Diffamazione online, cyberbullismo, stalking digitale e revenge porn

Introduzione

La diffamazione online, il cyberbullismo, lo stalking digitale e la diffusione non consensuale di contenuti intimi possono manifestarsi attraverso post pubblici, commenti, recensioni, messaggi privati, gruppi, storie temporanee, profili falsi, email, telefonate, contenuti sintetici e campagne coordinate su più piattaforme.

Dal punto di vista informatico-forense, il problema non consiste soltanto nel mostrare che una frase, una fotografia o un video erano visibili su uno schermo.

Occorre stabilire, nei limiti tecnicamente possibili:

• quale contenuto era accessibile;
• su quale piattaforma;
• mediante quale URL, profilo, gruppo o conversazione;
• in quale data e ora;
• con quale account apparente;
• a quale pubblico;
• all’interno di quale contesto;
• con quali allegati, commenti e condivisioni;
• se il contenuto è stato modificato o eliminato;
• se esistono copie, notifiche o tracce residue;
• se più episodi fanno parte di una sequenza;
• quali elementi possono essere utili per l’attribuzione;
• quali limiti impediscono conclusioni più forti.

Uno screenshot isolato può essere utile come prima segnalazione, ma spesso non documenta URL, identificativo del contenuto, account completo, data verificabile, contesto precedente e successivo, visibilità, autenticità del file, eventuali modifiche, interazioni, provenienza e stato della pagina nel momento dell’acquisizione.

La corretta attività tecnica deve quindi coordinare due esigenze che possono entrare in tensione:

1. proteggere immediatamente la persona e contenere la diffusione;
2. preservare la prova digitale prima che venga modificata o rimossa.

La sicurezza personale viene sempre prima dell’acquisizione. Quando non esiste un pericolo immediato, la conservazione tecnica deve precedere, per quanto possibile e lecito, la segnalazione, il blocco dell’account o la richiesta di rimozione.

Sintesi operativa

1. valutare subito se esiste un pericolo per la persona;
2. usare un dispositivo sicuro se si sospetta un controllo dell’account;
3. evitare confronti diretti o risposte pubbliche impulsive;
4. non inoltrare contenuti intimi o riguardanti minori;
5. annotare URL, profili, username, ID e data dell’evento;
6. acquisire il contenuto più volatile per primo;
7. documentare pagina, conversazione e contesto completo;
8. acquisire file, immagini, audio e video nella forma disponibile;
9. conservare notifiche, email, messaggi e ricevute della piattaforma;
10. calcolare l’hash di ogni reperto acquisito;
11. costruire una timeline degli episodi;
12. distinguere account apparente e persona fisica;
13. documentare segnalazioni, rimozioni e risposte delle piattaforme;
14. correlare i reperti con smartphone, computer, cloud e applicazioni;
15. proteggere in modo rafforzato i contenuti intimi e i dati dei minori;
16. separare risultati tecnici e qualificazione giuridica;
17. descrivere sempre limiti e ipotesi alternative;
18. produrre una relazione tecnica riproducibile.

1. Avvertenza preliminare

Questo capitolo descrive procedure tecniche di acquisizione, conservazione e analisi delle prove digitali.

Non costituisce consulenza legale e non stabilisce se un contenuto integri un reato, un illecito civile, una violazione della privacy, una violazione contrattuale o una condotta disciplinare.

La qualificazione giuridica spetta:

• all’avvocato;
• all’autorità giudiziaria;
• alle autorità competenti;
• agli organismi titolari dei relativi procedimenti.

Il perito informatico può documentare esistenza del contenuto, struttura tecnica, contesto, accessibilità, cronologia, identificativi, file allegati, corrispondenze, modifiche, propagazione, tracce nei dispositivi ed elementi compatibili con una determinata origine.

Non dovrebbe invece formulare conclusioni come:

Sono preferibili formule come:

2. In caso di pericolo immediato

L’acquisizione informatica non deve ritardare una richiesta urgente di aiuto.

In presenza di minacce attuali, pericolo fisico, pedinamenti, ricatti, coercizione, pubblicazione imminente di contenuti intimi o coinvolgimento di minori, occorre rivolgersi tempestivamente ai servizi e alle autorità competenti.

• 112: Numero unico europeo per le emergenze.
• 1522: servizio pubblico gratuito, attivo ventiquattro ore su ventiquattro, per le donne vittime di violenza e stalking. 1522
• 114 Emergenza Infanzia: servizio gratuito, attivo in tutta Italia ventiquattro ore su ventiquattro, per situazioni di pericolo o emergenza riguardanti bambini e adolescenti. 114 Emergenza Infanzia

Se si sospetta che il telefono, il computer o l’account siano controllati dall’autore delle condotte:

- non utilizzare il dispositivo sospetto per chiedere aiuto;
- usare, quando possibile, un dispositivo diverso e affidabile;
- non modificare impulsivamente tutte le impostazioni se ciò può aumentare il rischio;
- non avvisare il soggetto sospettato dell’acquisizione tecnica;
- annotare ciò che è accaduto senza esporsi a ulteriori contatti;
- coordinare sicurezza, assistenza legale e attività tecnica.

3. Quattro fenomeni distinti, spesso sovrapposti

Una stessa vicenda può comprendere più fenomeni.

Esempio:

- un ex partner invia ripetuti messaggi minacciosi;
- crea un profilo falso;
- pubblica affermazioni denigratorie;
- minaccia di diffondere immagini intime;
- invia una fotografia a colleghi della persona;
- continua i contatti attraverso nuovi account.

L’accertamento tecnico deve rappresentare l’intera sequenza senza forzare ogni reperto all’interno di un’unica categoria.

4. Inquadramento normativo essenziale

4.1 Diffamazione online

L’articolo 595 del codice penale riguarda l’offesa dell’altrui reputazione comunicata a più persone; l’impiego della stampa o di altro mezzo di pubblicità è specificamente considerato dalla disposizione. Ministero della Giustizia

Dal punto di vista tecnico devono essere documentati soprattutto:

• comunicazione a più soggetti;
• accessibilità del contenuto;
• pubblico potenziale o effettivo;
• account utilizzato;
• espressioni nel loro contesto;
• eventuale attribuzione di fatti;
• commenti e risposte;
• condivisioni e ripubblicazioni;
• durata della disponibilità;
• modifiche;
• collegamento con la persona interessata.

Non tutte le critiche, recensioni negative, opinioni forti o controversie online sono automaticamente diffamatorie. Il tecnico acquisisce i dati; il legale valuta contenuto, contesto, continenza, interesse pubblico e gli altri profili giuridici.

4.2 Cyberbullismo

La normativa italiana definisce il cyberbullismo, con riferimento ai minori, attraverso condotte telematiche quali pressione, aggressione, molestia, ricatto, denigrazione, diffamazione, furto d’identità e trattamento illecito o manipolazione di dati personali, nonché attraverso la diffusione di contenuti finalizzati a isolare o mettere in ridicolo il minore. Garante per la protezione dei dati personali

La legge 17 maggio 2024, n. 70, entrata in vigore il 14 giugno 2024, ha rafforzato il quadro di prevenzione del bullismo e del cyberbullismo. Tra gli interventi, ha previsto per gli istituti scolastici un codice interno e un tavolo permanente di monitoraggio con rappresentanti di studenti, insegnanti, famiglie ed esperti. Normattiva

Il successivo decreto legislativo 12 giugno 2025, n. 99, ha dato attuazione a ulteriori misure in materia di prevenzione e contrasto e ha rafforzato anche il ruolo del servizio 114 per le situazioni riguardanti bullismo e cyberbullismo. Gazzetta Ufficiale

4.3 Stalking digitale

L’articolo 612-bis del codice penale considera le condotte reiterate di minaccia o molestia che cagionano un perdurante e grave stato di ansia o paura, un fondato timore per l’incolumità oppure costringono la persona ad alterare le proprie abitudini di vita. La disposizione considera espressamente anche l’impiego di strumenti informatici o telematici. Gazzetta Ufficiale

Il perito non diagnostica lo stato psicologico e non sostituisce la documentazione sanitaria. Può però documentare frequenza dei contatti, durata, pluralità dei canali, orari, contenuto, uso di account alternativi, tentativi successivi al blocco, riferimenti a luoghi e spostamenti, accessi agli account, continuità tra episodi e modifiche tecniche adottate dalla persona per proteggersi.

4.4 Diffusione non consensuale di contenuti intimi

L’articolo 612-ter riguarda l’invio, la consegna, la cessione, la pubblicazione o la diffusione senza consenso di immagini o video sessualmente espliciti destinati a rimanere privati. La disposizione contempla anche la successiva diffusione da parte di chi abbia ricevuto o acquisito il materiale e agisca al fine di arrecare nocumento. Gazzetta Ufficiale

Il termine giornalistico “revenge porn” è diffuso, ma può risultare riduttivo: la motivazione non è necessariamente vendicativa; il contenuto può essere sottratto; può essere acquisito mediante accesso abusivo; può essere utilizzato per ricatto o controllo; può essere diffuso da soggetti estranei alla relazione; può essere sintetico o manipolato.

Nel capitolo si utilizza anche l’espressione diffusione intima non consensuale, più ampia e descrittiva.

4.5 Contenuti falsificati mediante intelligenza artificiale

La legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, ha introdotto l’articolo 612-quater del codice penale. La disposizione riguarda la diffusione senza consenso di immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale, idonei a ingannare sulla loro genuinità e capaci di cagionare un danno ingiusto. Gazzetta Ufficiale

L’analisi tecnica di un contenuto sintetico richiede prudenza:

• un rilevatore automatico non fornisce normalmente una prova certa;
• l’assenza di metadati non dimostra l’origine artificiale;
• la presenza di metadati non dimostra l’origine naturale;
• un contenuto autentico può essere inserito in un contesto falso;
• un volto reale può essere sovrapposto a un corpo o a una scena diversa;
• una voce può essere clonata;
• la provenienza deve essere correlata con account, file, workflow e dispositivi.

I profili tecnici saranno approfonditi nei capitoli su voice cloning, deepfake video e immagini manipolate o generate con AI.

5. Perché la prova digitale è fragile

I contenuti possono scomparire in pochi secondi a seguito di cancellazione, modifica, scadenza di una storia, blocco dell’account, trasformazione da pubblico a privato, rimozione della piattaforma, sospensione, cambio username, eliminazione del gruppo, revoca di un link, aggiornamento della pagina, modifica dei permessi, perdita del dispositivo, cancellazione delle notifiche o sovrascrittura dei log.

Anche il comportamento della persona interessata può modificare involontariamente i reperti:

• inoltrare un messaggio;
• scaricare e ricomprimere un’immagine;
• ritagliare uno screenshot;
• modificare un contatto;
• cancellare una chat;
• svuotare la cache;
• reinstallare l’app;
• ripristinare il telefono;
• segnalare e bloccare prima dell’acquisizione;
• accedere ripetutamente al contenuto;
• sincronizzare dati tra dispositivi.

La priorità tecnica deve essere assegnata ai dati più volatili.

Ordine orientativo di volatilità

1. dirette e contenuti live;
2. storie e contenuti temporanei;
3. messaggi effimeri;
4. post pubblici ancora online;
5. commenti e risposte;
6. profili e relative informazioni;
7. notifiche;
8. email di servizio della piattaforma;
9. file scaricabili;
10. database e cache del dispositivo;
11. esportazioni dell’account;
12. backup e cloud;
13. log del provider accessibili soltanto mediante procedure autorizzate.

6. La prima domanda: esiste un rischio attuale?

Prima di acquisire occorre stabilire se la situazione presenta:

[ ] minacce di violenza;
[ ] riferimenti a indirizzi o spostamenti;
[ ] pedinamenti;
[ ] controllo della posizione;
[ ] accessi sospetti agli account;
[ ] ricatti;
[ ] minacce di diffusione intima;
[ ] coinvolgimento di minori;
[ ] contatti attraverso numerosi account;
[ ] disponibilità di armi dichiarata o rappresentata;
[ ] tentativi di raggiungere casa o luogo di lavoro;
[ ] pubblicazione di dati personali;
[ ] inviti di terzi a molestare la persona;
[ ] rischio di autolesionismo o grave vulnerabilità.

Il perito non effettua una valutazione clinica o di pubblica sicurezza.

Deve però riconoscere quando l’attività tecnica ordinaria non è sufficiente e indirizzare la persona verso autorità, avvocato, centro antiviolenza, servizi per minori, supporto psicologico o sanitario, responsabili scolastici o responsabili aziendali della sicurezza.

7. Protocollo dei primi trenta minuti

7.1 Cosa fare

1. interrompere l’esposizione non necessaria al contenuto;
2. verificare il rischio immediato;
3. annotare piattaforma, account e URL;
4. registrare data e ora;
5. acquisire il contenuto volatile, se sicuro;
6. fotografare o registrare il percorso di accesso;
7. conservare notifiche ed email;
8. evitare l’inoltro a familiari, colleghi o gruppi;
9. usare un canale sicuro per contattare il professionista;
10. non modificare il dispositivo sorgente più del necessario.

7.2 Cosa non fare

[ ] non rispondere con minacce;
[ ] non pubblicare una controaccusa;
[ ] non creare profili falsi;
[ ] non tentare l’accesso all’account altrui;
[ ] non installare software di spionaggio;
[ ] non diffondere il contenuto per “farlo vedere”;
[ ] non inoltrare immagini intime via email ordinaria;
[ ] non chiedere ad altri di commentare il post;
[ ] non cancellare la conversazione;
[ ] non ripristinare il telefono;
[ ] non modificare la data del dispositivo;
[ ] non usare servizi online sconosciuti per analizzare file riservati.

8. Protocollo delle prime ventiquattro ore

Quando non vi è un’emergenza che impone un intervento diverso:

[ ] formalizzare l’incarico;
[ ] identificare la persona che consegna il materiale;
[ ] descrivere il quesito;
[ ] acquisire il contenuto online;
[ ] acquisire il dispositivo o i dati applicativi pertinenti;
[ ] calcolare gli hash;
[ ] costruire una prima timeline;
[ ] identificare tutti gli account coinvolti;
[ ] documentare eventuali contenuti duplicati;
[ ] conservare le ricevute di segnalazione;
[ ] proteggere gli account da ulteriori accessi;
[ ] valutare con il legale richieste urgenti di conservazione;
[ ] stabilire un piano di monitoraggio proporzionato;
[ ] separare reperti ordinari e contenuti altamente riservati.

La tempestività è importante perché i provider possono applicare politiche di conservazione differenti e alcuni dati potrebbero non essere più disponibili in seguito.

Il perito non deve tuttavia formulare promesse sulla possibilità di recuperare dati detenuti da terzi.

9. Questionario iniziale per il cliente

9.1 Informazioni generali

1. Quando è iniziata la vicenda?
2. Quali piattaforme sono coinvolte?
3. Il contenuto è ancora online?
4. L’account è pubblico o privato?
5. È disponibile l’URL esatto?
6. Sono presenti minacce?
7. Sono coinvolti minori?
8. Esistono contenuti intimi?
9. La persona sospetta ha accesso ai dispositivi?
10. Sono stati modificati password o recapiti?
11. Sono già state effettuate segnalazioni?
12. Sono stati bloccati account?
13. È già stata presentata una denuncia?
14. È presente un avvocato?
15. Esistono altre vittime o destinatari?

9.2 Informazioni sui reperti

[ ] smartphone;
[ ] computer;
[ ] tablet;
[ ] smartwatch;
[ ] email;
[ ] chat;
[ ] screenshot;
[ ] registrazioni schermo;
[ ] file originali;
[ ] notifiche;
[ ] backup;
[ ] esportazioni account;
[ ] link;
[ ] nomi utente;
[ ] numeri telefonici;
[ ] indirizzi email;
[ ] documenti scolastici;
[ ] segnalazioni alla piattaforma;
[ ] risposte della piattaforma;
[ ] documentazione aziendale;
[ ] referti o attestazioni esterne, gestiti dal legale.

9.3 Informazioni sulle azioni già eseguite

Chiedere se il cliente ha cancellato messaggi, inoltrato contenuti, modificato password, bloccato profili, disinstallato applicazioni, cambiato telefono, ripristinato il dispositivo, effettuato screenshot, stampato pagine, utilizzato siti di analisi, contattato direttamente l’autore, chiesto la rimozione, segnalato alla scuola, segnalato alla piattaforma o pubblicato una replica.

10. Definire correttamente il quesito tecnico

Un quesito generico come:

non è adeguato per il perito informatico.

Quesiti più corretti sono:

- acquisire il contenuto pubblicato all’URL indicato;
- documentarne data, account apparente e contesto;
- verificare la presenza di copie o ripubblicazioni;
- acquisire i messaggi ricevuti sul dispositivo;
- ricostruire la sequenza cronologica dei contatti;
- verificare la corrispondenza tra screenshot e dati applicativi;
- analizzare i file multimediali allegati;
- individuare identificativi tecnici utili;
- documentare segnalazioni e successive modifiche;
- valutare la compatibilità tra più account o contenuti;
- indicare i limiti dell’attribuzione a una persona fisica.

11. Mappa delle fonti di prova

11.1 Fonti pubbliche

• profili;
• pagine;
• post;
• commenti;
• recensioni;
• articoli;
• blog;
• forum;
• canali;
• video;
• fotografie;
• domini;
• risultati di ricerca;
• pagine archiviate;
• contenuti incorporati.

11.2 Fonti private autorizzate

• chat;
• messaggi diretti;
• gruppi chiusi;
• email;
• account cloud;
• notifiche;
• registro chiamate;
• dati delle applicazioni;
• backup;
• esportazioni.

11.3 Fonti del dispositivo

• database;
• cache;
• file allegati;
• miniature;
• token temporali;
• cronologie;
• browser;
• registro notifiche;
• log di sistema;
• dati di sincronizzazione;
• metadati;
• copie locali.

11.4 Fonti esterne

• provider;
• piattaforme;
• gestori telefonici;
• amministratori di sistema;
• scuola;
• datore di lavoro;
• servizi cloud;
• autorità;
• destinatari dei messaggi.

L’accesso alle fonti esterne può richiedere specifici poteri o procedure. Il perito privato non può sostituirsi all’autorità né eludere controlli di accesso.

12. Cartella del caso

CASO_RM_2026_017/
├── 00_incarico/
├── 01_verbali/
├── 02_note_sicurezza/
├── 03_acquisizioni_web/
├── 04_social/
├── 05_chat/
├── 06_email/
├── 07_dispositivi/
├── 08_file_multimediali/
├── 09_contenuti_riservati/
├── 10_hash/
├── 11_timeline/
├── 12_grafo_diffusione/
├── 13_segnalazioni_piattaforme/
├── 14_output_strumenti/
├── 15_screenshot_tecnici/
├── 16_report/
└── 17_relazione/

La cartella 09_contenuti_riservati dovrebbe essere cifrata, accessibile soltanto agli incaricati, separata dagli allegati ordinari, soggetta a registrazione degli accessi, esclusa da sincronizzazioni non autorizzate e conservata per il tempo strettamente necessario.

13. Registro dei reperti

Il livello di riservatezza dovrebbe determinare luogo di conservazione, modalità di trasferimento, soggetti autorizzati, presenza nell’allegato, modalità di visualizzazione ed eventuale oscuramento.

14. Catena di custodia

Per ogni reperto registrare:

- identificativo;
- descrizione;
- fonte;
- soggetto conferente;
- data e ora;
- fuso orario;
- modalità di acquisizione;
- strumento;
- versione;
- operatore;
- posizione di conservazione;
- hash;
- copie prodotte;
- trasferimenti;
- accessi;
- eventuali anomalie.

La metodologia generale è trattata nel Capitolo 2 — Catena di custodia, hash e verbale tecnico.

15. Calcolo dell’hash

Windows PowerShell

Get-FileHash -Algorithm SHA256 -LiteralPath ".\reperto.mp4"

Linux

sha256sum -- reperto.mp4

macOS

shasum -a 256 -- reperto.mp4

Per una directory di acquisizione:

find acquisizione -type f -print0 \
  | sort -z \
  | xargs -0 sha256sum \
  > manifest_sha256.txt

L’hash identifica il file bit per bit e consente di verificare successive alterazioni. Non dimostra l’autore, la data di pubblicazione, la veridicità del contenuto o il collegamento automatico del file a un account.

16. Documentare l’orario di acquisizione

Registrare sempre ora locale e UTC.

PowerShell

Get-Date -Format "yyyy-MM-ddTHH:mm:ss.fffK"
(Get-Date).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ss.fffZ")

Linux

date --iso-8601=seconds
date -u --iso-8601=seconds

macOS

date "+%Y-%m-%dT%H:%M:%S%z"
date -u "+%Y-%m-%dT%H:%M:%SZ"

Annotare:

- fonte temporale;
- fuso;
- stato della sincronizzazione;
- eventuale scarto;
- ora riportata dalla piattaforma;
- ora del dispositivo;
- ora del sistema di acquisizione.

Una marca temporale apposta dopo l’acquisizione può documentare che il pacchetto esisteva entro quel momento, ma non dimostra automaticamente quando il contenuto sia stato originariamente pubblicato.

Vedere il Capitolo 13 — PDF, firme digitali e marche temporali.

17. Acquisire una pagina pubblica

La procedura dovrebbe comprendere:

1. verificare l’URL;
2. annotare data e ora;
3. acquisire la barra degli indirizzi;
4. mostrare il percorso di accesso;
5. acquisire intestazione, account e username;
6. acquisire il contenuto completo;
7. acquisire commenti e risposte rilevanti;
8. acquisire data indicata dalla piattaforma;
9. acquisire indicatori di visibilità;
10. acquisire interazioni e condivisioni visibili;
11. scaricare i file disponibili;
12. salvare HTML, header e risorse;
13. produrre una registrazione video del percorso;
14. generare WARC o altro pacchetto documentato;
15. calcolare gli hash;
16. ripetere una verifica successiva.

L’acquisizione approfondita delle pagine è trattata nel Capitolo 16 — Acquisizione di pagine web, social e contenuti online.

18. Cattura minima con browser

Una cattura minima dovrebbe mostrare:

• intera finestra;
• URL;
• data e ora del sistema;
• nome della piattaforma;
• profilo;
• username;
• contenuto;
• data del post;
• eventuale pubblico;
• commenti pertinenti;
• contatori visibili.

Lo screenshot non deve essere ritagliato prima della conservazione dell’originale.

Conservare:

screenshot_originale.png
screenshot_annotato.pdf

Il secondo può contenere evidenziazioni; il primo deve rimanere invariato.

Le criticità sono approfondite nel Capitolo 15 — Verifica forense di screenshot e schermate.

19. Cattura tramite registrazione schermo

La registrazione dovrebbe mostrare:

1. data e ora;
2. apertura del browser;
3. digitazione o selezione dell’URL;
4. caricamento della pagina;
5. scorrimento graduale;
6. apertura del profilo;
7. apertura del contenuto;
8. visualizzazione dei commenti;
9. eventuale copia dell’URL;
10. chiusura dell’acquisizione.

Evitare montaggi, tagli non documentati, musica, sovrimpressioni, zoom eccessivo, passaggi troppo rapidi, esposizione di dati estranei e notifiche personali non pertinenti.

La registrazione non sostituisce HTML, WARC, file nativi, header, identificativi e dati del dispositivo.

20. Acquisire HTML e header

Per una pagina pubblicamente accessibile e nell’ambito di un incarico autorizzato:

curl -L \
  --compressed \
  -D headers.txt \
  -o pagina.html \
  "https://example.invalid/contenuto"

Solo header:

curl -I -L "https://example.invalid/contenuto" \
  > headers_only.txt

Registrare anche gli errori:

curl -L \
  --compressed \
  -D headers.txt \
  -o pagina.html \
  -w "%{http_code}\n%{url_effective}\n%{time_total}\n" \
  "https://example.invalid/contenuto" \
  > curl_summary.txt 2> curl_errors.txt

Limiti:

• molte piattaforme generano il contenuto con JavaScript;
• la risposta HTML può non contenere ciò che appare a schermo;
• il contenuto può richiedere autenticazione;
• l’URL può essere temporaneo;
• i cookie possono personalizzare la risposta;
• la piattaforma può limitare richieste automatizzate.

Non utilizzare queste procedure per eludere autenticazioni, aggirare blocchi, accedere a gruppi non autorizzati, raccogliere indiscriminatamente dati di terzi o effettuare crawling aggressivo.

21. WARC, HAR e acquisizioni dinamiche

21.1 WARC

Un file WARC può conservare richieste, risposte, risorse, intestazioni, contenuti e metadati di cattura.

È utile per la riproducibilità, ma può non registrare correttamente contenuti caricati in seguito, stream, elementi cifrati, risorse protette, elementi personalizzati o dati interni delle applicazioni.

21.2 HAR

Un file HAR può documentare richieste di rete effettuate dal browser.

Può però contenere cookie, token, parametri di sessione, indirizzi email, identificativi, dati personali e URL riservati. Deve quindi essere trattato come reperto sensibile.

Non allegare integralmente un HAR a una relazione destinata a più soggetti senza averne esaminato il contenuto.

21.3 Regola

WARC e HAR sono complementari alla documentazione visiva.
Non sono sostituti automatici della pagina visualizzata.

22. Profilo, username e identificativo

Distinguere:

Acquisire, quando visibile:

- nome visualizzato;
- username;
- URL;
- ID;
- immagine;
- biografia;
- data di creazione dichiarata;
- follower e following;
- collegamenti;
- account correlati;
- precedenti username;
- contenuti storici;
- eventuale badge;
- lingua e area dichiarate.

23. Identificare il singolo contenuto

Acquisire:

• URL diretto;
• ID del post;
• ID del commento;
• ID del video;
• ID del messaggio, se disponibile;
• data;
• autore apparente;
• contenuto testuale;
• allegati;
• contesto;
• interazioni;
• visibilità;
• versione.

Un link al profilo non è sufficiente quando il quesito riguarda un singolo post.

Un URL abbreviato deve essere risolto e documentato:

curl -I -L "https://example.invalid/link-breve"

Conservare URL iniziale, redirect, URL finale, data, header ed eventuale errore.

24. Pubblico e diffusione

Per un post potenzialmente lesivo occorre documentare:

- profilo pubblico o privato;
- gruppo pubblico, privato o segreto;
- numero dichiarato di membri;
- follower visibili;
- possibilità di condivisione;
- condivisioni osservabili;
- commenti;
- reazioni;
- visualizzazioni dichiarate;
- indicizzazione nei motori;
- presenza in altre pagine.

I contatori della piattaforma possono cambiare, essere arrotondati, includere visualizzazioni ripetute, non rappresentare persone uniche e dipendono dal metodo di calcolo della piattaforma.

25. Conservare il contesto

Una frase può assumere un significato differente in relazione a post precedente, domanda, risposta, discussione, immagine, meme, citazione, ironia, hashtag, emoji, tag, destinatari o evento contemporaneo.

Acquisire quindi:

[ ] contenuto contestato;
[ ] post principale;
[ ] commento genitore;
[ ] risposte;
[ ] allegati;
[ ] descrizione;
[ ] hashtag;
[ ] account menzionati;
[ ] data;
[ ] thread completo pertinente;
[ ] contesto precedente e successivo.

Non selezionare soltanto la parte favorevole alla tesi del committente.

26. Modifiche ed eliminazioni

Le piattaforme possono indicare:

• “modificato”;
• cronologia delle modifiche;
• data aggiornata;
• post non disponibile;
• contenuto rimosso;
• account sospeso;
• commento eliminato.

Documentare ogni stato.

Esempio:

14/05/2026 09:12 — contenuto accessibile
14/05/2026 11:40 — contenuto indicato come modificato
14/05/2026 15:25 — contenuto non disponibile
15/05/2026 08:10 — account ancora accessibile

L’indisponibilità successiva non dimostra chi abbia rimosso il contenuto, perché sia stato rimosso, che fosse illecito, che la piattaforma abbia riconosciuto responsabilità o che l’autore lo abbia eliminato volontariamente.

27. Storie, dirette e contenuti effimeri

Questi contenuti richiedono priorità.

Acquisire:

• percorso di accesso;
• profilo;
• username;
• orario;
• durata residua;
• singoli segmenti;
• eventuale audio;
• testo;
• adesivi;
• localizzazione;
• menzioni;
• collegamenti;
• risposte;
• notifiche.

Una registrazione schermo è spesso necessaria, ma deve essere accompagnata da verbale, identificativi, hash, descrizione del dispositivo, data e ora ed eventuali file nativi disponibili.

Non utilizzare strumenti o account non autorizzati per accedere a contenuti privati o superare limitazioni.

28. Chat e messaggi privati

Per WhatsApp, Telegram, Signal o altre applicazioni, evitare di limitarsi a screenshot isolati.

Acquisire, quando disponibile:

- dispositivo;
- database;
- account;
- conversazione;
- identificativo chat;
- partecipanti;
- numeri o username;
- timestamp;
- fuso orario;
- allegati;
- messaggi citati;
- messaggi inoltrati;
- modifiche;
- cancellazioni;
- reazioni;
- vocali;
- chiamate;
- notifiche;
- backup.

Approfondimenti:

• Perizia WhatsApp: messaggi, vocali e allegati
• Telegram, Signal e app di messaggistica forensics

Un messaggio esportato o copiato non conserva necessariamente tutti i dati applicativi.

29. Email

L’email deve essere acquisita preferibilmente come EML, MSG, MBOX, esportazione della casella, elemento nel client o messaggio nel server autorizzato.

Conservare:

• header;
• corpo;
• allegati;
• MIME;
• Message-ID;
• Received;
• autenticazioni;
• date;
• account;
• cartella;
• eventuali regole;
• notifiche del provider.

Vedere il Capitolo 11 — Analisi forense di email e header.

Se la comunicazione è PEC, acquisire anche busta e ricevute secondo il Capitolo 12 — PEC, ricevute, allegati e prova digitale.

30. Telefonate, SMS e messaggi vocali

Acquisire:

[ ] registro chiamate;
[ ] numero visualizzato;
[ ] data e ora;
[ ] durata;
[ ] screenshot di contesto;
[ ] dati del dispositivo;
[ ] SMS;
[ ] messaggi vocali;
[ ] file audio;
[ ] notifiche;
[ ] eventuali trascrizioni;
[ ] dati del gestore disponibili lecitamente.

Il numero visualizzato non dimostra sempre l’origine effettiva: può essere falsificato, inoltrato, appartenere a un servizio, essere utilizzato da più persone o essere associato a una SIM intestata a un soggetto diverso dall’utilizzatore.

La trascrizione di un audio deve essere separata dal file originale.

31. Acquisizione da smartphone

In casi di cyberbullismo, stalking o diffusione intima, il dispositivo può contenere conversazioni, file, database, notifiche, cronologie, contatti, chiamate, accessi, account, autorizzazioni, dati di localizzazione, backup, copie eliminate e informazioni sulle applicazioni.

Vedere:

• Acquisizione forense di smartphone Android
• Acquisizione forense di iPhone e iPad iOS

Non chiedere al cliente di sbloccare ripetutamente il telefono, reinstallare l’app, eliminare account, cancellare contenuti, installare software non verificato, utilizzare applicazioni di pulizia o aggiornare il sistema senza valutazione.

32. Acquisizione da computer

Il computer può contenere browser, cache, cronologia, download, sessioni, email, screenshot, registrazioni, copie locali, cartelle cloud, notifiche, file temporanei e log.

Approfondimenti:

• Analisi forense di computer Windows
• Analisi forense di macOS e Linux

Una copia forense del supporto può essere opportuna quando esistono dati cancellati, vi sono più account, il computer può essere compromesso, occorre ricostruire una cronologia, vi sono file multimediali o esistono copie locali non visibili nell’interfaccia.

33. File multimediali

Per fotografie, video e audio acquisire:

- file nativo;
- formato reale;
- dimensione;
- hash;
- metadati;
- codec;
- durata;
- risoluzione;
- data incorporata;
- software;
- eventuale C2PA;
- miniature;
- origine dichiarata;
- modalità di ricezione.

Strumenti:

exiftool -G0:1:2 -a -s -u -ee -struct FILE \
  > exiftool.txt

mediainfo --Output=JSON FILE \
  > mediainfo.json

ffprobe -v error \
  -show_format \
  -show_streams \
  -print_format json \
  FILE \
  > ffprobe.json

Vedere il Capitolo 14 — Metadati, EXIF, XMP, C2PA e provenienza dei file.

34. Diffamazione online: procedura specifica

34.1 Acquisire il contenuto

[ ] testo completo;
[ ] immagini;
[ ] video;
[ ] audio;
[ ] link;
[ ] hashtag;
[ ] menzioni;
[ ] commenti;
[ ] risposte;
[ ] data;
[ ] account;
[ ] URL;
[ ] visibilità.

34.2 Identificare la persona interessata

Verificare come il contenuto si riferisca al soggetto:

• nome;
• fotografia;
• ruolo;
• azienda;
• professione;
• riferimenti;
• tag;
• contesto locale;
• elementi indiretti.

Il fatto che il nome non sia scritto integralmente non esclude tecnicamente che il soggetto possa essere identificabile dal contesto. La valutazione giuridica spetta al legale.

34.3 Documentare la diffusione

Acquisire follower, membri del gruppo, visualizzazioni, condivisioni, repost, citazioni, copie, indicizzazione e commenti di terzi.

34.4 Verificare le versioni

Un post può essere modificato, ripubblicato, copiato, trasformato in immagine, citato, trascritto o incluso in un video.

Ogni versione deve avere un proprio identificativo e hash.

35. Recensioni online

Una recensione deve essere acquisita insieme a piattaforma, pagina dell’attività, autore apparente, valutazione numerica, testo, data, eventuali fotografie, risposta dell’attività, cronologia, URL e altre recensioni correlate.

Non è compito del perito stabilire se il recensore fosse realmente cliente, il giudizio fosse legittimo, la recensione fosse diffamatoria o il contenuto fosse vero.

Il tecnico può verificare presenza, account, cronologia pubblica, duplicazioni, identità testuale tra più profili, date, modifiche e caratteristiche tecniche.

36. Campagne coordinate

Una campagna può coinvolgere più account, testi identici, immagini comuni, pubblicazioni ravvicinate, hashtag, gruppi, bot, profili appena creati e link a una fonte centrale.

Costruire una matrice:

La somiglianza non dimostra automaticamente un coordinamento. Può derivare da copia spontanea, fonte comune, comunicato, meme, condivisione, automazione o gestione centralizzata.

37. Cyberbullismo: procedura specifica

37.1 Ridurre l’esposizione del minore

L’acquisizione non deve trasformarsi in una ripetuta esposizione al contenuto.

È preferibile:

• individuare un unico referente adulto;
• evitare interrogatori ripetuti;
• acquisire il dispositivo con modalità rispettose;
• limitare la visualizzazione;
• non riprodurre il contenuto davanti a terzi;
• separare ascolto e analisi tecnica;
• oscurare i dati di altri minori non pertinenti.

37.2 Coinvolgere scuola e famiglia

La scuola può disporre di comunicazioni, registro elettronico, piattaforme didattiche, segnalazioni, account istituzionali, verbali, codice interno, referente e tavolo di monitoraggio.

La documentazione scolastica deve essere acquisita in modo autorizzato e mantenuta distinta dai dati del telefono.

37.3 Acquisire il gruppo

Nei gruppi scolastici documentare:

- nome del gruppo;
- immagine;
- amministratori;
- partecipanti;
- numeri o username;
- messaggi;
- allegati;
- reazioni;
- ingressi e uscite;
- modifiche;
- messaggi eliminati;
- date;
- riferimenti al minore.

37.4 Richiesta di rimozione

Il Garante indica che, per i contenuti riconducibili al cyberbullismo, può essere presentata richiesta al titolare del trattamento o al gestore del sito o social; se la richiesta non viene soddisfatta, è possibile rivolgersi al Garante. Il minore ultraquattordicenne può presentare direttamente la segnalazione, oppure può agire chi esercita la responsabilità genitoriale. Garante privacy

Prima della richiesta, quando non vi è un rischio che impone la rimozione immediata, conservare contenuto, URL, account, data, contesto, segnalazione, ricevuta, risposta ed esito.

38. Stalking digitale: procedura specifica

Lo stalking digitale si comprende attraverso la sequenza, non attraverso il solo messaggio più grave.

38.1 Costruire la cronologia

38.2 Documentare i tentativi successivi al blocco

• nuovi account;
• nuovi numeri;
• contatti tramite amici;
• commenti pubblici;
• richieste lavorative false;
• ordini o prenotazioni;
• iscrizioni a servizi;
• tentativi di recupero password;
• riferimenti a luoghi.

38.3 Riferimenti alla posizione

Acquisire messaggi, screenshot, notifiche di condivisione, dispositivi di localizzazione rilevati, account con posizione condivisa, fotografie con coordinate, accessi cloud e dati del dispositivo.

Non rimuovere o disattivare impulsivamente un dispositivo di tracciamento se ciò può aumentare il rischio. La gestione deve essere coordinata con autorità e soggetti competenti.

38.4 Effetti sulla persona

Il perito può registrare come dichiarazioni cambio numero, modifica account, cambio percorso, assenza dal lavoro, spostamento, blocchi e disattivazione profili.

Non deve certificare stato d’ansia, diagnosi, danno psicologico o nesso causale medico.

39. Ammonimento del Questore

La legge 24 novembre 2023, n. 168, ha esteso la possibilità di richiedere l’ammonimento del Questore, prima della proposizione della querela, ai fatti riconducibili agli articoli 612-bis e 612-ter. Normattiva

La scelta, i presupposti e le modalità devono essere valutati con avvocato, autorità di pubblica sicurezza, centro antiviolenza e soggetti competenti.

Il perito può predisporre timeline, elenco account, tabella dei messaggi, hash, estratti, relazione descrittiva e supporto digitale ordinato.

Non deve decidere quale strumento giuridico attivare.

40. Diffusione intima non consensuale: priorità operative

40.1 Prima regola: non moltiplicare il contenuto

Non:

• inoltrarlo a familiari;
• inviarlo al perito tramite chat ordinaria;
• pubblicarlo per smentirlo;
• allegarlo indiscriminatamente a email;
• caricarlo su servizi di analisi;
• inserirlo nel corpo della relazione;
• creare copie non necessarie.

40.2 Conservazione controllata

Quando il materiale deve essere acquisito:

[ ] autorizzazione espressa;
[ ] canale sicuro;
[ ] supporto cifrato;
[ ] identificativo;
[ ] hash;
[ ] accessi limitati;
[ ] registro copie;
[ ] allegato separato;
[ ] nessuna sincronizzazione automatica;
[ ] cancellazione controllata al termine.

40.3 Contenuto non ancora pubblicato

Acquisire soprattutto minaccia, account, numero, data, parole utilizzate, richiesta formulata, piattaforma, eventuale anteprima, messaggi precedenti, riferimento a destinatari e accessi sospetti al cloud.

Non richiedere al cliente di inviare nuovamente il contenuto intimo se ciò non è tecnicamente indispensabile.

40.4 Contenuto già pubblicato

Acquisire URL, profilo, pagina, canale, nome file, anteprima controllata, data, copie, condivisioni, motori di ricerca, segnalazioni, risposte e stato successivo.

L’acquisizione deve limitare al minimo la visualizzazione e la riproduzione.

41. Segnalazione preventiva al Garante

L’articolo 144-bis del Codice privacy consente a chi, compresi i minori ultraquattordicenni, abbia un fondato motivo di temere la diffusione senza consenso di registrazioni, immagini, video o altri documenti informatici sessualmente espliciti destinati a rimanere privati, di segnalare il pericolo al Garante. Per i minori possono agire anche genitori o tutori. La disposizione prevede una decisione nelle quarantotto ore e la conservazione, da parte delle piattaforme destinatarie del provvedimento, del materiale per dodici mesi a soli fini probatori e con misure volte a impedire la diretta identificabilità. Codice privacy coordinato

Il Garante mette a disposizione una procedura online e chiarisce che l’intervento non può assicurare in termini assoluti che la diffusione non avvenga, anche perché potrebbero esistere versioni parzialmente differenti da quelle comunicate alla piattaforma. Garante privacy — Revenge porn

Il supporto tecnico può comprendere:

- individuazione delle piattaforme;
- preparazione degli hash;
- ordinamento dei file;
- acquisizione delle minacce;
- identificazione degli account;
- documentazione della fonte;
- elenco delle varianti note;
- conservazione del materiale;
- predisposizione degli allegati tecnici.

La presentazione della segnalazione deve essere coordinata con il legale e, quando opportuno, con l’autorità.

42. Contenuti intimi riguardanti minori

La gestione richiede la massima cautela.

- non inoltrare;
- non creare copie superflue;
- non caricare su servizi online;
- non inserire anteprime nella relazione ordinaria;
- non mostrare il materiale a soggetti non autorizzati;
- coinvolgere immediatamente i soggetti competenti;
- utilizzare il 112 in caso di emergenza;
- utilizzare il 114 per situazioni di pericolo riguardanti minori;
- coordinare ogni attività con autorità e legale.

Il perito non dovrebbe acquisire o detenere materiale potenzialmente illecito relativo a minori al di fuori di un incarico formalizzato e di un percorso concordato con i soggetti competenti.

In tali casi la sicurezza del minore e il rispetto delle procedure prevalgono sulla normale operatività di laboratorio.

43. Contenuti sintetici e deepfake intimi

Un contenuto può utilizzare il volto reale della persona, simulare il corpo, modificare una fotografia, inserire il soggetto in una scena inesistente, clonare la voce, alterare un video o combinare parti reali e sintetiche.

43.1 Procedura

1. acquisire la pubblicazione;
2. acquisire il file nella forma disponibile;
3. calcolare l’hash;
4. identificare formato e codec;
5. estrarre metadati;
6. verificare eventuale C2PA;
7. cercare versioni precedenti;
8. confrontare immagini originali della persona;
9. analizzare incongruenze;
10. documentare account e diffusione;
11. evitare conclusioni basate su un solo rilevatore;
12. indicare il livello di compatibilità.

Non scrivere:

44. Account falsi e impersonificazione

Acquisire nome, username, URL, ID, fotografia, biografia, data di creazione, post, follower, collegamenti, messaggi, account ufficiale imitato, differenze grafiche, segnalazioni e risposte della piattaforma.

Confrontare:

L’utilizzo della stessa fotografia non dimostra che i due account siano gestiti dalla stessa persona.

Se l’impersonificazione deriva da un accesso all’account reale, vedere il Capitolo 18 — Accessi abusivi ad account email, social e cloud.

45. Limiti dell’attribuzione

45.1 Username

Non identifica una persona.

45.2 Indirizzo email

Può essere falso, compromesso, condiviso, temporaneo o registrato con dati di terzi.

45.3 Numero telefonico

Può essere intestato a persona diversa, utilizzato da un familiare, associato a SIM aziendale, virtuale o falsificato nell’identificativo chiamante.

45.4 Indirizzo IP

Può riferirsi a router condiviso, rete aziendale, rete pubblica, NAT, proxy, VPN, infrastruttura cloud o dispositivo compromesso.

L’IP non identifica automaticamente la persona che ha materialmente scritto o pubblicato.

45.5 Dispositivo

Il rinvenimento del contenuto su un dispositivo può dimostrare disponibilità o accesso, ma non sempre chi abbia eseguito l’operazione.

45.6 Stile di scrittura

L’analisi stilometrica è probabilistica e può essere influenzata da testi brevi, imitazione, correzione automatica, traduzione, modelli generativi, collaborazione e copia.

46. Dati detenuti dalle piattaforme

Potrebbero comprendere:

• dati di registrazione;
• email;
• numeri;
• IP;
• accessi;
• dispositivi;
• modifiche;
• dati di pagamento;
• log;
• richieste;
• contenuti eliminati;
• segnalazioni.

Il perito privato non ha normalmente accesso autonomo a tali dati.

Può:

• identificare il provider;
• preservare URL e ID;
• descrivere quali dati potrebbero essere utili;
• predisporre una matrice delle richieste;
• supportare il legale;
• analizzare dati successivamente acquisiti in modo lecito.

Non può impersonare l’utente, indovinare password, aggirare autenticazioni, accedere all’account sospetto, estrarre dati con inganno o violare sistemi.

47. Segnalazione alla piattaforma

Prima della segnalazione, quando la sicurezza lo consente:

[ ] acquisire contenuto;
[ ] acquisire URL;
[ ] acquisire profilo;
[ ] acquisire contesto;
[ ] salvare file;
[ ] registrare data;
[ ] calcolare hash.

Durante la segnalazione conservare:

[ ] categoria scelta;
[ ] testo inviato;
[ ] URL segnalato;
[ ] data e ora;
[ ] numero pratica;
[ ] ricevuta;
[ ] email;
[ ] screenshot del form;
[ ] esito;
[ ] possibilità di ricorso;
[ ] stato successivo del contenuto.

La rimozione da parte della piattaforma non costituisce automaticamente riconoscimento di illiceità, può dipendere dalle condizioni d’uso o da sistemi automatici, può essere temporanea e può essere revocata.

Il mantenimento online non dimostra che il contenuto sia lecito.

48. Digital Services Act e segnalazioni

L’articolo 16 del Digital Services Act richiede ai fornitori di servizi di hosting meccanismi elettronici accessibili e facili da usare per segnalare specifici contenuti ritenuti illegali. La segnalazione deve essere sufficientemente precisa e motivata e dovrebbe identificare chiaramente la posizione elettronica del contenuto, come l’URL. Regolamento UE 2022/2065

Una segnalazione tecnicamente completa dovrebbe quindi contenere:

- URL esatto;
- ID del contenuto;
- profilo;
- descrizione;
- motivazione;
- data;
- allegati strettamente necessari;
- recapito;
- eventuale documentazione.

La Commissione europea ricorda inoltre che le piattaforme devono comunicare la decisione adottata sulla segnalazione e le possibilità di contestarla. Commissione europea

In Italia, AGCOM opera come Coordinatore dei servizi digitali e gestisce i reclami ai sensi dell’articolo 53 del DSA sulle presunte violazioni del regolamento da parte dei prestatori di servizi intermediari. La procedura non deve essere confusa con la segnalazione iniziale del singolo contenuto alla piattaforma. AGCOM

49. Conservare l’intero ciclo della segnalazione

Esempio:

RM17-SEG-001
14/05/2026 10:15 — segnalazione inviata
14/05/2026 10:16 — ricevuta automatica
14/05/2026 13:40 — contenuto ancora online
15/05/2026 08:30 — piattaforma comunica rimozione
15/05/2026 08:35 — verifica: contenuto non accessibile
16/05/2026 12:00 — rilevata una copia su altro account

Conservare ogni email nel formato originario, non soltanto come PDF.

50. Ricerca delle copie

Utilizzare:

• ricerca testuale;
• ricerca per frase;
• ricerca username;
• ricerca hashtag;
• ricerca inversa immagini;
• confronto file;
• ricerca titolo;
• motori;
• piattaforme;
• link condivisi.

Per ogni copia:

- URL;
- account;
- data;
- contenuto;
- differenze;
- hash;
- pubblico;
- interazioni;
- stato.

Un hash crittografico diverso non esclude che due immagini rappresentino lo stesso contenuto, perché possono essere state ricompresse, ridimensionate, ritagliate, convertite o annotate.

Un hash percettivo può aiutare a cercare similarità, ma non sostituisce l’analisi visiva e non prova la derivazione.

51. Grafo di propagazione

Esempio:

Account A
   │
   ├── pubblica post originale
   │
   ├── Account B condivide
   │       └── Account D acquisisce screenshot
   │
   └── Account C scarica immagine
           ├── invia nel gruppo E
           └── pubblica su piattaforma F

Per ogni collegamento indicare dato osservato, data, fonte, livello di certezza e ipotesi.

Non rappresentare come certo un collegamento dedotto soltanto dalla somiglianza dei contenuti.

52. Timeline forense

La timeline deve comprendere:

- creazione dichiarata;
- prima pubblicazione osservata;
- messaggi;
- condivisioni;
- visualizzazioni;
- blocchi;
- nuovi account;
- segnalazioni;
- rimozioni;
- accessi;
- esportazioni;
- acquisizioni forensi;
- verifiche successive.

Esempio:

Vedere il Capitolo 29 — Timeline forense e ricostruzione cronologica degli eventi.

53. Matrice delle evidenze

54. Analisi del dominio

Per siti autonomi può essere utile acquisire:

dig example.invalid A
dig example.invalid AAAA
dig example.invalid MX
dig example.invalid NS
dig example.invalid TXT

Certificato TLS:

openssl s_client \
  -connect example.invalid:443 \
  -servername example.invalid \
  < /dev/null 2>/dev/null \
  | openssl x509 \
      -noout \
      -fingerprint \
      -sha256 \
      -dates \
      -issuer \
      -subject

Documentare dominio, DNS, hosting apparente, certificato, date, redirect, CDN ed eventuale privacy proxy.

Questi dati non identificano necessariamente l’autore: il dominio può usare un intermediario, l’hosting può essere condiviso, il certificato può essere automatico, i dati possono cambiare e il sito può utilizzare una CDN.

55. Contenuti eliminati

Possibili fonti residue:

• notifiche;
• email;
• cache;
• cronologia;
• database app;
• backup;
• screenshot;
• file scaricati;
• destinatari;
• citazioni;
• anteprime;
• motori;
• archivi web;
• log aziendali;
• esportazioni account.

La mancata reperibilità non prova che il contenuto non sia mai esistito.

56. Archivi web e cache

Gli archivi di terzi possono essere utili come fonte supplementare.

Limiti:

• cattura incompleta;
• data riferita all’archiviazione;
• risorse mancanti;
• contenuto dinamico non registrato;
• autenticazione assente;
• possibile esclusione del sito;
• impossibilità di verificare ogni passaggio;
• aspetti di privacy.

Non trattare una copia archivistica come equivalente automatico al contenuto originario.

57. Monitoraggio successivo

Il monitoraggio può essere concordato per nuove pubblicazioni, nuove copie, nuovi account, nuove condivisioni, riattivazione di pagine, modifiche e risultati di ricerca.

Deve essere autorizzato, proporzionato, limitato, documentato, rispettoso dei dati di terzi e privo di accessi abusivi.

Non deve trasformarsi in sorveglianza indiscriminata.

58. Strumenti utilizzabili

Acquisizione web

• browser con profilo dedicato;
• registrazione schermo;
• strumenti WARC;
• strumenti di acquisizione pagine dinamiche;
• salvataggio header;
• esportazione PDF di supporto;
• strumenti commerciali di web evidence.

Analisi file

• ExifTool;
• MediaInfo;
• FFprobe;
• ImageMagick;
• strumenti di confronto immagini;
• strumenti di analisi audio e video.

Analisi dispositivi

• strumenti di imaging;
• suite forensi;
• strumenti mobile forensics;
• software di analisi file system;
• strumenti di timeline.

Organizzazione

• fogli di calcolo;
• database;
• strumenti di grafo;
• sistemi di case management;
• strumenti di hashing;
• sistemi di firma e marca temporale.

Registrare sempre:

- nome;
- versione;
- sistema operativo;
- parametri;
- data;
- output;
- limiti.

59. Caso pratico 1 — Post diffamatorio rivolto a un professionista di Roma

Scenario

Un avvocato di Roma assiste un professionista oggetto di un post pubblico contenente accuse riferite alla sua attività.

Reperti

- screenshot ricevuto da un cliente;
- URL ancora accessibile;
- profilo pubblico;
- commenti;
- tre condivisioni visibili;
- immagine allegata;
- risposta del professionista.

Attività

1. acquisizione video della pagina;
2. acquisizione WARC;
3. acquisizione HTML e header;
4. acquisizione profilo;
5. acquisizione commenti;
6. download dell’immagine;
7. estrazione metadati;
8. ricerca di copie;
9. calcolo hash;
10. timeline.

Conclusione prudente

60. Caso pratico 2 — Recensioni coordinate contro un’azienda romana

Scenario

Un’azienda di Roma riceve, nell’arco di due giorni, numerose recensioni negative con frasi quasi identiche.

Risultati

- sette account;
- cinque testi identici;
- due varianti;
- pubblicazioni concentrate in poche ore;
- profili con scarsa attività;
- nessun dato diretto sull’identità;
- una fonte comune condivisa in un gruppo pubblico.

Conclusione

61. Caso pratico 3 — Cyberbullismo in una scuola di Roma

Scenario

I genitori di un minore segnalano messaggi, meme e fotografie diffusi in un gruppo scolastico.

Attività

- acquisizione autorizzata del telefono;
- estrazione della conversazione;
- acquisizione allegati;
- identificazione partecipanti;
- timeline;
- separazione dei dati non pertinenti;
- acquisizione delle comunicazioni scolastiche;
- documentazione delle segnalazioni alla piattaforma;
- predisposizione di un allegato riservato.

Conclusione

62. Caso pratico 4 — Stalking attraverso più piattaforme

Scenario

Una cliente di Roma riferisce contatti persistenti da parte dell’ex partner attraverso telefono, email, social e profili nuovi creati dopo i blocchi.

Risultati

- quattro numeri;
- tre account;
- due indirizzi email;
- messaggi con riferimenti comuni;
- contatti successivi ai blocchi;
- accessi sospetti all’account cloud;
- messaggi relativi a luoghi frequentati.

Attività

• messa in sicurezza dell’account da dispositivo affidabile;
• acquisizione smartphone;
• acquisizione email;
• timeline unica;
• correlazione di username, testi e allegati;
• separazione tra dati osservati e dichiarazioni;
• preparazione della documentazione per il legale.

Conclusione

63. Caso pratico 5 — Minaccia di pubblicare un contenuto intimo

Scenario

Una cliente riceve la minaccia che una fotografia privata venga inviata ai colleghi. Il contenuto non risulta ancora pubblicato.

Attività

1. acquisizione della minaccia;
2. identificazione dell’account;
3. acquisizione del contesto;
4. conservazione del file soltanto in area cifrata;
5. calcolo hash;
6. elenco delle piattaforme temute;
7. supporto tecnico alla segnalazione preventiva;
8. coordinamento con legale e autorità.

Conclusione

64. Caso pratico 6 — Contenuto intimo già diffuso

Scenario

Un file viene pubblicato in un canale e successivamente ripreso da più profili.

Attività

• acquisizione della pubblicazione originaria osservabile;
• acquisizione delle copie;
• hash crittografici;
• confronto percettivo;
• grafo di propagazione;
• segnalazioni;
• verifica successiva;
• conservazione riservata;
• relazione senza riproduzione del contenuto.

Conclusione

65. Caso pratico 7 — Immagine intima sintetica

Scenario

Una professionista di Roma viene rappresentata in un’immagine artificiale pubblicata da un profilo anonimo.

Risultati

- file JPEG ricompressato;
- nessun metadato di origine;
- volto compatibile con fotografia pubblica;
- incongruenze anatomiche e di illuminazione;
- manifesto C2PA assente;
- account creato di recente;
- più copie ridimensionate.

Conclusione

66. Caso pratico 8 — Profilo falso

Scenario

Un cliente di Roma segnala un profilo che utilizza nome, fotografia e dati professionali per inviare messaggi offensivi.

Risultati

• username diverso;
• URL differente;
• fotografia copiata;
• biografia quasi identica;
• data di creazione recente;
• messaggi a colleghi;
• account reale non compromesso.

Conclusione

67. Errori da evitare

1. Conservare soltanto uno screenshot. Mancano contesto e dati tecnici.
2. Ritagliare prima di salvare l’originale. Si eliminano URL, ora e interfaccia.
3. Segnalare prima di acquisire. Il contenuto può essere rimosso.
4. Ritardare la richiesta di aiuto per acquisire. La sicurezza viene prima.
5. Inoltrare contenuti intimi. Si contribuisce alla diffusione.
6. Pubblicare una smentita contenente il file lesivo. La replica può amplificare il danno.
7. Confondere account e persona. Username e fotografia non provano l’identità.
8. Considerare l’IP equivalente a una persona. L’IP identifica una connessione in un contesto temporale.
9. Ignorare il fuso orario. La timeline può risultare errata.
10. Normalizzare le date senza conservare i valori originali. Si perde trasparenza.
11. Acquisire solo il messaggio più grave. Si perde la sequenza.
12. Non acquisire i tentativi successivi al blocco. Possono essere rilevanti per la reiterazione.
13. Cancellare la chat. Si perdono database e allegati.
14. Reinstallare l’applicazione. Si possono perdere dati locali.
15. Caricare file riservati su servizi online. Si espongono dati sensibili.
16. Inserire materiale intimo nella relazione ordinaria. Si moltiplica inutilmente il contenuto.
17. Non oscurare i dati di terzi. Si raccolgono e diffondono informazioni non pertinenti.
18. Confondere la rimozione con una decisione giudiziaria. La piattaforma applica anche proprie condizioni.
19. Confondere il mantenimento con la liceità. L’assenza di rimozione non dimostra che il contenuto sia lecito.
20. Usare un solo rilevatore di deepfake. Gli esiti possono essere errati o instabili.
21. Ignorare notifiche ed email. Possono sopravvivere al contenuto eliminato.
22. Non acquisire il profilo. Il singolo post può non bastare.
23. Non documentare segnalazioni e ticket. Si perde la cronologia delle azioni.
24. Tentare di entrare nell’account sospetto. Si commette un’attività non autorizzata.
25. Scrivere conclusioni giuridiche. Il perito deve mantenere il proprio ambito tecnico.
26. Promettere l’identificazione dell’autore. I dati necessari possono essere detenuti da provider o autorità.
27. Non distinguere file originale e copia social. Le piattaforme possono ricodificare il contenuto.
28. Non registrare le versioni degli strumenti. L’analisi diventa meno riproducibile.
29. Esporre ripetutamente un minore ai contenuti. L’acquisizione deve essere proporzionata e rispettosa.
30. Monitorare indiscriminatamente persone estranee. La raccolta deve rimanere pertinente e autorizzata.

68. Procedura operativa completa

Fase 1 — Sicurezza

[ ] rischio immediato;
[ ] minori;
[ ] minacce;
[ ] contenuti intimi;
[ ] dispositivo sicuro;
[ ] servizi di emergenza;
[ ] supporto legale.

Fase 2 — Incarico

[ ] committente;
[ ] autorizzazione;
[ ] quesito;
[ ] perimetro;
[ ] piattaforme;
[ ] limiti;
[ ] riservatezza;
[ ] trattamento dati.

Fase 3 — Triage

[ ] contenuti effimeri;
[ ] pagine pubbliche;
[ ] messaggi;
[ ] account;
[ ] dispositivi;
[ ] file;
[ ] notifiche;
[ ] backup.

Fase 4 — Ambiente di acquisizione

[ ] workstation;
[ ] sistema operativo;
[ ] browser;
[ ] profilo dedicato;
[ ] ora locale;
[ ] UTC;
[ ] sincronizzazione;
[ ] registrazione schermo.

Fase 5 — Acquisizione online

[ ] URL;
[ ] profilo;
[ ] ID;
[ ] contenuto;
[ ] contesto;
[ ] commenti;
[ ] pubblico;
[ ] WARC;
[ ] HTML;
[ ] header;
[ ] video;
[ ] screenshot.

Fase 6 — File

[ ] download;
[ ] nome;
[ ] formato;
[ ] dimensione;
[ ] hash;
[ ] metadati;
[ ] codec;
[ ] copia lavoro.

Fase 7 — Dispositivi

[ ] smartphone;
[ ] computer;
[ ] tablet;
[ ] account;
[ ] chat;
[ ] notifiche;
[ ] cache;
[ ] log;
[ ] backup.

Fase 8 — Account

[ ] nome;
[ ] username;
[ ] URL;
[ ] ID;
[ ] immagine;
[ ] biografia;
[ ] collegamenti;
[ ] storico.

Fase 9 — Cronologia

[ ] eventi;
[ ] canali;
[ ] data;
[ ] ora;
[ ] fuso;
[ ] account;
[ ] azioni della persona;
[ ] segnalazioni;
[ ] rimozioni.

Fase 10 — Propagazione

[ ] copie;
[ ] condivisioni;
[ ] repost;
[ ] gruppi;
[ ] file simili;
[ ] hash;
[ ] grafo;
[ ] fonte più antica osservata.

Fase 11 — Attribuzione

[ ] dati pubblici;
[ ] numeri;
[ ] email;
[ ] IP disponibili;
[ ] dispositivi;
[ ] corrispondenze;
[ ] ipotesi alternative;
[ ] limiti.

Fase 12 — Segnalazioni

[ ] acquisizione preventiva;
[ ] form;
[ ] categoria;
[ ] ticket;
[ ] ricevuta;
[ ] risposta;
[ ] ricorso;
[ ] verifica successiva.

Fase 13 — Protezione dei contenuti intimi

[ ] cifratura;
[ ] registro copie;
[ ] accessi;
[ ] allegato separato;
[ ] no anteprime;
[ ] minimizzazione;
[ ] procedura Garante;
[ ] autorità.

Fase 14 — Relazione

[ ] incarico;
[ ] materiale;
[ ] metodo;
[ ] risultati;
[ ] timeline;
[ ] grafo;
[ ] attribuzione;
[ ] limiti;
[ ] conclusioni;
[ ] allegati;
[ ] hash.

69. Checklist finale

Sicurezza

[ ] nessun rischio urgente ignorato;
[ ] servizi competenti indicati;
[ ] dispositivo sicuro utilizzato;
[ ] minori protetti;
[ ] materiale intimo non diffuso.

Acquisizione

[ ] URL;
[ ] account;
[ ] ID;
[ ] data e ora;
[ ] fuso;
[ ] contesto;
[ ] file;
[ ] WARC;
[ ] screenshot;
[ ] video.

Dispositivi

[ ] smartphone;
[ ] computer;
[ ] chat;
[ ] email;
[ ] notifiche;
[ ] backup;
[ ] dati applicativi.

Conservazione

[ ] catena di custodia;
[ ] SHA-256;
[ ] copie separate;
[ ] cartella caso;
[ ] accessi;
[ ] cifratura.

Analisi

[ ] timeline;
[ ] account;
[ ] propagazione;
[ ] file;
[ ] metadati;
[ ] versioni;
[ ] copie;
[ ] limiti.

Segnalazioni

[ ] prova acquisita;
[ ] ticket;
[ ] ricevute;
[ ] decisioni;
[ ] verifiche successive.

Relazione

[ ] risultati tecnici;
[ ] nessuna qualificazione impropria;
[ ] attribuzione prudente;
[ ] dati di terzi oscurati;
[ ] contenuti intimi separati;
[ ] allegati verificabili.

70. Output minimo dell’accertamento

1. incarico;
2. verbale di acquisizione;
3. registro dei reperti;
4. screenshot originali;
5. registrazione schermo;
6. URL e identificativi;
7. WARC o acquisizione equivalente;
8. HTML e header, quando disponibili;
9. file multimediali;
10. output metadati;
11. hash SHA-256;
12. acquisizione chat;
13. acquisizione email;
14. esportazioni account;
15. timeline;
16. matrice delle evidenze;
17. grafo di propagazione;
18. elenco account;
19. ricevute delle segnalazioni;
20. verifiche successive;
21. registro dei contenuti riservati;
22. relazione tecnica;
23. allegato tecnico;
24. hash degli output.

71. Struttura della relazione tecnica

71.1 Incarico

• committente;
• quesito;
• autorizzazione;
• limiti;
• periodo.

71.2 Materiale

• dispositivi;
• account;
• pagine;
• file;
• chat;
• email;
• screenshot;
• hash.

71.3 Metodo

• ambiente;
• strumenti;
• versioni;
• parametri;
• acquisizione;
• conservazione.

71.4 Risultati

• contenuti;
• profili;
• identificativi;
• pubblico;
• date;
• file;
• copie;
• segnalazioni;
• rimozioni.

71.5 Timeline

• eventi;
• fonti;
• fusi;
• attendibilità;
• conflitti.

71.6 Attribuzione

• elementi favorevoli;
• elementi contrari;
• alternative;
• limiti.

71.7 Riservatezza

• dati oscurati;
• contenuti separati;
• copie;
• accessi.

71.8 Conclusioni

Risposte tecniche proporzionate al quesito.

72. Modelli di frasi tecniche

72.1 Contenuto accessibile

72.2 Account apparente

72.3 Pubblico

72.4 Contatore

72.5 Screenshot

72.6 Messaggi reiterati

72.7 Contenuto rimosso

72.8 File identico

72.9 File differente

72.10 Attribuzione limitata

72.11 Correlazione tra account

72.12 Contenuto intimo

72.13 Cyberbullismo

72.14 Stalking digitale

72.15 Deepfake

72.16 Segnalazione piattaforma

72.17 Fonte più antica

72.18 Limite generale

73. Immagini e figure suggerite

74. Riferimenti tecnici e normativi esterni

1. Articolo 595 del codice penale — Diffamazione, definizione e comunicazione mediante mezzo di pubblicità.
2. Articolo 612-bis del codice penale — Atti persecutori, condotte reiterate e impiego di strumenti informatici o telematici.
3. Articolo 612-ter del codice penale — Diffusione illecita di immagini o video sessualmente espliciti.
4. Articolo 612-quater del codice penale — Diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale.
5. Legge 29 maggio 2017, n. 71 — Prevenzione e contrasto del cyberbullismo.
6. Legge 17 maggio 2024, n. 70 — Bullismo e cyberbullismo.
7. Decreto legislativo 12 giugno 2025, n. 99 — Ulteriori misure contro bullismo e cyberbullismo.
8. Garante per la protezione dei dati personali — Cyberbullismo, richieste di rimozione e modello di segnalazione.
9. Articolo 144-bis del Codice privacy — Segnalazione preventiva contro la diffusione intima non consensuale.
10. Garante per la protezione dei dati personali — Revenge porn, procedura e limiti dell’intervento.
11. Regolamento UE 2022/2065 — Digital Services Act, meccanismi di notice and action.
12. AGCOM — Reclami ai sensi dell’articolo 53 DSA.
13. Servizio nazionale 1522, assistenza antiviolenza e stalking.
14. 114 Emergenza Infanzia, servizio per situazioni di pericolo riguardanti minori.

75. Collegamenti interni consigliati

Capitolo precedente

• Acquisizione di pagine web, social e contenuti online

Capitolo successivo

• Accessi abusivi ad account email, social e cloud

Capitoli strettamente correlati

• Triage iniziale della prova digitale a Roma
• Catena di custodia, hash e verbale tecnico
• Copia forense di hard disk, SSD, pendrive e NAS
• Analisi forense di computer Windows
• Analisi forense di macOS e Linux
• Acquisizione forense di smartphone Android
• Acquisizione forense di iPhone e iPad iOS
• Perizia WhatsApp: messaggi, vocali e allegati
• Telegram, Signal e app di messaggistica forensics
• Recupero dati cancellati per fini probatori
• Analisi forense di email e header
• PEC, ricevute, allegati e prova digitale
• PDF, firme digitali e marche temporali
• Metadati, EXIF, XMP, C2PA e provenienza dei file
• Verifica forense di screenshot e schermate
• Cloud forensics: Google, Microsoft, Dropbox e backup
• Autenticità audio: tagli, montaggi e ricodifiche
• Voice cloning e audio generati con intelligenza artificiale
• Autenticità video: frame, codec, tagli e montaggi
• Analisi video deepfake e face swapping
• Immagini, fotografie manipolate e contenuti generati con AI
• Timeline forense e ricostruzione cronologica degli eventi
• Relazione tecnica, CTP informatico e contestazione delle prove digitali

Pagine servizio consigliate

• Perizia informatica forense a Roma
• Acquisizione di pagine web e social
• Verifica di chat, messaggi ed email
• Analisi di smartphone e computer
• Consulente tecnico di parte informatico a Roma
• Contatti

Anchor text consigliati

perizia per diffamazione online a Roma
acquisizione forense di post e commenti
conservazione delle prove di cyberbullismo
analisi tecnica di stalking digitale
acquisizione di messaggi molesti
tutela tecnica contro la diffusione intima
verifica di un profilo social falso
analisi di immagini deepfake
ricostruzione della diffusione online
relazione tecnica per prove social
consulente informatico forense a Roma

76. Box commerciale finale

Devi documentare una diffamazione online o una condotta persecutoria a Roma?

Lo Studio Quaranta Digital Forensics può supportare privati, aziende, avvocati e studi professionali nell’acquisizione tecnica di:

[ ] post;
[ ] commenti;
[ ] recensioni;
[ ] profili falsi;
[ ] chat;
[ ] messaggi;
[ ] email;
[ ] chiamate;
[ ] storie;
[ ] video;
[ ] fotografie;
[ ] contenuti intimi diffusi senza consenso;
[ ] immagini o voci sintetiche;
[ ] account e pubblicazioni coordinate.

L’attività può comprendere acquisizione di pagine e social, acquisizione di smartphone e computer, analisi di messaggi ed email, calcolo hash, timeline, ricostruzione della propagazione, analisi di metadati, confronto tra file, documentazione delle segnalazioni, relazione tecnica e supporto al CTP e al legale.

77. Conclusione del capitolo

La gestione informatico-forense di diffamazione online, cyberbullismo, stalking digitale e diffusione intima non consensuale richiede rapidità, precisione e particolare attenzione alla persona.

La prova non coincide con uno screenshot.

Una corretta documentazione deve comprendere:

- contenuto;
- account;
- identificativo;
- URL;
- data e ora;
- contesto;
- pubblico;
- allegati;
- dispositivi;
- copie;
- segnalazioni;
- rimozioni;
- timeline;
- limiti di attribuzione.

Nei casi reiterati, la forza dell’accertamento deriva dalla convergenza tra più fonti: chat, email, social, chiamate, file, notifiche, account, dispositivi, dati cloud e cronologia.

Nei casi riguardanti contenuti intimi o minori, la raccolta deve essere ridotta allo stretto necessario e protetta con misure rafforzate.

Il perito informatico documenta i fatti tecnici.

Il legale e l’autorità competente valutano qualificazione giuridica, responsabilità, iniziative, richieste ai provider e misure di tutela.

78. Anticipazione del capitolo successivo

Capitolo 18 — Accessi abusivi ad account email, social e cloud

Saranno descritte le procedure per:

• mettere in sicurezza l’account;
• acquisire notifiche di accesso;
• analizzare sessioni e dispositivi;
• verificare modifiche di password e recapiti;
• ricostruire accessi da IP e browser;
• preservare email di sicurezza;
• acquisire log e dati cloud;
• distinguere compromissione, condivisione volontaria ed errore dell’utente;
• documentare i limiti dell’attribuzione dell’accesso a una persona fisica.

Continua con il Capitolo 18 — Accessi abusivi ad account email, social e cloud →