Informatica forense · Privati

Come posso verificare se una cronologia di chat è stata assemblata o abbreviata a posteriori?

Alcune notizie selezionate possono dare un'impressione diversa rispetto alla cronologia completa.

Perché questa domanda è importante per i privati

Le chat, le foto, i video e gli screenshot possono assumere un peso notevole nelle controversie private, civili o penali. La loro rappresentazione visiva, tuttavia, non fornisce automaticamente risposte alle domande relative alla provenienza, alle modifiche, alla data o alla paternità.

Approccio tecnico di analisi

Confrontiamo le esportazioni o gli screenshot forniti con i dati originali disponibili, la sequenza dei messaggi, gli ID, i riferimenti temporali e le comunicazioni correlate.

Dove si trova il limite della dichiarazione

La mancanza di messaggi può essere dovuta anche alla cancellazione, alla conservazione o a differenze negli stati di sincronizzazione e non costituisce automaticamente una prova di manipolazione intenzionale.

Perché LanCologne?

Spesso, agli occhi dei non esperti, le prove digitali sembrano più inequivocabili di quanto non lo siano in realtà dal punto di vista tecnico. Uno screenshot può sembrare autentico pur essendo stato modificato. Al contrario, la mancanza di metadati o una ricompressione possono avere cause del tutto normali. Un file può essere presente su uno smartphone senza essere stato creato proprio su quel dispositivo.

LanCologne scompone quindi la domanda apparentemente semplice „È autentico?“ in sotto-domande verificabili dal punto di vista tecnico: il file originale è disponibile? Da quale applicazione o fonte di dati proviene? Le strutture interne e i metadati sono coerenti? Esistono voci corrispondenti in database, backup, cloud o artefatti di sistema? Il file è stato esportato, convertito o modificato? Quali di queste operazioni sono effettivamente verificabili?

È particolarmente importante distinguere tra autenticità e paternità dell’opera. Anche se un messaggio era tecnicamente presente in un determinato account, ciò non dimostra automaticamente quale persona fisica lo abbia inserito. Allo stesso modo, il modello di fotocamera riportato nei dati EXIF non dimostra, senza ulteriori verifiche, quale dispositivo fisico specifico abbia generato un file.

Preferiamo i dati primari alle semplici rappresentazioni. Le notizie originali, i database e i file originali contengono solitamente un contesto tecnico più ampio rispetto agli screenshot, alle stampe o alle esportazioni successive.

Il risultato rimane aperto. Documentiamo in egual misura i risultati confermativi, contraddittori e non determinabili, spiegando in modo comprensibile fino a che punto si spinga effettivamente un'affermazione tecnica.

Il nostro modo di lavorare

1Definire la questione probatoria concreta: contenuto, provenienza, data, modifica o paternità dell’opera.

2Ottenere il dispositivo originale o il file originale, nella misura in cui siano legalmente disponibili.

3Creare copie di lavoro e documentare l'integrità degli stati dei dati pertinenti.

4Distinguere chiaramente tra screenshot, esportazione e dati primari.

5Analizzare la struttura dei file, i metadati e gli artefatti specifici dell'applicazione.

6Interpretare i timbri temporali in base al loro rispettivo significato tecnico.

7Verificare i database corrispondenti, i backup, il cloud e le tracce di sistema.

8Distinguere tra la normale conversione e l'elaborazione della piattaforma da una manipolazione mirata.

9Non lasciare mai che i rilevatori automatici di manomissione o basati sull’intelligenza artificiale prendano decisioni in autonomia.

10Non confondere autenticità, provenienza, proprietà e paternità dell'opera.

11Documentare le controipotesi e le lacune nei dati.

12Presentare i risultati in modo comprensibile e riproducibile ai fini di una verifica tecnica.

L’autenticità non è la stessa cosa della paternità dell’opera

Dal punto di vista tecnico, un messaggio può essere archiviato in modo autentico in un account o su un dispositivo senza che da ciò si possa dedurre con certezza quale persona fisica lo abbia redatto. Questa separazione impedisce che un risultato tecnico corretto venga confuso con un’affermazione non comprovata relativa a una persona.

I dati originali sono più importanti della semplice visualizzazione sullo schermo

Uno screenshot può rivelarsi prezioso, soprattutto se i contenuti vengono successivamente cancellati. Per un’analisi più approfondita, tuttavia, cerchiamo di ottenere anche i file originali, i dati delle app, i database o altre fonti primarie. Questi spesso contengono informazioni contestuali che non sono visibili nella rappresentazione visiva.

Perché utilizzare il metodo LanCologne nell’esame delle prove digitali?

LanCologne non considera i contenuti digitali veri o falsi solo perché appaiono plausibili. Esaminiamo le prove tecniche disponibili, documentiamo la provenienza e i limiti delle affermazioni e presentiamo il ragionamento in modo che sia comprensibile per il cliente privato e verificabile per l’avvocato, le autorità investigative, il tribunale o un altro esperto qualificato di informatica forense.

Quadro giuridico

In caso di dati probatori digitali manipolati, a seconda delle circostanze concrete, può essere applicabile l’articolo 269 del Codice penale tedesco (StGB). La norma riguarda, alle condizioni previste, la memorizzazione o la modifica di dati rilevanti ai fini probatori con l’intento di ingannare, ovvero l’utilizzo di dati così memorizzati o modificati. Se un determinato file o messaggio soddisfi tutti gli elementi costitutivi del reato è una questione giuridica; la sola constatazione tecnica di una manipolazione non è sufficiente a rispondere a tale domanda.

Per i procedimenti civili è rilevante l’articolo 371 del Codice di procedura civile (ZPO). In base a tale disposizione, la prova tramite ispezione può essere fornita anche mediante presentazione o trasmissione di documenti elettronici. L’articolo 371a del ZPO contiene disposizioni specifiche relative al valore probatorio dei documenti elettronici, in particolare nel caso di firme elettroniche qualificate e di determinati documenti elettronici pubblici. Non tutti i normali messaggi di chat o file immagine possiedono quindi automaticamente il valore probatorio speciale ivi previsto.

Per le prove peritali si applicano gli articoli 402 e seguenti del Codice di procedura civile tedesco (ZPO). Una perizia informatica forense commissionata privatamente non costituisce una perizia giudiziaria solo in virtù della sua qualità tecnica. Tuttavia, la sua metodologia comprensibile e la base probatoria raccolta possono essere importanti per gli avvocati e per una successiva verifica tecnica.

I valori hash sono uno strumento importante per garantire l'integrità, ma non costituiscono una garanzia di autenticità del contenuto originale. Un hash attesta che un determinato set di dati è rimasto invariato dal momento della sua generazione o che corrisponde bit per bit a un set di riferimento. Non indica automaticamente se il contenuto sia stato manomesso prima del salvataggio.

LanCologne valuta i dati tecnici e la loro rilevanza. La valutazione giuridica delle prove, la qualificazione penale e la decisione su quale peso attribuire a ciascuna prova nel corso del procedimento spettano agli avvocati, alle autorità investigative e ai tribunali.

Domande frequenti

Come posso verificare se una cronologia di chat è stata assemblata o abbreviata a posteriori?

Le chat, le foto, i video e gli screenshot possono assumere un peso notevole nelle controversie private, civili o penali. La loro rappresentazione visiva, tuttavia, non fornisce automaticamente risposte alle domande relative alla provenienza, alle modifiche, alla data o alla paternità.

Come si svolge in pratica un’indagine tecnica di questo tipo?

Confrontiamo le esportazioni o gli screenshot forniti con i dati originali disponibili, la sequenza dei messaggi, gli ID, i riferimenti temporali e le comunicazioni correlate.

Una ricerca di questo tipo può sempre fornire un risultato inequivocabile?

La mancanza di messaggi può essere dovuta anche alla cancellazione, alla conservazione o a differenze negli stati di sincronizzazione e non costituisce automaticamente una prova di manipolazione intenzionale.

Esiste una base giuridica in merito?

In caso di dati probatori digitali manipolati, a seconda delle circostanze concrete, può essere applicabile l’articolo 269 del Codice penale tedesco (StGB). La norma riguarda, alle condizioni previste, la memorizzazione o la modifica di dati rilevanti ai fini probatori con l’intento di ingannare, ovvero l’utilizzo di dati così memorizzati o modificati. Se un determinato file o messaggio soddisfi tutti gli elementi costitutivi del reato è una questione giuridica; la sola constatazione tecnica di una manipolazione non è sufficiente a rispondere a tale domanda. Per i procedimenti civili è rilevante l’art. 371 del Codice di procedura civile (ZPO). In base a tale disposizione, la prova visiva può essere fornita anche mediante la presentazione o la trasmissione di documenti elettronici. L’articolo 371a del Codice di procedura civile (ZPO) contiene norme specifiche sul valore probatorio dei documenti elettronici, in particolare per quanto riguarda le firme elettroniche qualificate e determinati documenti elettronici pubblici. Non tutti i normali messaggi di chat o file immagine possiedono quindi automaticamente il particolare valore probatorio ivi disciplinato. Per la prova peritali si applicano gli articoli 402 e seguenti del ZPO. Una perizia informatica forense commissionata privatamente non costituisce una perizia giudiziaria solo in base alla sua qualità tecnica. Tuttavia, la sua metodologia comprensibile e la base probatoria raccolta possono essere importanti per gli avvocati e per una successiva verifica specialistica. I valori hash sono un importante strumento di integrità, ma non costituiscono una garanzia di autenticità del contenuto originale. Un hash documenta che un determinato stato dei dati è rimasto invariato dal momento della generazione dell’hash o che corrisponde, bit per bit, a uno stato di riferimento. Non fornisce automaticamente una risposta sul fatto che il contenuto sia stato manipolato prima del salvataggio. LanCologne valuta i dati tecnici e la loro rilevanza probatoria. La valutazione giuridica delle prove, la qualificazione penale e la decisione su quale prova assuma quale rilevanza nel procedimento spettano agli avvocati, alle autorità investigative e ai tribunali.