Informatica forense · Avvocati e difensori penali

Come si interpretano correttamente i timestamp dei file dopo una copia, uno spostamento o un ripristino?

I timestamp dei file possono essere modificati tramite operazioni di copia, ripristino, migrazione o processi software.

Perché questa domanda è importante per la difesa penale

Proprio nel caso delle prove digitali, piccole differenze nella fonte dei dati, nel contesto del sistema o nella semantica temporale possono modificare in modo significativo il significato di un risultato. Per la difesa è quindi fondamentale stabilire se la conclusione incriminante derivi effettivamente dai dati primari o se sia necessaria una valutazione tecnica più approfondita.

Approccio tecnico di analisi

Verifichiamo il tipo di file system, i campi temporali specifici, il meccanismo di trasferimento e i dati storici di riferimento.

Dove si trova il limite della dichiarazione

La data e l'ora attuali di un file non corrispondono automaticamente alla data e all'ora originali di creazione o di utilizzo.

Perché LanCologne?

Dopo aver consultato il fascicolo o non appena la difesa disponga legittimamente di documenti tecnicamente rilevanti, una verifica indipendente può mettere in luce l’effettivo valore probatorio dei reperti digitali. LanCologne non opera con l’obiettivo di trovare necessariamente un errore nel fascicolo delle indagini.

Verifichiamo quali informazioni tecniche contengano effettivamente i dati primari. Laddove un riscontro delle autorità risulti corretto, lo confermiamo. Laddove un report derivante da un dispositivo o da un account deduca un’ulteriore attribuzione a una persona, verifichiamo i fatti di collegamento aggiuntivi necessari a tal fine. Si tiene conto anche dei processi automatici di sistema, della sincronizzazione, della migrazione, dei backup e di cause tecniche alternative.

I risultati del parser o dei report rilevanti ai fini decisionali vengono, se necessario, convalidati sulla base dei dati sottostanti o di un secondo metodo adeguato dal punto di vista tecnico. Le lacune nei dati, le fonti contraddittorie e le spiegazioni alternative non risolvibili vengono chiaramente indicate.

I risultati vengono elaborati in modo tale che l’avvocato difensore possa comprenderne il significato tecnico ai fini della propria strategia difensiva e che un altro esperto qualificato in informatica forense possa in seguito verificare le conclusioni principali.

Il nostro modo di lavorare

1Raccogliere la documentazione tecnica e le fonti di dati a disposizione della difesa.

2Identificare le ipotesi investigative fondamentali e i risultati chiave delle analisi digitali.

3Assegnare tra loro dati primari, report, estrazioni e identificativi delle prove.

4Verificare l'ambito di estrazione, i filtri, i riferimenti temporali e le limitazioni tecniche.

5Convalidare i risultati dei parser e dei report a livello di dati grezzi o di database, se necessario.

6Separare rigorosamente l'assegnazione di dispositivi, account, sessioni e utenti.

7Verificare se i processi automatici, la sincronizzazione, la migrazione e i backup possano costituire possibili spiegazioni alternative.

8Valutare i reperti a carico, a discarico e inconcludenti secondo lo stesso criterio tecnico.

9Documentare espressamente i limiti tecnici e i dati non disponibili.

10Riassumere in modo chiaro e riproducibile i risultati e le questioni tecniche sollevate dalla difesa.

Risultati a carico, a discarico e in sospeso

Una verifica indipendente è credibile solo se vengono confermati anche i risultati negativi, non appena i dati li confermano. Allo stesso modo, vengono chiaramente indicati i risultati contrari a carico o le incertezze irrisolvibili. Un scenario tecnicamente possibile non viene presentato come un fatto accertato.

Comprensibile per l’avvocato difensore – verificabile dal punto di vista tecnico per altri esperti forensi

I risultati principali vengono illustrati con un linguaggio chiaro. Le fonti dei dati rilevanti ai fini dell'analisi, le informazioni sull'integrità, i riferimenti temporali, gli ID, le posizioni dei dati grezzi e le fasi metodologiche vengono documentati in modo tale che un altro esperto qualificato in informatica forense possa comprendere dal punto di vista tecnico le conclusioni essenziali.

LanCologne come supporto tecnico indipendente per la difesa penale

Se un avvocato penalista desidera far verificare in modo indipendente un risultato di analisi digitale o una conclusione tecnica contenuta nel fascicolo delle indagini, LanCologne offre il proprio supporto con una controverifica obiettiva e imparziale. L’obiettivo è ottenere una risposta attendibile su ciò che i dati disponibili dimostrano effettivamente – e su quali siano i limiti della loro validità.

Quadro giuridico

Il diritto di consultazione degli atti e di ispezione del difensore è disciplinato dall’articolo 147 del Codice di procedura penale. Ai sensi del comma 1, il difensore è autorizzato a consultare gli atti in possesso del tribunale o che devono essere presentati in caso di accusa, nonché a ispezionare i reperti custoditi d’ufficio. Prima della conclusione delle indagini, la consultazione di cui al comma 2 può essere limitata alle condizioni ivi previste. Ai sensi del comma 3, la consultazione delle perizie degli esperti non può essere negata al difensore in nessuna fase del procedimento.

Tali diritti spettano al difensore, non a LanCologne. Una controperizia tecnica da parte di un perito informatico forense incaricato privatamente presuppone che la difesa possa mettere a disposizione in modo legittimo i documenti o i dati in questione. Con l’incarico, LanCologne non acquisisce alcun diritto di consultazione degli atti, di ispezione o di accesso nei confronti della Procura o della Polizia.

L'articolo 160, comma 2, del Codice di procedura penale (StPO) obbliga espressamente la Procura a accertare sia le circostanze a carico che quelle a discarico. Ai sensi dell’articolo 163a, comma 2, del Codice di procedura penale, le prove richieste dall’imputato a propria discolpa devono essere acquisite qualora siano rilevanti. Una perizia tecnica indipendente può quindi fornire fatti e risultati contrari, il cui utilizzo processuale viene valutato dal difensore.

Per quanto riguarda le prove elettroniche sequestrate, confiscate o esaminate dalle autorità, occorre attenersi in particolare agli articoli 94, 98 e 110 del Codice di procedura penale. Tali disposizioni non conferiscono a un perito informatico forense incaricato da privati alcun potere sovrano.

Un perito informatico forense incaricato privatamente dalla difesa non è, per il solo fatto di tale incarico, un perito formalmente nominato ai sensi degli articoli 72 e seguenti del Codice di procedura penale. Le perizie private, la consulenza tecnica e la nomina formale a perito devono essere distinte dal punto di vista procedurale.

Se le indagini non forniscono motivi sufficienti per l'avvio dell'azione penale, la Procura archivia il procedimento ai sensi dell'articolo 170, comma 2, del Codice di procedura penale. Una perizia tecnica presentata dalla difesa non garantisce di per sé una tale decisione, ma può costituire un elemento rilevante della base fattuale.

Domande frequenti

Una controperizia tecnica deve necessariamente giungere a una conclusione diversa da quella dell'autorità investigativa?+

No. Una verifica approfondita e attendibile può confermare, limitare o smentire il risultato iniziale. Ciò che conta sono i dati, non il risultato desiderato.

LanCologne può richiedere autonomamente l’accesso agli atti ai sensi dell’articolo 147 del Codice di procedura penale?+

No. Tale diritto spetta al difensore. LanCologne può esaminare solo i documenti e i dati che gli sono stati legittimamente forniti a fini di verifica tecnica.

Una memoria presentata dalla difesa costituisce automaticamente una perizia ai sensi degli articoli 72 e seguenti del Codice di procedura penale?+

No. Un parere o una perizia commissionata a titolo privato va distinto dal ricorso formale a un perito nell’ambito di un procedimento penale.

Un esito tecnico contrario può garantire l’archiviazione del procedimento?+

No. La decisione spetta alla Procura o, in seguito, al tribunale. Il risultato contrario può tuttavia fornire una solida base fattuale dal punto di vista tecnico.