Informatica forense · Avvocati e difensori penali
In che modo la difesa può verificare se un file è stato semplicemente rinominato?
La modifica del nome di un file può essere interpretata come un tentativo di occultamento nei rapporti investigativi.
Perché questa domanda è importante per la difesa penale
Proprio nel caso delle prove digitali, piccole differenze nella fonte dei dati, nel contesto del sistema o nella semantica temporale possono modificare in modo significativo il significato di un risultato. Per la difesa è quindi fondamentale stabilire se la conclusione incriminante derivi effettivamente dai dati primari o se sia necessaria una valutazione tecnica più approfondita.
Approccio tecnico di analisi
Verifichiamo i metadati del file system, gli identificatori degli oggetti, le tracce dei journal e i percorsi storici.
Dove si trova il limite della dichiarazione
Il semplice fatto di cambiare il nome non dimostra né l'intenzione di nascondere qualcosa né la conoscenza del contenuto.
Perché LanCologne?
Dopo aver consultato il fascicolo o non appena la difesa disponga legittimamente di documenti tecnicamente rilevanti, una verifica indipendente può mettere in luce l’effettivo valore probatorio dei reperti digitali. LanCologne non opera con l’obiettivo di trovare necessariamente un errore nel fascicolo delle indagini.
Verifichiamo quali informazioni tecniche contengano effettivamente i dati primari. Laddove un riscontro delle autorità risulti corretto, lo confermiamo. Laddove un report derivante da un dispositivo o da un account deduca un’ulteriore attribuzione a una persona, verifichiamo i fatti di collegamento aggiuntivi necessari a tal fine. Si tiene conto anche dei processi automatici di sistema, della sincronizzazione, della migrazione, dei backup e di cause tecniche alternative.
I risultati del parser o dei report rilevanti ai fini decisionali vengono, se necessario, convalidati sulla base dei dati sottostanti o di un secondo metodo adeguato dal punto di vista tecnico. Le lacune nei dati, le fonti contraddittorie e le spiegazioni alternative non risolvibili vengono chiaramente indicate.
I risultati vengono elaborati in modo tale che l’avvocato difensore possa comprenderne il significato tecnico ai fini della propria strategia difensiva e che un altro esperto qualificato in informatica forense possa in seguito verificare le conclusioni principali.
Il nostro modo di lavorare
Risultati a carico, a discarico e in sospeso
Una verifica indipendente è credibile solo se vengono confermati anche i risultati negativi, non appena i dati li confermano. Allo stesso modo, vengono chiaramente indicati i risultati contrari a carico o le incertezze irrisolvibili. Un scenario tecnicamente possibile non viene presentato come un fatto accertato.
Comprensibile per l’avvocato difensore – verificabile dal punto di vista tecnico per altri esperti forensi
I risultati principali vengono illustrati con un linguaggio chiaro. Le fonti dei dati rilevanti ai fini dell'analisi, le informazioni sull'integrità, i riferimenti temporali, gli ID, le posizioni dei dati grezzi e le fasi metodologiche vengono documentati in modo tale che un altro esperto qualificato in informatica forense possa comprendere dal punto di vista tecnico le conclusioni essenziali.
LanCologne come supporto tecnico indipendente per la difesa penale
Se un avvocato penalista desidera far verificare in modo indipendente un risultato di analisi digitale o una conclusione tecnica contenuta nel fascicolo delle indagini, LanCologne offre il proprio supporto con una controverifica obiettiva e imparziale. L’obiettivo è ottenere una risposta attendibile su ciò che i dati disponibili dimostrano effettivamente – e su quali siano i limiti della loro validità.
Quadro giuridico
Il diritto di consultazione degli atti e di ispezione del difensore è disciplinato dall’articolo 147 del Codice di procedura penale. Ai sensi del comma 1, il difensore è autorizzato a consultare gli atti in possesso del tribunale o che devono essere presentati in caso di accusa, nonché a ispezionare i reperti custoditi d’ufficio. Prima della conclusione delle indagini, la consultazione di cui al comma 2 può essere limitata alle condizioni ivi previste. Ai sensi del comma 3, la consultazione delle perizie degli esperti non può essere negata al difensore in nessuna fase del procedimento.
Tali diritti spettano al difensore, non a LanCologne. Una controperizia tecnica da parte di un perito informatico forense incaricato privatamente presuppone che la difesa possa mettere a disposizione in modo legittimo i documenti o i dati in questione. Con l’incarico, LanCologne non acquisisce alcun diritto di consultazione degli atti, di ispezione o di accesso nei confronti della Procura o della Polizia.
L'articolo 160, comma 2, del Codice di procedura penale (StPO) obbliga espressamente la Procura a accertare sia le circostanze a carico che quelle a discarico. Ai sensi dell’articolo 163a, comma 2, del Codice di procedura penale, le prove richieste dall’imputato a propria discolpa devono essere acquisite qualora siano rilevanti. Una perizia tecnica indipendente può quindi fornire fatti e risultati contrari, il cui utilizzo processuale viene valutato dal difensore.
Per quanto riguarda le prove elettroniche sequestrate, confiscate o esaminate dalle autorità, occorre attenersi in particolare agli articoli 94, 98 e 110 del Codice di procedura penale. Tali disposizioni non conferiscono a un perito informatico forense incaricato da privati alcun potere sovrano.
Un perito informatico forense incaricato privatamente dalla difesa non è, per il solo fatto di tale incarico, un perito formalmente nominato ai sensi degli articoli 72 e seguenti del Codice di procedura penale. Le perizie private, la consulenza tecnica e la nomina formale a perito devono essere distinte dal punto di vista procedurale.
Se le indagini non forniscono motivi sufficienti per l'avvio dell'azione penale, la Procura archivia il procedimento ai sensi dell'articolo 170, comma 2, del Codice di procedura penale. Una perizia tecnica presentata dalla difesa non garantisce di per sé una tale decisione, ma può costituire un elemento rilevante della base fattuale.
Domande frequenti
LanCologne – Informatica forense per avvocati e difensori penali
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento
- Come si interpretano correttamente i timestamp dei file dopo una copia, uno spostamento o un ripristino?
- In che modo la difesa può verificare se le versioni su cloud riportano una versione precedente o diversa del documento?
- Come si può verificare se uno screenshot proviene da un’altra fonte o da un altro dispositivo?
- Come è possibile verificare tecnicamente, in tempi brevi, una prova contraria in formato digitale di cui si è venuti a conoscenza in ritardo?