Egy fenyegető e-mail pillanatok alatt kiüríthet egy iskolát, feladójának azonosítása azonban nem feltétlenül ilyen gyors. A nyomozók szervernaplókból, szolgáltatói adatokból és lefoglalt eszközökből rakhatják össze, ki áll az üzenet mögött. Az IP-cím önmagában még nem bizonyítja, ki az elkövető.
Az iskolák különösen kiszolgáltatott célpontjai a rosszakaratnak: naponta gyerekek és felnőttek százait fogadják, miközben alapvetően nyitott, tanulásra és közösségi életre berendezett intézmények, korlátozott vagy semmiféle biztonsági személyzettel és védelemmel. A fenyegetőnek nem is kell bejutnia az épületbe ahhoz, hogy félelmet és fennakadást okozzon, mert egyetlen üzenet elegendő lehet a tanítás kényszerű megszakításához, családok százainak riadalmához és jelentős rendőri erők mozgósításához.
HIRDETÉS
HIRDETÉS
Az elmúlt két napban fenyegetéshullám söpört végig Magyarország mellett Észak-írországon, Skócián és más brit régiókon. Az általános nemzetközi protokoll szerint amikor egy iskola bombafenyegetést kap, két párhuzamos feladat kezdődik: meg kell védeni az intézményben tartózkodókat, és fel kell deríteni, hogy kitől származik az üzenet.
Az épület átvizsgálása az első kérdésre adhat választ. A másodikhoz több szolgáltató, informatikai szakértő és akár több ország hatóságainak, rendőrségeinek vagy titkosszolgálatainak együttműködésére van szükség.
Az iskolák különösen kiszolgáltatott célpontok: naponta gyerekek és felnőttek százait fogadják, miközben alapvetően nyitott, tanulásra és közösségi életre berendezett intézmények, korlátozott vagy semmiféle biztonsági személyzettel és védelemmel. A fenyegetőnek ráadásul nem is kell bejutnia az épületbe ahhoz, hogy félelmet és fennakadást okozzon, mert egyetlen üzenet elegendő lehet a tanítás megszakításához, családok százainak riadalmához és jelentős rendőri erők mozgósításához.
Éppen ez teszi az iskolákat a megfélemlítés vonzó célpontjává, hiszen csekély erőfeszítéssel lehet súlyos zavart kelteni, ráadásul a gyerekek veszélyeztetésének már a lehetősége is rendkívül erős társadalmi visszhangot vált ki.
A magyar rendőrség az október 19-20-i fenyegetések ügyében közölte: a Nemzeti Nyomozó Iroda terrorcselekmény elkövetésével fenyegetés miatt indított eljárást, és vizsgálja a korábbi, hasonló esetekkel való esetleges összefüggéseket is. A közlemény azonban nem ismertette, milyen technikai nyomok állnak a nyomozók rendelkezésére.
Több ország fenyegetése mögött is állhat egyetlen ember
A nemzetközi együttműködésnek kézzelfogható eredménye lehet. Az Eurojust 2025 júliusában arról számolt be, hogy azonosították a cseh, szlovák és lett intézményeknek 2024 szeptemberében küldött több ezer fenyegető e-mail feltételezett elkövetőjét.
A három ország közös nyomozócsoportot hozott létre, a vizsgálat pedig az ukrajnai Dnyipróba vezetett. Az ottani akcióban cseh és szlovák rendőrök is részt vettek, két helyszínt kutattak át, és számítástechnikai eszközöket foglaltak le. A gyanúsítottat elfogták, majd a további hatósági lépésekig szabadon engedték. Az eset azt mutatja, hogy a sok országra kiterjedő fenyegetéssorozat sem feltétlenül jelent nagy elkövetői hálózatot.
Az e-mailnek van egy kevésbé látható oldala - mit kell vizsgálni?
A címzett rendszerint a feladó nevét, az e-mail-címet, a tárgyat és a levél szövegét látja. A szakértő számára azonban az üzenet technikai adatai is fontosak: milyen levelezőrendszerek továbbították, milyen időpontokban dolgozták fel, és milyen azonosítókat rendeltek hozzá.
Ezek az úgynevezett fejlécadatok segíthetnek rekonstruálni a levél útját. A fejléc azonban nem feltétlenül tartalmazza a levélíró saját internetkapcsolatának címét; előfordulhat, hogy csak a levelezőszolgáltató szerveréig lehet eljutni belőle.
A szolgáltatónál folytatódhat a nyomkeresés
A következő lépés a levelezőszolgáltató megkeresése lehet. A hatóság megfelelő jogalappal olyan adatokat kérhet, amelyekből kiderülhet, mikor hozták létre a fiókot, milyen kapcsolódó elérhetőségeket adtak meg, illetve milyen internetcímekről és mikor jelentkeztek be.
A Google nyilvános tájékoztatója például a Gmail esetében a lehetségesen kiadható adatok között említi a regisztrációs információkat, a kapcsolódó telefonszámot, valamint a bejelentkezési IP-címeket és időpontokat. Az adatok rendelkezésre állása és a megkeresés jogalapja egyaránt meghatározza, mit kaphat meg a nyomozó hatóság.
Az IP-cím az internetes kapcsolat hálózati azonosítója. Ha a nyomozók megszerzik, a következő kérdés az lehet, melyik előfizetéshez tartozott az adott időpontban. Innen azonban még nem feltétlenül vezet egyenes út a levél megírójához.
Egy család, egy iskola vagy egy munkahely több felhasználója is osztozhat ugyanazon internetkapcsolaton. Az előfizető és a tényleges feladó ezért két külön személy lehet. Elképzelhető az is, hogy valaki más postafiókját használják fel. Egy 2015-ös amerikai ügyben az ügyészség szerint a gyanúsított saját anyja feltört levelezési fiókjából is küldött iskoláknak bombafenyegetéseket.
A külföldi szerver nem mutatja meg a feladó állampolgárságát
A vizsgálatot nehezítheti, ha a kapcsolat közvetítő rendszereken haladt át. Egy külföldi IP-cím ilyenkor egy közbeiktatott szerverhez vezethet, miközben a fenyegető egészen más országban tartózkodik. Ugyanígy egy külföldi levelezőszolgáltató használata sem bizonyítja, hogy a levél külföldről érkezett.
Ilyen helyzetben a szolgáltatói adatok, a különböző időpontok és más bizonyítékok összevetése válik döntővé. A nyomozásnak lehetnek technikai zsákutcái is, mivel nem minden rendszer őriz meg ugyanolyan adatokat, és nem minden szükséges információ érhető el utólag. Egy amerikai iskolai fenyegetéssorozat hivatalos vizsgálati jelentése például dokumentálta, hogy a közvetítő szerverek használata miatt a helyi rendőrség kezdetben nem tudta azonosítani a feladót.
Az idő ezért nagyon sokat számít. A hatóság adatmegőrzési kérelemmel kérheti, hogy a szolgáltató tegye félre a már meglévő, meghatározott adatokat, amíg beszerzik a kiadásukhoz szükséges jogi felhatalmazást. Az adatok megőrzése és átadása két külön lépés, mert a megőrzési kérelem önmagában még nem jelenti, hogy a rendőrség hozzáfér a fiók tartalmához.
A számítógépet egy emberhez is hozzá kell kötni
Ha a nyomozás elvezet egy gyanúsítotthoz, az általa használt számítógép vagy telefon vizsgálata újabb bizonyítékokat adhat. A szakértők levelezési adatokat, fájlokat, böngészési nyomokat és más digitális maradványokat kereshetnek. A vizsgálat eredménye azonban függ az eszköz állapotától, védelmétől és attól is, milyen adatok maradtak rajta.
A cél nem pusztán annak megállapítása, hogy az eszköz kapcsolatba került egy postafiókkal. Azt is bizonyítani kell, hogy az adott személy használta a fenyegetéshez. Egy megtalált üzenet, a szolgáltatói napló, a küldés időpontjára vonatkozó tanúvallomás vagy más, egymástól független adat együtt válhat meggyőzővé.
A digitális bizonyítékokat ezért dokumentált eljárással kell rögzíteni és megvizsgálni. A szakértői másolatok és az adatok változatlanságát ellenőrző digitális lenyomatok azt szolgálják, hogy a későbbi eljárásban ellenőrizhető legyen: ugyanazt az anyagot értékelik, amelyet eredetileg lefoglaltak.
A szöveg is árulkodhat, de önmagában kevés
Több fenyegetés összehasonlításakor a nyelvezet, a visszatérő hibák, a tartalmak mintázata, a címzettek köre és a küldések időrendje is vizsgálható. Ezek alapján felmerülhet, hogy ugyanaz a személy vagy csoport áll több eset mögött. Az egyezés azonban utánzásból vagy egy korábban nyilvánosságra került szöveg másolásából is származhat.
Ugyanezért a levél nyelve, politikai jelszavai vagy egy szervezet nevében tett kijelentései nem bizonyítják a feladó kilétét. Ezek a fenyegetés tartalmához tartoznak; az eredetüket külön kell ellenőrizni. Egy szélsőséges szervezet nevének használata még nem igazolja, hogy valóban az adott szervezet küldte az üzenetet.