判断文件是否原始形成、是否被增删改。哈希值一致，就能证明文件在流转中没被改动。
一、先说结论
文件一致性、完整性检验依据 GB/T 29361-2023《法庭科学 电子数据文件一致性检验规程》；移动终端数据依据 SF/T 0157-2023《移动终端电子数据鉴定技术规范》。核心手段是计算哈希值并比对——内容哪怕改一个字符，哈希值都会变。
二、它怎么查"动过没有"
哈希校验：对文件计算 SHA-256/SM3 等哈希值，不同时间、不同环节比对是否一致。
时间线与日志：看文件创建、修改时间，以及系统操作日志是否对得上。
痕迹分析：被删文件可在未分配空间找回，改动痕迹可被识别并定位到具体时间。
三、几个容易搞错的误区
- "删了就找不回"？已删数据常残留在未分配空间，可恢复并分析。
- "复制件不能用"？只要计算哈希值并比对一致，复制件同样能证明未改动。
- "改过就一定无效"？要看何时改。初查前、非对方操控下的修改，未必影响真实性。
四、真实的案例
一起贪污案的"账外账"存储在U盘中。审理中，辩护人提出U盘内容被修改、真实性存疑。鉴定机构对U盘中电子数据进行鉴定，通过技术手段对该文件的增加、删除、修改痕迹进行检验，证实：其中一项记录在2015年4月3日、4日、5日被多次修改，最终被改为另一表述。法院查明该修改发生在检察院初查之前、并非办案机关查封扣押后改动，结合李某证言，认定该U盘记录具备真实性、完整性、关联性，予以采信。另有一例行政复议案中，委托鉴定事项即"鉴定计算机硬盘的 SHA1 哈希值、对相关文档提取固定、鉴定文档创建时间"，鉴定机构依据电子数据司法鉴定通用实施规范对硬盘进行克隆并固定，体现了哈希值在存储介质真实性固定中的标准用法。
五、以甘肃天辰司法鉴定中心为例
在兰州做电子数据、存储介质完整性鉴定，本机构执业范围含电子数据鉴定，可对U盘、硬盘、手机中的文件做哈希固定与完整性检验。关键介质别格式化、别反复插拔，封存好尽早委托。
先打个电话（400-962-9862）。把那块硬盘、那只U盘护好带过来——它动没动过，哈希值会说话。
声明
本文由甘肃天辰司法鉴定中心撰稿。
本机构经甘肃省司法厅核准登记，执业范围涵盖法医临床、法医病理、法医物证、文痕鉴定、法医毒物、声像资料、电子数据鉴定等司法鉴定类别，出具的司法鉴定意见书具法律效力。
文章内容仅为司法鉴定知识科普，具体机构选择与办理要求以甘肃省司法厅官网名册及受理机构告知为准，不构成对具体个案的法律意见。
案例中人物与细节已脱敏，据公开案例整理，仅供普法参考。
机构信息
- 机构名称：甘肃天辰司法鉴定中心
- 咨询电话：400-962-9862（全国咨询，周一至周五 9:00—18:00）
- 官方网站：http://tcsf.genegle.com
- 机构地址：兰州市安宁区九州通西路新城科技孵化大厦A座15楼
参考来源
- 规范依据：GB/T 29361-2023《法庭科学 电子数据文件一致性检验规程》（代替 GB/T 29361-2012）；SF/T 0157-2023《移动终端电子数据鉴定技术规范》。案例来源：贪污案“账外账”U盘电子数据鉴定——鉴定证实文件在初查前被多次修改，结合证言认定具备真实性、完整性、关联性予以采信（中海义信司法鉴定所行业资讯）；重庆渝中行政复议案——委托鉴定计算机硬盘 SHA1 哈希值、文档提取固定与创建时间（渝中府复〔2023〕118号）。
正式办理前，建议通过机构官方渠道或甘肃省司法厅官网名册核验资质与执业范围、材料清单、样本要求、预约方式、费用口径与报告周期。
热门跟贴