Conserva le esportazioni delle transazioni, i record di scambio, la corrispondenza e-mail, i registri dei dispositivi e le note cronologiche che descrivono l'incidente il prima possibile dopo la scoperta.
Evita di alterare il software del portafoglio, ripristinare i dispositivi di fabbrica o eliminare applicazioni prima che vengano acquisite prove. Gli screenshot dovrebbero includere timestamp visibili e metadati, ove possibile.
Organizzare le prove per data e fonte per supportare la ricostruzione della sequenza temporale e la verifica della proprietà durante la valutazione riservata.
La qualità delle prove influisce direttamente sull'analisi di fattibilità del recupero; EnteleCLOS non garantisce i risultati indipendentemente dalla completezza delle prove.