Скорее всего, элементарно запросили у Одноклассников логи размещения этих фоток. Дальше - у провайдера получили подтверждение, что в это время с этого адреса выходил этот Андрей (или он мог быть одним из клиентов, пользовавшихся в это время адресом в случае VPN). Дальше конфискация ПК и всё, собственно, приплыл кросавчег.

Соответственно, Андрею достаточно было использовать браузер, работающий через сеть TOR (для перемещения по Одноклассникам), установленный под виртуальной операционной системой (VMWare, например), файл-контейнеры которой физически находились бы на зашифрованной TrueCrypt-ом партиции.

Тогда провайдерского айпи в логах - нет, и доказательств в виде куков/кэша/локальных логов тоже нет, мстя совершена, и гордый мститель на свободе.

Так? Или есть еще какие подводные камни, ну, кроме терморектального криптоанализа, само собой?

Банально не снесённые виртуальные диски, например.

Или оригинальные фотки со всякой служебной инфой на карточке от фотоаппарата или на других разделах жесткого диска.

Или история редактирования этих файлов там же.

Или совпадение времен выхода пользователя этого аккаунта со временами, когда подключался (или активно действовал в сети) компьютер этого Андрея.

Или ещё куча вариантов, это только первые в голову. А основание для ареста ПК - заявление потерпевшей, которая утверждает, что эти снимки делал этот Андрей. Вкупе с тем, что от Андрея ранее никаких заявлений о краже/взломе не поступало - достаточный набор доводов в пользу того, чтобы его объявить подозреваемым и начать применять к нему всякие следственные действия.

Ну и не забывай, что если человек в 34 года таким образом мстит бывшей бабе - с головой у него плохо.