Forensik Data: Menguak Jejak File yang Sudah Terhapus Lewat Metode ‘Carving’

Pernahkah Anda membayangkan bahwa file yang baru saja Anda hapus dari Recycle Bin sebenarnya tidak benar-benar pergi? Di dunia forensik digital, menekan tombol “Delete” hanyalah sebuah awal dari petualangan mencari jejak. Ketika sistem operasi mengatakan sebuah file telah hilang, seorang teknisi forensik justru melihat peluang untuk menemukannya kembali melalui teknik yang dikenal sebagai File Carving.

Mengapa Data Tidak Benar-Benar Hilang?

Bayangkan memori perangkat Anda (Hardisk atau SSD) sebagai sebuah perpustakaan raksasa. Saat Anda menghapus sebuah file, sistem operasi tidak langsung membakar “buku” tersebut. Ia hanya menghapus catatan di buku indeks perpustakaan dan memberi label pada rak tersebut sebagai “Area Kosong”.

Selama rak tersebut belum ditimpa (overwrite) oleh buku baru, isi buku lama tetap ada di sana secara fisik. Di sinilah metode carving bekerja. Ia mengabaikan indeks sistem yang sudah kosong dan langsung membedah sektor-sektor memori untuk mencari potongan data yang tertinggal.

Mengenal ‘File Signatures’: Sidik Jari Digital

Bagaimana teknisi tahu bahwa sebuah deretan angka biner adalah sebuah foto atau dokumen PDF jika nama filenya sudah hilang? Jawabannya ada pada File Signatures atau sering disebut Magic Bytes.

Setiap format file memiliki “tanda tangan” unik di bagian awal (Header) dan akhir (Footer).

• File JPEG selalu dimulai dengan karakter hex $FF D8 FF$.
• File PDF dimulai dengan %PDF.
• File PNG diawali dengan 89 50 4E 47.

Teknisi forensik mencari pola-pola ini di tengah jutaan baris data mentah. Jika ditemukan Header JPEG, mereka akan terus mengambil data tersebut hingga menemukan Footer yang sesuai. Inilah alasan mengapa teknik ini disebut “Carving” (mengukir); kita memahat data mentah untuk mengeluarkan bentuk file yang utuh.

Tantangan Fragmentasi: Menyusun Puzzle Raksasa

Masalah muncul ketika data tidak tersimpan secara berurutan, atau yang kita kenal sebagai Fragmentasi. Dalam penggunaan sehari-hari, sistem sering memecah file besar ke dalam beberapa lokasi memori yang berjauhan.

Menyelamatkan file yang terfragmentasi secara manual layaknya menyusun puzzle raksasa yang potongannya tersebar di gudang seluas lapangan bola. Teknisi harus menganalisis struktur internal data untuk menyatukan potongan-potongan tersebut. Jika satu potongan hilang atau tertimpa data baru, maka file yang dihasilkan mungkin akan rusak (corrupt)—seperti foto yang hanya terlihat separuh atau dokumen yang berisi karakter aneh.

Bukan Sekadar Memulihkan, Tapi Menegakkan Keadilan

Dalam kasus kriminal, file carving sering menjadi kunci utama. Pelaku kejahatan mungkin merasa aman setelah menghapus dokumen instruksi atau foto bukti. Namun, di tangan ahli forensik digital, jejak tersebut bisa dihidupkan kembali untuk berbicara di depan hukum.

Kesimpulannya, teknologi tidak pernah benar-benar melupakan. Selama sektor memori belum diisi oleh data baru, “hantu” dari file lama tetap bersemayam di sana. Bagi pengguna biasa, ini adalah pengingat untuk berhati-hati dalam membuang perangkat bekas. Namun bagi dunia hukum, ini adalah sebuah keajaiban sains yang mampu mengungkap kebenaran yang terkubur.