Amaç: Sıfırlama tarihinin önem arzettiği adli vakalarda adli bilişim uzmanlarının tutarlı ve güvenilir raporlar oluşturması gerekmektedir. Bu çalışma, adli bilişim incelemelerinde Android ve iOS işletim sistemine sahip mobil cihazlarda son etkinleştirme tarihinin güvenilir bir şekilde tespit edilmesini amaçlamaktadır.Yöntem: Araştırma kapsamında android ve iOS işletim sistemlerine sahip mobil cihazlar fabrika ayarlarına sıfırlanmış ve sıfırlama işleminden sonra cihazların dijital kopyaları alınarak incelenmiştir. Hem Android hem de iOS platformlarındaki sistem ve kullanıcı veritabanı dosyalarının oluşturulma, değiştirilme ve erişim tarihleri ayrıntılı olarak analiz edilmiştir. Ayrıca bu dosyaların sıfırlama işleminden hemen sonra yeniden oluşturulma süreçleri incelenmiş ve dosyaların zaman damgaları karşılaştırılmıştır.Bulgular: Android cihazlarda özellikle “SetupWizardPrefs.xml”, “Google Service Framework” ve “Google Mobile Service” gibi sistem dosyaları; iOS cihazlarında ise, “sms.db”, “call_history.db” ve “AddressBook.sqlitedb” gibi dosyaların sıfırlama işlemi sonrasında yeniden oluşturulduğu görülmüştür. Bu dosyaların zaman damgaları son etkinleştirme tarihini belirlemede güvenilir bir referans noktası olarak değerlendirilebilmektedir.Sonuç: Android ve iOS cihazlarında, fabrika ayarlarına döndürme işlemi sonrası oluşturulan dosyaların zaman damgaları, adli bilişim incelemelerinde son etkinleştirme tarihinin tespiti için önemli kanıtlar sunmaktadır. Bu çalışmada elde edilen bulgular sıfırlama tarihiyle yüksek oranda (dakika bazında) tutarlılık gösterdiği gözlemlenmiştir. Ayrıca her cihazın ve işletim sisteminin kendine özgü veri yapısının dikkate alınması, inceleme sürecinde hata payını en aza indirmeye yardımcı olacaktır.
Objective: In forensic cases where the reset date is of significant importance, forensic experts need to produce consistent and reliable reports. This study aims to reliably determine the last activation date on mobile devices with Android and iOS operating systems in forensic examinations.Method: In the research, mobile devices with Android and iOS operating systems were reset to factory settings, and digital copies of the devices were taken and examined after the reset process. The creation, modification, and access dates of system and user database files on both Android and iOS platforms were analyzed in detail. Additionally, the processes of re-creation of these files immediately after the reset were examined, and the timestamps of the files were compared.Results: On Android devices, system files such as “SetupWizardPrefs.xml”, “Google Service Framework”, and “Google Mobile Service” were found to be re-created after the reset process; on iOS devices, files such as “sms.db”, “call_history.db”, and “AddressBook.sqlitedb” were similarly re-created. The timestamps of these files can be considered a reliable reference point for determining the last activation date.Conclusion: On Android and iOS devices, the timestamps of files created after the factory reset process provide significant evidence for determining the last activation date in forensic examinations. The findings from this study have observed a high degree of consistency (at the minute level) with the reset date. Additionally, considering the unique data structure of each device and operating system will help minimize the margin of error during the examination process.