Informatica forense · Tribunali
È possibile stabilire chi ha utilizzato un computer o uno smartphone?
La domanda „Chi ha utilizzato il dispositivo?“ è una delle questioni probatorie più frequenti e, al contempo, più complesse nell’ambito della informatica forense. Un account utente registrato non costituisce automaticamente la prova che la persona a cui è intestato l’account fosse effettivamente seduta davanti al dispositivo. Lo stesso vale per uno smartphone che appartiene a una persona, ma che potrebbe essere stato utilizzato da terzi.
Non è quindi possibile ricavare un'attribuzione attendibile da un singolo elemento. Essa deriva – se mai – da una catena di tracce tra loro compatibili: accesso al sistema, stato del dispositivo, profilo utente, dati di comunicazione, attività relative ai file, account locali o basati su cloud, eventualmente indicazioni biometriche o specifiche del dispositivo e la correlazione temporale con altri eventi.
Il nostro compito non è quello di trasformare un account utente in una persona, bensì di spiegare al tribunale quali corrispondenze siano tecnicamente accertate, probabili, solo possibili o non dimostrabili.
La questione probatoria vera e propria
Quali informazioni può contenere un'assegnazione utente?
A seconda del dispositivo e del contesto, possono essere rilevanti gli eventi di accesso, gli account utente, i dati di sessione, i collegamenti ai dispositivi, gli account delle app, le tracce di comunicazione, i riferimenti alla posizione o alla rete e le attività del file system. La chiave sta nella correlazione.
Un esempio: un accesso a Windows alle 10:02, un documento aperto alle 10:05 e un messaggio inviato subito dopo da un account collegato allo stesso profilo possono, nel loro insieme, essere più significativi di qualsiasi singolo elemento. Ciononostante, occorre verificare se processi automatizzati, l’accesso remoto o l’utilizzo da parte di terzi possano costituire una spiegazione alternativa.
Dove si trova il limite della dichiarazione
Spesso i dispositivi tecnologici sono inizialmente associati a un conto, a una sessione o a un dispositivo, ma non necessariamente alla persona fisica che li utilizza. Questa distinzione deve risultare chiara nella perizia.
Perché LanCologne?
Nel caso di incarichi giudiziari, per noi non è determinante quale programma di analisi mostri per primo un risultato positivo. Ciò che conta è se sia possibile fornire una risposta tecnica alla questione probatoria e se tale risposta regga a una verifica indipendente.
Lavoriamo senza pregiudizi, documentiamo la provenienza dei risultati determinanti e verifichiamo spiegazioni tecniche alternative. L’analisi vera e propria viene effettuata di norma su una copia forense o su un insieme di dati acquisito in modo da garantirne la validità probatoria. Gli originali non vengono esaminati direttamente se non in caso di stretta necessità. Laddove siano tecnicamente necessari interventi in tempo reale, le eventuali modifiche che ne derivano vengono espressamente documentate.
A seconda della questione da chiarire, i risultati determinanti vengono verificati mediante un secondo metodo adeguato dal punto di vista tecnico oppure direttamente sulla base dei dati grezzi sottostanti. La scelta degli strumenti da utilizzare a tal fine dipende dagli elementi probatori e dalla questione da chiarire. Sono determinanti l’idoneità, il riconoscimento tecnico e la tracciabilità del metodo – non il nome di un prodotto.
La nostra perizia distingue tra i risultati fattuali, la valutazione tecnica e le incertezze residue. L’assenza di prove viene motivata con la stessa cura con cui viene motivata una prova positiva.
Ecco come operiamo in caso di incarichi giudiziari
Il nostro metodo di lavoro: dall’incarico giudiziario alla risposta
In primo luogo verifichiamo se la questione rientri nella nostra area di competenza, quali siano i fatti su cui si basa il tribunale e se il contenuto o la portata dell’incarico siano chiari. In caso di dubbi, il tribunale provvede a chiarire la questione. Ciò è conforme agli articoli 404a e 407a del Codice di procedura civile tedesco (ZPO).
Eventuali motivi che potrebbero far sorgere dubbi sull’imparzialità vengono esaminati prima dell’inizio dell’istruttoria e, se del caso, comunicati al tribunale.
Vengono identificati e documentati i dispositivi, i supporti dati, i backup e i file messi a disposizione. Viene registrato lo stato in cui si trova l'oggetto dell'indagine.
Nella misura in cui ciò sia tecnicamente possibile, viene creata una copia forense o un'immagine forense. I valori hash e altri controlli di integrità servono a garantire un'attribuzione univoca. L'originale viene conservato per eventuali verifiche successive.
Stabiliamo quali tracce potrebbero avvalorare l’evento denunciato, quali risultati contrari siano ipotizzabili e quali spiegazioni tecniche alternative debbano essere esaminate.
Vengono esaminati solo quei reperti che presentano un valore probatorio dal punto di vista tecnico. I risultati automatici non vengono accettati senza essere stati verificati.
Le constatazioni rilevanti ai fini della decisione vengono – se necessario – verificate mediante un secondo metodo riconosciuto, un altro approccio tecnico o direttamente sulla base dei dati grezzi.
Verifichiamo espressamente quali conclusioni non sia possibile trarre dai dati. Vengono indicati i dati mancanti, la possibile cancellazione, i limiti tecnici, le estrazioni incomplete o le tracce contraddittorie.
La conclusione finale deriva dai risultati documentati. Non viene formulata in termini più decisi di quanto i dati consentano.
Il testo principale rimane comprensibile anche per chi non è esperto di informatica forense. L'appendice tecnica contiene le informazioni necessarie a un esperto indipendente di informatica forense per effettuare una verifica tecnica o redigere una controperizia.
Quadro giuridico
ZPO, articoli 403, 404a, 407a e 411; articolo 286 ZPO per la valutazione finale del giudice. Nei procedimenti penali, articoli 72 e seguenti del StPO.
Il perito fornisce le basi fattuali tecniche. La valutazione giuridica e la valutazione finale delle prove rimangono di competenza del tribunale.
Domande frequenti
LanCologne – Informatica forense per i tribunali
Avete bisogno di una perizia tecnica indipendente in merito a una questione probatoria in sede giudiziaria? LanCologne analizza le tracce digitali in modo oggettivo, trasparente e riproducibile. Documentiamo sia i risultati positivi che l’assenza di prove e i limiti tecnici, in modo tale che la conclusione risulti comprensibile per il tribunale e verificabile dal punto di vista tecnico da parte di un esperto forense informatico indipendente.
In linea con questo argomento
- È possibile dimostrare tecnicamente la validità di un dato specifico inserito dall'utente?
- È possibile distinguere l'effettivo invio di un messaggio dalla sua semplice presenza nell'account?
- È possibile distinguere tra account utente locale, account di dominio e account cloud?
- È possibile ricostruire un cambio di utente o una sessione utente parallela?