Com o fechamento em cima, não é preciso uma perícia perfeita, e sim um procedimento repetível. A ordem abaixo leva minutos e deixa registro do que foi estabelecido e do que não foi.
Peça o arquivo original, não uma captura da janela do mensageiro. Uma única captura remove a maior parte das camadas de que a conferência depende. Se o original não puder ser obtido, esse fato já merece ser anotado.
Não os leia como um bloco. Uma captura assinada com uma área editada e uma fotografia comum sem assinatura são situações completamente diferentes. Cada eixo precisa ser lido pelo que diz.
Inconclusivo não é fracasso, é informação. Como vem acompanhado do que faltou, você pode decidir se corre atrás do original ou verifica por outro caminho. Também não quer dizer que a foto não possa sair: quer dizer que você sabe o que está publicando.
Exporte o relatório para o dossiê da matéria e depois você poderá explicar o que estava olhando quando decidiu. O hash vai junto, então dá para provar também que era o mesmo arquivo.
Este texto é orientação geral, não aconselhamento jurídico. Um resultado de análise é uma avaliação probabilística, não uma prova.