Telefonunuz sizden habersiz fotoğraf çekiyor! Silinen dosyalara dikkat: Siber güvenlik uzmanından casus yazılımlar uyarısı

Akıllı telefonlarımız artık yalnızca iletişim kurduğumuz cihazlar değil; fotoğraflarımızdan özel yazışmalarımıza, biyometrik bilgilerimizden konum geçmişimize kadar en hassas verilerimizi taşıyan dijital kasalarımız. Peki bu kasalarda bizim göremediğimiz neler saklanıyor? Galeride görünmeyen fotoğraflar, silinmesine rağmen cihazda iz bırakan görüntüler ve kullanıcıdan habersiz kamera erişimi mümkün mü?

Android ve iPhone cihazlarda gerçekleştirildiği belirtilen yapay zekâ destekli incelemeler, akıllı telefonların veri güvenliğini yeniden tartışmaya açtı. Android bir telefonda 14 bin 219 yüz görüntüsü, iPhone'da ise silinmesine rağmen cihazda kaldığı öne sürülen 145 bin 763 fotoğraf ve video dosyası tespit edildiği iddiası dikkat çekti.

Peki bu dosyalar gerçekten gizlice çekilen görüntüler mi, yoksa telefonların olağan çalışma sisteminin bir parçası mı? Telefonlar kullanıcılarının haberi olmadan fotoğraf çekebilir mi? Silinen görüntüler tamamen yok oluyor mu? Galeride görünmeyen dosyalar hangi bilgileri barındırıyor?

Siber Güvenlik Uzmanı Onur Oktay, Tgrthaber.com Özel Haber Editörü Zeynep Gizem Er'e yaptığı değerlendirmede casus yazılımlardan kamera ve mikrofon izinlerine, silinen fotoğraflardan biyometrik veri güvenliğine kadar kritik uyarılarda bulundu.

TELEFONLAR NEDEN BİNLERCE YÜZ GÖRÜNTÜSÜ SAKLIYOR?

Yapay zekâ destekli iki ayrı incelemede Android telefonlarda binlerce yüz görüntüsü tespit edilmesi, akıllı telefonların dijital hafızasını gündeme getirdi. Bu görüntülerin nasıl oluştuğunu ve iPhone'lardaki benzer dosyaların ne anlama geldiğini değerlendiren Oktay, dikkat çeken teknik ayrıntıları paylaştı:

"Bu rakamlar tek başına gizli kayıt ya da yeni bir güvenlik açığı anlamına gelmiyor. Adli bilişim araçları ve yapay zeka tabanlı sınıflandırıcılar, cihazdaki içinde yüz bulunan her görüntüyü sayar. Kamera ile çekilen fotoğraflar, WhatsApp ve Telegram ile gelen medya, profil fotoğrafları, sosyal medya önbellekleri, reklam görselleri, çıkartmalar, ekran görüntüleri ve en önemlisi galerinin kendi ürettiği küçük resimler. Ayrıca Google Fotoğraflar, Samsung Galeri ve iOS Fotoğraflar uygulaması "Kişiler" özelliği için cihaz üzerinde yüz tespiti yapar ve her yüzü ayrı bir kırpılmış görsel olarak saklar. Aynı fotoğrafın orijinali, küçük resmi, önizlemesi ve yüz kırpıntısı ayrı ayrı sayıldığında birkaç bin fotoğraflık bir arşivden on binlerce "yüz görüntüsü" çıkması olağandır.

iPhone'daki 145 bin dosya için de benzer bir durum söz konusu. iOS'ta silinen öğeler 30 gün "Son Silinenler" albümünde tutulur; iCloud Fotoğraflar açıksa içerik buluttan geri senkronize olabilir; Photos.sqlite veritabanı, küçük resim dosyaları ve diğer uygulamalardaki kopyalar silinen fotoğrafın izini taşımaya devam eder. 2024 yılında iOS 17.5 ile yaşanan ve Apple'ın 17.5.1 güncellemesiyle düzelttiği veritabanı hatası, silinmiş bazı fotoğrafların galeride yeniden görünmesine yol açmıştı; yani silme sürecinin hatalı işlediği vakalar olmuştur, ancak bu gizli kayıt değil, silme mantığındaki bir yazılım hatasıdır."

TELEFONUNUZ SİZİ GİZLİCE İZLEYEBİLİR Mİ? CASUS YAZILIM TEHLİKESİ

Telefonun kullanıcıdan gizli görüntü kayıt altına almasının ileri seviye casus yazılımlarla mümkün olabileceğini belirten Onur Oktay, şu sözleri kullandı:

"Telefonun kullanıcıdan habersiz görüntü kaydetmesi ise ancak kullanıcının izin verdiği kötü niyetli bir uygulama, stalkerware ya da Pegasus ve Predator gibi istismar zinciri kullanan ileri seviye casus yazılımlarla mümkündür. Bu da rakamla değil, dosyaların kaynağı, oluşturan uygulama ve zaman damgaları incelenerek ispatlanır. Kamuoyuna sayı olarak yansıyan bulguların yorumlanabilmesi için hangi dosyanın nerede, hangi uygulama tarafından ve ne zaman oluşturulduğunu gösteren bir kaynak (provenance) analizinin ortaya konması gerekir."

TELEFON KAMERA YA DA MİKROFONUNUN DEVREYE GİREBİLMESİ İÇİN 3 KRİTİK SENARYO

Akıllı telefonların kamera ve mikrofonlarının kullanıcı farkında olmadan çalıştırılabileceği durumlara dikkat çeken Oktay, bu riskin ortaya çıkabileceği üç senaryoyu sıraladı ve kullanıcıların hangi işaretlere karşı dikkatli olması gerektiğini de açıkladı:

"Bir telefonun kamerası veya mikrofonu kullanıcı farkında olmadan teknik olarak devreye girebilir ancak koşulsuz değil. Normal şartlarda kamera ve mikrofonu yalnızca kullanıcının izin verdiği uygulamalar kullanabilir.

Kullanıcı farkında olmadan devreye girmesi üç senaryoda görülür:

Kullanıcının daha önce izin verdiği bir uygulamanın bu izni kötüye kullanması, eşin, partnerin ya da yakın çevreden birinin cihaza fiziksel erişimle kurduğu takip yazılımları (stalkerware) ve devlet destekli aktörlerin kullandığı, hiçbir tıklama gerektirmeyen (zero-click) istismar zincirleriyle bulaşan casus yazılımlar. Son kategori çok pahalıdır ve genellikle gazeteci, aktivist, üst düzey yönetici gibi hedefli kişilere karşı kullanılır.

Kullanıcı tarafında en güvenilir gösterge, işletim sisteminin kendi uyarılarıdır. iOS 14 ve Android 12'den itibaren kamera kullanıldığında yeşil, mikrofon kullanıldığında turuncu veya yeşil bir nokta ekranın üst köşesinde belirir; denetim merkezi ya da bildirim panelinden hangi uygulamanın kullandığı görülebilir.

iPhone'da Ayarlar > Gizlilik ve Güvenlik > Uygulama Gizlilik Raporu son 7 günde hangi uygulamanın kameraya, mikrofona ve fotoğraflara ne zaman eriştiğini gösterir.

Android'de Ayarlar > Güvenlik ve gizlilik > Gizlilik panosu aynı bilgiyi sunar. Beklenmedik pil tüketimi, cihazın boştayken ısınması ve açıklanamayan veri kullanımı da şüphe sebebidir, ancak bunlar zayıf göstergelerdir.

Çekirdek seviyesinde çalışan ileri casus yazılımlar bu göstergeleri atlatabileceği için risk altındaki kişilerin profesyonel inceleme yaptırması ve iPhone'da Kilitleme Modu'nu (Lockdown Mode) açması önerilir."

ANDROID VE IOS'TA GALERİ, KAMERA VE MİKROFON ERİŞİMLERİNE DENETİM

Android ve iOS işletim sistemlerinde kamera, mikrofon ve galeri erişimleri belirli güvenlik izinlerine tabi olsa da kötü amaçlı yazılımlar bu mekanizmaları aşmanın yollarını arıyor. Uygulamaların güvenlik açıklarından nasıl yararlanabildiğini anlatan Onur Oktay, özellikle iki yönteme dikkat çekti:

"Her iki platformda da izin mekanizması son beş yılda ciddi biçimde sıkılaştı. iOS'ta her uygulama izole bir alanda (sandbox) çalışır, kamera, mikrofon ve fotoğraf erişimi ayrı ayrı onay gerektirir ve kamera arka planda kullanılamaz. iOS 14 ile "Sınırlı fotoğraf erişimi" geldi, yani uygulamaya tüm galeri yerine yalnızca seçilen fotoğraflar verilebiliyor. Android'de 6.0 ile çalışma zamanı izinleri, Android 9 ile arka planda kamera ve mikrofon erişimi kısıtlaması, Android 11 ile tek seferlik izin ve kullanılmayan uygulamaların izinlerinin otomatik sıfırlanması, Android 13 ve 14 ile de fotoğraf ve video için ayrıştırılmış ve kısmi erişim izinleri geldi.

Kötü amaçlı yazılımlar bu mekanizmaları iki yolla aşar. Birincisi ve en yaygını teknik değil, sosyal mühendisliktir: kullanıcı "kargo takip", "fatura görüntüleme" ya da sahte bir banka uygulaması kılığındaki yazılıma izinleri kendisi verir. Android'de özellikle Erişilebilirlik (Accessibility) izni ve resmi mağaza dışından APK yükleme bu saldırıların ana kapısıdır; Erişilebilirlik izni verilen bir uygulama ekranı okuyabilir ve kullanıcı adına tıklayabilir. İkincisi ise işletim sistemindeki yamalanmamış açıklardan yararlanarak izin sistemini tamamen devre dışı bırakan istismar zincirleridir. Güncel ve yamalı bir cihazda bunu yapmak milyon dolarlık maliyete sahip sıfırıncı gün açıkları gerektirir. Ortalama bir vatandaş için asıl risk, kendi verdiği izinler ve güncellenmemiş cihazlardır."

BU ANALİZLER KRİTİK: "YAPAY ZEKA ARACININ YÜZ TESPİT ÇIKTISI GİZLİ KAYIT YAPILDIĞININ KANITI OLARAK KABUL EDİLEMEZ"

Telefonlarda tespit edilen binlerce yüz görüntüsünün gizlice çekilmiş fotoğraflar olup olmadığını anlamak için yalnızca dosya sayısına bakmak yeterli değil. Görüntülerin kaynağının, oluşturulma zamanının ve dosya bilgilerinin incelenmesi gerekiyor.

Oktay, gerçek bir gizli kayıt şüphesinin nasıl ortaya çıkarılabileceğini adli bilişim yöntemleriyle anlattı:

"Tespit edilen yüz görüntülerinin büyük çoğunluğu önbellek, küçük resim veya uygulama verisi olabilir ve bunu ayırt etmenin yolu adli bilişim metodolojisidir.

Bakılması gereken ilk şey dosyanın konumudur: DCIM/Camera klasöründeki bir dosya ile bir uygulamanın önbellek klasöründeki ya da galerinin yüz tanıma veritabanının yanındaki küçük kare kırpıntılar çok farklı anlamlar taşır.

İkinci olarak EXIF meta verisi incelenir: kamera ile çekilen bir fotoğrafta cihaz marka-modeli, lens, odak uzaklığı, ISO, pozlama süresi ve çoğu zaman konum bilgisi bulunur; önbellek, küçük resim ve mesajlaşma uygulamalarından gelen görsellerde bu veriler ya hiç yoktur ya da silinmiştir. Çözünürlüğün cihaz kamerasının sensör çözünürlüğüyle uyumlu olup olmadığı da önemli bir göstergedir.

Üçüncü adım, işletim sisteminin medya kayıtlarıdır. Android 10 ve sonrasında MediaStore veritabanı her dosyayı hangi uygulamanın oluşturduğunu (owner_package_name) tutar. iOS'ta Photos.sqlite veritabanı bir öğenin kamera ile mi çekildiğini, hangi uygulama tarafından içe aktarıldığını ve buluttan mı geldiğini kaydeder.

Son olarak bu bulgular kamera kullanım kayıtları, uygulama kullanım geçmişi (Android usagestats, iOS KnowledgeC ve Biome) ve dosya sistemi zaman damgalarıyla çapraz doğrulanır. Ayrıca özet (hash) karşılaştırmasıyla aynı görüntünün farklı konumlardaki kopyaları tekilleştirilmelidir. Bu analizler yapılmadan, yapay zekâ aracının "yüz tespit ettim" çıktısı gizli kayıt yapıldığının kanıtı olarak kabul edilemez."

SİLİNEN FOTOĞRAF VE VİDEOLAR TAMAMEN SİLİNMİYOR

Galeriden silinen fotoğraf ve videoların dijital izleri cihazlarda veya farklı depolama alanlarında kalmaya devam edebiliyor. Onur Oktay, silinen görüntülerin hangi alanlarda iz bırakabildiğini şöyle açıkladı:

"Kullanıcının "sil" tuşuna basması çoğu zaman sürecin başlangıcıdır. iPhone'da ve Samsung Galeri'de silinen öğeler 30 gün "Son Silinenler" ya da "Geri Dönüşüm Kutusu" klasöründe tutulur; Google Fotoğraflar'da yedeklenmiş öğeler 60 gün çöp kutusunda kalır.

Bunun dışında dijital iz şu alanlarda kalmaya devam edebilir: iCloud, Google Fotoğraflar, OneDrive ve Samsung Cloud gibi bulut yedekleri; bilgisayara alınmış iTunes/Finder yedekleri; WhatsApp ve Telegram gibi uygulamaların kendi medya klasörleri; galeri uygulamasının küçük resim önbellekleri ve yüz tanıma veritabanı; SQLite veritabanlarının günlük (WAL) dosyaları ve boş sayfaları; paylaşılan albümler ve tabii ki fotoğrafın gönderildiği kişilerin cihazları.

Burada önemli bir teknik ayrım var. Modern telefonlar dosya tabanlı şifreleme kullanır ve silinen her dosyanın şifreleme anahtarı da yok edilir; flash bellek TRIM komutuyla boşalan alanı kısa sürede temizler. Bu nedenle eski bilgisayar disklerinde olduğu gibi ayrılmamış alandan dosya kazıma (carving) yöntemiyle kurtarma güncel telefonlarda neredeyse imkânsızdır. Günümüzde silinmiş fotoğrafa ulaşılıyorsa bu büyük ihtimalle fotoğrafın kendisinin değil, yukarıda saydığım kopyaların, küçük resimlerin ve veritabanı kayıtlarının bulunmasıyla olur."

FABRİKA AYARLARINA DÖNDÜRMEK KİŞİSEL VERİLERİ ORTADAN KALDIRIR MI?

Telefonu satmadan veya başka bir cihaza geçmeden önce yapılan fabrika ayarlarına döndürme işlemi, kişisel verilerin güvenliği açısından kritik önem taşıyor. Ancak telefonu sıfırlamak, dijital dünyadaki bütün kopyaları ortadan kaldırmaya yetmiyor.

Oktay, cihazdaki verilerin nasıl silindiğini ve sıfırlama sonrasında hangi risklerin devam ettiğini anlattı:

"iPhone ve Android 7 sonrası cihazlar şifrelidir; fabrika ayarlarına dönüş işlemi cihazdaki şifreleme anahtarlarını yok eder ve bellekte kalan veri okunamaz hâle gelir. Bu, kriptografik silme olarak adlandırılır ve doğru yapıldığında cihaz üzerindeki veriye sonradan ulaşmak pratikte mümkün değildir. Şifreleme özelliği olmayan veya devre dışı bırakılmış eski Android cihazlarda ise sıfırlama sonrası veri kurtarma hâlâ mümkün olabilir.

Asıl risk cihazın dışındadır. Fabrika ayarlarına dönüş bulut hesabınızı, yedeklerinizi, mesajlaşma uygulamalarının sunucu tarafındaki yedeklerini ve fotoğrafı gönderdiğiniz kişilerdeki kopyaları silmez. Ayrıca çoğu zaman şifrelenmeyen SD kart sıfırlamadan etkilenmez. Telefonu satarken ya da değiştirirken önce Apple ID veya Google hesabından çıkış yapılmalı, "Bul" özelliği kapatılmalı, SD kart çıkarılmalı, ardından sıfırlama yapılmalıdır. Silindiği düşünülen fotoğraflara sonradan ulaşılıyorsa bu çoğunlukla buluttan, eski bir yedekten ya da başka bir cihazdan gelir."

"TEK BİR FOTOĞRAFLA KİŞİNİN SOSYAL MEDYA HESAPLARI, İŞ YERİ VE ÇEVRESİ BULUNABİLİYOR"

Yüz görüntülerinin yapay zekâ tarafından analiz edilmesi, kişisel verilerin güvenliği açısından yeni riskleri beraberinde getiriyor. Tek bir fotoğraf üzerinden kimlik tespiti yapılabilmesi, kişilerin sosyal çevrelerinin belirlenebilmesi ve görüntülerinin kötüye kullanılabilmesi mümkün.

Onur Oktay, biyometrik verilerin kötü niyetli kullanımının yol açabileceği tehlikeleri sıraladı:

"Yüz görüntüsü değiştirilemeyen bir kimlik bilgisidir; parolanızı değiştirebilirsiniz ama yüzünüzü değiştiremezsiniz. Yapay zekâ bir yüzden matematiksel bir "yüz izi" (embedding) çıkardığında bu iz, kişiyi internetteki diğer fotoğraflarla eşleştirmek için kullanılabilir.

Clearview AI ve PimEyes gibi servisler bunun ne kadar kolaylaştığını gösterdi: Tek bir fotoğrafla kişinin sosyal medya hesapları, iş yeri ve çevresi bulunabiliyor. Bu da takip, ısrarlı izleme, profilleme ve kişiye özel sosyal mühendislik saldırılarının önünü açar.

İkinci büyük risk derin sahte (deepfake) içerik ve kimlik dolandırıcılığıdır. Yeterli sayıda yüz görüntüsü, kişinin sahte video ve seslerinin üretilmesine, uzaktan müşteri edinimi yapan banka ve fintech uygulamalarındaki canlılık testlerinin aşılmaya çalışılmasına zemin hazırlar. KVKK'nın 6. maddesi biyometrik veriyi özel nitelikli kişisel veri olarak tanımlar ve açık rıza ya da kanunda sayılan sınırlı şartlar dışında işlenmesini yasaklar. Adli süreç açısından da bir uyarı yapmak gerekir: yapay zekâ ile yüz eşleştirme yanlış pozitif sonuç üretebilir ve demografik yanlılık gösterebilir. Bu araçların çıktısı uzman tarafından doğrulanmadan, delil zinciri korunmadan tek başına kanıt olarak kullanılmamalıdır."

TELEFONDA BU GÜVENLİK AYARLARINI MUTLAKA KONTROL EDİN

Telefonlarda kişisel verilerin korunması için uygulama izinlerinin düzenli olarak kontrol edilmesi büyük önem taşıyor. Oktay, kullanıcıların telefonlarında mutlaka kontrol etmesi gereken güvenlik adımlarını sıraladı:

Vatandaşlar telefonlarında kendilerinden habersiz veri toplanıp toplanmadığını nasıl kontrol edebilir? Hangi güvenlik ayarlarını mutlaka gözden geçirmeliler?

"iPhone kullanıcıları için kontrol listesi: Ayarlar > Gizlilik ve Güvenlik altında Kamera, Mikrofon ve Fotoğraflar başlıklarında her uygulamanın iznini gözden geçirin, fotoğraflar için mümkün olduğunca "Sınırlı Erişim" seçin. Uygulama Gizlilik Raporu'nu açın ve düzenli kontrol edin. Güvenlik Denetimi (Safety Check) özelliğiyle kimlerle konum ve veri paylaştığınızı görün. Ayarlar > Genel > VPN ve Aygıt Yönetimi altında tanımadığınız bir profil olmamalı. Apple ID'nize bağlı cihaz listesini kontrol edin.

Android kullanıcıları için: Gizlilik panosu ve İzin yöneticisinden kamera, mikrofon, konum ve fotoğraf izinlerini inceleyin. Özellikle Ayarlar > Uygulamalar > Özel uygulama erişimi altındaki Erişilebilirlik, Cihaz yöneticisi uygulamaları, Diğer uygulamaların üzerinde gösterme ve Bildirim erişimi listelerine bakın; burada tanımadığınız bir uygulama varsa ciddi bir uyarı işaretidir. Bilinmeyen kaynaklardan uygulama yükleme iznini kapalı tutun, Google Play Protect'i açık tutun.

Her iki platform için ortak kurallar: İşletim sistemini ve uygulamaları güncel tutun, kullanmadığınız uygulamaları silin, güçlü ekran kilidi ve hesaplarınızda iki faktörlü doğrulama kullanın, telefonunuzu kilidi açık şekilde başkasına bırakmayın; takip yazılımlarının büyük kısmı fiziksel erişimle kurulur. Ciddi bir şüphe varsa ve hukuki süreç düşünülüyorsa cihazı sıfırlamayın, çünkü delil de silinir. Bunun yerine Amnesty International'ın açık kaynaklı Mobile Verification Toolkit (MVT) aracıyla ya da uzman bir adli bilişim ekibiyle inceleme yaptırın."

TELEFONDA GÖRÜNMEYEN DOSYALARIN GİZEMİ

Bir başka incelemede Android telefonun galerisinde görünmeyen 412 fotoğraf dosyasına ulaşılması, gizli klasörleri yeniden gündeme getirdi. Ancak galeride görünmeyen her dosya şüpheli bir faaliyete işaret etmiyor.

Bu dosyaların neden oluştuğunu ve hangi durumlarda güvenlik riski taşıyabileceğini değerlendiren Onur Oktay, önemli uyarılarda bulundu:

".nomedia, Android'in medya tarayıcısına "bu klasörü dizine ekleme" talimatı veren boş bir işaret dosyasıdır. Bu dosyanın bulunduğu klasördeki görseller galeride görünmez. Nokta ile başlayan .cache gibi klasörler de Unix geleneği gereği gizli kabul edilir. Uygulamalar bu yöntemi bilinçli olarak kullanır, çünkü kullanıcının galerisini küçük resimler, reklam görselleri, profil fotoğrafları, çıkartmalar ve geçici dosyalarla doldurmak istemezler.

En bilinen örnek WhatsApp'tır: İzlediğiniz durum paylaşımları gizli .Statuses klasöründe tutulur ve galeride görünmez. Tarayıcılar, sosyal medya uygulamaları ve haritalar da benzer önbellekler oluşturur.

412 dosya, aktif kullanılan bir telefonda oldukça küçük ve olağan bir sayıdır; bu durum tek başına şüpheli bir faaliyete işaret etmez. Şüpheli hâle gelmesi için o gizli klasördeki dosyaların cihazın kendi kamerasıyla çekildiğini gösteren EXIF verisi taşıması, kullanıcının tanımadığı bir uygulama tarafından oluşturulmuş olması ve kullanıcının fotoğraf çekmediği anlarla eşleşen zaman damgalarına sahip olması gerekir. Bir de kullanıcının kendi tercihiyle kullandığı "gizli kasa" (vault) uygulamaları vardır; bunlar da dosyaları bu şekilde gizler ve kötü niyet değil, kullanıcı tercihidir."

FOTOĞRAF ÇEKMEDİĞİNİZ HALDE TELEFONDA YENİ GÖRÜNTÜ DOSYALARI OLABİLİR

Kullanıcıların fotoğraf çekmediği halde telefonlarında yeni görüntü dosyalarıyla karşılaşması sanıldığı kadar sıra dışı değil.

Mesajlaşma uygulamalarından otomatik indirmelere, bulut senkronizasyonundan galeri önbelleklerine kadar pek çok işlem yeni dosyalar oluşturabiliyor. Peki bu görüntülerin hangi uygulama tarafından ve ne zaman kaydedildiği nasıl anlaşılır? Oktay, dijital izlerin nasıl takip edilebileceğini anlattı:

"Kullanıcı fotoğraf çekmediği hâlde yeni görüntü dosyası oluşması son derece yaygındır ve büyük çoğunluğu meşru süreçlerdir: ekran görüntüleri, WhatsApp ve Telegram'ın otomatik medya indirmesi, izlenen durum ve hikâye paylaşımları, tarayıcı indirmeleri, iCloud veya Google Fotoğraflar ile başka bir cihazdan (iPad, Mac, eski telefon) senkronize olan fotoğraflar, paylaşılan albümler, galeri uygulamalarının otomatik ürettiği kolajlar, anılar ve animasyonlar, Live Photo ve hareketli fotoğraf bileşenleri, banka uygulamalarının kimlik doğrulama sırasında aldığı selfie'ler ve cepte yanlışlıkla çekilen kareler.

Dosyayı hangi uygulamanın ve ne zaman oluşturduğunu tespit etmek çoğu durumda mümkündür. Android'de MediaStore veritabanı dosyayı oluşturan uygulama paketini, klasör yolunu, eklenme ve çekilme tarihini kaydeder. iOS'ta Photos.sqlite veritabanı öğenin eklenme tarihi, oluşturulma tarihi ve hangi uygulama tarafından içe aktarıldığı bilgisini tutar. Bunlara EXIF içindeki çekim tarihi (DateTimeOriginal), dosya sistemi zaman damgaları ve o anda hangi uygulamanın ön planda olduğunu gösteren kullanım kayıtları eklenerek bir zaman çizelgesi oluşturulur.

Burada iki uyarı önemli. Zaman damgaları değiştirilebilir, saat dilimi farkları yanıltabilir ve dosya kopyalandığında bazı tarihler sıfırlanır; bu nedenle tek bir kayda değil, birbirini doğrulayan birden fazla bulguya dayanmak gerekir. İkincisi, bu analiz ancak cihazın tam dosya sistemi imajı alınarak, delil bütünlüğü korunarak ve kullanılan araçların sonuçları uzman tarafından doğrulanarak güvenilir hâle gelir. Yapay zekâ destekli araçlar incelemeyi hızlandırır ama yorumun yerini tutmaz."