調查模式

可跨頻道、群組、私人聊天室及機器人追蹤案件，從最初的 資料擷取，到帶有引用時間軸及可驗證的交接流程。互動式網站 版本位於 /docs/cases/；預覽說明。

案例分析：四段對話中目的地資訊的變更#

一則公告指向一個機器人。一個行動小組討論新的付款 目的地，該機器人的鍵盤顯示該資訊，而一則私訊後續對話再次重複了該內容。 隨後該公告被編輯，而一則群組訊息則消失了。

問題包括：變更前後觀察到什麼情況、哪些 Telegram 帳號發布了各項內容、目的地出現在何處、哪些附件位元組 被保留下來，以及哪些時間間隔仍屬未知？

本範例中的所有名稱、ID、時間及日誌參考資料均為虛構。該 工作流程採用現行功能；案例地圖僅為示意圖，並非由應用程式自動 生成的圖表。

圖表轉為文字

1. 頻道 → 工作區日誌
2. 群組 → 工作區日誌
3. 私人聊天室 → 工作區日誌
4. 機器人 → 工作區日誌
5. 工作區日誌 → 搜尋所有來源
6. 工作區日誌 → 附有記錄參考資料的人物檔案
7. 工作區日誌 → 已儲存版本與附件收據
8. 搜尋所有來源 → 分析師時間軸與來源登記簿
9. 附有記錄參考資料的人物檔案 → 分析師時間軸與來源登記簿
10. 已儲存版本與附件收據 → 分析師時間軸與來源登記簿
11. 工作區日誌 → 經簽署的證據 ZIP 檔案
12. 分析師時間軸與來源登記簿 → 附有經獨立驗證之證據資料的案件移交
13. 經簽署的證據 ZIP 檔案 → 附有經獨立驗證之證據資料的案件移交

1. 界定案件並完整記錄事件經過#

1. 在專屬的工作區中連結資料蒐集帳戶。在外部案件筆記中， 記錄案件編號、帳戶 ID、工作區、監測起始時間以及可信 簽名金鑰的指紋。
2. 開放來源 → 監測範圍 → 調查模式。此預設選項包含「 整個帳戶」、「頻道／群組／私人聊天／機器人」、「自身操作」、「來源 檔案」，以及新發現來源的最新 200 則可見訊息。 檢視設定後，按下「儲存範圍」，並完成範圍確認。
3. 載入聊天記錄，並將來源與該帳號的對話清單進行比對。 檢查 排除項目。參數 → 從帳號清單中讀取的聊天室數量預設為 1,000 則，最多可達 20,000。超出清單限制的來源會在 其變得活躍時被加入。記錄實際枚舉的內容。
4. 在「記錄設定」中，選取「所有可見活動」，並儲存 監控設定。請檢視附件類型／限制及可用磁碟空間。
5. 開始監測。驗證一則受控的新訊息、編輯及刪除操作，接著 保留測試參考資料及任何失敗紀錄。

「整個帳戶」範圍會根據儲存的設定，記錄該帳戶可見的所有活動。 本工具不會存取秘密聊天，也不會自動加入所有連結的群組。此外， 也不會回溯補錄所有現有的對話紀錄。請參閱「資料蒐集範圍」。

2. 清點所有來源並蒐集歷史背景資訊#

建立來源登記簿，每則聊天記錄佔一行：

針對每個來源，請選用適當的擷取方式：

• 在「來源」中載入完整歷史紀錄（目前為 main）會將已啟用來源中可用的過往 訊息載入至工作區日誌。此功能支援暫停／恢復 ，並提供經簽署的進度報告。請參閱歷史紀錄擷取。
• 歷史快照會將近期可見的訊息儲存至觀察日誌中。 預設上限為 500 則；透過「參數 → 最大歷史快照」可將 此上限提高至 10,000 則。這些是當前的歷史觀察記錄，而非重建的編輯紀錄。
• 「完整聊天記錄匯出」→「匯出完整聊天記錄」，或「聊天」→「匯出聊天記錄」，會將 某個聊天室當前可見的歷史紀錄匯出至獨立的、經簽名的 chat.json / chat.html 封裝檔中。請針對案件中的各來源重複此步驟，並保留每個結果。
• 當出現新的聊天室或機器人時，可儲存其檔案及多達 1,000 則近期 訊息；若啟用「調查模式」，則僅選取 200 則。當啟用該模式時，現有聊天室不會 追溯性地接收這些資料。
• 下載可見附件時，會根據設定的政策保留對應的位元組數。 必須具備包含 SHA-256 雜湊值及位元組數的完整 media.saved 收據。排入佇列的 工作、縮圖或檔案名稱均不屬於被保留的附件。

完整聊天記錄匯出並不會將所有 訊息填入日誌或人員檔案中。若需在 TgWitness 內分析特定歷史紀錄，請使用「載入完整歷史紀錄」或「有限範圍的日誌快照」。在開始 執行歷史紀錄處理前，請先檢視已啟用的來源清單。無論採用何種方式，均無法恢復 Telegram 已不再回傳的內容。

3. 保存不斷演變的案件及有預謀的互動#

將活躍案件的聊天室標記為優先來源。檢視重新檢查間隔、持續 的補錄進度及媒體結果。使用該帳號時，請保持收集器處於監測狀態。 請使用「聊天室」→「個人檔案」→「立即儲存個人檔案」，以保留來源元資料，例如 描述和機器人指令。此功能與從已儲存訊息衍生出的 人員個人檔案是分開的。

當案件涉及追蹤消息來源或與機器人互動時：

1. 開啟 Telegram 連結 → 儲存預覽：此功能會在執行操作前，將提供的連結及其 預覽內容記錄下來。
2. 「加入／開啟並觀察」會執行加入／開啟操作，並在提供時傳送機器人的 start 參數。待審核的加入請求將被記錄為「待處理」。
3. 面板發出的文字回覆及受支援的按鈕點擊操作將保留 interaction.requested 和 interaction.result。回調收據可保留 返回的彈出視窗文字、警示狀態及 URL。

這些是真實的帳戶操作。在另一款 Telegram 應用程式中按下的回調按鈕， 收集器無法偵測到，儘管由此產生的訊息或編輯操作可能會被記錄。 此迷你客戶端不執行網頁應用程式、支付、電話或位置相關的工作流程。 有關確切的運作行為，請參閱面板互動說明。

4. 串聯不同聊天室中的觀察結果#

在「日誌」中，選取「所有來源」並搜尋已記錄的內容。開啟符合條件的 記錄，並保留工作區、聊天室、訊息 ID、序列號及記錄雜湊值。

在相關聊天室中，開啟「人員」→「開啟個人檔案」，並檢視某位使用者：

• 隨時間推移所觀察到的名稱／使用者名稱，以及 Telegram 的數值 ID。
• 回覆內容需包含原始記錄的引用資訊。
• 另見……此工作區日誌中該 ID 曾發言的其他聊天室。
• 活動紀錄、編輯／刪除紀錄，以及被提及的錢包、手機、使用者名稱和連結。
• 已儲存的頭像元資料及類似的快取頭像，並標示其各自的來源。

在調查結果中使用衍生個人檔案前，請先開啟所引用的紀錄。個人檔案涵蓋 擁有儲存訊息的對象，而非群組中的每位成員。「參數」→「每項事實引用的紀錄數」 僅會限制參考清單的範圍，而非底層活動的計數。 提及內容與頭像相似度僅為線索；它們並不能確立所有權或身分。

在示例中：

請比對附件的雜湊值及其對應的訊息參考編號。檔案內容相同 並不代表能確定創建者、轉發者或共同操作者。僅憑名稱相同 及頭像相似，並不能將兩個 Telegram ID 視為同一人。

5. 建立跨聊天室的時間軸#

請使用「聊天室」中的儲存版本及其「日誌記錄 #…」連結。在 「日誌」中，將所有來源與編輯、刪除及涵蓋範圍合併。 若已提供，請同時保留 source_at 與 observed_at。

其他記錄可能出現在這些範例參考資料之間。序列號用於排序 觀察結果；歷史快照可能包含較早的來源日期，且傳送時間可能晚於 即時事件。請區分快照、已恢復訊息、刪除通知以及 重新檢查時發現缺失的結果。 請將覆蓋範圍的缺口標記為「未知區間」。後續 取得的历史資料，並不能追溯性地確立觀察過程的連續性。

6. 新增帳戶視角，同時保留其原始來源#

針對每個獨立帳戶使用獨立的工作區，並重複執行其清點程序。 每次比對時，請保留帳戶 ID、角色、簽名金鑰指紋及來源參考資訊。 訊息編號並非適用於所有聊天室／帳戶的通用識別碼。

跨工作區的關聯分析需在外部案件筆記或分析 工具中進行。TgWitness 目前不提供全域跨工作區搜尋、合併時間軸、 調查圖譜或整合案件檔案庫。單一 頻道／超級群組的多帳號匯出屬於不同操作，並非帳號日誌的合併。

針對較長期的作業，應透過獨立見證人維持界線。 使用受控傳送檢查來驗證 每個帳戶的擷取路徑與可見性。

7. 彙整並驗證案件移交#

請將以下資料彙整於由分析師編製的案件檔案夾中：

來自可信賴的安裝來源，包含檔案名稱及各工作區的實際指紋：

python -m tgwitness.verify evidence.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --checkpoint retained-checkpoint.json
python -m tgwitness.verify profiles-operations.json --fingerprint TRUSTED_PUBLIC_KEY_SHA256 --evidence evidence.zip
python -m tgwitness.verify history-channel.zip --fingerprint TRUSTED_PUBLIC_KEY_SHA256

保留實際的驗證結果與原始證據資料。頂層案件 目錄、來源登記簿及分析師結論均由外部系統維護； 每個 TgWitness 證據資料皆具備專屬的簽名與驗證程序。

調整調查方式#

資料彙編參考 · 個人資料驗證 · 證據移交 · 驗證已完成