Часто да, но ответ зависит от того, что система записывает. Многие корпоративные системы — CRM и ERP — хранят журнал изменений документов и справочников, дату и автора последней правки, версии записей. Эксперт сопоставляет эти записи со служебными полями в базе, резервными копиями за разные даты, выгрузками в бухгалтерию и банк и с журналом самой СУБД. Правку задним числом выдают расхождения: документ датирован прошлым месяцем, а запись о нём появилась в журнале вчера; сумма в резервной копии отличается от текущей; изменение внесено напрямую в базу и не попало в журнал программы.
Резервные копии и журнал изменений удаляет расписание. Сегодня же продублируйте резервные копии за спорный период на отдельный носитель, не перемещая их в хранилище, приостановите ночные задания, которые удаляют данные (копирование журналов транзакций и архивирование журналов СУБД не останавливают, иначе переполнится диск; после паузы проверьте свободное место), а внеплановую копию базы сделайте так, чтобы не нарушить штатное резервное копирование. Если администратор один, копии снимает он же, но при свидетеле и с записью действий.