# สืบสวนในทุกการสนทนา

Canonical page: https://phishdestroy.github.io/TgWitness/th/docs/cases/

จัดการคดีทั้งคดีผ่านช่องทางต่าง ๆ กลุ่ม แชทส่วนตัว และบอท: รวบรวม เชื่อมโยง สร้างภาพเหตุการณ์ใหม่ และส่งมอบหลักฐาน

คู่มือนี้ติดตามเหตุการณ์สมมติหนึ่งตั้งแต่ต้นจนจบ โดยใช้คุณสมบัติการเก็บรวบรวมข้อมูล การค้นหา การสร้างโปรไฟล์บุคคล และการส่งออกข้อมูลจริง แผนผังคดีเป็นตัวอย่างในเอกสารนี้; ข้อสรุปและทะเบียนคดีของคุณจะถูกเก็บไว้ภายนอกแอปพลิเคชัน

กรณีที่ได้รับการตรวจสอบ / จุดหมายปลายทางการชำระเงินที่เปลี่ยนแปลง

### เหตุการณ์หนึ่ง สี่บทสนทนา ร่องรอยที่ต้องสร้างขึ้นใหม่

ประกาศในช่องชี้ไปยังบอท กลุ่มปฏิบัติการหารือเกี่ยวกับลิงก์การชำระเงินใหม่ การติดตามผลแบบส่วนตัวได้ซ้ำข้อความนั้น ต่อมา ประกาศถูกแก้ไข และข้อความกลุ่มหายไป

ใครเป็นผู้โพสต์แต่ละเวอร์ชัน?ลิงก์นี้ปรากฏขึ้นที่ไหน?ไฟล์ใดที่ได้รับการเก็บรักษา?มีอะไรเปลี่ยนแปลง และเมื่อไหร่?

สำหรับการโหลดข้อมูลประวัติ การตรวจสอบแหล่งข้อมูลด้วย AI (ตามตัวเลือก) MCP OCR และ webhooks ที่ส่งออกไป โปรดดูที่ [Work the archive](https://phishdestroy.github.io/TgWitness/th/docs/archive/).

## 1. กำหนดขอบเขตการบันทึกให้ครอบคลุมทั้งบัญชี

1. [เชื่อมต่อบัญชีที่เก็บข้อมูล](https://phishdestroy.github.io/TgWitness/th/docs/accounts/)ในพื้นที่ทำงานของตัวเอง บันทึกหมายเลขอ้างอิงคดี ID บัญชี ชื่อพื้นที่ทำงาน และลายนิ้วมือของกุญแจลงนามไว้ในบันทึกคดีของคุณ
2. **แหล่งข้อมูล**เปิด **→ ขอบเขตการสังเกต → โหมดการสืบสวน** ตรวจสอบ**บัญชีทั้งหมด** ทั้งสี่ประเภทแหล่งข้อมูล และ**กิจกรรมของตนเอง** การตั้งค่าล่วงหน้านี้ช่วยให้สามารถบันทึกโปรไฟล์ของแหล่งข้อมูลใหม่และ**ข้อความ 200**ข้อความล่าสุด**ที่มองเห็นได้** กด **“บันทึกขอบเขต”** และยืนยันขอบเขตให้เสร็จสิ้น
3. กด **“Load chats**” (โหลดการสนทนา) เปรียบเทียบแหล่งข้อมูลกับรายชื่อการสนทนาของบัญชี และตรวจสอบรายการที่ถูกยกเว้น ในส่วน **“Parameters → Chats read from the account’s list**” (พารามิเตอร์ → การสนทนาที่อ่านจากรายชื่อของบัญชี) ปรับขีดจำกัดรายชื่อเริ่มต้นหากจำเป็น: ค่าเริ่มต้นคือ 1,000 การสนทนา และสามารถปรับได้สูงสุดถึง 20,000 การสนทนาที่เกินขีดจำกัดจะถูกค้นพบเมื่อมีการใช้งาน
4. **ในส่วนการตั้งค่าการบันทึก** ให้เลือกและบันทึก **“ทุกกิจกรรมที่มองเห็นได้**” ตรวจสอบประเภทไฟล์แนบ ขีดจำกัดขนาด และพื้นที่ว่างบนดิสก์ เริ่มการสังเกตและตรวจสอบความถูกต้องของข้อความที่ควบคุม การแก้ไข และการลบ ก่อนที่จะใช้การตั้งค่านี้

ช่องกลุ่มการสนทนาส่วนตัวบอท

หนึ่งบัญชี / หนึ่งกุญแจลงนาม**ทุกกิจกรรมที่บัญชีสามารถมองเห็นได้ → รวมเป็นบันทึกเดียว**

ข้อความ · การแก้ไข · แจ้งการลบ · ปฏิกิริยาที่มองเห็นได้ · เหตุการณ์สมาชิก · การกระทำของตนเอง

“บัญชีทั้งหมด” ครอบคลุมการสนทนาที่บัญชีนี้สามารถเข้าถึงได้ ตามประเภทแหล่งข้อมูลและข้อยกเว้นที่ตั้งค่าไว้ การสนทนาแบบลับไม่สามารถเข้าถึงได้ การสนทนาใหม่จะถูกเพิ่มเข้ามาเมื่อมีการอัปเดต; การเปิดใช้งานโหมดนี้จะไม่ดาวน์โหลดประวัติเก่าทั้งหมดของการสนทนาที่มีอยู่ทุกครั้งโดยอัตโนมัติ

## 2. รวบรวมประวัติและเก็บรักษาไฟล์

สร้างทะเบียนแหล่งข้อมูลสำหรับทั้งการสืบสวน ให้ทุกการสนทนาเป็นแถวหนึ่ง พร้อมด้วย ID เลขที่ ชื่อบัญชี บัญชีผู้ใช้ สิทธิ์การเข้าถึง/บทบาท เวลาเริ่มบันทึกแบบเรียลไทม์ เวลาเก็บรวบรวมประวัติ ผลลัพธ์สื่อ และช่องว่างที่ทราบไว้ ให้ทำเครื่องหมายแหล่งข้อมูลว่า "ได้รับการเก็บรวบรวมแล้ว" ก็ต่อเมื่อตรวจสอบผลลัพธ์ที่เกี่ยวข้องแล้วเท่านั้น

| ต้องการ | การดำเนินการในแผงควบคุม | สิ่งที่ให้บริการ |
| --- | --- | --- |
| ประวัติการสนทนาในทุกห้องสนทนาที่เปิดใช้งาน | แหล่งข้อมูล → โหลดประวัติทั้งหมด | หน้าหลักปัจจุบัน: ข้อความในอดีตที่มีอยู่จะถูกบันทึกลงในบันทึกพื้นที่ทำงาน พร้อมด้วยฟังก์ชันหยุด/ต่อ และรายงานความคืบหน้าที่ลงนามแล้ว [คู่มือประวัติ](https://phishdestroy.github.io/TgWitness/th/docs/reference/history/) |
| บริบทการสนทนาที่มีอยู่ภายในบันทึก | แหล่งข้อมูล → การตั้งค่าการบันทึก → ภาพถ่ายประวัติ | ข้อความล่าสุดที่แสดงอยู่จะปรากฏเป็นข้อมูลสังเกตการณ์ที่ลงนามแล้ว ค่าเริ่มต้นสูงสุดคือ 500; สามารถเพิ่มค่านี้ขึ้นถึง 10,000 ได้ผ่าน**เมนู Parameters → Largest history snapshot**. |
| ประวัติการสนทนาทั้งหมดที่มองเห็นได้ในขณะนี้ของแชทหนึ่ง | ส่งออกบทสนทนาทั้งหมด → ส่งออกบทสนทนาทั้งหมด หรือ บทสนทนา → ส่งออกบทสนทนา | แพ็กเกจที่ลงนามแยกต่างหากด้วย`chat.json` และ`chat.html` ทำซ้ำตามแต่ละแหล่งข้อมูล; เก็บผลการสำเร็จ/ล้มเหลวไว้ |
| บริบทเมื่อมีบทสนทนาใหม่ปรากฏขึ้น | ขอบเขตการสังเกต → เมื่อมีการสนทนาหรือบอทใหม่ปรากฏขึ้น | โปรไฟล์แหล่งข้อมูลและข้อความที่มองเห็นได้ล่าสุดสูงสุด 1,000 ข้อความ; โหมดการสืบสวนจะเลือก 200 ข้อความเท่านั้น การสนทนาที่มีอยู่จะไม่ได้รับการบันทึกย้อนหลัง |
| ขนาดไฟล์แนบ | ดาวน์โหลดไฟล์แนบที่แสดงได้ + ข้อจำกัดตามประเภทไฟล์ | ตรวจสอบ`media.saved`, SHA-256 และจำนวนไบต์ของมัน การดาวน์โหลดที่อยู่ในคิว ถูกข้ามไป หรือล้มเหลว ไม่ถือเป็นไฟล์ที่ได้รับการเก็บรักษา |

การส่งออกบทสนทนาแบบเต็มเป็นภาพถ่ายแยกต่างหาก; มันไม่นำประวัติทั้งหมดมาใส่ในบันทึกหรือโปรไฟล์ผู้ใช้ ใช้ตัวเลือก **“โหลดประวัติเต็ม**จากแหล่งข้อมูลที่เปิดใช้งาน” หรือ “ภาพถ่ายบันทึกแบบจำกัด” สำหรับข้อมูลประวัติที่คุณต้องการค้นหาภายใน TgWitness ตรวจสอบรายชื่อแหล่งข้อมูลก่อนเริ่มการดำเนินการ

ในตัวอย่างกรณีที่ดำเนินการแล้ว ให้เก็บรวบรวมช่องประกาศ กลุ่มปฏิบัติการ การสนทนาผ่านบอท และข้อความติดตามส่วนตัว เก็บรักษาไบต์และแฮชของไฟล์แนบในใบแจ้งหนี้ ประวัติที่มีอยู่ในปัจจุบันไม่สามารถสร้างข้อความที่ถูกลบก่อนการบันทึกใหม่ได้ หรือข้อความที่ผ่านการแก้ไขระหว่างทางซึ่ง Telegram ไม่ส่งคืนข้อมูลอีกต่อไป

## 3. ติดตามการสนทนาที่พัฒนาไปอย่างต่อเนื่องและพฤติกรรมของคุณเอง

ให้ดำเนินการติดตามต่อไปตามความคืบหน้าของคดี หมายเหตุแชทคดีที่กำลังดำเนินการเป็นแหล่งข้อมูลลำดับความสำคัญ; ตั้งค่าลำดับความสำคัญและการตรวจสอบซ้ำจากแหล่งข้อมูลอื่น ๆ ใน**ส่วนการตั้งค่าการบันทึก → ตรวจสอบซ้ำ** ตรวจสอบ`recheck.completed` การติดตามผลต่อเนื่อง FloodWait และผลลัพธ์สื่อตามความคืบหน้าของงาน

ใช้ **Chats → Profile → Save profile now** เพื่อเก็บรักษาคำอธิบายแหล่งข้อมูลปัจจุบัน คำสั่งบอต และข้อมูลเมตาดาต้าอื่น ๆ ที่ Telegram ส่งกลับมา โปรไฟล์แหล่งข้อมูลนี้แยกต่างหากจากโปรไฟล์บุคคลที่สร้างขึ้นจากข้อความในบันทึก

**การติดตามบอทหรือคำเชิญเป็นส่วนหนึ่งของคดี**

1. ใน **Chats → Open Telegram link**, ให้บันทึกตัวอย่างก่อน ลิงก์ต้นฉบับและตัวอย่างที่แสดงขึ้นจะกลายเป็นบันทึกที่ลงนามแล้ว
2. หากการสอบสวนต้องการ **Join / open จะ**เข้าร่วมหรือเปิดแหล่งข้อมูล และเริ่มทำงานของบอทด้วยพารามิเตอร์เริ่มต้นที่ระบุไว้ คำขอเข้าร่วมที่ยังอยู่ระหว่างการรอจะยังคงอยู่ในสถานะรอในบันทึก
3. สำหรับกิจกรรมที่คุณต้องการบันทึก ให้ใช้ช่องตอบกลับข้อความในแผงควบคุม หรือ**ปุ่ม Press** ที่ได้รับการสนับสนุน บันทึกจะเก็บข้อมูล `interaction.requested` และ `interaction.result` รวมถึงข้อความ callback หรือ URL ที่ได้รับกลับมา

การควบคุมเหล่านี้ดำเนินการตามการกระทำจริงใน Telegram การกดปุ่ม callback ในแอป Telegram อื่นจะไม่ปรากฏต่อผู้เก็บข้อมูล แต่ข้อความหรือการแก้ไขที่ตามมาของบอทอาจปรากฏได้ แอปเว็บ การชำระเงิน และคำขอข้อมูลโทรศัพท์/ตำแหน่งอยู่นอกขอบเขตของ mini-client

## 4. ติดตามบุคคล ลิงก์ และไฟล์ในทุกการสนทนา

1. เปิด**สมุดบันทึก** (Open **Journal**), ปล่อยตัวกรองแหล่งข้อมูล (source filter) ไว้ที่ "**All sources**" (ทุก**แหล่งข้อมูล)** และค้นหาวลีที่โดดเด่น, โดเมน, ชื่อผู้ใช้ หรือตัวระบุที่บันทึกไว้ เปิดแต่ละบันทึกที่ตรงกัน และบันทึกการสนทนา, ID ข้อความ และหมายเลขลำดับในสมุดบันทึก
2. เพื่อดูการสนทนาที่เกี่ยวข้อง ให้เปิด **Chats → People → เปิดโปรไฟล์** แล้วเลือกบุคคลหนึ่ง ตรวจสอบประวัติชื่อ/ชื่อผู้ใช้ ความสัมพันธ์ในการตอบกลับ กิจกรรม รวมถึง **“Also in…”** ซึ่งแสดงการสนทนาอื่น ๆ ที่ถูกติดตามและลิงก์ที่สกัดได้ รวมถึงกระเป๋าเงินดิจิทัลหรือหมายเลขโทรศัพท์ เปิดบันทึกในสมุดบันทึกที่อ้างอิง
3. ติดตาม ID ผู้ใช้ Telegram ที่เป็นตัวเลขเดียวกันไปยังการสนทนาอื่น ๆ ในพื้นที่ทำงานนี้ ให้ถือว่าชื่อที่ตรงกัน การกล่าวถึงกระเป๋าเงิน หรือรูปโปรไฟล์ที่คล้ายกัน เป็นเบาะแสที่ควรตรวจสอบ ที่อยู่ที่ถูกกล่าวถึงไม่ได้ยืนยันความเป็นเจ้าของ และรูปโปรไฟล์ที่คล้ายกันไม่ได้ยืนยันว่าเป็นบุคคลเดียวกัน
4. เปรียบเทียบค่า SHA-256 ของไฟล์แนบที่เก็บรักษาไว้ระหว่างบันทึกต่าง ๆ ค่าแฮชที่เท่ากันยืนยันความตรงกันของไบต์ในไฟล์ที่บันทึกไว้ ตรวจสอบบันทึกข้อความและผู้ส่งที่เกี่ยวข้องก่อนที่จะสรุปว่าใครเป็นผู้แชร์ไฟล์เหล่านั้น

แผนที่กรณี / ติดตามแหล่งอ้างอิงกรณีสมมติ · ไม่ใช่กราฟแบบเรียลไทม์

CHANNEL / ANNOUNCEMENT**ต้นฉบับ → ฉบับแก้ไข**

บันทึก #101, #188 ข้อความ #84 · ไม่ระบุผู้ส่ง

กลุ่ม / การดำเนินงาน**ผู้ใช้ 71001 โพสต์ลิงก์ใหม่**

บันทึก #146 · ข้อความ #309 ใบรับไฟล์ที่บันทึก #151

การสนทนาผ่าน BOT / การสั่งซื้อ**ปุ่มนี้ชี้ไปยังจุดหมายนั้น**

บันทึก #173 · ข้อความ #12 ข้อมูลเมตาของปุ่ม "Returned"

ส่วนตัว / ติดตามผล**ผู้ใช้ 71001 ซ้ำที่ปลายทาง**

บันทึก #205 · ข้อความ #922 ใบรับไฟล์ที่บันทึก #209

สี่การสนทนาให้ข้อมูลสังเกตการณ์ที่แตกต่างกัน ให้ติดตามบันทึกต้นทางสำหรับทุกการเชื่อมต่อ; อย่ากำหนดโพสต์ในช่องให้กับผู้ใช้ 71001 โดยไม่มีผู้ส่งที่ระบุ

รหัสระบุตัวแบบตัวเลขและหมายเลขอ้างอิงบันทึกถูกสร้างขึ้นเพื่อใช้ในคู่มือนี้เท่านั้น แผนที่นี้อธิบายขั้นตอนการทำงานของนักวิเคราะห์โดยใช้การค้นหา การสร้างโปรไฟล์ และการตรวจสอบบันทึก; แอปพลิเคชันนี้ไม่สร้างกราฟการสืบสวนแบบรวม

| การเชื่อมต่อ | การสังเกตสนับสนุน | สรุปว่าควรเก็บไว้ |
| --- | --- | --- |
| บัญชี Telegram เดียวกัน | ID ผู้ใช้ 71001 ในกลุ่ม #146 และแชทส่วนตัว #205 | ID ผู้ส่งที่ระบุไว้เหมือนกันถูกโพสต์ในทั้งสองการสนทนา ส่วนตัวตนในโลกจริงยังคงเป็นประเด็นที่แยกต่างหาก |
| ปลายทางที่ซ้ำกัน | `pay.example.invalid/new` ใน #146, ข้อมูลเมตาของปุ่ม #173, โพสต์ที่แก้ไข #188 และ #205 | เป้าหมายเดียวกันนี้ปรากฏในสี่บริบทที่สังเกตได้ แต่สิ่งนี้เพียงอย่างเดียวไม่สามารถยืนยันได้ว่าใครเป็นผู้ควบคุมมัน |
| ขนาดไฟล์เท่าเดิม | ค่า SHA-256 ที่เท่ากันในใบเสร็จสื่อที่เสร็จสมบูรณ์ #151 และ #209 | ไฟล์แนบสองไฟล์ที่เก็บรักษาไว้นั้นมีขนาดไบต์ที่เหมือนกันทุกประการ ชื่อไฟล์หรือภาพตัวอย่างเพียงอย่างเดียวไม่สามารถยืนยันได้ |

โปรไฟล์ผู้ใช้แสดงข้อมูลผู้เขียนที่มีข้อความที่บันทึกไว้ในแชทนั้น และเชื่อมโยงกับแชทอื่น ๆ ในบันทึก*ของพื้นที่ทำงานเดียวกัน* โปรไฟล์เหล่านี้ไม่ใช่รายชื่อสมาชิกที่ครบถ้วน ค่าแฮชของอวาตาร์มาจากแคชท้องถิ่นที่แยกต่างหาก ส่วนการอ้างอิงโปรไฟล์มีขีดจำกัดที่สามารถปรับได้ในส่วน **Parameters → Records cited per fact**

## 5. สร้างลำดับเหตุการณ์ใหม่และระบุจุดที่ขาดข้อมูล

ในส่วน **Chats (การสนทนา)**, ตรวจสอบเวอร์ชันที่บันทึกไว้และลิงก์บันทึกใน **Journal #…** ในส่วน **Journal (บันทึก**), ใช้ตัวเลือก **All sources (ทุกแหล่งข้อมูล)** พร้อมทั้ง **Edits (การแก้ไข**), **Deletions (การลบ)** และ **Coverage (ขอบเขตการบันทึก)**. สร้างไทม์ไลน์ของคดีโดยใช้ทั้งวันที่จาก Telegram ที่ให้มาและเวลาที่ผู้เก็บข้อมูลสังเกตเห็น

1. 09:00 · #101**บันทึกโพสต์ในช่อง**

   จุดหมายปลายทางเดิมยังคงถูกเก็บรักษาไว้
2. 09:12 · #146 / #151**กลุ่มได้แนะนำลิงก์อื่น**

   ผู้ใช้ 71001 ได้โพสต์ข้อมูลนี้; การดาวน์โหลดไฟล์แนบเสร็จสิ้นแล้ว
3. 09:16 · #173**บอทแสดงปลายทางเดียวกัน**

   ข้อมูลเมตาดาต้าจากคีย์บอร์ดที่บันทึกไว้จะนำลิงก์ไปด้วย
4. 09:20 · #188**การเปลี่ยนแปลงประกาศในช่อง**

   ทั้งข้อสังเกตต้นฉบับและที่แก้ไขแล้วจะยังคงอยู่ทั้งสองส่วน
5. 09:24 · #205 / #209**การติดตามผลแบบส่วนตัวจะซ้ำเนื้อหาดังกล่าว**

   ไฟล์แนบที่บันทึกไว้มีค่า SHA-256 เต็มที่เหมือนกันกับ #151
6. 09:28 · #231**ได้รับแจ้งการลบกลุ่ม**

   ข้อสังเกตก่อนหน้านี้ยังคงมีอยู่; ไม่มีการระบุทั้งผู้ลบข้อความหรือเวลาการลบที่แม่นยำ

เวลาการสังเกตและข้อมูลอ้างอิงที่แสดงเป็นตัวอย่าง มีบันทึกอื่น ๆ ในสมุดบันทึกนี้ระหว่างรายการดังกล่าว

ลำดับในบันทึกจะเรียงตามลำดับการรับข้อความ ไม่ใช่ตามลำดับการดำเนินการเดิมใน Telegram เสมอไป ภาพถ่ายประวัติที่เก่ากว่าอาจปรากฏขึ้นหลังจากข้อความสดที่ใหม่กว่า ให้แยกการสังเกตการณ์แบบสด ภาพถ่ายประวัติ ข้อความที่กู้คืนได้ ประกาศการลบ และ “ไม่พบเมื่อตรวจสอบซ้ำ” ให้ชัดเจน เพิ่มช่วงเวลาที่ไม่ทราบอย่างชัดเจนทุกครั้งที่การบันทึกมีช่องว่าง; ภาพถ่ายประวัติที่ถ่ายในภายหลังจะไม่ลบช่องว่างนั้น

## 6. ขยายกรณีนี้ไปยังบัญชีอื่น ๆ ที่ใช้เก็บรวบรวมข้อมูล

เพิ่มพื้นที่ทำงาน (workspace) สำหรับแต่ละบัญชีที่แยกกัน และทำซ้ำการระบุขอบเขตและประวัติการบันทึกข้อมูล สำหรับแต่ละพื้นที่ทำงาน ให้บันทึกข้อมูลสมาชิก/บทบาท และลายนิ้วมือของกุญแจลงนาม (signing key fingerprint) สำหรับแต่ละบัญชี รักษาตัวระบุให้สอดคล้องกับพื้นที่ทำงานและห้องสนทนา: หมายเลขข้อความเดียวกันไม่ใช่ตัวระบุข้ามบัญชีแบบสากล

เปรียบเทียบข้อมูลที่เกี่ยวข้องในบันทึกคดีหรือเครื่องมือวิเคราะห์ของคุณ โดยเก็บรักษาข้อมูลอ้างอิงบัญชีและบันทึกสำหรับแต่ละแถว TgWitness ปัจจุบันยังไม่สนับสนุนการค้นหาแบบรวมเดียว ไทม์ไลน์ที่รวมกัน กราฟผู้ใช้งาน หรือคลังคดีที่ครอบคลุมทุกพื้นที่ทำงาน การส่งออกข้อมูลแบบเต็มจากหลายบัญชีของช่องหรือกลุ่มใหญ่เป็นฟีเจอร์ที่แยกต่างหาก ไม่ใช่การรวมบันทึกของทุกบัญชีเข้าด้วยกัน

ระหว่างการทำงานที่ยาวนานขึ้น ให้เพิ่ม[พยานอิสระ](https://phishdestroy.github.io/TgWitness/th/docs/witness/)เพื่อรักษาขอบเขตที่กำหนดไว้ก่อนหน้านี้ ใช้โครงการนำร่องการส่งข้อมูลแบบควบคุมเพื่อตรวจสอบเส้นทางบันทึกและระดับการมองเห็นของบัญชี

## 7. ส่งมอบชุดข้อมูลคดีที่ครบถ้วนและสามารถตรวจสอบได้

ส่งออกไฟล์ ZIP ของบันทึกที่ลงนามจากแต่ละพื้นที่ทำงาน ไฟล์นี้ประกอบด้วยบันทึกที่บันทึกไว้ทั้งหมด โดยไม่ขึ้นอยู่กับตัวกรองการค้นหาในแผงควบคุม ส่งออกโปรไฟล์บุคคลที่เกี่ยวข้องแยกกัน เก็บรักษาชุดประวัติการสนทนาทั้งหมดไว้ และรักษาหลักฐานไฟล์แนบที่เสร็จสมบูรณ์

```
CASE-001/                         # assembled by the analyst
  case-notes.md                   # question, findings, alternative explanations
  sources.csv                     # every chat, role, acquisition result and gap
  timeline.csv                    # account + chat + message + seq + both times
  workspace-A/
    evidence.zip                  # complete signed observation journal
    retained-checkpoint.json
    profiles-operations.json      # separately signed people profiles
    history-channel.zip           # signed current-history export
    history-group.zip
    verification.txt
  workspace-B/                    # separate journal and trusted fingerprint
  witness/                        # retained checks, journal and signed posts
  SHA256SUMS                      # hashes of the delivered files
```

เก็บลายนิ้วมือที่เชื่อถือได้ผ่านช่องแยกต่างหาก จากระบบที่ติดตั้งไว้อย่างเชื่อถือได้ ให้ตรวจสอบแต่ละหลักฐานเทียบกับตัวตนของพื้นที่ทำงานของมันเอง:

```
python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256
```

ตรวจสอบผลการตรวจสอบจริง เก็บรักษาต้นฉบับ และเก็บรายงานการครอบคลุม ความล้มเหลวในการเก็บข้อมูล และบันทึกการโอนย้ายไว้พร้อมกับผลการค้นพบของคุณ โฟลเดอร์คดีระดับบนสุดและข้อสรุปของนักวิเคราะห์ถูกรวบรวมจากภายนอก ส่วนเอกสาร TgWitness แต่ละชิ้นมีลายเซ็นของตัวเอง

## ใช้วิธีการเดียวกันสำหรับการสืบสวนอื่นๆ

**ข้อพิพาทเกี่ยวกับคำสั่งซื้อหรือการชำระเงินที่ดำเนินการโดยบอท**

**คำถาม:** บอทได้สัญญาอะไร, ปุ่มปลายทางใดถูกกำหนดไว้, และอะไรได้เปลี่ยนแปลงไปหลังจากนั้น?

**ติดตาม:** โพสต์เข้าช่อง → ภาพตัวอย่างลิงก์บอตที่บันทึกไว้ → พารามิเตอร์เริ่มต้นของบอต → ข้อความและเวอร์ชันคีย์บอร์ด → ใบยืนยันการเรียกกลับที่ออกโดยแผงควบคุม → การติดตามต่อในกลุ่ม/ส่วนตัว จับคู่แต่ละปลายทางกับบันทึกต้นทาง; เก็บรักษาคำอธิบายโปรไฟล์และสื่อที่ส่งครบถ้วน

**เนื้อหาที่นำเสนอ:** เส้นเวลาของข้อเสนอและคำตอบที่สังเกตได้, แหล่งอ้างอิง และข้อมูลที่ส่งออกและได้รับการยืนยันแล้ว การแสดงลิงก์การชำระเงินไม่ถือเป็นหลักฐานว่ามีการชำระเงินเกิดขึ้น

**ข้อความที่ถูกลบหลังเกิดเหตุการณ์ข้ามแชท**

**คำถาม:** สิ่งใดได้ถูกสังเกตเห็นแล้วก่อนที่ข้อความที่เกี่ยวข้องจะหายไป?

**ติดตาม:** ทุกการสนทนาที่ได้รับผลกระทบ → ข้อความต้นฉบับ → การแก้ไขที่ส่งถึง → แจ้งการลบหรือผลการตรวจสอบซ้ำที่พบว่าข้อความหาย → ไฟล์แนบที่เก็บรักษาไว้ → ข้อมูลที่เกี่ยวข้องกับเหตุการณ์ดังกล่าว เปรียบเทียบการสังเกตจากบัญชีอิสระพร้อมระบุระดับการมองเห็นของข้อมูล

**ผลลัพธ์:** ลำดับของเวอร์ชันที่เก็บรักษาไว้และช่วงเวลาที่ไม่ทราบอย่างชัดเจน อย่าเปลี่ยนข้อความในประวัติที่หายไปให้กลายเป็นหลักฐานว่าบุคคลใดบุคคลหนึ่งได้ลบข้อความนั้น

**ผู้เข้าร่วมคนหนึ่งเปลี่ยนชื่อในหลายห้องสนทนา**

**คำถาม:** กิจกรรมใดที่สังเกตได้นั้นเป็นของบัญชี Telegram เดียวกัน แม้ชื่อบัญชีจะเปลี่ยนไป?

**ติดตาม:** ID ผู้ส่งแบบตัวเลข → ประวัติชื่อ/ชื่อผู้ใช้ที่บันทึกไว้ → คำตอบ → การสนทนาอื่น ๆ ในพื้นที่ทำงาน → จุดหมายที่ถูกกล่าวถึงและไฟล์ที่บันทึกไว้ ตรวจสอบบันทึกต้นทางสำหรับทุกการเชื่อมต่อที่อ้างถึง; แยกบัญชีที่คล้ายกันไว้ต่างหาก

**ผลลัพธ์:** ไทม์ไลน์กิจกรรมบัญชีที่มีการอ้างอิง และสมมติฐานแยกต่างหากเกี่ยวกับความสัมพันธ์ ความคล้ายคลึงของชื่อและ pHash ของรูปโปรไฟล์เป็นเพียงเบาะแส ไม่ใช่หลักฐานยืนยันตัวตน