一臺摔壞的MacBook，讓這個騙子現了原形

“他把自己包裝成坐擁百萬、頻繁飛往迪拜的商界精英?！睌底秩∽C專家馬克·莫里斯在談起這起案件時，語氣里帶著一絲嘲諷。但讓這位“精英”栽跟頭的，不是別的，正是一部屏幕碎了、鍵盤失靈的MacBook。

這是一場教科書級別的數字取證實戰。嫌疑人杰森·坎寧安搞的是“先租后轉租”的生意，說白了就是從房東手里租下房子，再分租出去做多戶住宅或短租公寓。模式本身合法，但他偏偏不走正道，搞起了偽造合同、欺瞞房東和投資人的勾當，涉案金額超過11.3萬英鎊。

莫里斯接手這活兒的時候，手里只有兩件東西：一部iPhone，以及那臺半死不活的MacBook。你可能會想，電腦都壞成這樣了還能挖出什么東西？但這次，我們得好好看看專業取證人員是怎么用技術手段把一個騙子的底褲扒干凈的。

第一步：讓“尸體”開口說話

筆記本屏幕掛了、鍵盤也罷工了，在普通人眼里這玩意兒已經可以拿去換不銹鋼盆了。但在莫里斯看來，只要能通電，這事兒就還有戲。他直接給MacBook接上了一個帶電源的擴展塢，外掛上獨立顯示器和鍵盤——一臺“尸體”級電腦就這么被強行續了命。

進入系統后的第一件事，不是到處翻文件夾。莫里斯用了兩個關鍵工具來構建一份完整的數據鏡像：先用Time Machine把整機備份到外接硬盤上，然后用Belkasoft X對這個備份進行解析；同時，再用AweClone軟件做了一個Mac到Mac的直接拷貝。為什么要搞兩遍？原因很現實——這臺機器本身就有物理損壞，誰也不知道它下一秒會不會徹底咽氣。雙通道采集，就是為了跟你賭一把數據恢復的上限。

拿到iPhone的數據同樣走的是本地iTunes備份路徑，整套流程也在Belkasoft X里完成解析。到這里，兩部設備的所有數字殘留都被完整地搬進了分析平臺。

第二步：交叉驗證，讓謊言撞上時間線

這里面最狠的一個操作，是同步審查。莫里斯沒有把手機和電腦分開看，因為坎寧安的溝通記錄本身就散落在這兩個終端上。Belkasoft X允許他把兩臺設備的數據加載到同一個案件里，然后做全庫關鍵詞搜索。

搜什么？WhatsApp、iMessage、還有傳統的短信和彩信。把這些聊天記錄全部拉出來過一遍，再用日期過濾功能，單獨篩出跟特定交易時間段匹配的通信內容。這一招的效果是立竿見影的——那些聲稱記錄了與房東、租戶達成協議的文檔，在證人的時間線敘述面前，出現了大量無法解釋的錯位和矛盾。

莫里斯事后是這么總結的：“從MacBook和iPhone里恢復出來的電子材料，我們會拿它跟銀行流水和證人證詞做比對。把所有東西拼在一起之后，你根本找不到任何證據能支持這是一個真實、合法運營的企業?！?/p>

第三步：財務流揭穿了“成功人設”

被告方的辯護思路其實不復雜：坎寧安本來就是個成功商人，他壓根沒動機去騙這點小錢。這個邏輯在法庭上其實挺常見的，屬于“我這么有錢干嘛要騙你”的經典話術。

但數字取證直接把這條防線給轟塌了。通過對資金流向的追蹤分析，莫里斯發現了一個黑色幽默般的事實：坎寧安那些炫富的標配——租來的蘭博基尼、五星級酒店、私人飛機行程——它們的資金來源根本不是什么正經生意利潤，而是從受害者那里騙來的錢。

用騙來的錢給自己打造成功人設，再用這個人設去騙更多的人。這就是一個典型的龐氏螺旋，而數字取證恰好從資金鏈上切中了它的死穴。

第四步：30個證人面前的鐵證

整個審判持續了九周，傳喚了超過30名證人。擺在陪審團面前的展品清單相當硬核：從兩臺設備里提取的文檔原貌、帶有時間戳的消息記錄截圖、清晰標注資金去向的財務流向圖，以及那些與銀行流水交叉比對后暴露出的偽造合同。

最終結果：兩項欺詐交易罪、五項使用虛假文書罪成立，坎寧安在去年十一月被送進了監獄。而且故事還沒完——從已識別的銀行賬戶里追回了超過10萬英鎊，而根據《犯罪收益追繳法》發起的進一步調查仍在進行中。

第五步：AI正在改變取證的游戲規則

在復盤這個案子的時候，莫里斯特別提到了一個新趨勢：AI在數字取證領域的沖擊力已經開始顯現。他專門點出了BelkaSoft新上線的一個叫BelkaGPT的AI功能。雖然關于這個功能的具體描述在原文中并沒有展開太多，但從莫里斯的語境來看，自動化的數據關聯、智能化的線索發現，很可能正在成為取證工程師們的下一個效率放大器。

兩年前你也許還能靠格式化硬盤或者砸掉手機來毀滅證據，但現在情況徹底變了。取證工具對碎片化數據的重組能力、對跨設備通信記錄的關聯分析能力，再加上AI開始介入到模式識別和異常檢測環節，留給犯罪嫌疑人的數字死角，正在以肉眼可見的速度消失。

一臺摔壞的MacBook和一個被同步分析的數據集，就把一個精心包裝了多年的騙局連根拔起。這件事本身就是一個很強的信號：如果你以為設備壞了就能保住秘密，那可能是你對現代取證技術有什么誤解。