Потому что каждая система пишет время по-своему. Сервер нередко ведёт журнал по всемирному времени, роутер — в часовом поясе, который выставили при настройке, банк — по московскому, а часы компьютера, не синхронизированные с сервером точного времени, могут уйти на несколько минут. Разница в три часа между журналами — обычно не подделка, а часовой пояс.
Поэтому эксперт первым делом переводит все записи в единое время. Для этого он устанавливает, в каком поясе пишет каждый источник, и ищет события, которые видны сразу в двух журналах: вход, отправку письма, загрузку страницы. По ним вычисляют расхождение часов и строят хронологию с поправками.
Помочь можно заранее: запишите, какое время показывают устройства и серверы и какой часовой пояс в них установлен, а при выгрузке журналов не преобразуйте время в таблицах вручную.