Acquisizione forense di smartphone, computer, server, supporti esterni e ambienti cloud tramite copia bit-a-bit, con catena di custodia, hashing e documentazione tecnica orientata all’uso probatorio.
L’acquisizione forense di prove digitali deve essere compatibile con il quadro normativo e con gli standard tecnici riconosciuti a livello nazionale e internazionale.
I riferimenti principali comprendono, tra gli altri, la disciplina dei documenti informatici e dei mezzi di prova nel processo, i principi in materia di inutilizzabilità, libera valutazione, trattamento dei dati e corretta gestione delle evidenze digitali, nonché gli standard tecnici applicabili alle attività di identificazione, raccolta, acquisizione, analisi e documentazione.
In concreto, una copia forense correttamente eseguita non serve solo a “conservare” dati: serve a ridurre contestazioni su integrità, provenienza, metodo di acquisizione e continuità documentale. Per questo ogni nostra acquisizione viene accompagnata da verbali, riferimenti tecnici, informazioni sugli strumenti impiegati, criteri di conservazione e dati di controllo che rendano la prova comprensibile e verificabile anche da terzi.
L’obiettivo è ridurre il rischio di eccezioni su attendibilità, ammissibilità o manipolazione e costruire un risultato che possa essere utilizzato con maggiore solidità in sede civile, penale, lavoristica, arbitrale o difensiva. Nei casi in cui l’evidenza digitale sia collegata a reati informatici, accessi abusivi, molestie online o compromissioni di account e dispositivi, la corretta acquisizione forense costituisce spesso il primo passaggio necessario per evitare dispersioni o contestazioni successive.
Una copia forense certificata è una duplicazione bit-a-bit di un supporto digitale, eseguita in modo da preservarne struttura, contenuti e integrità, senza alterare l’originale.
A differenza di una copia ordinaria, la copia forense non si limita ai file visibili dall’utente. Include anche file cancellati, spazio non allocato, artefatti di sistema, metadati, slack space e altri elementi che spesso risultano decisivi nella ricostruzione dei fatti.
È inoltre verificabile: gli hash crittografici consentono di dimostrare che l’immagine non è stata modificata nel tempo. È ripetibile: più consulenti possono lavorare sulla stessa immagine senza intaccare l’originale. Ed è protettiva: l’analisi avviene sulla copia, salvaguardando il supporto sorgente da modifiche accidentali o irreversibili.
Non è, quindi, una semplice “copia di sicurezza”, un export di cartelle o un salvataggio su chiavetta. Una copia non forense può alterare date, permessi e struttura dei file, non conserva lo spazio non allocato e non è assistita da protocolli di verifica o da catena di custodia documentata. In un contesto probatorio, questa differenza è spesso decisiva.
Applichiamo un processo strutturato, documentato in ogni passaggio, costruito per preservare integrità, tracciabilità e leggibilità dell’operazione.
→ 1. Presa in carico e identificazione
Il supporto viene identificato, descritto, fotografato e registrato. Si annotano stato, condizioni, sigilli preesistenti, data e ora dell’operazione, soggetti presenti e perimetro dell’incarico.
→ 2. Imaging bit-stream
L’acquisizione viene eseguita con procedure idonee a preservare l’originale, includendo aree non allocate, metadati e contenuti non immediatamente visibili. Vengono calcolati hash di controllo prima e dopo l’operazione, così da dimostrare l’assenza di alterazioni.
→ 3. Verifica e validazione
Gli hash vengono confrontati, l’operazione viene registrata nei verbali e l’immagine viene conservata in ambiente controllato, con accessi limitati, tracciabilità interna e copie di lavoro distinte dalla copia master.
→ 4. Analisi mirata, se richiesta
Su incarico del cliente, del legale, del CTP o del magistrato, l’immagine può essere analizzata per parole chiave, timeline, artefatti d’uso, carving di file cancellati, log applicativi, chat, e-mail, cronologie di navigazione, geolocalizzazioni, cloud e altri elementi rilevanti per il caso.
→ 5. Reporting e supporto successivo
L’attività si conclude con una relazione tecnica o un dossier probatorio che descrive metodologia, strumenti, esiti, riferimenti di hashing, allegati e criteri di conservazione. Quando necessario, il lavoro prosegue con supporto in contraddittorio tecnico o in udienza.
Il valore probatorio di una prova digitale dipende anche dalla qualità degli strumenti impiegati e dalla precisione con cui viene gestita la catena di custodia.
Utilizziamo suite di imaging e analisi in costante aggiornamento, strumenti di protezione dell’originale, supporti dedicati, ambienti di archiviazione cifrati e procedure di time-stamping e logging coerenti con la natura del caso e con le esigenze di verificabilità.
La catena di custodia comprende la registrazione di ogni passaggio rilevante: chi ha preso in carico il supporto, quando, dove, in quale stato, con quale finalità e con quali modalità di conservazione. Viene inoltre distinta la copia master dalle copie di lavoro, così da mantenere integrità dell’originale e trasparenza nelle successive attività di analisi.
Questo impianto consente a legali, CTP, CTU e giudici di comprendere non solo il risultato, ma anche il processo che lo ha generato. Ed è proprio la qualità del processo che rende la prova più solida e meno contestabile.
La copia forense è il punto di partenza per qualsiasi analisi seria di prove digitali. La sua utilità emerge soprattutto nei casi in cui una semplice acquisizione documentale non è sufficiente a garantire integrità, completezza o difendibilità del materiale raccolto.
Tra gli scenari più frequenti:
→ licenziamenti e indagini aziendali
per verificare accessi non autorizzati, esfiltrazioni di dati, utilizzo anomalo di dispositivi, cancellazioni sospette o attività incompatibili con obblighi contrattuali;
→ contenziosi familiari e patrimoniali
per analizzare chat, foto, video, cronologie, geolocalizzazioni o altri elementi digitali nel rispetto del perimetro lecito definito dal caso;
→ reati informatici, minacce online, stalking, sextortion
per raccogliere log, metadati, header, artefatti di rete e altri elementi utili alla ricostruzione tecnica dei fatti;
→ incident response e data breach
per acquisire rapidamente server, endpoint e sistemi compromessi, ricostruire dinamica e tempi dell’evento e preservare elementi utili alla gestione interna, regolatoria o giudiziaria;
→ sinistri e responsabilità tecnica
per analizzare dispositivi di bordo, dash cam, GPS, centraline o altri supporti digitali utili alla ricostruzione dell’evento.
In tutti questi casi, l’assenza di una copia forense correttamente confezionata rende più fragile l’intera strategia probatoria. Quando il sospetto riguarda invece la presenza di software spia o compromissioni attive sul dispositivo, il perimetro può richiedere attività più vicine alla bonifica digitale da spyware, malware e trojan o alla verifica tecnica del singolo smartphone.
La copia forense può essere richiesta come attività autonoma oppure come fase iniziale di un incarico più ampio di digital forensics o supporto difensivo.
Tra i principali servizi collegati:
→ copia forense di smartphone, computer, server, NAS, macchine virtuali e cloud;
→ analisi di file cancellati, carving e recupero di artefatti residui;
→ ricostruzione di timeline utente e analisi di log, browser, chat, e-mail e metadati;
→ memory forensics e analisi live, quando il contesto lo richiede;
→ supporto CTP/CTU e produzione di relazioni court-ready;
→ integrazione con incident response, malware analysis o preservation di evidenze digitali distribuite.
Ogni servizio può essere richiesto in forma sintetica o come perizia tecnica completa, in funzione delle esigenze del cliente, del legale e del procedimento in cui il lavoro dovrà essere utilizzato.
La domanda ricorrente è: “non basta copiare i file?”. In molti casi, no.
La copia semplice può essere sufficiente per esigenze interne, organizzative o di back-up, ma non garantisce integrità dimostrabile, non conserva sempre dati cancellati, log e metadati rilevanti e non è accompagnata da verbali, hash e catena di custodia documentata.
La copia forense, invece, consente di:
→ dimostrare integrità tramite hash e documentazione tecnica;
→ conservare file cancellati, spazi non allocati e artefatti spesso decisivi;
→ permettere a CTU e CTP di lavorare sulla stessa immagine in contraddittorio tecnico;
→ ridurre il rischio di contestazioni su alterazioni, omissioni o manipolazioni.
Per un uso probatorio serio, la differenza tra copia semplice e copia forense non è formale: è sostanziale.
I tempi di acquisizione e analisi dipendono da tipologia del supporto, dimensioni, stato del dispositivo, presenza di cifratura, necessità di interventi live, complessità del contesto e output richiesto.
In linea generale:
→ piccoli dispositivi o singoli notebook possono richiedere poche ore tra imaging, verifiche e messa in sicurezza;
→ server, NAS, cloud estesi, storage ad alta capacità o scenari multi-device possono richiedere giornate di lavoro o tempi più lunghi, soprattutto in urgenza o in presenza di forti vincoli documentali.
Non tutti i casi richiedono una copia forense integrale, e non in tutti i casi è lo strumento più proporzionato. Quando non è la soluzione corretta, lo diciamo con trasparenza, evitando costi inutili e risultati solo apparentemente utili.
