Recupero forense di dati eliminati da smartphone, computer, hard disk, SSD, server e archivi cloud, con copia bit-a-bit, hashing, catena di custodia e documentazione tecnica orientata all’uso probatorio.
Quando un file viene cancellato, spesso non scompare immediatamente in modo fisico dal supporto.
In molti casi viene soltanto rimosso il riferimento logico che lo rende visibile al sistema operativo, mentre i dati restano ancora presenti, in tutto o in parte, fino a quando non vengono sovrascritti.
Questo è il motivo per cui il recupero può essere possibile.
Ma non significa che sia sempre garantito. La riuscita dipende dal tipo di dispositivo, dal comportamento del sistema operativo, dai meccanismi interni del supporto, dall’uso successivo alla cancellazione e dalle eventuali procedure automatiche di pulizia o sincronizzazione.
Il recupero forense serve proprio a valutare in modo tecnico ciò che è ancora presente, distinguendo tra residui recuperabili, dati parziali, metadati, riferimenti di sistema e contenuti che, pur non più accessibili all’utente, possono ancora conservare utilità investigativa o probatoria.
Non tutto il recupero dati è uguale. Esiste una differenza sostanziale tra un tentativo di recupero generico e un recupero eseguito con metodo forense.
Il recupero semplice punta a “vedere se qualcosa riappare”.
Può avere utilità pratica, ma non sempre garantisce integrità, tracciabilità e corretto inquadramento tecnico del risultato.
Il recupero forense, invece, parte dalla protezione del supporto originale, prosegue con imaging o acquisizione controllata, calcolo di hash, verifica dell’integrità e analisi dei residui in ambiente separato.
Questo riduce il rischio di alterazioni e rende il materiale più leggibile e difendibile, soprattutto quando il recupero deve sostenere un contenzioso, una consulenza di parte, una denuncia o una ricostruzione tecnica.
In questo senso, il recupero forense non è un “tentativo in più”: è un metodo diverso, costruito per reggere a verifica tecnica.
La possibilità di recuperare dati eliminati dipende da un insieme di variabili tecniche che devono essere valutate caso per caso.
Tra le principali:
→ tipo di supporto: HDD, SSD, smartphone, server, memoria esterna, NAS, cloud;
→ filesystem utilizzato e logiche di allocazione interna;
→ presenza di cifratura o protezioni di sistema;
→ tempo trascorso tra cancellazione e presa in carico;
→ uso del dispositivo dopo la perdita dei dati;
→ sincronizzazioni cloud, backup, versioning o politiche automatiche di retention;
→ attivazione di funzioni come TRIM negli SSD o altri processi di garbage collection.
È proprio per questo che il recupero va valutato tecnicamente fin dall’inizio.
In alcuni casi i file sono ancora recuperabili in forma piena; in altri è possibile recuperare solo parti, metadati, anteprime, riferimenti residui o tracce temporali utili alla ricostruzione.
Anche quando il contenuto integrale non è più disponibile, questi elementi possono comunque avere valore.
I dispositivi non si comportano tutti allo stesso modo.
Il recupero da smartphone, computer, SSD e ambienti cloud richiede strategie diverse.
→ Smartphone
Le possibilità dipendono da modello, sistema operativo, cifratura, backup disponibili, stato del dispositivo e modalità di acquisizione possibile. In molti casi, il recupero si concentra non solo sui file cancellati, ma anche su cache, miniature, chat, database locali, allegati, sincronizzazioni e metadati residui.
→ PC e notebook
Su sistemi Windows, macOS o Linux possono essere rilevanti non solo i file eliminati, ma anche shadow copies, file temporanei, cache applicative, journal del filesystem, log e artefatti di utilizzo.
→ SSD
I dischi a stato solido presentano criticità specifiche. La presenza di TRIM e di meccanismi interni di garbage collection può ridurre fortemente la possibilità di recupero, soprattutto se è trascorso tempo o se il disco è stato riutilizzato dopo la cancellazione.
→ Cloud
Nei sistemi cloud il tema del recupero si intreccia con retention, versioning, cestini, sincronizzazioni, esportazioni amministrative e log di attività. In questi casi il recupero è spesso anche un’attività di ricostruzione documentale e tecnica, non soltanto di carving tradizionale.
Per questo la fattibilità non va mai presunta: va verificata in base al supporto reale e al contesto in cui si colloca la perdita del dato.
Quando il supporto lo consente, il punto di partenza corretto è quasi sempre la creazione di un’immagine forense bit-a-bit.
Questo permette di lavorare sulla copia, preservando l’originale e riducendo il rischio di peggiorare la situazione con accessi, scansioni o tentativi non controllati.
La copia bit-a-bit consente inoltre di acquisire aree non allocate, slack space, residui di file cancellati, metadati e artefatti che una semplice copia logica non sarebbe in grado di preservare.
In molti casi è proprio questa differenza a rendere possibile il recupero o, almeno, la ricostruzione parziale di ciò che è andato perduto.
Per questo il recupero forense e la copia forense certificata sono spesso due attività strettamente collegate: la seconda non è un’opzione accessoria, ma la base tecnica che consente alla prima di svolgersi in modo corretto e sostenibile.
Il recupero non riguarda solo “file completi”.
A seconda del supporto e dello stato del sistema, possono emergere livelli diversi di informazione, tutti potenzialmente utili.
Tra i principali:
→ documenti, immagini, video e allegati eliminati ma non ancora sovrascritti;
→ frammenti di file o porzioni ricostruibili tramite carving;
→ anteprime, miniature, cache e derivati grafici residui;
→ metadati temporali, nomi file, riferimenti a percorsi e posizioni originarie;
→ log applicativi o di sistema che confermano apertura, creazione, modifica o cancellazione;
→ tracce di sincronizzazione o riferimenti a copie cloud, backup o versioni precedenti;
→ database di app, contenuti locali e residui di messaggistica o allegati, specialmente su dispositivi mobili.
Questo significa che anche quando il file originario non è recuperabile in forma piena, può comunque emergere un quadro tecnico utile a ricostruire l’evento, il comportamento dell’utente o la sequenza di cancellazione.
Il recupero file assume particolare rilievo quando il dato eliminato non è soltanto “utile”, ma potenzialmente decisivo.
Tra gli scenari più frequenti:
→ cancellazione di documenti, chat o e-mail in controversie familiari o patrimoniali;
→ eliminazione di file aziendali, report, archivi o comunicazioni rilevanti in indagini interne o procedimenti disciplinari;
→ perdita o distruzione di dati in contesti di concorrenza sleale, abuso di sistemi, data leak o sottrazione di informazioni;
→ necessità di ricostruire cronologie, versioni, allegati o log in supporto a un legale o a un CTP;
→ compromissioni, malware, spyware o trojan che abbiano alterato, nascosto o cancellato contenuti rilevanti.
In questi contesti il recupero non è un servizio di comodità, ma una parte della strategia probatoria. Il suo valore dipende dalla qualità con cui viene eseguito e documentato.
Un file recuperato è utile solo fino a un certo punto se non viene poi correttamente descritto, verificato e collocato nel contesto del caso.
Per questo il recupero può essere accompagnato da:
→ report tecnico sul processo di acquisizione e analisi;
→ indicazione di hash e riferimenti di integrità, quando applicabili;
→ descrizione del supporto, del filesystem, degli strumenti utilizzati e dei limiti riscontrati;
→ allegati, schermate, estrazioni e materiale di confronto;
→ relazione più strutturata, se il risultato deve essere usato in sede legale o difensiva.
Quando il caso lo richiede, il recupero confluisce in una vera certificazione delle prove digitali, così che il dato recuperato non resti un elemento tecnico isolato, ma diventi parte di un impianto documentale più chiaro e verificabile.
I tempi dipendono da tipo di supporto, volume dei dati, stato del dispositivo, necessità di imaging preliminare, presenza di cifratura, complessità del filesystem e output richiesto.
In alcuni casi il recupero può essere valutato rapidamente e produrre esiti iniziali in tempi brevi; in altri serve una fase preliminare più accurata per non compromettere il supporto e per capire se esista un margine reale di intervento.
La cosa più importante, però, è il comportamento iniziale del cliente: ogni uso successivo del dispositivo può ridurre drasticamente le possibilità di recupero. Continuare a usare lo smartphone o il computer, installare software generici, salvare nuovi dati o tentare recovery non controllati può produrre sovrascritture irreversibili.
Per questo il corretto approccio non inizia dal software di recupero, ma dalla messa in sicurezza del supporto e dalla valutazione tecnica del caso.
