In sintesi

Una perizia informatica WhatsApp serve a conservare e analizzare messaggi, vocali, fotografie, video, documenti e informazioni tecniche presenti in una conversazione.

  • Lo screenshot documenta una schermata, non l’intera fonte applicativa.
  • L’esportazione è un output derivato e non coincide con il database.
  • Lo smartphone, i database, i backup e gli allegati possono offrire informazioni differenti.
  • Il recupero dei messaggi cancellati dipende dalle fonti ancora disponibili.
  • Ogni operazione deve essere autorizzata, minimizzata e documentata.

Che cos’è una perizia informatica WhatsApp?

Una perizia informatica WhatsApp è un’attività tecnica finalizzata a conservare, acquisire, analizzare e documentare una o più conversazioni presenti su uno smartphone, in un backup o in altre fonti legittimamente disponibili.

Può comprendere identificazione del dispositivo, verifica dello stato, definizione del periodo, acquisizione dei dati, conservazione dei database e dei file multimediali, calcolo degli hash, confronto con screenshot o esportazioni e redazione della relazione tecnica.

contenuto visualizzato → dati presenti nell’applicazione → database disponibili → file allegati → backup → informazioni tecniche verificabili

La quantità e la qualità dei dati dipendono da modello, sistema operativo, versione di WhatsApp, cifratura, stato del dispositivo, tipo di acquisizione, backup e operazioni già effettuate.

Quando può essere utile una perizia WhatsApp?

Controversie civili e familiari

Accordi, dichiarazioni, comunicazioni economiche, rapporti familiari e contestazioni possono richiedere una conservazione tecnica della conversazione.

Procedimenti penali

Minacce, molestie, truffe, stalking digitale e diffusione di contenuti possono rendere rilevanti messaggi, vocali e allegati.

Controversie lavoristiche

Istruzioni, turni, gruppi aziendali, documenti e comunicazioni professionali devono essere trattati rispettando privacy e perimetro dell’incarico.

Truffe e impersonificazione

Numeri, link, ricevute, documenti, vocali e richieste di pagamento possono essere correlati con altre fonti tecniche.

Quali dati può contenere WhatsApp?

Messaggi testuali

Possono essere disponibili testo, mittente, destinatario, chat, gruppo, data, ora, stato del messaggio, risposta, inoltro, citazione e identificativi interni.

Messaggi vocali

Un vocale è normalmente un file separato e può contenere formato, codec, durata, dimensione, percorso, hash e collegamento al messaggio.

Fotografie, video e documenti

I contenuti possono essere scattati, selezionati, inoltrati, ricompressi, modificati oppure non più presenti sul dispositivo. PDF e documenti Office possono richiedere un’analisi separata.

Contatti e gruppi

Numero, nome in rubrica, nome profilo, immagine, partecipanti, amministratori e messaggi di sistema devono essere interpretati distinguendo dato locale e identità personale.

Screenshot, esportazione e database: quali differenze?

Screenshot

Documenta ciò che appare sullo schermo, ma può non contenere database, identificativi, allegati originari, chat completa e informazioni sulle cancellazioni.

Esportazione

È utile per consultazione e ricerca, ma può perdere stati, identificativi, struttura interna, record eliminati e relazioni tra messaggi.

Database e backup

Possono contenere dati strutturati, file associati, WAL, journal, cache e riferimenti interni, nei limiti della fonte e dell’acquisizione.

Attenzione: nessuna di queste fonti deve essere presentata come più completa di quanto effettivamente documentato.

Come si acquisisce una chat WhatsApp?

  1. Identificazione del dispositivo. Marca, modello, sistema operativo, versione, numero, account, IMEI, stato e data.
  2. Verifica dell’autorizzazione. L’analisi deve riguardare dispositivi e account legittimamente disponibili.
  3. Conservazione dello stato. Si valutano blocco, connessioni, sincronizzazione, cancellazione remota, batteria e cifratura.
  4. Scelta della modalità. Documentazione controllata, backup, acquisizione logica, file system, estrazione applicativa o cloud autorizzato.
  5. Acquisizione del database. Vengono valutati schema, tabelle, campi, file associati ed eventuali errori.
  6. Acquisizione degli allegati. Vocali, fotografie, video, documenti, GIF e altri file condivisi.
  7. Calcolo degli hash. Database, backup, allegati ed esportazioni vengono identificati mediante hash quando opportuno.
  8. Verifica degli output. Si controllano intervallo temporale, messaggi mancanti, errori, allegati e limiti dello strumento.
  9. Analisi guidata dal quesito. Presenza, contenuto, contatto, gruppo, cancellazioni, allegati e confronto con screenshot.
documentazione controllata backup acquisizione logica file system estrazione applicativa cloud autorizzato

Come si analizzano i messaggi vocali?

Il vocale deve essere considerato sia come allegato della chat sia come file audio. Possono essere verificati nome, formato, codec, durata, bitrate, campionamento, hash, percorso e collegamento al messaggio.

Quando il quesito riguarda l’autenticità possono essere valutati waveform, spettrogramma, continuità, rumore, tagli, ricodifiche e possibili elementi compatibili con voice cloning.

Un vocale inoltrato o convertito è una copia derivata e non deve essere chiamato originale.

Approfondisci la verifica dell’autenticità audio.

Come si verificano fotografie, video e documenti?

Fotografie

Formato, dimensioni, EXIF, XMP, compressione, software, data e compatibilità con la versione inviata.

Video

Contenitore, codec, durata, frame rate, audio, metadati, ricodifica e continuità.

Documenti

PDF e file Office possono essere esaminati per hash, metadati, firme, revisioni e differenze tra versioni.

Analisi video e immagini · Analisi documenti digitali

È possibile recuperare messaggi cancellati?

In alcuni casi possono essere recuperate tracce di messaggi eliminati. Le possibilità dipendono da sistema operativo, versione dell’app, database, file WAL, backup, notifiche, cache, cifratura, sovrascritture e tipo di acquisizione.

Fonti da valutare

  • database principale e file WAL;
  • backup locale o cloud;
  • notifiche e cache;
  • allegati ancora presenti;
  • secondo dispositivo;
  • esportazioni e screenshot precedenti.

Limite importante

L’assenza del messaggio nell’estrazione non dimostra che non sia mai esistito. La fonte può essere incompleta, successiva alla cancellazione o non supportata dal parser.

Approfondisci il recupero dati probatori.

Come si interpretano date e timestamp?

Le date devono essere interpretate considerando timezone, UTC, ora legale, impostazioni del dispositivo, database, server, esportazione, sincronizzazione e precisione del campo.

campo + formato + unità + origine + significato tecnico

La data mostrata nell’interfaccia non deve essere automaticamente equiparata al valore grezzo registrato nel database.

Il nome del contatto identifica la persona?

No. Il nome visualizzato può dipendere dalla rubrica locale e può essere scelto dall’utente del dispositivo.

numero telefonico → salvato come “Marco ufficio” → visualizzato nella chat come “Marco ufficio”

Per una correlazione più forte possono essere necessari numero, account, profilo, dispositivo, SIM, registrazioni e ulteriori fonti.

Formula prudente: “Il messaggio risulta associato al numero o all’account indicato.”

Messaggi inoltrati, modificati ed effimeri

Occorre distinguere autore originario e soggetto che inoltra, considerare eventuali modifiche consentite dall’app e verificare se messaggi effimeri abbiano lasciato tracce in backup, notifiche, allegati o secondo dispositivo.

Chat di gruppo e conferme di lettura

Partecipanti, amministratori, ingressi, uscite e stati di consegna devono essere interpretati considerando impostazioni privacy, dispositivi collegati, connessione e versione dell’app.

Quali errori evitare?

  1. Conservare soltanto screenshot.
  2. Esportare la chat e cancellare l’app.
  3. Cambiare telefono senza preservare il precedente.
  4. Ripristinare lo smartphone.
  5. Modificare il nome del contatto.
  6. Inoltrare ripetutamente vocali e allegati.
  7. Eliminare messaggi considerati irrilevanti.
  8. Aggiornare l’applicazione senza necessità.
  9. Utilizzare applicazioni non verificate.
  10. Attendere troppo prima di preservare dispositivo e backup.

Che cosa contiene una relazione tecnica?

La relazione può includere incarico, quesito, dispositivo, stato, modalità di acquisizione, strumenti e versioni, hash, database, intervallo temporale, messaggi, allegati, confronto con screenshot, limiti e conclusioni.

Deve distinguere dati osservati, interpretazioni, fonti mancanti, ipotesi alternative e aspetti non determinabili.

  • “La conversazione risulta presente nella fonte analizzata.”
  • “Il messaggio è associato al record indicato.”
  • “L’allegato disponibile presenta l’hash riportato.”
  • “Lo screenshot è coerente con la porzione di chat acquisita.”
  • “Il materiale non consente di verificare la completezza assoluta della conversazione.”

Casi pratici

Solo screenshot disponibili

Si conservano i file originari, si calcolano gli hash, si verificano formato e metadati, si analizza la continuità grafica e si richiede il dispositivo quando possibile.

Chat esportata e smartphone disponibile

Si preserva il telefono, si acquisiscono database e media, si confronta l’esportazione con la fonte applicativa e si documentano le differenze.

Messaggio vocale contestato

Si verificano collegamento con la chat, hash, codec, durata, metadati, ricodifiche, continuità ed eventuali anomalie.

Messaggi cancellati

Si valutano database, WAL, backup, notifiche, secondo dispositivo, allegati ed esportazioni precedenti, senza promettere il recupero.

Checklist prima della valutazione

  • Conservare lo smartphone e il caricatore.
  • Non ripristinare il dispositivo.
  • Non cancellare messaggi o disinstallare WhatsApp.
  • Non modificare i contatti.
  • Conservare vocali, fotografie, video e documenti.
  • Annotare contatto, gruppo e periodo rilevante.
  • Conservare screenshot ed esportazioni già esistenti.
  • Verificare la presenza di backup.
  • Conservare il vecchio telefono, se disponibile.
  • Non inoltrare ripetutamente i file.
  • Non condividere password o codici su canali non concordati.
  • Richiedere una valutazione tecnica.

Domande frequenti

Può essere utile come documento della schermata, ma non sostituisce necessariamente dispositivo, database, allegati e contesto completo.

No. È un output generato dall’applicazione e può non contenere tutte le informazioni disponibili nel database.

In alcuni casi sì, ma il metodo e i dati esclusi devono essere descritti chiaramente.

Talvolta, in presenza di database, WAL, backup, notifiche, cache o altre fonti. Il recupero non è garantito.

No. Può dipendere dalla rubrica locale. Occorre correlare numero, account, dispositivo e altre fonti.

Sì. Possono essere verificati file, formato, codec, hash, durata, percorso, ricodifiche e collegamento alla chat.

Indica uno stato rappresentato dall’applicazione, da interpretare considerando impostazioni, gruppi, dispositivi collegati e versione.

Non necessariamente, ma il vecchio dispositivo e i backup possono contenere dati importanti e dovrebbero essere conservati.

No. Può essere incompleto, successivo alla cancellazione o privo di alcuni allegati.

È possibile analizzare l’immagine e confrontarla con la fonte applicativa quando disponibile. Lo screenshot da solo può non consentire una conclusione certa.

Risorse collegate

Servizio smartphone e chat

Acquisizione forense di Android, iPhone, WhatsApp, Telegram, Signal, vocali e allegati.

Capitolo tecnico WhatsApp

Database, timestamp, messaggi cancellati, screenshot e limiti dell’esportazione.

Conservare la prova digitale

Azioni da compiere prima di modificare file, chat e dispositivi.

Glossario tecnico

Definizioni semplici di hash, database, backup, acquisizione e catena di custodia.

Hai una chat WhatsApp da conservare o verificare?

Lo Studio Quaranta può valutare smartphone, conversazione, screenshot, esportazioni, messaggi vocali, allegati, backup, eventuali cancellazioni e limiti tecnici.

Non vengono garantiti recupero di ogni messaggio, acquisizione completa, attribuzione personale certa o esito del procedimento.

Richiedi una valutazione preliminare