儘管證物遭到相當程度的滅證，致使初期未能取得任何線索，但只要鍥而不捨抽絲剝繭，總能峰迴路轉，本案例藉由iPhone的一項特殊功能「重要位置」，揭露了犯嫌行事曆中「老地方」的確切位置及造訪歷程，最終使得案情大白。
往來兩岸三地從事古董買賣的退役軍官C男，三年前藉由前後期軍旅同袍聚餐場合結識了現役軍官L上校，假借熱心慫恿其合作投資古董，屢次匯款分配可觀的獲利所得，逐步引其入彀。原來C男表明古董只是掩人耳目，所謂獲利實為「組織」要求蒐集情資的報酬，讓本以為財神眷顧的L上校陷入進退兩難，半推半就之下開始交付軍中情資，甚至被要求提供「上頭」指定的關鍵機密，兩人並慣常透過LINE相約在暱稱為「老地方」的某間咖啡廳碰面。直到日前，C男終於在機場出境大廳被便衣幹員攔下並帶回偵訊。
鑑識人員從C男的iPhone手機當中，並未查獲什麼重要的線索，特別的是雖然在手機中可看到有LINE等聊天軟體，但裡頭的聊天內容寥寥無幾，對比時間線（Timeline）的分析結果，的確也未發現大量「Instant Messages」的事件存在，據此研判C男可能鮮少使用即時聊天軟體。
「老地方」不排除與案情有關
專案小組經過一段時日的調查，未再有進一步的發現，但值得留意的是，在C男手機的行事曆中，發現了一個看似普通的字眼「老地方」（圖1），不排除可能與案情有關，但在取證結果中未有進一步線索。為了查明C男是否從事不法行為，更重要的是為破獲幕後的組織，專案小組只能先將其釋放，以持續跟監。
圖1 老地方。
回想起當年接到上頭交付的這項任務時，C男心裡頭也在盤算著，聚會上這幾位現役軍官當中，就屬L上校是上頭指名吸收的第一人選，今晚這場聚會就是要來做他的工作的，可別讓這尾大魚跑掉才是。但心裡頭並無多大把握，因為過去他與這學弟的共事時間並不長，私底下也沒有什麼交集。但這一聊下來，可讓他發現了突破口可以請君入甕，那就是「白花花的鈔票」。
順利吸收這學弟之後，確實讓C男備受上頭器重，但此次出境時遭到調查，已陷入孤立無援的情況。但C男心裡雪亮，情報工作就是這樣的單線運作，上頭只讓他負責做L上校的工作，是垂直性的一條鏈，和組織中其他成員並無橫向的聯繫，用意自然是即便被查獲，也僅是一個「點」或「線」的突破，而不會整個團滅。
在沙發上打盹許久的L上校醒了過來，像是突然想起什麼似的，打開電腦埋首其中，還邊滑著手機。數小時之後，又倉皇搭電梯直抵地下停車場，發動了車子但卻未駛離，而是在車內待了數十分鐘之久才又上樓。
隔天上班一進到辦公室，便見到數名便衣人員出現，在長官示意配合的情況下，L上校只得乖乖接受調查，同一時間調查人員也在L上校家中同步進行蒐證，將個人電腦、導航設備、行車記錄器等全數帶回。
偵訊中調查人員表明，L上校的忠誠測試結果有問題，且他們已掌握了可靠線索，希望L上校供出一切他所知道的。此時L上校腦海中正飛快地運轉著，進行著一次又一次的沙盤推演，他料想這不過只是虛張聲勢，且相關存有電子跡證的設備已經過他一番「處理」，應可確保萬無一失才是。
的確如L上校所料，個人電腦中並無與公務相關資料，行車記錄器中也僅存在屈指可數的影像檔及設定檔，如圖2所示，至於影像內容，僅是上班途中經過的街景，未發現有什麼值得留意之處。調查人員眼看未查獲任何跡證，莫非友邦情報單位提供的情報有誤，難道L上校並非潛伏在單位裡的內鬼？而是另有其人？至此案情陷入膠著，但長官可不想就此打住，非得查出個水落石出不可，便決定將L上校被扣押的設備一併送往友好單位的實驗室進行更進一步的取證分析。
圖2 行車記錄器內容。
實驗室之中，專家R正看著C男手機先前的取證分析結果，不禁皺起眉頭。調查人員從存在該手機中的聊天訊息及相本中的照片，對照Timeline分析結果中的此二類事件，便判斷C男應是甚少使用IM或拍照，這樣的推論著實是有問題的。
該說是先前的調查者「誤會」了手機的Timeline分析結果所致，怎麼說呢？通常大家在看待「時間線」（Timeline），自然而然地會認為「曾經發生過什麼」，就會在時間線之中留下不可抺滅的痕跡。舉例來說，若在某年某月某日某時有使用IM或拍照，即使後來使用者將當時的聊天內容刪除，或將當時拍的照片刪除，裝置仍將留存當時曾發生過的事件，即使後來內容本體不復存在。
但實際上，手機取證分析結果之中，Timeline僅是將尚存在手機中的跡證，以時間為基準加以呈現罷了！換言之，若是C男將聊天內容或相本中的照片刪得差不多了，那留存在手機中的相關跡證也好，對照時間線來看也罷，都同樣會是屈指可數了。因此，正由於R深知手機Timeline的根本特性，在他的研判之中，C男必然是個工於心計且頻繁進行滅證的人。
「重要位置」讓案情露出曙光
至於這行事曆中的「老地方」，在先前的跡證中未有所獲，就真的代表證物手機中不存在相關線索了嗎？R仔細地檢查了手機，鎖定了「重要位置」（Significant Locations）這項設定，如圖3所示。
圖3 重要位置。
果然在其中發現了C男曾造訪過的地理位置資訊歷程，包括日期、時間、歷時多久，以及所在區域等重要資訊，如圖4所示。
圖4 地理位置資訊歷程。
那麼問題來了！為何先前的取證分析結果，未能察覺這「重要位置」裡的地理位置資訊歷程呢？不消說，取證分析工具仍可能有所疏漏，所幸R深知iPhone有個十分特殊的「重要位置」設定，他也曾拿iPhone此項功能開玩笑地跟朋友說道，最佳GPS追蹤器非iPhone莫屬。
另一方面，如此小心的C男也未曾留意到此處留存了他造訪過的地理位置資訊歷程嗎？的確，大多數人使用iPhone僅用到了常見功能，像這個「重要位置」設定埋得如此之深，又是預設啟用的，一般人未及察覺也在情理之中。專案小組將上述重大發現與行事曆中標註「老地方」的日期時間交叉比對，已鎖定「老地方」的可能所在位置了。事不宜遲，立刻派員趕往「老地方」進行調查。
下午實驗室收到了專案小組送來的L上校手機及行車記錄器，經過一段時間的取證分析之後，在其手機中確未查得任何線索，接下來的焦點就在這行車記錄器了，如圖5所示。
圖5 行車記錄器。
這款行車記錄器的特別之處在於，它並不像一般行車記錄器是插記憶卡，而是內建有儲存空間以存放錄像，但奇怪的是目前裡頭只剩屈指可數的幾個錄影。照理說即便空間已滿，但這行車記錄器是會循環錄影才是，怎可能少的如此離譜。除非，是遭到人為蓄意刪除滅證所致。
R隨即對此行車記錄器進行鏡像，以產生完整的物理鏡像檔案，如圖6所示。
圖6 鏡像文件。
目的便是從中挖掘出其內可能尚存的錄影片段。由於這檔案格式頗為特別，副檔名為「.cpd」，若要有效進行復原，重點不在於副檔名是什麼，而是在「檔案特徵值」（File Signature），這才是有效辨識檔案的關鍵。
之前專案小組確實已用上了復原能力優異的鑑識軟體及資料救援軟體，但根本認不得這所謂的「.cpd」是什麼格式的檔案。因為在一般情況之下，預設的檔案特徵值中，通常僅包括一般常見檔案格式在內，那該怎麼辦才好呢？
R鎖定了「.cpd」檔案的File Header並添加至檔案特徵值列表之中，如圖7所示。再於Unallocated Space進行搜尋，順利復原出一些錄影檔案，如圖8所示。便可提供給專案小組進行內容檢視，以釐清是否有案情有所關聯。
圖7 添加.cpd的檔案特徵值。
圖8 復原出的錄影檔案。
「老地方」是一間位於僻靜之地的咖啡廳，當幹員出示C男與L上校的照片後，老闆娘確認他們是曾來過店裡的客人，且每次都會指定二樓的商務包廂。另一方面，行車記錄器的分析結果，確有「老地方」所在的這間咖啡廳的畫面出現在復原出的錄影之中，如圖9所示。證明L上校確有驅車前往，且時間點亦與C男行事曆中標註的日期時間相吻合。
圖9 老地方。
當再度提訊L上校，告知已找到「老地方」就位在某市郊區時，L上校眼角不禁抽動了一下，隨即回復平靜表示未曾去過該地，也不知道什麼「老地方」。直到將復原的行車記錄器錄影於其面前播放時，L上校方知大勢已去，想起自己的鬼迷心竅後悔不已，便坦承供述了自己所知道的一切，包括C男是如何吸收自己，以及迄今已交付的各項情資等細節。專案小組也才能得知原來看似毫無關聯的二人，竟是情報鏈的上下游關係。
結語
回顧此案，儘管證物因遭到相當程度的滅證，致使初期未能取得任何線索，所幸峰迴路轉，特別是iPhone的一項特殊功能「重要位置」起到十分重要的作用，揭露了「老地方」的確切位置及造訪歷程。之後，又根據咖啡廳老闆娘的證詞，及復原出的行車記錄器錄像，將兩個看似不相干的案子關連在一起並順利破案。
＜本文作者：Pieces0310，本身從事IT工作多年，為找尋線索、發掘真相、解決問題，而樂此不疲～喜歡與國內外同好分享交流心得，不僅僅是個人樂趣，也希望盡一分心力，有所助益。＞