Domande frequenti su perizie informatiche e prove digitali

Il tecnico informatico mira normalmente a ripristinare il funzionamento del sistema. Il perito informatico valuta prima se aggiornamenti, reinstallazioni, formattazioni o ripristini possano modificare o distruggere una prova. L’approccio forense privilegia conservazione, acquisizione, verifica, analisi e documentazione.

È un’informazione memorizzata, trasmessa o rappresentata da un sistema informatico o elettronico: file, database, email, chat, smartphone, computer, cloud, log, fotografie, audio, video, pagine web o social. Il suo valore tecnico dipende da provenienza, integrità, completezza, contesto e modalità di acquisizione.

Conserva il file originale, non rinominarlo o convertirlo, non ripristinare il dispositivo, non cancellare messaggi, annota provenienza, URL, account, data e ora della scoperta e richiedi una valutazione preliminare.

Dipende dal tipo di file e dal quesito. L’apertura può aggiornare timestamp, cache, miniature, file temporanei o sincronizzazioni. Quando il file è potenzialmente rilevante è preferibile evitare aperture ripetute e lavorare successivamente su una copia verificata.

Sì. È normalmente preferibile analizzare una copia verificata mediante hash, conservando separatamente l’originale. Una copia inviata via chat, social o email può però essere stata ricompressa, convertita o privata dei metadati.

È un valore calcolato sul contenuto binario del file e serve a verificare se due copie siano identiche. Non dimostra chi abbia creato il file, quando, se fosse già stato modificato o se il contenuto rappresenti la verità.

Documenta come un reperto viene consegnato, ricevuto, identificato, acquisito, copiato, analizzato, conservato e restituito. Può includere nominativi, date, seriali, fotografie, hash, strumenti e passaggi di consegna.

No. Dipende dal quesito e dalla fonte. Per alcuni supporti serve un’immagine forense; in altri casi possono essere sufficienti acquisizione logica, file system, backup, export cloud, database o file originario. La relazione deve indicare il tipo di acquisizione.

Dipende da modello, sistema operativo, patch, cifratura, stato del dispositivo, codice disponibile e strumenti autorizzati. Non esiste una procedura universale e non vengono svolte attività finalizzate ad aggirare illecitamente protezioni di dispositivi di terzi.

L’acquisizione logica raccoglie i dati resi disponibili dal sistema, dall’app o da un backup. Un’acquisizione più estesa può comprendere una parte maggiore del file system. Non tutte le procedure consentono dati cancellati, spazio non allocato, chiavi, cache o cartelle protette.

Sì. Può riguardare messaggi, vocali, fotografie, video, documenti, identificativi, timestamp, allegati, database, backup, cancellazioni e confronto con screenshot. Quando possibile è preferibile esaminare dispositivo, database e file multimediali.

Non sempre. Documenta ciò che era visualizzato ma può non permettere di verificare database, ID, account, numero reale, messaggi circostanti, allegati originari, cancellazioni o modifiche.

No. L’esportazione è un output derivato e può perdere identificativi, stati, relazioni tra record, informazioni sulle cancellazioni e struttura del database.

Dipende da database, file WAL, backup, notifiche, file multimediali, uso successivo, sovrascritture, versione dell’app e tipo di acquisizione. Il recupero non può essere garantito.

Sì, nei limiti del dispositivo, dell’applicazione e del tipo di chat. Occorre considerare chat cloud o segrete, messaggi effimeri, database locali, dispositivi collegati, allegati, backup e sincronizzazione.

In alcuni casi sì. Dipende da supporto, file system, TRIM, sovrascritture, cifratura, frammentazione, uso successivo e stato fisico. Un file recuperato mediante carving può essere privo di nome, percorso, data o autore.

Sì, quando il recupero è rilevante. L’uso successivo può sovrascrivere i dati. È consigliabile evitare installazioni, copie, aggiornamenti, download, software di recupero, pulizia del disco e ripristini.

Sì. L’analisi può riguardare EML o MSG, header completi, Message-ID, Received, DKIM, SPF, allegati, collegamenti, date, fusi, mailbox e log. Una stampa o un PDF della schermata può non contenere tutte le informazioni tecniche.

No. Può essere falsificato o configurato in modo ingannevole. Occorre verificare header, server, DKIM, SPF, domini, account, Message-ID, log e contesto. Anche una firma DKIM valida non identifica automaticamente la persona fisica.

La PEC utilizza ricevute e buste di trasporto che possono documentare accettazione, consegna, gestore, momento della trasmissione e allegati. Per una verifica tecnica sono importanti i file PEC originari, non soltanto la stampa.

No. Può documentare integrità dopo la firma, certificato utilizzato e stato della firma. Non dimostra automaticamente verità delle dichiarazioni, correttezza del documento o identità della persona che materialmente utilizzava il dispositivo.

Sì. Data, autore, software, GPS, dispositivo, descrizione e copyright possono essere modificati, rimossi, riscritti o prodotti durante l’esportazione. Sono elementi utili da correlare con altre fonti.

Sì, qualificandolo come immagine derivata. Si possono esaminare formato, dimensioni, metadati, crop, incoerenze e confronto con l’interfaccia. Non consente automaticamente di verificare database, URL, account o autenticità dell’intero contenuto.

È opportuno documentare URL, data e ora, account, contenuto, immagini, video, commenti, codice sorgente, file, contesto e hash. Un semplice screenshot può essere insufficiente e il contenuto può essere modificato o rimosso rapidamente.

Sì. L’analisi può riguardare formato, codec, metadati, durata, waveform, spettrogramma, rumore, discontinuità, tagli, montaggi, ricodifiche e provenienza. È preferibile il file più vicino alla registrazione originaria.

No. Possono derivare da montaggio, pausa, perdita di pacchetti, compressione, microfono, rumore, noise suppression, registrazione telefonica o ricodifica. L’indicatore deve essere correlato con struttura, segnale e contesto.

In alcuni casi è possibile valutarne la compatibilità con un contenuto sintetico usando provenienza, codec, spettrogramma, prosodia, rumore, replay, C2PA, watermark, detector e campioni autentici. Nessun detector è infallibile.

Sì. Si possono analizzare contenitore, codec, GOP, frame, PTS, DTS, tracce audio, edit list, ricodifica e metadati. Un keyframe o una ricodifica non dimostrano automaticamente un montaggio fraudolento.

In alcuni casi si possono rilevare elementi compatibili con face swapping, reenactment, lip sync, talking head, generazione integrale o modifica locale, correlando provenienza, frame, movimento, audio, metadati, C2PA, watermark, detector e contesto.

No. Occorre conoscere modello, versione, dataset, soglia, classe positiva, preprocessing, qualità del file, compressione e dominio. Il valore può non essere una probabilità calibrata e uno screenshot del detector non costituisce una perizia.

Sono informazioni firmate che possono documentare provenienza, software, modifiche, ingredienti e uso dichiarato di AI. Non dimostrano automaticamente verità della scena, identità della persona o completezza della storia; la loro assenza non prova che il file sia falso.

Sì, nei limiti della generazione disponibile. L’analisi può riguardare EXIF, XMP, JPEG, compressione, copy-move, splicing, inpainting, rumore, CFA, PRNU, prospettiva, luce, ombre, riflessi, C2PA e detector AI.

No. L’ELA è una tecnica orientativa per alcune immagini JPEG. Può evidenziare bordi, texture o aree con diverso comportamento di compressione, ma una zona luminosa non coincide automaticamente con una modifica.

Sì, utilizzando soltanto fonti e accessi autorizzati. Si possono esaminare notifiche, audit log, dispositivi, sessioni, MFA, IP, browser, email di sicurezza, cloud, firewall e VPN. L’analisi non identifica automaticamente la persona fisica.

No. Identifica una connessione osservata in un momento. Può essere dinamico, condiviso, dietro NAT, VPN o proxy. Per una correlazione più forte servono data, ora, porta, protocollo, account, dispositivo, sessione e log del provider.

Non sempre. I log possono associare attività ad account, dispositivo, sessione, token o IP. L’identificazione personale richiede elementi ulteriori e deve considerare credenziali condivise, compromissione, accesso remoto, malware e automazioni.

Sì. Le fonti possono comprendere firewall, VPN, Active Directory, Microsoft 365, Google Workspace, endpoint, EDR, proxy, DNS, DHCP, cloud e SIEM. Prima dell’analisi vanno verificati retention, timezone, clock, raw event, query, filtri e completezza.

No. L’assenza è significativa soltanto se il sistema avrebbe dovuto registrare l’evento, il logging era attivo, la retention copre il periodo, l’export è completo, il parser supporta il record e la query è corretta.

È una ricostruzione cronologica di eventi provenienti da file, accessi, chat, email, browser, smartphone, log, cloud e media. Ogni timestamp deve essere interpretato considerando semantica, fuso, UTC, precisione e clock drift. La successione non dimostra automaticamente causalità.

È il consulente tecnico nominato dalla parte. Può studiare il quesito, partecipare alle operazioni, verificare reperti e hash, analizzare la CTU, formulare osservazioni e redigere una relazione tecnica di parte.

Il CTU è nominato dal giudice per assisterlo su questioni tecniche; il CTP è nominato dalla parte per assisterla. Il CTP può partecipare, formulare richieste, verificare il metodo e presentare osservazioni specifiche.

Una contestazione efficace indica affermazione, fonte, criticità, impatto e verifica proposta. Una formula generica come “tutti i file possono essere falsificati” non è tecnicamente sufficiente.

Può contenere incarico, quesito, autorizzazione, materiale, catena di custodia, hash, metodo, strumenti e versioni, risultati, discussione, limiti, conclusioni e allegati. Deve distinguere fatti osservati, interpretazioni e ipotesi.

No. Documenta risultati e limiti dell’accertamento ma non garantisce ammissibilità, valore probatorio, accoglimento o decisione finale, che competono al difensore e all’autorità giudiziaria.

Non esiste una durata standard. Dipende da numero e dimensione dei reperti, tipo di acquisizione, cifratura, errori, quantità di dati, complessità, urgenza, collaborazioni, contraddittorio e tipo di relazione.

Il costo dipende da quesito, dispositivi, acquisizione, volume dei dati, strumenti, complessità, urgenza, trasferte, relazione e contraddittorio. Una valutazione preliminare consente di definire perimetro e preventivo.

È preferibile inviare inizialmente soltanto una descrizione sintetica. Password, token, immagini intime, dati sanitari, archivi aziendali, intere chat e documenti riservati devono essere trasmessi solo dopo aver concordato un canale idoneo.

La gestione può prevedere accesso limitato, cifratura, workstation dedicate, supporti controllati, copie separate, minimizzazione, oscuramenti su copie, registri degli accessi e conservazione proporzionata. Gli originali non devono essere oscurati o modificati.

Lo Studio ha sede a Roma e opera prevalentemente nella Città metropolitana e nel Lazio. Gli incarichi possono essere valutati anche altrove quando file e dispositivi possono essere trasferiti in modo idoneo o le operazioni possono essere organizzate.