Найбільше шкоди люди завдають собі не на допиті, а вдома, у власному телефоні. Людина отримує повістку і за пів години вже пише сестрі, партнеру по бізнесу чи бухгалтеру: пояснює, як усе було насправді, просить когось поки що не згадувати про один договір, скидає фото документа. Минає кілька місяців, під час обшуку телефон вилучають, і ці повідомлення читає слідчий. Прикро те, що листування майже завжди виглядає гірше, ніж було насправді: коротка фраза без контексту, іронія чи нервовий жарт у матеріалах справи читаються зовсім інакше, ніж у чаті з сестрою.
Слідство при цьому рідко когось прослуховує. Схема простіша: під час обшуку вилучають телефон, ноутбук і планшет, а далі знімають з них інформацію. Якщо пристрій розблокований або пароль складається з чотирьох цифр, будь-яке шифрування каналу вже не має значення. Другий шлях ще простіший, і це ваш співрозмовник: його телефон вилучать так само, або він сам принесе скріншоти, бо злякався. А після обшуку зазвичай ідуть виклики на допит, де ваші близькі родичі звісно мають право мовчати, а бухгалтер, партнер чи друг такого права не мають і переказують усе, що чули й читали.
У справі ця переписка з’являється буденно: телефон оглядають, потрібні чати фотографують або роздруковують, і скріншот стає таким самим доказом, як документ чи показання свідка. Видаляти щось вже після події безглуздо і небезпечно: видалене відновлюють, а сам факт масової чистки після обшуку виглядає як приховування доказів. Що до прохання «скажи, що ти цього не бачив»: за вплив на свідка передбачена окрема відповідальність, а повідомлення з таким проханням є готовим доказом проти вас.
Ось звідси й починається розмова про месенджери. Питання «у чому писати» не технічне і не параноїдальне. Воно про те, скільки вашого листування взагалі існує в доступному для сторонніх вигляді і як довго воно там лежить. Різниця між застосунками тут величезна, а більшість людей користується найгіршим варіантом, щиро вважаючи його захищеним.
Що впливає на захищеність листування
Наскрізне шифрування. Уявіть, що передаєте другу записку в сейфі: кур’єр везе сейф через півсвіту, але ключі є тільки у вас двох. Повідомлення закривається на вашому телефоні і відкривається на телефоні співрозмовника, а компанія везе такий сейф і не знає, що всередині. Якщо шифрування не наскрізне, а лише «до сервера», сейф відкривають посередині дороги, і за ухвалою суду вміст можуть показати.
Метадані. Навіть коли текст закритий, залишається видно конверт: хто кому писав, коли, як часто і з якої IP-адреси. Слідству цього нерідко достатньо.
Резервні копії. Найчастіша вразливість. Месенджер може шифрувати бездоганно і при цьому щоночі складати архів вашого листування в iCloud чи Google Drive, звідки його дістають, взагалі не торкаючись вашого телефона.
Чим користуватися не варто
Telegram. Найпоширеніша ілюзія. Звичайні чати наскрізного шифрування не мають узагалі. Telegram – це велика хмара: ваші повідомлення, голосові та фото роками лежать на серверах компанії у вигляді, який вона може прочитати. Саме тому на новому телефоні у вас за дві хвилини з’являються чати п’ятирічної давнини. Наскрізне шифрування є лише в «секретних чатах», які треба вмикати вручну під кожну окрему розмову і які працюють тільки в мобільному застосунку. Групи й канали не шифруються наскрізно ніколи, хоч би як ви їх налаштовували. А після затримання Павла Дурова у Франції компанія змінила політику і тепер видає номери телефонів та IP-адреси за запитами правоохоронців. Для листування про справу це найгірший вибір із можливих, і саме в ньому в Україні сидять майже всі.
WeChat. Іноді чую думку: краще китайський застосунок, бо яке китайцям діло до справи в Україні. Трафік іде на китайські сервери, де його спокійно читають, а вся база чатів лежить у кеші вашого смартфона. Звідти криміналістичний сканер на кшталт Cellebrite викачує її за лічені секунди. Більше того, намагаючись сховатися, ви добровільно віддаєте свої дані стратегічному партнеру росії.
До речі, декілька слів про комплекс Cellebrite та йому подібні (Oxygen Forensics, MSAB XRY та GrayKey).
Все це апаратно-програмні комплекси цифрової криміналістики, які використовується поліцією, спецслужбами та криміналістичними лабораторіями для обходу захисту, розблокування та вилучення повних копій пам’яті (дампів) із заблокованих смартфонів на платформах Android та iOS.
Такі комплекси здатні відновлювати видалені повідомлення, фотографії, історії занять у браузері, геолокації та дані з месенджерів. І будьте впевнені, подібні комплекси вже давно використовуються нашими правоохоронними органами
SMS, звичайні дзвінки та робоча пошта. Захисту немає взагалі. Дані зберігає мобільний оператор або ваш роботодавець і віддає їх за рішенням суду в звичайному порядку. Робоча пошта до того ж належить компанії, а не вам: доступ до неї має системний адміністратор, і ніхто не питатиме вашої згоди, щоб її відкрити.
Можна, але з умовами
WhatsApp. Сам текст він шифрує надійно, тут претензій немає, технологію свого часу взяли в тих самих розробників, що зробили Signal. Проблем дві. Перша: Meta масово збирає метадані і точно знає, кому ви пишете, як часто і звідки. Друга і головна: бекап на Google Drive чи iCloud. За замовчуванням архів лягає в хмару, і якщо окремо не ввімкнути шифрування резервних копій, листування дістають прямо звідти. Тобто WhatsApp прийнятний, але лише з вимкненим або зашифрованим бекапом. Корисні дрібниці: у ньому є зникаючі повідомлення і можливість закрити окремий чат додатковим паролем.
Viber. Дзвінки і листування шифруються, з цим порядок. Але хмарні копії створюють ту саму дірку, що й у WhatsApp, застосунок дуже щедрий на дані про пристрій і контакти, а історія чатів зберігається на самому телефоні у вигляді, який криміналістичні програми читають без проблем. Для побутового спілкування нормально, для чутливого – ні.
Messenger та Instagram Direct. Наскрізне шифрування в Messenger ввімкнули за замовчуванням лише наприкінці 2023 року, в Іnstagram пізніше. Усе, що ви писали до цього, цілком може лежати на серверах Meta у читабельному вигляді. До того ж, ці застосунки прив’язані до вашого профілю в соцмережі з усім, що ви там лайкали й публікували.
Чим користуватися варто
Signal. На сьогодні це вважається золотим стандартом, найкращим вибором серед поширених. Наскрізно шифрує не лише текст, а й дзвінки, фото та файли. Ключі оновлюються постійно, тому навіть один викрадений ключ не відкриває всю переписку. Компанія майже не зберігає даних про користувача: на офіційні запити вона фізично може віддати хіба що дату реєстрації та останнього підключення. Технологія Sealed Sender ховає навіть від власних серверів, хто саме кому пише. Код відкритий, тож будь-хто може перевірити, що застосунок робить те, що обіцяє. Обов’язково увімкніть у налаштуваннях зникаючі повідомлення і блокування реєстрації, щоб ваш номер не перереєстрували на чужому пристрої. Головний мінус побутовий: у ваших співрозмовників його часто просто немає.
Threema. Для тих, кому мало Signal. Дає випадковий ID взагалі без прив’язки до номера телефону, тобто ваш номер нікуди не потрапляє і вас не знайдуть у застосунку за телефонною книжкою. Сервери у Швейцарії, застосунок платний, і це радше плюс: компанія заробляє на вас, а не на ваших даних. Мінус той самий, що й у Signal, помножений на два: знайти співрозмовника, який ним користується, майже нереально.
Session. Працює без центрального сервера і пропускає повідомлення через чужі вузли, як браузер Tor. Реєстрація без номера і без пошти, замість акаунта довгий випадковий ідентифікатор. Його не можна вимкнути одним рішенням суду, бо немає компанії, якій це рішення вручити. Ціна такої свободи: повільніше, іноді губляться повідомлення і немає звичного зручного сервісу.
Wire. Варіант для компаній, адвокатів і державних установ, а не для побутового спілкування. Шифрує повідомлення, дзвінки, відеоконференції та файли, причому файли закриваються ще до відправки на сервер, а про вхід у ваш акаунт з нового пристрою застосунок попереджає співрозмовників. Працює з кількох пристроїв одночасно, що для робочих команд зручно. Але Wire захищає зміст, а не факт спілкування: хто з ким і коли контактував, сервер бачить. І материнська структура компанії зареєстрована у США, а не у Швейцарії, як багато хто вважає.
Важливо: згідно з інструкцією Міноборони та Генштабу, військовослужбовцям заборонені Viber, Telegram, MapsMe, 2GIS та GetContact, а з месенджерів дозволені лише Signal, WhatsApp і Threema, налаштовані за відповідними рекомендаціями. Session і Wire до переліку не входять, тож для службового спілкування не підходять, якою б сильною не була їхня криптографія.
Чого не зробить жоден месенджер
Загалом, окрім перелічених засобів, існує безліч інших: Briar, TOX, Element, CWTCH, SimpleX, XMPP Conversations. Всі вони мають як свої плюси так і мінуси і обрання того чи іншого месенджера залежить від ваших вподобань, зручності чи мети. При цьому, треба усвідомлювати, що в наш час досягти ста відсотків конфіденційності в розмові практично неможливо.
Як би там не було, найкраща криптографія у світі не рятує від трьох речей:
від вашого телефона на столі перед слідчим: під час обшуку техніку вилучають, і далі шифрування каналу може не бути таким надійним. Вже в 2025 році працівники поліції в Миколаєві використовували комплекс Cellebrite під час обшуків у межах кримінальної справи, пов’язаної з КП «Миколаївводоканал», а СБУ ще в 2018 році замовила цей комплекс для використання в роботі;
від вашого співрозмовника: він зберігає переписку роками, робить копії в хмару і може сам принести скріншоти, бо злякався виклику на допит.
від скріншота як такого, бо його робить людина, а не месенджер.
Тому порада проста і не технічна – вимкніть хмарні копії листування, перенесіть важливе спілкування в Signal чи в інший згаданий месенджер.
А якщо деталі вашої справи особливо чутливі, не обговорюйте її взагалі в жодному месенджері, краще попередньо проконсультуйтесь з адвокатом.