L'informatica forense è la disciplina che si occupa di individuare, conservare, analizzare e presentare dati digitali in modo che possano essere usati come prova. Non riguarda soltanto i reati informatici: oggi quasi ogni vicenda, da una lite di lavoro a una causa di separazione, lascia tracce su telefoni, computer, caselle email e servizi online. Il compito dell'informatico forense è trasformare quelle tracce in elementi affidabili, verificabili da chiunque e difficili da contestare.
Perché serve un metodo, non solo un tecnico
Chiunque sappia usare un computer può aprire una cartella e copiare dei file. La differenza tra una semplice copia e una prova sta nel metodo. Un dato digitale si modifica con estrema facilità: basta aprire un documento per cambiarne la data di ultimo accesso, accendere un telefono per far partire sincronizzazioni che sovrascrivono messaggi, collegare un disco a Windows perché il sistema scriva file di indicizzazione.
Per questo l'informatica forense si fonda su alcuni principi costanti:
- non alterare l'originale, lavorando quando possibile su copie fedeli;
- documentare ogni passaggio, così che un altro esperto possa ripeterlo e ottenere lo stesso risultato;
- garantire l'integrità, dimostrando che i dati analizzati sono identici a quelli acquisiti;
- separare i fatti dalle interpretazioni, distinguendo ciò che i dati mostrano da ciò che se ne deduce.
Le fasi di un'attività forense
Ogni lavoro, dal più semplice al più complesso, segue una sequenza logica.
1. Identificazione
Si stabilisce quali fonti possono contenere informazioni rilevanti: un portatile, uno smartphone, un account di posta, un profilo social, un server aziendale. È una fase spesso sottovalutata. Se ci si concentra solo sul computer e si dimentica il backup su cloud, si rischia di perdere proprio i dati decisivi.
2. Acquisizione
I dati vengono copiati con strumenti e procedure che non li modificano. Per un disco si realizza una copia bit a bit; per un telefono si usano estrazioni specifiche; per una pagina web si effettua una cattura documentata. Ogni acquisizione viene accompagnata da un'impronta di integrità e da un verbale.
3. Conservazione
Le copie e gli eventuali reperti fisici vengono custoditi in modo da poter dimostrare chi li ha avuti in mano, quando e per quale motivo. È la cosiddetta catena di custodia.
4. Analisi
Si cercano le informazioni utili: file, messaggi, cronologie di navigazione, registri di sistema, metadati. L'analisi è guidata da domande precise, per esempio "quando è stato creato questo documento?" o "questo account ha effettuato accessi da un luogo diverso dal solito?".
5. Relazione
I risultati vengono esposti in un documento comprensibile anche a chi non è tecnico, con allegati che consentono la verifica. Una relazione efficace spiega cosa è stato fatto, con quali strumenti, cosa è emerso e quali limiti hanno le conclusioni.
I principali ambiti
L'informatica forense non è un blocco unico. Si articola in specializzazioni con tecniche e problemi propri.
| Ambito | Cosa si analizza | Esempio tipico |
|---|---|---|
| Computer forensics | Dischi, file system, sistema operativo | Ricostruire l'uso di un PC aziendale |
| Mobile forensics | Smartphone e tablet | Recuperare chat e posizioni |
| Network forensics | Traffico e log di rete | Capire da dove è partito un accesso |
| Cloud forensics | Servizi online e account | Acquisire documenti da un archivio remoto |
| Memory forensics | Contenuto della RAM | Individuare un programma malevolo attivo |
| Web/OSINT | Pagine e fonti pubbliche | Documentare contenuti pubblicati online |
Esempi concreti
Un'azienda sospetta che un dipendente uscente abbia portato via un elenco clienti. L'analisi del suo computer può mostrare il collegamento di una chiavetta USB, l'apertura di determinati file poco prima e l'invio di allegati verso un indirizzo personale. Nessuno di questi elementi, da solo, è una prova definitiva, ma insieme formano un quadro coerente.
Una persona riceve messaggi offensivi da un profilo social. Prima che il profilo venga cancellato, serve una cattura documentata delle pagine, con data, indirizzo e contesto, accompagnata dai dati che permettono di verificarne l'autenticità.
Un piccolo studio professionale subisce un attacco che cifra i file. Oltre a ripristinare i sistemi, è utile capire come l'aggressore è entrato, per chiudere la falla ed evitare che accada di nuovo.
Cosa l'informatica forense non può fare
È giusto conoscere anche i limiti. Non tutti i dati cancellati si recuperano: sui dischi a stato solido moderni la cancellazione può rendere i contenuti irrecuperabili in tempi brevi. Non sempre si riesce a collegare un'azione a una persona fisica: un computer condiviso o una password nota a più persone complicano l'attribuzione. E nessuna analisi, per quanto accurata, sostituisce la valutazione di chi deve decidere: l'esperto fornisce elementi, non verdetti.
Quando rivolgersi a un esperto
Il momento migliore è prima di toccare i dispositivi. Molti problemi nascono da tentativi improvvisati: si accende il telefono per "dare un'occhiata", si inoltrano email a sé stessi, si fanno screenshot senza contesto. Nel mio lavoro capita spesso che il primo intervento sia proprio limitare i danni di queste iniziative ben intenzionate. Se pensi che dei dati possano servire in futuro, la regola più semplice è fermarsi, non modificare nulla e annotare cosa è successo e quando.
In sintesi
- L'informatica forense trasforma tracce digitali in prove affidabili e verificabili.
- Il metodo conta più dello strumento: non alterare, documentare, garantire l'integrità.
- Le fasi sono identificazione, acquisizione, conservazione, analisi e relazione.
- Esistono ambiti diversi, dai computer agli smartphone, dalla rete al cloud.
- Prima di intervenire su un dispositivo, conviene fermarsi e chiedere consiglio.