Acquisizione forense di iPhone e iPad iOS

1. Avvertenza preliminare

Le procedure descritte in questo capitolo devono essere eseguite solo su iPhone, iPad, backup, account, supporti o dati ricevuti lecitamente, nell’ambito di un incarico professionale, di una consulenza tecnica, di una perizia informatica, di un’attività difensiva, di un incarico aziendale autorizzato o di una richiesta del proprietario o avente diritto.

Questo capitolo non fornisce istruzioni per sbloccare dispositivi senza autorizzazione, superare codici di sblocco, aggirare Face ID o Touch ID, violare account Apple, forzare backup iCloud, installare spyware, estrarre credenziali o accedere a dati di terzi senza consenso.

La mobile forensics su iPhone e iPad richiede sempre: legittimazione, documentazione, catena di custodia, conservazione degli output, hash e chiara indicazione dei limiti.

Regola iniziale: non tentare sblocchi, non improvvisare e non modificare il dispositivo prima di aver documentato lo stato iniziale.

2. Che cos’è l’acquisizione forense iOS?

L’acquisizione forense iOS è l’insieme delle attività tecniche con cui il perito acquisisce, conserva e documenta dati presenti su dispositivi Apple come iPhone e iPad. Uno smartphone Apple può contenere iMessage, SMS, WhatsApp, Telegram, Signal, Mail, PEC configurata, Foto, Video, Note, Memo vocali, File, Safari, cronologia, contatti, calendari, registro chiamate, dati di posizione, allegati, screenshot, documenti PDF, file audio, file video e contenuti modificati o generati con intelligenza artificiale.

Il NIST SP 800-101 Rev. 1 tratta la mobile device forensics come attività di recupero, preservazione, acquisizione, esame, analisi e reporting di prove digitali da dispositivi mobili. Nel manuale dello Studio Quaranta, l’acquisizione iOS è quindi collegata a triage iniziale, hash e verbale tecnico, perizia WhatsApp, metadati, timeline forense e relazione tecnica CTP.

3. Perché iOS è diverso da Android?

iOS e iPadOS hanno un ecosistema molto controllato. Le differenze principali riguardano Data Protection, Secure Enclave, passcode, backup cifrati, pairing con computer, sandbox delle app, iCloud, gestione delle chiavi, protezione dei file, Face ID, Touch ID, aggiornamenti frequenti, restrizioni USB e dipendenza dallo stato sbloccato del dispositivo.

Apple descrive Data Protection come tecnologia usata per proteggere i dati archiviati nella memoria flash dei dispositivi Apple, con classi di protezione che incidono sul momento in cui i file diventano accessibili. Questo significa che un iPhone acceso e sbloccato, un iPhone acceso ma bloccato, un dispositivo spento, un backup locale cifrato o un backup iCloud autorizzato sono scenari tecnici diversi.

Chi arriva dall’acquisizione forense di smartphone Android deve ricordare che iOS non si comporta come Android: backup, trust, sandbox, iCloud e Data Protection condizionano la quantità e la qualità dei dati acquisibili.

4. Collegamento con gli altri capitoli del manuale

Un iPhone può contenere una prova WhatsApp, una chat Telegram o Signal trattata nel capitolo su Telegram, Signal e app di messaggistica, un file audio da verificare nel capitolo sull’autenticità audio, un vocale sospetto da valutare nel capitolo su voice cloning e audio generati con intelligenza artificiale, un video da esaminare nel capitolo sull’autenticità video, una foto da analizzare nel capitolo sulle immagini manipolate o generate con AI, oppure dati sincronizzati da trattare nel capitolo sulla cloud forensics.

Come in una voce enciclopedica, ogni passaggio deve rimandare al capitolo specialistico pertinente: backup e hash al Capitolo 02, supporti esterni al Capitolo 03, Mac e MobileSync al Capitolo 05, WhatsApp al Capitolo 08, metadati al Capitolo 14, screenshot al Capitolo 15, cloud al Capitolo 23 e relazione tecnica al Capitolo 30.

5. Domande tipiche del cliente

Un cliente può arrivare allo Studio Quaranta a Roma con domande come:

Posso usare questa chat iMessage in giudizio?
Posso acquisire WhatsApp da iPhone?
Si possono recuperare messaggi cancellati su iPhone?
Si può fare una copia forense dell’iPhone?
Un vocale WhatsApp su iPhone è autentico?
Una foto è stata scattata da questo iPhone?
Un video è stato modificato?
Un audio può essere stato generato con AI?
Si può fare un backup forense?
Un iPhone bloccato può essere analizzato?
Si può estrarre iCloud?
Si può capire se un file è stato creato o ricevuto in una certa data?

Il perito deve trasformare la domanda in un quesito tecnico: dispositivo disponibile, stato acceso o spento, passcode noto, trust già autorizzato, backup esistente, dati locali o cloud, app coinvolta, finalità della consulenza e limiti del metodo.

6. Tipi di dati rilevanti su iPhone e iPad

I dati rilevanti si dividono in più gruppi.

7. Prima fase: triage del dispositivo iOS

Il triage iniziale è fondamentale. Prima di collegare l’iPhone al computer bisogna documentare stato fisico, schermata, batteria, rete, Wi-Fi, Bluetooth, modalità aereo, SIM, eventuale profilo MDM, account visibile, notifiche e accessori consegnati.

Checklist iniziale:

[ ] iPhone o iPad;
[ ] marca/modello;
[ ] colore;
[ ] stato fisico;
[ ] schermo integro o rotto;
[ ] acceso o spento;
[ ] bloccato o sbloccato;
[ ] batteria;
[ ] rete mobile;
[ ] Wi-Fi;
[ ] Bluetooth;
[ ] modalità aereo;
[ ] SIM/eSIM;
[ ] notifiche visibili;
[ ] profilo MDM;
[ ] cavo e accessori consegnati.

La prima domanda operativa è: il dispositivo è sbloccato e il proprietario può autorizzare il computer? Se sì, il percorso tipico è backup locale cifrato o acquisizione con strumenti professionali. Se no, bisogna documentare limiti, richiedere credenziali o valutare alternative lecite.

8. Stati operativi del dispositivo

Dispositivo spento

Se l’iPhone o l’iPad è spento, non accenderlo automaticamente. Fotografare, annotare lo stato, chiedere se il passcode è noto e valutare se accenderlo solo con autorizzazione. Un dispositivo spento e cifrato può offrire meno possibilità rispetto a un dispositivo già sbloccato.

Dispositivo acceso ma bloccato

Se è acceso ma bloccato, fotografare schermata, non fare tentativi casuali di codice, non usare Face ID o Touch ID senza consenso, documentare notifiche e mantenere alimentazione se necessario. In questo scenario è fondamentale la catena di custodia.

Dispositivo acceso e sbloccato

Se è acceso e sbloccato, fotografare subito, evitare esplorazioni inutili, valutare rischio di blocco automatico, documentare eventuali modifiche, valutare backup locale cifrato e strumenti professionali.

Dispositivo danneggiato

Se schermo o dispositivo sono danneggiati, non improvvisare riparazioni. Fotografare, verificare se si accende solo se sicuro, valutare laboratorio e verbalizzare ogni intervento. Se il dato principale è su supporto esterno o Mac collegato, considerare anche il capitolo su macOS e Linux.

9. Prevenire modifiche, cancellazioni remote e sincronizzazioni

iPhone e iPad possono ricevere notifiche, messaggi, comandi da iCloud, cancellazioni remote, sincronizzazioni, aggiornamenti e backup. Le opzioni possibili sono: lasciare il dispositivo nello stato trovato, attivare modalità aereo se sbloccato e autorizzato, disattivare Wi-Fi e Bluetooth se opportuno, usare busta Faraday, mantenere alimentazione e acquisire rapidamente dati volatili.

Ogni intervento va documentato. Una formula utile:

In data __, ore __, è stata attivata modalità aereo sul dispositivo, già sbloccato e con autorizzazione dell’avente diritto, al fine di ridurre il rischio di modifiche remote o sincronizzazioni durante l’acquisizione.

10. Scheda reperto iPhone/iPad

Ogni dispositivo deve avere una scheda tecnica autonoma.

SCHEDA REPERTO iPHONE / iPAD

Codice caso:
Codice reperto:
Data ricezione:
Ora ricezione:
Luogo:
Consegnante:
Tecnico ricevente:

Tipo dispositivo: iPhone / iPad
Marca: Apple
Modello:
Colore:
Capacità dichiarata:
Numero seriale:
IMEI:
UDID:
Versione iOS/iPadOS:
Build:
Stato dispositivo: acceso/spento
Stato schermo: bloccato/sbloccato
Batteria:
Modalità aereo:
Wi-Fi:
Bluetooth:
SIM/eSIM:
Account Apple visibile:
Passcode fornito: sì/no
Computer già autorizzato: sì/no/non noto
Backup esistente: sì/no/non noto
Finalità:
Note:

UDID, seriale, IMEI, account Apple e notifiche sono dati sensibili. Devono restare nel fascicolo tecnico e non essere diffusi inutilmente.

11. Catena di custodia iOS

La catena di custodia iOS deve registrare ricezione, stato iniziale, foto, codice reperto, eventuale sblocco autorizzato, eventuale trust del computer, collegamento USB, backup creato, output prodotti, hash, strumenti, report e limiti.

REGISTRO CATENA DI CUSTODIA iOS

Data/Ora:
Operatore:
Reperto:
Azione:
Stato dispositivo:
Strumento:
Output:
Hash:
Note:

Esempio:

10/07/2026 09:20
Marcello Quaranta
MQ-2026-0047-R01
Ricezione iPhone 13
Stato: acceso, sbloccato, batteria 74%, Wi-Fi attivo
Azione: fotografie iniziali e compilazione scheda reperto
Output: foto in 01_foto_reperto/
Note: cliente dichiara presenza di chat WhatsApp rilevante

12. Cartella di caso per acquisizione iOS

MQ-2026-0047_Acquisizione_iOS_Roma/
│
├── 00_incarico_e_verbali/
├── 01_foto_reperto/
├── 02_scheda_dispositivo/
├── 03_log_catena_custodia/
├── 04_backup_locale/
├── 05_backup_cifrato/
├── 06_output_apple_configurator/
├── 07_output_tool_forensi/
│   ├── Cellebrite/
│   ├── Magnet_AXIOM/
│   ├── Oxygen/
│   └── MSAB_XRY/
├── 08_ileapp_output/
├── 09_media_export/
├── 10_chat_messaggistica/
├── 11_metadati/
├── 12_hash/
├── 13_report/
├── 14_screenshot_documentativi/
├── 15_note_analisi/
└── 16_relazione/

13. Tipi di acquisizione iOS

La scelta del metodo deve essere motivata nel verbale e collegata al quesito tecnico.

14. Scelta del metodo di acquisizione

15. Preparazione della workstation

Prima di collegare iPhone o iPad:

[ ] creare cartella caso;
[ ] verificare spazio disco;
[ ] usare cavo originale o affidabile;
[ ] aggiornare/controllare strumenti;
[ ] disattivare import automatico Foto;
[ ] chiudere sincronizzazioni non necessarie;
[ ] preparare registro;
[ ] preparare password backup cifrato;
[ ] preparare supporto di destinazione;
[ ] annotare data/ora workstation;
[ ] preparare fotocamera documentativa.

Gli strumenti possibili includono Finder, Apple Devices, iTunes, Apple Configurator, libimobiledevice, idevicebackup2, Cellebrite UFED, Magnet AXIOM, Oxygen Forensic Detective, MSAB XRY, iLEAPP, DB Browser for SQLite, ExifTool, MediaInfo e strumenti di hash già descritti nel capitolo su hash e verbale tecnico.

16. Trust This Computer e pairing

Quando si collega un iPhone o iPad a un computer, può comparire la richiesta Trust This Computer?. Questa autorizzazione consente al computer di comunicare con il dispositivo per alcune operazioni, come backup o accesso a dati consentiti.

Procedura:

1. Fotografare schermata prima dell’azione.
2. Annotare data e ora.
3. Spiegare al proprietario cosa si sta facendo.
4. Far confermare il consenso.
5. Toccare “Trust” solo con autorizzazione.
6. Inserire passcode, se richiesto e noto.
7. Annotare l’operazione nel registro.

Formula di verbale:

Il dispositivo ha richiesto autorizzazione “Trust This Computer”. L’autorizzazione è stata fornita dall’avente diritto, con inserimento del passcode da parte dello stesso o sotto sua autorizzazione. L’operazione è stata documentata nel registro tecnico.

17. Backup locale con Finder su Mac

Con macOS moderni si usa Finder per il backup locale dell’iPhone o iPad. Il dispositivo deve essere collegato via cavo, selezionato nella barra laterale e autorizzato se compare la richiesta di trust.

Procedura passo passo:

1. Preparare cartella caso.
2. Fotografare dispositivo.
3. Collegare iPhone/iPad al Mac.
4. Se richiesto, consentire accessorio.
5. Aprire Finder.
6. Selezionare il dispositivo nella barra laterale.
7. Autorizzare “Trust” con consenso.
8. Inserire passcode, se richiesto.
9. Aprire scheda Generale.
10. Selezionare backup sul Mac.
11. Preferire backup cifrato se necessario e autorizzato.
12. Impostare password backup.
13. Annotare gestione password nel fascicolo riservato.
14. Avviare “Back Up Now”.
15. Attendere completamento.
16. Annotare ora inizio/fine.
17. Individuare cartella backup.
18. Copiare backup nella cartella caso.
19. Calcolare hash del backup o manifest.
20. Conservare log, screenshot e note.

18. Backup su Windows con Apple Devices o iTunes

Su Windows si può usare Apple Devices oppure iTunes. Anche qui può essere richiesto il passcode del dispositivo o la conferma Trust This Computer.

1. Collegare il dispositivo con cavo.
2. Aprire Apple Devices oppure iTunes.
3. Selezionare il dispositivo.
4. Autorizzare Trust sul dispositivo.
5. Inserire passcode con consenso.
6. Aprire sezione backup.
7. Selezionare backup locale.
8. Attivare Encrypt local backup, se appropriato.
9. Impostare password.
10. Avviare backup.
11. Attendere completamento.
12. Copiare backup nel fascicolo.
13. Calcolare hash.
14. Annotare output.

19. Perché preferire backup cifrato

Il backup cifrato è spesso più utile. Apple indica che i backup cifrati possono includere informazioni non presenti nei backup non cifrati, come password salvate, impostazioni Wi-Fi, cronologia siti web, dati Health e registro chiamate. Non includono Face ID, Touch ID o il codice del dispositivo.

Vantaggi:

[ ] più dati rispetto al backup non cifrato;
[ ] maggiore utilità tecnica;
[ ] possibile inclusione di cronologia web;
[ ] possibile inclusione registro chiamate;
[ ] migliore supporto a parsing forense;
[ ] output documentabile.

Svantaggi:

[ ] serve password;
[ ] se la password viene persa, il backup può diventare inutilizzabile;
[ ] richiede consenso;
[ ] può modificare impostazioni di backup del dispositivo;
[ ] va documentato.

Formula tecnica:

È stato creato backup locale cifrato del dispositivo iOS, previa autorizzazione dell’avente diritto, al fine di massimizzare la raccolta dei dati disponibili rispetto al backup non cifrato. La password del backup è stata gestita secondo procedura riservata.

20. Dove si trova il backup locale

Percorso tipico su Mac:

~/Library/Application Support/MobileSync/Backup/

Percorsi tipici su Windows:

%APPDATA%\Apple Computer\MobileSync\Backup\

Dopo aver individuato il backup, copiarlo nella cartella del caso, generare un manifest hash e conservarlo come reperto derivato.

21. Hash del backup iOS

Un backup iOS è composto da molti file. Per documentarlo, generare un manifest hash.

macOS/Linux:

find 05_backup_cifrato -type f -print0 | xargs -0 shasum -a 256 > 12_hash/backup_ios_manifest_sha256.txt

Windows PowerShell:

Get-ChildItem "D:\Caso\05_backup_cifrato" -Recurse -File |
Get-FileHash -Algorithm SHA256 |
Export-Csv "D:\Caso\12_hash\backup_ios_manifest_sha256.csv" -NoTypeInformation

Se si crea un archivio:

zip -r MQ-2026-0047_backup_ios.zip 05_backup_cifrato
shasum -a 256 MQ-2026-0047_backup_ios.zip > 12_hash/MQ-2026-0047_backup_ios_zip_sha256.txt

22. Backup con libimobiledevice e idevicebackup2

In ambienti Linux o macOS si può usare libimobiledevice. Lo strumento idevicebackup2 permette di creare o ripristinare backup di dispositivi iOS compatibili.

Esempio indicativo:

idevicebackup2 backup 05_backup_cifrato/

Da usare solo su dispositivo autorizzato e con pairing/trust correttamente documentato.

Formula:

Il backup iOS è stato acquisito mediante idevicebackup2, su dispositivo autorizzato e riconosciuto, con output salvato nella cartella tecnica del caso e successivo calcolo degli hash dei file prodotti.

23. Apple Configurator

Apple Configurator può essere utile in contesti autorizzati, soprattutto per dispositivi aziendali o gestiti.

Procedura generale:

1. Aprire Apple Configurator.
2. Collegare dispositivo.
3. Verificare riconoscimento.
4. Documentare modello e stato.
5. Eseguire solo operazioni autorizzate.
6. Non preparare o supervisionare dispositivi personali senza titolo.
7. Salvare output o screenshot documentativi.
8. Annotare nel registro.

24. Acquisizione con Cellebrite UFED

Cellebrite UFED è una soluzione professionale per mobile forensic extraction. La procedura, in forma generale, è:

1. Creare caso nello strumento.
2. Inserire codice caso e codice reperto.
3. Inserire dati tecnico.
4. Selezionare Apple iOS.
5. Selezionare modello dispositivo.
6. Collegare dispositivo.
7. Verificare compatibilità.
8. Scegliere metodo disponibile e autorizzato.
9. Documentare eventuali azioni sul dispositivo.
10. Avviare acquisizione.
11. Salvare output.
12. Salvare report e log.
13. Calcolare hash.
14. Annotare limiti.

Formula:

L’acquisizione del dispositivo iOS è stata eseguita mediante Cellebrite UFED, secondo il metodo compatibile con il modello e la versione software del dispositivo, previa autorizzazione dell’avente diritto. Report e log sono stati conservati nel fascicolo tecnico.

25. Acquisizione con Magnet AXIOM

Magnet AXIOM può acquisire o processare evidenze mobile, cloud, computer e veicoli in un unico case file.

1. Creare nuovo caso.
2. Inserire nome caso e numero reperto.
3. Selezionare Mobile.
4. Selezionare iOS.
5. Aggiungere backup o acquisire da dispositivo.
6. Se richiesto, inserire password backup cifrato.
7. Processare artefatti.
8. Verificare categorie rilevanti.
9. Taggare elementi utili.
10. Esportare report.
11. Conservare log.

Magnet è particolarmente utile quando bisogna correlare iPhone, cloud forensics e computer Windows o Mac.

26. Acquisizione con Oxygen Forensic Detective

Oxygen Forensic Detective supporta acquisizioni e analisi da dispositivi mobili, computer, IoT e cloud. Alcuni metodi possono richiedere componenti agent: in tal caso bisogna documentare installazione, versione, permessi e rimozione.

1. Creare caso.
2. Inserire dati reperto.
3. Collegare dispositivo o importare backup.
4. Selezionare metodo compatibile.
5. Documentare eventuale agente.
6. Acquisire dati.
7. Processare artefatti.
8. Esportare report.
9. Conservare log.
10. Calcolare hash output.

27. Acquisizione con MSAB XRY

MSAB XRY è una soluzione di mobile forensics per estrazione e recupero dati da telefoni e dispositivi mobili.

1. Creare caso XRY.
2. Inserire dati dispositivo.
3. Selezionare Apple iOS.
4. Collegare dispositivo.
5. Scegliere metodo compatibile.
6. Avviare estrazione.
7. Salvare output.
8. Salvare report.
9. Annotare limiti.

28. iLEAPP: analisi di backup ed estrazioni iOS

iLEAPP significa iOS Logs, Events, And Plist Parser. È uno strumento open source per analizzare backup ed estrazioni iOS/iPadOS e generare output HTML, TSV, timeline, KML e altri formati.

Cartella output consigliata:

08_ileapp_output/
├── report.html
├── tsv/
├── timeline/
├── logs/
└── exports/

Procedura generale:

1. Preparare backup o estrazione.
2. Verificare hash del backup.
3. Creare cartella output.
4. Eseguire iLEAPP.
5. Conservare report HTML.
6. Conservare TSV/CSV.
7. Esaminare artefatti rilevanti.
8. Correlare con quesito tecnico.
9. Non considerare il report come verità assoluta.
10. Inserire risultati nella timeline.

Il report iLEAPP deve essere interpretato insieme a timeline forense, metadati e relazione tecnica CTP.

29. Struttura del backup iOS

Un backup iOS non è una cartella ordinata con nomi file leggibili dall’utente. Spesso contiene file con nomi hash, manifest, database, plist, file media, dati app e file cifrati, se il backup è cifrato.

File importanti:

Manifest.db
Manifest.plist
Info.plist
Status.plist

Regola:

Backup originale → conservazione
Copia backup → parsing e analisi

30. Acquisizione manuale documentata iOS

L’acquisizione manuale resta utile quando il dato è visibile e urgente.

1. Fotografare dispositivo.
2. Annotare stato.
3. Aprire solo l’app pertinente.
4. Mostrare contesto: nome chat, numero, data.
5. Scorrere lentamente.
6. Fotografare o salvare screenshot di ogni sezione.
7. Includere data e ora dei messaggi.
8. Documentare allegati, vocali, immagini e video.
9. Evitare ritagli.
10. Salvare immagini acquisite.
11. Calcolare hash.
12. Annotare limiti.

Limite: non acquisisce database e non dimostra da sola l’integrità della chat originale. Collegare sempre al capitolo sulla verifica forense di screenshot e schermate.

31. iMessage e SMS

iMessage e SMS possono essere importanti in cause civili, familiari, lavoristiche o penali.

Dati possibili:

testo messaggi;
mittente/destinatario;
date;
allegati;
conversazioni;
stato invio;
gruppi;
media;
link;
contesto.

Metodi possibili: backup cifrato, strumenti professionali, iLEAPP, acquisizione manuale documentata, database parsing se disponibile in estrazione.

32. WhatsApp su iPhone

WhatsApp è uno dei casi più frequenti. Può contenere messaggi, vocali, foto, video, documenti, gruppi, contatti, allegati, date, esportazioni, backup iCloud e media nel dispositivo.

Per l’analisi specialistica consultare il capitolo Perizia WhatsApp: messaggi, vocali e allegati. Per i vocali consultare anche autenticità audio e voice cloning.

33. Foto, video e Live Photos

Dati da controllare:

file originale;
metadati EXIF;
data scatto;
dispositivo;
GPS, se presente;
Live Photo associata;
editing;
app usata;
sincronizzazione iCloud;
esportazioni.

Strumenti: ExifTool, MediaInfo, iLEAPP, Magnet AXIOM, Cellebrite, Oxygen, Amped Authenticate. Approfondimenti nei capitoli su metadati e provenienza, autenticità video e immagini generate con AI.

34. Memo Vocali e file audio

Memo Vocali può contenere registrazioni rilevanti.

Cosa acquisire:

file audio;
metadati;
data creazione;
durata;
nome registrazione;
eventuali esportazioni;
posizione nel backup;
copie condivise;
app di provenienza.

I file audio acquisiti devono essere conservati nel formato disponibile, senza conversioni preliminari, e collegati ai capitoli su autenticità audio, voice cloning e timeline forense.

35. Safari, browser e download

Safari, Chrome e browser su iOS possono contenere cronologia, download, schede, segnalibri, cache, cookie, ricerche e file scaricati. Sono rilevanti in casi di accessi abusivi ad account email, social e cloud, truffe online, cloud forensics e financial cybercrime.

36. Dati iCloud e sincronizzazione

iPhone e iPad sono fortemente collegati a iCloud. Possibili dati: Foto iCloud, iCloud Drive, backup iCloud, contatti, calendari, note, Safari, messaggi secondo configurazione, dati app e dati sincronizzati su Mac o PC.

Non accedere a iCloud senza titolo. La cloud forensics richiede autorizzazione specifica e si collega al capitolo Cloud forensics: Google, Microsoft, Dropbox e backup.

37. App di editing, AI e manipolazione contenuti su iPhone

Un iPhone può contenere app per editing foto, editing video, modifica audio, generazione immagini, sintesi vocale, voice cloning, filtri deepfake, ritocco volti, conversione file e generazione PDF.

Cercare app installate, cronologia app, file recenti, export, album, cartelle File, Safari downloads, iCloud Drive, cache e progetti.

La presenza di app di editing non dimostra da sola la manipolazione di un file. Serve correlazione con autenticità audio, voice cloning, analisi video deepfake, immagini AI, metadati e timeline.

38. Backup iOS e recupero dati cancellati

Il recupero di dati cancellati su iOS è complesso a causa di Data Protection, cifratura, sandbox app, database compattati, sincronizzazione cloud, backup sovrascritti, cancellazioni app, aggiornamenti iOS, spazio riutilizzato e limiti degli strumenti.

Possibili fonti residue:

vecchi backup;
backup cifrati;
iCloud;
dati sincronizzati su Mac;
allegati ancora presenti;
miniature;
database con residui;
notifiche;
file esportati;
copie condivise;
altri dispositivi Apple collegati.

Approfondimento: recupero dati cancellati per fini probatori.

39. Timeline iOS

Una timeline iOS può includere messaggi, chiamate, foto, video, download, app, Safari, notifiche, file, backup, eventi artefatti e dati app.

Metodo:

1. Processare backup con iLEAPP o tool forense.
2. Esportare TSV/CSV.
3. Identificare periodo di interesse.
4. Normalizzare fuso orario.
5. Separare eventi utente da eventi di sistema.
6. Correlare chat, media, file e browser.
7. Preparare tabella cronologica.

Approfondimento: timeline forense e ricostruzione cronologica degli eventi.

40. Report tecnico dell’acquisizione iOS

Il report deve indicare dati caso, dati reperto, dispositivo, stato iniziale, metodo acquisizione, backup cifrato o non cifrato, strumenti usati, versioni, password backup gestita, output, hash, log, dati rilevanti, limiti e allegati.

VERBALE TECNICO DI ACQUISIZIONE iOS

Caso:
Reperto:
Tecnico:
Data:
Luogo:

Dispositivo:
Modello:
Seriale:
IMEI:
UDID:
Versione iOS/iPadOS:
Stato iniziale:
Blocco schermo:
Batteria:
Connettività:
Metodo acquisizione:
Strumento:
Versione:
Backup cifrato: sì/no
Password backup: gestita secondo procedura riservata
Output:
Hash:
Log:
Limitazioni:
Note:

41. Caso pratico 1 — iPhone con WhatsApp rilevante a Roma

Scenario: un avvocato di Roma consegna un iPhone sbloccato del cliente. Una chat WhatsApp contiene messaggi, vocali e allegati rilevanti.

Procedura:

1. Creare codice caso.
2. Fotografare dispositivo.
3. Compilare scheda reperto.
4. Annotare stato sbloccato.
5. Collegare al Mac/PC.
6. Autorizzare Trust con consenso.
7. Creare backup locale cifrato.
8. Copiare backup nel fascicolo.
9. Calcolare hash manifest.
10. Processare backup con iLEAPP o tool professionale.
11. Esportare chat/artefatti pertinenti.
12. Collegare risultati al capitolo WhatsApp.

La valutazione specifica dei messaggi deve essere sviluppata nel capitolo Perizia WhatsApp; i vocali vanno poi collegati ai capitoli su autenticità audio e voice cloning.

42. Caso pratico 2 — iPhone con foto o video sospetto

Scenario: un privato di Roma vuole verificare una foto o un video presente su iPhone.

Procedura:

1. Documentare dispositivo.
2. Creare backup cifrato o acquisizione con strumento.
3. Estrarre file media.
4. Calcolare hash.
5. Analizzare EXIF/metadata.
6. Analizzare video con MediaInfo.
7. Verificare sincronizzazione iCloud.
8. Collegare alla timeline.
9. Valutare eventuali modifiche o app di editing.

Collegare a metadati e provenienza file, autenticità video e immagini manipolate con AI.

43. Caso pratico 3 — iPhone bloccato

Scenario: il dispositivo è acceso ma bloccato. Il cliente non ricorda o non fornisce il passcode.

1. Fotografare stato.
2. Non effettuare tentativi casuali.
3. Non usare Face ID o Touch ID senza consenso.
4. Annotare batteria, ora, notifiche.
5. Chiedere credenziali all’avente diritto.
6. Verificare esistenza backup locale.
7. Verificare eventuale iCloud autorizzato.
8. Conservare dispositivo.
9. Annotare limiti.
10. Non promettere acquisizione.

Formula:

Il dispositivo è stato ricevuto acceso ma bloccato. Non sono stati effettuati tentativi di sblocco non autorizzati. L’accesso ai dati richiede passcode, backup disponibile, credenziali fornite lecitamente o strumenti professionali compatibili e autorizzati.

44. Caso pratico 4 — Backup iPhone già presente su Mac

Scenario: il cliente porta un Mac che contiene un backup iPhone precedente.

1. Trattare il Mac secondo analisi forense macOS.
2. Identificare cartella MobileSync/Backup.
3. Copiare backup nel fascicolo.
4. Calcolare hash manifest.
5. Verificare se backup è cifrato.
6. Richiedere password backup, se cifrato.
7. Processare con iLEAPP/AXIOM/Cellebrite/Oxygen.
8. Annotare origine del backup.

Questa procedura collega l’acquisizione iOS con l’analisi forense di macOS e Linux e con il capitolo su catena di custodia, hash e verbale tecnico.

45. Caso pratico 5 — Memo vocale sospetto

Scenario: il cliente possiede un memo vocale su iPhone e teme che il file possa essere stato tagliato, esportato o alterato.

1. Acquisire dispositivo o backup.
2. Identificare Memo Vocali.
3. Estrarre file audio.
4. Calcolare hash.
5. Analizzare metadati.
6. Analizzare con MediaInfo.
7. Verificare eventuali esportazioni/condivisioni.
8. Collegare alla timeline.
9. Passare al capitolo audio.

Approfondire in autenticità audio e voice cloning.

46. Errori da evitare

[ ] tentare codici a caso;
[ ] non documentare Trust This Computer;
[ ] creare backup non cifrato quando serve più completezza;
[ ] perdere la password del backup cifrato;
[ ] confondere iCloud con backup locale;
[ ] analizzare il backup originale invece di una copia;
[ ] non calcolare hash;
[ ] considerare il report automatico come verità assoluta;
[ ] non indicare limiti;
[ ] promettere recuperi impossibili.

47. Checklist operativa completa

Prima della ricezione:

[ ] codice caso;
[ ] verbale;
[ ] scheda reperto;
[ ] cartella caso;
[ ] cavo affidabile;
[ ] Mac/PC pronto;
[ ] spazio disco sufficiente;
[ ] strumenti pronti;
[ ] registro attività.

Alla ricezione:

[ ] fotografare dispositivo;
[ ] annotare stato;
[ ] annotare modello;
[ ] annotare seriale/IMEI se disponibile;
[ ] annotare iOS/iPadOS;
[ ] annotare batteria;
[ ] annotare blocco schermo;
[ ] annotare connettività;
[ ] compilare scheda.

Durante acquisizione:

[ ] documentare Trust Computer;
[ ] documentare inserimento passcode, se avviene;
[ ] annotare ora inizio backup;
[ ] usare backup cifrato se appropriato;
[ ] conservare password secondo procedura;
[ ] attendere completamento;
[ ] copiare backup nel fascicolo;
[ ] calcolare hash;
[ ] processare con strumenti.

Dopo acquisizione:

[ ] salvare log;
[ ] salvare report;
[ ] creare manifest hash;
[ ] aggiornare catena di custodia;
[ ] annotare limiti;
[ ] preparare output rilevanti;
[ ] collegare risultati ai quesiti.

48. Output minimo del capitolo

Alla fine dell’acquisizione iOS devono esistere:

1. verbale di ricezione;
2. scheda reperto iPhone/iPad;
3. fotografie documentative;
4. registro catena di custodia;
5. indicazione stato dispositivo;
6. descrizione metodo acquisizione;
7. backup locale o output tool;
8. password backup gestita secondo procedura, se cifrato;
9. hash manifest backup;
10. report tool;
11. output iLEAPP, se usato;
12. note sui limiti;
13. tabella dati rilevanti;
14. bozza conclusioni tecniche.

49. Modelli di frasi tecniche

Il dispositivo iOS è stato ricevuto nello stato indicato nella scheda reperto, con batteria pari a __, stato schermo __ e connettività __.

Il dispositivo ha richiesto autorizzazione “Trust This Computer”, fornita con consenso dell’avente diritto e documentata nel registro tecnico.

È stato creato backup locale cifrato del dispositivo iOS mediante __, con password gestita secondo procedura riservata e successivo calcolo hash dei file prodotti.

Il backup iOS è stato processato mediante iLEAPP per individuare e organizzare artefatti rilevanti, successivamente valutati in correlazione con i quesiti tecnici.

L’acquisizione è condizionata da stato del dispositivo, versione iOS/iPadOS, passcode, Data Protection, backup disponibili, configurazione iCloud e metodo tecnico utilizzato.

50. Figure consigliate per la pagina

Figura 1 — Scheda reperto iPhone/iPad
Alt: Scheda tecnica per acquisizione forense di iPhone e iPad a Roma

Figura 2 — Richiesta Trust This Computer
Alt: Richiesta autorizzazione Trust This Computer durante acquisizione forense iOS

Figura 3 — Backup cifrato in Finder
Alt: Opzione Encrypt local backup durante backup forense iPhone

Figura 4 — Cartella MobileSync Backup
Alt: Cartella backup iOS MobileSync Backup nel fascicolo tecnico

Figura 5 — Manifest hash SHA-256 backup iOS
Alt: Manifest hash dei file del backup iPhone acquisito

Figura 6 — Output iLEAPP
Alt: Report iLEAPP su backup iPhone in analisi forense

Figura 7 — Timeline iOS
Alt: Timeline di eventi estratti da backup iPhone

Figura 8 — Report tool forense mobile
Alt: Report tecnico di acquisizione iOS con strumenti di mobile forensics

51. Riferimenti tecnici esterni

• NIST SP 800-101 Rev. 1 — Guidelines on Mobile Device Forensics
• Apple Platform Security — Data Protection overview
• Apple Platform Security — Data Protection classes
• Apple Support — Backup iPhone/iPad con Mac
• Apple Support — Backup iPhone/iPad con Windows
• Apple Support — Backup cifrati iPhone/iPad
• Apple Support — Individuare e gestire backup iPhone/iPad
• Apple Configurator — backup e ripristino dispositivi
• libimobiledevice — idevicebackup2
• iLEAPP GitHub
• Cellebrite UFED
• Magnet AXIOM
• Oxygen Forensic Detective / iOS Agent
• MSAB XRY

52. Collegamenti interni consigliati

Capitoli precedenti: triage iniziale, catena di custodia, copia forense, computer Windows, macOS e Linux, Android.

Capitolo successivo: Perizia WhatsApp: messaggi, vocali e allegati.

Capitoli correlati: Telegram e Signal, recupero dati cancellati, screenshot, metadati, autenticità audio, voice cloning, cloud forensics, timeline, relazione tecnica CTP.

Pagine servizio: perizia informatica forense Roma, acquisizione smartphone e chat, recupero dati probatori, verifica autenticità audio, analisi video e deepfake, CTP informatico Roma e contatti.

53. Box operativo finale

Se un iPhone o un iPad contiene chat, vocali, foto, video, documenti, screenshot, messaggi, email o file rilevanti per una controversia, non bisogna improvvisare. Prima di inoltrare file, esportare chat, cancellare contenuti o fare screenshot parziali, è opportuno valutare una procedura tecnica.

Lo Studio Quaranta Digital Forensics a Roma può supportare privati, avvocati, aziende e professionisti in attività di acquisizione forense iPhone e iPad, backup locale cifrato, analisi backup iOS, verifica chat WhatsApp e iMessage, acquisizione foto, video e file, analisi di memo vocali, valutazione di iCloud e backup, report tecnico per uso giudiziario o stragiudiziale.

CTA consigliata: Richiedi una valutazione preliminare per iPhone o iPad.

54. Conclusione del capitolo

L’acquisizione forense di iPhone e iPad richiede metodo, prudenza e rispetto dei limiti tecnici. iOS protegge i dati con Data Protection, passcode, sandbox app, backup cifrati, iCloud e controlli di trust.

Il lavoro del perito non consiste nel “copiare tutto”, ma nel scegliere il metodo più adatto e documentare ogni passaggio.

Formula da ricordare: documenta il dispositivo, acquisisci con metodo autorizzato, preferisci il backup cifrato quando utile e consentito, calcola hash, analizza il backup su copia, interpreta i risultati con prudenza.

Nel prossimo capitolo il manuale entrerà in uno degli ambiti più richiesti: Perizia WhatsApp: messaggi, vocali e allegati.