Lo smartphone è il dispositivo che più di ogni altro racconta la vita di una persona: messaggi, foto con posizione, chiamate, spostamenti, app installate, account collegati. Per questo è anche il reperto più delicato da trattare. Un'operazione sbagliata nei primi minuti può cancellare dati che nessuna analisi successiva sarà in grado di recuperare.
I primi minuti: isolare il telefono
Un telefono acceso e connesso continua a ricevere dati: nuovi messaggi, sincronizzazioni, aggiornamenti delle app. Alcuni servizi permettono anche la cancellazione da remoto. La prima preoccupazione è quindi impedire che il dispositivo comunichi con l'esterno.
- Se il telefono è acceso e sbloccato, conviene attivare la modalità aereo e disattivare Wi-Fi e Bluetooth, annotando l'orario. Mantenerlo sbloccato, per esempio collegandolo a una fonte di alimentazione, può essere decisivo, perché dopo il riavvio molti dati restano cifrati fino all'inserimento del codice.
- Se è acceso e bloccato, lo si mantiene acceso e alimentato, isolato dalle reti, ad esempio in una busta schermata.
- Se è spento, lo si lascia spento.
Ogni scelta va annotata e, quando possibile, fotografata.
I tipi di estrazione
Non esiste un unico modo di "copiare" un telefono. Le tecniche si distinguono per quantità di dati ottenuti e per invasività.
| Tipo | Cosa ottiene | Note |
|---|---|---|
| Manuale | Ciò che appare a schermo | Si fotografano le schermate; utile come ultima risorsa |
| Logica | Dati esposti dal sistema, simili a un backup | Rapida e poco invasiva, ma incompleta |
| File system | Gran parte del file system, comprese le banche dati delle app | Più completa; richiede strumenti specifici |
| Fisica | Copia dell'intera memoria | Sempre più rara sui dispositivi moderni, a causa della cifratura |
Estrazione logica
Sfrutta i meccanismi previsti dal sistema operativo, come il backup. Si ottengono contatti, messaggi, foto, registro chiamate e parte dei dati delle app. È spesso il primo passo, perché è rapida e non richiede interventi profondi.
Estrazione del file system
Permette di accedere alle banche dati interne delle app, dove si trovano messaggi, cronologie e metadati non presenti nel backup. In molti casi richiede che il telefono sia sbloccato e l'uso di strumenti forensi specializzati.
Estrazione fisica
Era la tecnica più completa sui telefoni di vecchia generazione. Oggi la cifratura dell'intera memoria, presente di serie su iPhone e sulla gran parte dei dispositivi Android recenti, rende una copia grezza della memoria poco utile senza le chiavi di decifratura.
iPhone e Android: differenze pratiche
Su iPhone l'ecosistema è uniforme: pochi modelli, un solo sistema operativo, aggiornamenti diffusi rapidamente. Questo rende le procedure prevedibili, ma anche la sicurezza è elevata e omogenea.
Android è molto più frammentato. Produttori diversi, versioni personalizzate del sistema, processori diversi: ciò che funziona su un modello può non funzionare su un altro. In compenso, a volte offre più strade alternative.
In entrambi i casi, il codice di sblocco è spesso l'elemento che fa la differenza tra un'estrazione ricca e una molto limitata.
Quali dati si possono trovare
- Messaggi e chat, comprese talvolta conversazioni cancellate ancora presenti nelle banche dati delle app.
- Foto e video, con i metadati che indicano data, modello del dispositivo e spesso posizione.
- Posizioni, registrate dal sistema o da singole app.
- Registro chiamate e contatti.
- Cronologia di navigazione e ricerche.
- Account collegati, che indicano dove cercare altri dati, per esempio nel cloud.
- Dati di utilizzo, come l'orario di apertura delle app o lo stato dello schermo, utili per ricostruire le attività.
Il ruolo del cloud
Molti dati non risiedono più solo sul telefono. Foto, chat e backup vengono sincronizzati con servizi online. Un'analisi completa considera anche questi archivi, che talvolta conservano contenuti già cancellati dal dispositivo. L'accesso agli account remoti richiede però le credenziali o l'autorizzazione del titolare, e va gestito con attenzione per non alterare i dati.
Cosa non fare
- Non sfogliare il telefono "per vedere se c'è qualcosa": ogni apertura di app modifica dati e orari.
- Non installare app di backup o di recupero sul dispositivo da analizzare.
- Non fare il ripristino delle impostazioni di fabbrica per "sbloccarlo".
- Non tentare codici a caso: molti dispositivi rallentano o cancellano i dati dopo troppi errori.
In sintesi
- Il telefono va isolato subito dalle reti per evitare modifiche e cancellazioni remote.
- Le estrazioni possono essere manuali, logiche, del file system o fisiche.
- La cifratura moderna rende il codice di sblocco spesso decisivo.
- I dati utili includono chat, foto con metadati, posizioni e dati di utilizzo.
- Non sfogliare né tentare di sbloccare il telefono prima dell'acquisizione.