תיק שלם נבנה סביב שאלה אחת: מתי בוצע החיפוש.
חיפוש אחד בגוגל, כמה תווים בסך הכול, היה טמון עמוק בהיסטוריית הטלפון. אף אחד באולם בית המשפט לא חלק על כך שהחיפוש הזה קרה. שאלה אחת ליוותה את שני המשפטים, הפכה לאחד העימותים החריפים ביותר לקראת המשפט השני, והציתה פולמוס ציבורי סוער: מתי בדיוק.
קארן ריד עמדה לדין פעמיים על מותו של השוטר הבוסטוני ג’ון אוקיף. התביעה טענה שפגעה בו ברכבה. ההגנה טענה שהיא הופללה. אבל הוויכוח שקבע את אופי המשפט לא היה על רכב או על זירה, אלא על חותמת זמן.
במרכז עמדה שאלה טכנית לגמרי: מתי בדיוק בוצע אותו חיפוש גוגל שנמצא בטלפון, ומה בכלל אומרת חותמת הזמן שהכלי הפורנזי מציג לצדו. ההגנה בנתה עליה תיאוריה שלמה. התביעה יצאה נגד המומחה שהציג אותה. אחרי משפט שהסתיים בביטול ב-2024, ריד זוכתה ביוני 2025 מרצח, מהריגה ומהפקרה, והורשעה בנהיגה תחת השפעה.
למה חותמת זמן היא לא עובדה, אלא פרשנות
אנשים נוטים לחשוב שחותמת זמן היא מספר יבש, עובדה שאי אפשר להתווכח עליה. זה לא נכון. כל רשומה כזאת עוברת שרשרת שלמה של החלטות עוד לפני שהיא בכלל מגיעה לאולם בית המשפט:
- איזה שדה נבחר. לרשומה אחת יש לעיתים כמה שדות זמן: מועד יצירה, מועד גישה אחרון, מועד סנכרון. הם לא אותו דבר.
- באיזה אזור זמן. UTC מול זמן מקומי, עם שעון קיץ או בלעדיו. הפרש של שעה מזיז אירוע לפני או אחרי שיחת טלפון. (שעון הקיץ מצליח לבלבל בודקים פורנזיים פעמיים בשנה, בול בזמן.)
- מה עשה הכלי. תוכנות חילוץ מפרשות מבני נתונים של אפליקציות. שתי תוכנות יכולות להציג את אותה רשומה בצורה שונה. (כמו שני מסלולי וייז לאותו יעד, ושניהם בטוחים שהם צודקים.)
- האם הרשומה שוחזרה ממחיקה. רשומה משוחזרת עשויה לאבד חלק מהשדות, ומה שנשאר מטעה יותר משהוא מסביר.
- מה קרה במכשיר סביב אותו רגע. נעילה, פתיחת אפליקציה, סנכרון רקע, כולם משנים את המשמעות של “החיפוש בוצע ב-”.
אף אחת מהנקודות האלה אינה טענה משפטית. כל אחת מהן היא שאלה שאפשר לבדוק, ולכל אחת יש תשובה שאפשר להראות בפועל.
מה מבדיל חוות דעת מומחה שעומדת בחקירה נגדית
התיק הזה הפך לשיעור פומבי במה שקורה כשמומחה תולה מסקנה חזקה בארטיפקט בודד, ואז נאלץ להגן עליה תחת שבועה, מול חבר מושבעים. ההבדל בין חוות דעת שמחזיקה מעמד לבין כזאת שמתפרקת הוא לרוב זה:
- לתעד את השיטה, לא רק את התוצאה. איזה כלי, איזו גרסה, אילו הגדרות, על איזה עותק.
- לשחזר עצמאית. להראות שאותה מסקנה מתקבלת בכלי שני, או להסביר למה לא.
- לנסח את הגבולות. מה הראיה כן מוכיחה, ובמפורש מה היא לא.
- לבדוק את החלופות. אם יש פרשנות תמימה לאותו נתון, המומחה צריך להיות זה שמעלה אותה ראשון.
- לשמור על העותק המקורי. hash, שרשרת ראיות, ובדיקה על עותק בלבד.
מומחה שעושה את חמשת אלה נשאר עם אותה מסקנה גם אחרי החקירה הנגדית. מומחה שדילג על אחד מהם מגלה את זה על הדוכן, מול כולם. (לגלות שם זה כמו לגלות שהמערכת קורסת בדיוק בדמו הגדול.)
הלקח לבתי המשפט בישראל
בישראל אין תיק שמושך תשומת לב ציבורית כמו זה, אבל אותו מבנה ראייתי בדיוק חוזר על עצמו כל שבוע, בשקט: רשומת ווטסאפ, לוג כניסה למערכת, חותמת זמן על קובץ שהוגש כראיה. בכל אחד מהמקרים האלה, הצד שמציג את הראיה, בפועל, מציג את הפרשנות שלו לראיה, ומקווה שאף אחד לא ישאל את השאלה שהתיק של קארן ריד חשף לאור.
כאן נכנסת חוות דעת מומחה מחשבים: לא כדי לומר לבית המשפט מה קרה, אלא כדי להראות לו מה הנתון תומך בו ומה לא, ובאיזו רמת ודאות.
מה לעשות כשהתיק שלכם נשען על חותמת זמן
- לשמר את המכשיר, לא רק את הצילום מסך. צילום מסך מאבד את כל השדות שמתחת.
- לבקש את קובץ החילוץ המלא. דוח מסכם הוא פרשנות של מישהו; הקובץ הוא הראיה.
- לבדוק שני כלים. אם שניהם מסכימים, יש לכם עמידות. אם לא, גיליתם את זה בזמן.
- לתעד את אזור הזמן. של המכשיר, של המערכת ושל הדוח. שלושתם יכולים להיות שונים.
הפרשה הזאת נגמרה בזיכוי, ורוב הציבור זוכר ממנה בעיקר דרמה. מי שעובד עם ראיות דיגיטליות צריך לזכור ממנה משהו שקט יותר, ומועיל הרבה יותר: המרחק בין “המספר כתוב כאן” לבין “זה מה שהמספר אומר” הוא בדיוק המקום שבו תיקים נופלים.
המידע לעיל הוא כללי בלבד ואינו מהווה ייעוץ משפטי. העובדות הספציפיות של התיק המצוין נלקחו מהמקורות המפורטים.