Perizia su Android e iPhone: che cosa cambia davvero

Pubblicato il 6 ottobre 2026 · Autore: Francesco Zinghinì

«È un Android o un iPhone?» è quasi sempre la prima domanda che ricevo quando si parla di esaminare un telefono, e quasi sempre è la domanda meno utile. La marca entra nel conto, ma molto dopo altre tre cose: in che stato arriva l'apparecchio, se qualcuno conosce il codice, e se esiste già una copia da qualche altra parte. Questo articolo mette in fila ciò che davvero decide l'esito, perché arrivare preparati a quella conversazione cambia la strategia probatoria più di qualunque strumento.

Perché la marca è la variabile meno interessante

Le due piattaforme sono arrivate, per strade diverse, allo stesso posto: la memoria è cifrata per impostazione predefinita e la chiave è legata al codice dell'utente, custodita da un componente dell'hardware che non la consegna a richiesta. Su iPhone quel componente è integrato nel processore; su Android è un ambiente protetto equivalente. Dal punto di vista di chi deve esaminare il dispositivo, la conseguenza è la stessa in entrambi i casi.

Ciò che varia davvero sta un livello più in basso: il modello, la versione del sistema operativo e lo stato di aggiornamento. Una vulnerabilità che rende accessibile un apparecchio esiste per una combinazione precisa di quelle tre cose, e scompare con l'aggiornamento che la chiude. È per questo che due telefoni della stessa marca e della stessa età possono dare risultati opposti, mentre la differenza media fra Android e iPhone è molto meno marcata di quanto si racconti. La frammentazione del mondo Android aggiunge varietà — più costruttori, più versioni in circolazione, più comportamenti possibili — ma varietà non vuol dire accessibilità: significa che una verifica caso per caso è obbligatoria e nessuna regola generale regge.

Chi promette l'accesso a qualunque telefono, di qualunque marca, sta vendendo una certezza che la tecnica non consente di avere.

Lo stato del dispositivo: la variabile che si consuma

Questa è la distinzione che conta più di tutte, ed è anche quella che viene ignorata più spesso, perché è controintuitiva: un telefono acceso e un telefono spento non sono lo stesso oggetto, e il passaggio da uno all'altro è a senso unico.

Un apparecchio che non è stato sbloccato dall'ultima accensione tiene le chiavi di cifratura ancora sigillate: la memoria è fisicamente lì, ma è illeggibile, e l'esame si riduce a poche informazioni di sistema. Un apparecchio acceso e già sbloccato almeno una volta ha invece le chiavi in uso: il contenuto è decifrabile finché quello stato dura. Fra le due condizioni la distanza è enorme, e non è una questione di strumenti migliori.

Lo stesso ragionamento vale per gli aggiornamenti. Un apparecchio che installa l'aggiornamento proposto mentre attende di essere esaminato può chiudere la strada tecnica che lo rendeva accessibile. Non è un'ipotesi di scuola: è uno dei modi più comuni in cui un accertamento possibile diventa impossibile mentre nessuno fa nulla di sbagliato in apparenza.

Il codice di sblocco, e che cosa fare se non c'è

Con il codice, su entrambe le piattaforme, si apre la gamma ordinaria delle acquisizioni — e la discussione si sposta su quanto in profondità si possa arrivare, questione che ho descritto nella pagina dedicata ai dispositivi mobili. Senza codice, su un apparecchio recente, la risposta onesta è che di norma non si estrae il contenuto.

Prima di considerare chiusa la questione, però, conviene passare in rassegna chi potrebbe legittimamente conoscerlo o poterlo ottenere. Nei contenziosi familiari e di lavoro è frequente che il codice sia noto a più di una persona, o annotato da qualche parte; su un dispositivo aziendale può esistere un sistema di gestione che consente all'amministratore di reimpostarlo. Sono vie banali, e per questo vengono trascurate a favore di soluzioni tecniche che costano di più e rendono di meno.

Una precisazione che evita un malinteso ricorrente: la reimpostazione del codice attraverso un sistema di gestione aziendale, o il ripristino dell'accesso a un account, sono operazioni che incidono sul dispositivo. Vanno decise sapendo che cosa comportano e documentate come ogni altro passaggio, non eseguite d'impulso perché «tanto è il nostro telefono».

Le copie che stanno altrove

Quando il dispositivo è inaccessibile, la domanda giusta non è più «come entro in questo telefono» ma «dove altro esiste quello che mi serve». È il ragionamento che cambia più spesso l'esito di un incarico, e qui le due piattaforme hanno abitudini diverse.

Sul versante iPhone esiste una pratica consolidata di copia locale su computer, e quella copia — se è stata fatta, e se è protetta da una password che qualcuno conosce — contiene molto di ciò che si cercherebbe nel telefono, in una forma già strutturata e analizzabile senza toccare il dispositivo. Il primo accertamento, quando un iPhone non si apre, dovrebbe essere se su un computer di casa o di ufficio non esista già una copia dimenticata.

Sul versante Android non c'è un equivalente così diffuso: la copia locale integrale è stata progressivamente limitata, e ciò che resta è più spesso distribuito fra l'account del costruttore, quello del sistema operativo e i servizi delle singole applicazioni. Significa che la ricerca è più frammentaria, non che non ci sia nulla: una galleria sincronizzata, l'archivio di una chat conservato dal servizio, la cronologia di un account possono coprire esattamente il periodo che interessa.

In entrambi i casi vale un avvertimento che ho già messo per iscritto parlando del recupero dei messaggi cancellati: ciò che si ottiene da un account o da un backup è una rappresentazione dei dati, e il suo valore in giudizio dipende da come è stata acquisita, non dal fatto che i dati ci siano. Scaricare una cartella e portarla in causa non è un'acquisizione; la differenza la fa la catena che lega la copia alla sua origine.

Il tablet: l'apparecchio che si dimentica di nominare

Nelle richieste che ricevo il tablet compare raramente, e quasi sempre è un errore. Un tablet collegato allo stesso account del telefono riceve e conserva una copia delle conversazioni sincronizzate, delle fotografie, della posta. Viene usato con meno attenzione dell'apparecchio che si porta in tasca, viene lasciato in casa, viene passato ai figli — e praticamente mai viene ripulito quando una controversia comincia, perché nessuno lo considera un testimone.

Dal punto di vista tecnico un tablet è un dispositivo mobile come gli altri: le considerazioni su cifratura, stato e codice valgono identiche. Dal punto di vista probatorio ha però due caratteristiche proprie che conviene sfruttare. La prima è che spesso è meno protetto: codice più semplice, aggiornamenti più trascurati, a volte nessun blocco. La seconda è che, conservando una copia sincronizzata, può restituire una conversazione che sul telefono è stata eliminata — a patto che il tablet non sia stato collegato alla rete dopo l'eliminazione, perché la sincronizzazione propaga anche le cancellazioni.

I primi minuti: che cosa non fare

Il momento in cui un dispositivo entra nella disponibilità di chi dovrà usarlo come prova è quello in cui si fanno i danni maggiori, sempre in buona fede. In ordine di gravità:

• Non spegnerlo e non lasciarlo scaricare. È il punto del paragrafo precedente, e resta il più costoso.
• Non aggiornarlo, e rifiutare gli aggiornamenti proposti.
• Non tentare il codice a ripetizione. Oltre un certo numero di errori molti dispositivi introducono attese crescenti, e alcuni, se è stata attivata l'opzione, cancellano il contenuto.
• Non disconnettere l'account e non cambiarne la password prima di aver deciso la strategia: si possono interrompere proprio le sincronizzazioni da cui si otterrebbero le copie.
• Isolarlo dalla rete, perché un apparecchio connesso può ricevere una cancellazione remota o propagare eliminazioni fatte altrove. La modalità aereo è meglio di nulla; un contenitore schermante è la soluzione corretta quando il dispositivo deve restare acceso.
• Non «far dare un'occhiata» a un tecnico di fiducia. Ogni esplorazione manuale modifica il dispositivo e lascia tracce che poi vanno spiegate. Vale anche per lo screenshot fatto per sicurezza — su ciò che uno screenshot vale, da solo, ho scritto altrove.

Di tutto questo, la cosa più utile da fare è anche la più semplice: annotare in che stato si trovava l'apparecchio quando è arrivato — acceso o spento, bloccato o sbloccato, connesso o no, con quale carica — e chi lo ha avuto in mano da quel momento. È un'informazione che costa trenta secondi e che più tardi vale molto.

Che cosa chiedere, e in che ordine

Chi deve impostare una richiesta di accertamento tecnico su un dispositivo mobile — un quesito, un'istanza, o semplicemente la prima telefonata — ottiene risposte più utili se le domande seguono quest'ordine, che riprende quello dell'articolo:

1. Di quale apparecchio si tratta, con quale versione di sistema, e quando è stato aggiornato l'ultima volta.
2. In che stato si trova adesso: acceso o spento, sbloccato dall'ultima accensione o no.
3. Chi conosce il codice, o chi può legittimamente ottenerlo.
4. Quali altri dispositivi e quali account sono collegati, e se esiste già una copia su un computer.
5. Che cosa si cerca e in quale periodo — perché è la risposta che consente di lavorare per applicazioni e per intervalli, invece di estrarre tutto.

Le prime quattro domande determinano se l'accertamento è possibile. La quinta determina se sarà proporzionato, ed è quella che più spesso manca: un quesito scritto come «si accerti il contenuto del telefono» invita a un'estrazione integrale che restituisce anche la corrispondenza di persone estranee al giudizio, e si espone a eccezioni che un quesito circoscritto non avrebbe avuto.

Dispositivi mobili: come intervengo → · Chat e messaggistica → · Torna agli approfondimenti