Иногда можно, если сохранилось содержание передачи или согласующиеся сведения приложения, устройств и хранилища. Проверяют операции чтения и выгрузки, имена и версии файлов, сведения о получателе и записи сетевой сессии. Если содержимое доступно, файлы можно сопоставить по байтам и контрольным суммам. Соединение с внешним адресом или большой объём исходящих данных не показывает, какие документы передавались.
Штатное резервное копирование, синхронизация и автоматическое обновление могут объяснять похожий трафик. Кроме того, получение файла на устройство и его отправка наружу — разные события. Подготовьте перечень спорных файлов, их доступные версии, журналы приложения, настройки синхронизации и материалы за полный спорный интервал. При необходимости исследуют содержимое данных и цифровые следы вместе с сетевыми событиями. При неполноте источников вывод может подтверждать только передачу данных без установления конкретного содержимого. Если следов не найдено, это ещё не доказывает, что передачи не было.