Dispositivi mobili
Un telefono è oggi l'oggetto che contiene più informazioni su una persona di qualunque altro. È anche l'oggetto su cui circolano più aspettative sbagliate, in entrambe le direzioni.
Che cosa un telefono contiene davvero
Oltre a ciò che si vede — messaggi, foto, rubrica, cronologia delle chiamate — un dispositivo mobile conserva un numero notevole di registrazioni automatiche: quali reti senza fili ha incontrato, quali applicazioni sono state installate e quando, quali notifiche sono arrivate, quali dispositivi sono stati collegati, e in molti casi una cronologia di posizioni raccolta dal sistema operativo o da singole applicazioni.
Sono spesso questi dati secondari, e non il contenuto cercato all'inizio, a risolvere una questione: la presenza di un dispositivo in un luogo, l'ora in cui è stato acceso, il momento in cui un'applicazione è stata installata o rimossa.
I tre livelli di estrazione
Non tutte le estrazioni sono uguali, e la differenza determina che cosa si potrà cercare. In ordine di profondità crescente:
| Livello | Che cosa ottiene | Quando è possibile |
|---|---|---|
| Logica | I dati che il sistema operativo espone: rubrica, messaggi, chiamate, foto, file utente. | Quasi sempre, se il dispositivo è sbloccabile. Non raggiunge i dati cancellati. |
| File system | L'intero albero dei file dell'utente e delle applicazioni, comprese le basi di dati interne dei programmi di messaggistica. | Su una parte dei modelli e delle versioni di sistema. È il livello che di solito serve davvero. |
| Fisica | Copia integrale della memoria, compreso lo spazio non allocato dove sopravvivono i dati cancellati. | Sempre più raramente: sui dispositivi recenti la memoria è cifrata e una copia grezza risulta illeggibile. |
Il vincolo che cambia tutto: la cifratura
Sui dispositivi moderni la memoria è cifrata per impostazione predefinita, e la chiave dipende dal codice di sblocco dell'utente. Le conseguenze sono nette e vale la pena metterle per iscritto prima di iniziare, perché evitano di impostare una difesa su un accertamento che non si potrà fare:
- Senza codice di sblocco, su un dispositivo recente, di norma non si estrae nulla. Non è una questione di strumenti migliori.
- Un dispositivo spento e mai sbloccato dall'accensione è in uno stato ancora più chiuso di uno acceso e sbloccato almeno una volta. Per questo, quando un dispositivo viene acquisito acceso, il modo in cui viene trattato nei primi minuti conta più di tutto ciò che verrà dopo.
- Le vulnerabilità che consentono l'accesso esistono, riguardano modelli e versioni specifici, e vengono chiuse dagli aggiornamenti. Chi promette l'accesso a qualunque dispositivo sta vendendo qualcosa che non ha.
Che cosa resta dopo la cancellazione
La domanda più frequente. La risposta onesta è: dipende da che cosa è stato cancellato e da quanto tempo il telefono ha continuato a essere usato.
Molte applicazioni non cancellano davvero: marcano il record come eliminato in una base di dati interna, e il contenuto resta recuperabile finché quello spazio non viene riutilizzato. Le fotografie sopravvivono spesso nelle miniature e nelle copie create dai servizi di sincronizzazione. Al contrario, dopo una reinizializzazione completa del dispositivo il recupero è generalmente escluso: sui sistemi cifrati la procedura distrugge la chiave, e da quel momento ciò che resta in memoria è rumore.
Il fattore che pesa di più resta il tempo. Un telefono che continua a essere usato riscrive continuamente la propria memoria. Se un dato serve, il dispositivo va messo da parte subito.
Un avvertimento sulla proporzionalità
L'estrazione integrale di un telefono restituisce anche la corrispondenza con persone estranee al giudizio, dati sanitari, materiale che nulla ha a che vedere con l'oggetto della causa. È un problema reale, che riguarda i diritti di terzi e che il giudice valuta. Lavorare per parole chiave, per intervalli temporali o per singole applicazioni, quando è sufficiente, è quasi sempre la scelta migliore: più rapida, meno costosa e meno esposta a eccezioni.
Ambiti collegati
Chat e messaggistica
Che cosa prova davvero uno screenshot di WhatsApp e che cosa serve perché tenga in giudizio.
Acquisizione forense
Copiare un disco, un telefono o una casella in modo che la copia regga quando la controparte la attacca.
Email e PEC
Header SMTP, SPF, DKIM e ricevute PEC per stabilire chi ha spedito che cosa, e quando.
Ha una questione in corso?
Mi scriva che cosa è successo e che cosa deve dimostrare. Le dico in una prima risposta se la strada tecnica esiste, quali dati servono e con che tempi — prima di qualunque impegno.