Informatica forense · Autorità investigative

Come vengono valutati i dati dopo il ripristino da un backup?

Un ripristino può combinare contenuti storici con nuove date del file system o di attivazione.

Richiesta non vincolante

Perché questa domanda è importante per le autorità investigative

Nelle indagini avanzate, raramente si tratta solo di stabilire se un singolo reperto sia presente o meno. È fondamentale verificare se l’interpretazione tecnica sia attendibile, quali siano le ipotesi contrarie e quali conclusioni non debbano assolutamente essere tratte sulla base dei dati disponibili.

Approccio tecnico di analisi

Verifichiamo la fonte del backup, il momento del ripristino e le discrepanze tra gli orari dei contenuti e quelli di archiviazione locale.

Dove si trova il limite della dichiarazione

Le date del file system generate dopo il ripristino non devono essere confuse con la data di creazione originale.

Perché LanCologne?

Il metodo LanCologne non viene utilizzato in indagini complesse per confermare nel modo più efficace possibile un’ipotesi di sospetto già esistente. Il suo scopo consiste nell’esaminare in modo indipendente una questione tecnica specifica e nel valutare, con lo stesso criterio tecnico, sia gli elementi a carico che quelli a discarico.

La base dati viene documentata in modo univoco. Per quanto tecnicamente possibile, l’analisi viene effettuata su copie di backup verificate o su copie di lavoro adeguate. In caso di risultati rilevanti ai fini decisionali, non ci affidiamo esclusivamente a report generati automaticamente. Vengono verificati l’origine, la logica di generazione e il contesto di sistema; se necessario, viene effettuata una convalida sulla base dei dati primari o mediante un secondo metodo tecnicamente adeguato.

Proprio nei casi complessi, è fondamentale distinguere tra il riferimento al dispositivo, all’account, alla sessione, all’azione dell’utente e alla persona fisica. Allo stesso modo, si distingue tra accertamento positivo, mera compatibilità, mancanza di prove ed esclusione tecnica.

I risultati vengono documentati in modo tale che gli investigatori e i pubblici ministeri possano comprenderne il significato essenziale senza necessitare di particolari conoscenze forensi. Allo stesso tempo, gli aspetti tecnici di base rimangono documentati in modo riproducibile per un’eventuale verifica successiva da parte di altri esperti forensi, della difesa e del tribunale.

Dal mandato investigativo alla testimonianza attendibile

1Delimitare con precisione l'oggetto dell'indagine e l'incarico di perizia tecnica.
2Formulare ipotesi a carico, ipotesi contrarie a discarico e possibili spiegazioni tecniche alternative.
3Documentare le prove, i dati di partenza, l'integrità e le lacune note.
4Identificare le fonti primarie rilevanti, i riferimenti relativi a dispositivi, account, Server e cloud.
5Analizzare gli artefatti rilevanti ai fini decisionali nel contesto della loro genesi e del sistema.
6Convalidare in modo indipendente i risultati dei parser e degli strumenti in caso di reperti critici.
7Risolvere in modo trasparente i problemi relativi al tempo, alla sincronizzazione e alle versioni oppure documentarli come incertezza residua.
8Valutare i risultati a carico e a discarico utilizzando lo stesso criterio tecnico.
9Indicare espressamente i limiti delle affermazioni, le lacune nei dati e le possibili spiegazioni alternative.
10Rispondere in modo comprensibile alla domanda oggetto dell'indagine e garantire la verificabilità tecnica.

Risultati a carico, a discarico e in sospeso

L'indagine rimane aperta. Qualora più fonti attendibili confermino un'ipotesi investigativa, ne viene illustrata la relazione tecnica. In presenza di risultati contrari o di una spiegazione alternativa tecnicamente valida, questi vengono documentati in modo paritario. Se la base di dati non è sufficiente, viene espressamente indicata la mancata dimostrazione.

Riproducibilità e successivo controllo giurisdizionale

Il messaggio chiave viene formulato in modo comprensibile per gli investigatori e i pubblici ministeri. Allo stesso tempo, i fondamenti tecnici rilevanti ai fini dell’analisi vengono documentati in modo tale che un altro esperto qualificato di informatica forense possa ricostruire le conclusioni essenziali sulla base degli stessi dati. Ciò facilita successive richieste di chiarimenti, controverifiche ed un’eventuale acquisizione di prove in sede giudiziaria.

LanCologne in qualità di perito forense informatico esterno indipendente

Quando un’autorità investigativa deve far esaminare in modo approfondito una questione digitale complessa, in modo indipendente o riproducibile, LanCologne fornisce supporto attraverso un’indagine obiettiva e aperta ai risultati. L’obiettivo principale è fornire una risposta attendibile alla specifica questione oggetto dell’indagine, tenendo conto anche dei risultati contrari, dei limiti delle testimonianze e della verificabilità tecnica.

Quadro giuridico

La direzione delle indagini e la valutazione giuridica spettano agli organi di polizia giudiziaria competenti. Ai sensi dell’articolo 160 del Codice di procedura penale (StPO), la Procura accerta i fatti e deve accertare sia le circostanze a carico che quelle a discarico. L’articolo 161 del Codice di procedura penale (StPO) disciplina il potere investigativo generale della Procura; l’articolo 163 del Codice di procedura penale (StPO) disciplina i compiti della polizia nel procedimento investigativo.

Per i periti si applicano, in linea di principio, gli articoli 72 e seguenti del Codice di procedura penale (StPO). Ai sensi dell’articolo 161a, comma 1, del Codice di procedura penale (StPO), i periti sono tenuti a presentarsi, su convocazione, dinanzi alla Procura e a rendere la propria perizia. L’articolo 82 del Codice di procedura penale disciplina la forma di presentazione della perizia nella fase istruttoria. L’articolo 78 del Codice di procedura penale riguarda la direzione giudiziaria dell’attività del perito, nella misura in cui tale direzione sia pertinente.

Il sequestro e la confisca sono disciplinati in particolare dagli articoli 94 e 98 del Codice di procedura penale. L’articolo 110, comma 3, del Codice di procedura penale riguarda l’esame dei supporti di memoria elettronici e il salvataggio dei dati che possono essere rilevanti ai fini delle indagini. In merito all’ammissibilità, alla portata e alla disposizione di misure di pubblica autorità, decidono esclusivamente gli organi di polizia giudiziaria e i tribunali competenti.

Ai sensi dell’articolo 1, comma 3, della JVEG, il ricorso a un avvocato da parte della polizia o di altre autorità di polizia giudiziaria, su incarico o previa approvazione della Procura, è equiparato, ai fini del compenso, al ricorso da parte della Procura stessa.

Domande frequenti

Come vengono valutati i dati dopo il ripristino da un backup?+
Nelle indagini avanzate, raramente si tratta solo di stabilire se un singolo reperto sia presente o meno. È fondamentale verificare se l’interpretazione tecnica sia attendibile, quali siano le ipotesi contrarie e quali conclusioni non debbano assolutamente essere tratte sulla base dei dati disponibili.
Come si svolge in pratica un’indagine tecnica di questo tipo?+
Verifichiamo la fonte del backup, il momento del ripristino e le discrepanze tra gli orari dei contenuti e quelli di archiviazione locale.
L'esame fornisce sempre un risultato inequivocabile, a carico o a discarico?+
Le date del file system generate dopo il ripristino non devono essere confuse con la data di creazione originale.
Esiste una base giuridica in merito?+
La direzione delle indagini e la valutazione giuridica spettano agli organi di polizia giudiziaria competenti. Ai sensi dell’articolo 160 del Codice di procedura penale (StPO), la Procura accerta i fatti e deve accertare sia le circostanze a carico che quelle a discarico. L’articolo 161 StPO disciplina il potere investigativo generale della Procura; l’articolo 163 StPO disciplina i compiti della polizia nel procedimento investigativo. Per i periti si applicano, in linea di principio, gli articoli 72 e seguenti del Codice di procedura penale. Ai sensi dell’articolo 161a, comma 1, del Codice di procedura penale, i periti sono tenuti a presentarsi dinanzi alla Procura su convocazione e a rendere la propria perizia. L’articolo 82 del Codice di procedura penale disciplina la forma di presentazione della perizia nella fase preliminare. L’articolo 78 del Codice di procedura penale riguarda la direzione giudiziaria dell’attività del perito, nella misura in cui tale direzione sia pertinente. Il sequestro conservativo e il sequestro si regolano in particolare ai sensi degli articoli 94 e 98 del Codice di procedura penale. L’articolo 110, comma 3, del Codice di procedura penale riguarda l’esame dei supporti di memorizzazione elettronici e il salvataggio dei dati che possono essere rilevanti ai fini dell’indagine. In merito all’ammissibilità, alla portata e alla disposizione di misure di polizia, decidono esclusivamente gli organi di polizia giudiziaria e i tribunali competenti. Ai sensi dell’articolo 1, comma 3, della legge tedesca sulla retribuzione degli esperti giudiziari (JVEG), il ricorso da parte della polizia o di altre autorità di polizia giudiziaria su incarico o previa approvazione della Procura equivale, ai fini della retribuzione, a un ricorso da parte della Procura stessa.

LanCologne – Informatica forense per le autorità investigative penali

Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.

Contattaci subito