Whatsapp is een veelgebruikte app om berichten te verzenden. Hoewel de Whatsapp-berichten min of meer op een vergelijkbare wijze werken als SMS-berichten, zijn Whatsapp berichten anders dan SMS-berichten. Dit geld zeker voor de wijze waarop zij kunnen worden opgeslagen op mobiele telefoons. Gewiste Whatsapp berichten kunnen in veel gevallen worden terug gehaald. Gewiste Whatsapp berichten zijn terug te halen als men een kopie van de gegevens uit de telefoon kan maken. In deze kopie kan vervolgens onderzoek gedaan worden. Een iTunes of iCloud backup kan vaak veel informatie geven, echter het best is het om een goede kopie van de telefoon zelf te maken. Digirec heeft specialistische apparatuur om telefoongegevens te achterhalen en om onder andere gewiste whatsapp-berichten inzichtelijk te maken.

iphone5-whatsapp

Encase zoektermen om Whatsapp gegevens te vinden in een iPhone:

#{4,12}-#{1,5}..[^@]{1,255}@s.whatsapp.net

#{11,11}@s\.whatsapp\.net.[^\x01][^\x7f-\xff]{1,255}

Grep moet uiteraard aangezet worden!

Bovenstaande keywords kunnen elkaar overlappen, maar geven een grote kans op het vinden van de meeste delen van whatsapp berichten. In verband met de beperkingen van zoektermen in Encase, worden bericht-teksten tot maximaal 255 tekens weergegeven. Berichten die langer zijn, worden middels deze zoektermen dan ook maar gedeeltelijk weergegeven.