Il verbale esaminato documenta l’acquisizione forense di uno smartphone, un notebook e tre schede microSD, distinguendo tra estrazione Full File System, acquisizione logica del profilo utente e immagini fisiche. Riporta strumenti utilizzati, condizioni iniziali, verifiche tecniche e risultati dichiarati, senza analizzare i contenuti.
Il consulente tecnico di parte partecipò all’identificazione e all’avvio delle operazioni, autorizzando la prosecuzione dopo il proprio allontanamento e senza formulare osservazioni. Il caso evidenzia l’importanza di distinguere le modalità di acquisizione dagli accertamenti successivi su contenuti, attribuzioni e rilevanza dei dati.
L’attività del consulente tecnico di parte può iniziare prima dell’analisi dei contenuti, durante le operazioni con cui vengono acquisiti i dati dai dispositivi.
In questa fase contano l’identificazione dei reperti, il loro stato iniziale, la tipologia di acquisizione e la documentazione dei risultati. Sono aspetti che permettono di comprendere quale materiale sarà disponibile per le successive analisi e quali limiti conserverà.
Un verbale relativo all’acquisizione di uno smartphone, un notebook e tre schede di memoria offre un esempio concreto. Le operazioni furono condotte dal consulente tecnico del Pubblico Ministero, con la partecipazione iniziale del consulente della difesa e la successiva prosecuzione delle attività documentata nel verbale.
Il caso è descritto in forma anonimizzata. Sono omessi nomi, riferimenti al procedimento, luoghi, date puntuali, etichette originali dei reperti, seriali, percorsi di archiviazione e valori delle impronte hash.
L’incarico e i diversi ruoli tecnici
Il consulente del Pubblico Ministero aveva ricevuto l’incarico di esaminare il materiale conservato sui supporti sequestrati o comunque acquisiti, ricercando elementi pertinenti ai fatti oggetto del procedimento.
La difesa aveva nominato un proprio consulente tecnico di parte, presente all’avvio delle operazioni.
Il verbale riguarda principalmente l’identificazione e l’acquisizione dei dispositivi. Non espone i risultati di una successiva analisi di messaggi, documenti, fotografie o altri contenuti.
È quindi importante distinguere il buon esito tecnico delle acquisizioni dalle conclusioni sul significato dei dati: il primo viene documentato, le seconde non sono oggetto del verbale esaminato.
Identificazione dei reperti e stato iniziale
Le operazioni comprendevano uno smartphone Apple, un notebook Apple e tre schede microSD di diversa capacità.
A ciascun reperto veniva associata un’etichetta identificativa. Il documento riportava inoltre fotografie dei dispositivi e dei supporti.
Durante la fase iniziale venivano registrate due condizioni rilevanti: smartphone e notebook risultavano accesi.
Per il telefono il verbale precisava anche che il dispositivo non era in modalità aereo e che, pur essendo privo di una SIM fisica, manteneva una connessione alla rete telefonica attraverso una eSIM.
La distinzione è concreta: l’assenza della scheda fisica non coincideva con l’assenza di connettività. Il verbale documenta questa condizione, ma non descrive successive misure di isolamento della rete; non è quindi possibile aggiungerle alla ricostruzione.
Tre modalità di acquisizione per supporti differenti
Le operazioni non consistevano in una procedura identica applicata a tutti i reperti.
| Reperto | Modalità documentata | Strumento riportato |
|---|---|---|
| Smartphone | Full File System | Cellebrite Inseyets UFED |
| Notebook | Acquisizione logica del profilo utente | Cellebrite Digital Collector |
| Tre microSD | Acquisizione fisica in immagini segmentate E01 e successive | Exterro FTK Imager con Tableau Forensic Bridge |
Queste differenze definiscono il perimetro del materiale raccolto. Non sarebbe corretto descrivere tutte le operazioni come copie fisiche integrali dei dispositivi.
Il verbale documenta le modalità utilizzate, senza sviluppare una motivazione tecnica dettagliata della scelta per ciascun reperto.
Lo smartphone e l’estrazione Full File System
Lo smartphone veniva collegato via cavo a una postazione forense sulla quale era installato Cellebrite Inseyets UFED.
Il report indicava un’acquisizione di tipo Full File System, conclusa con stato Success. L’output era un archivio ZIP; il report riportava inoltre un percorso relativo al materiale Keychain.
Per l’archivio veniva indicata un’impronta SHA-256.
Questi elementi documentavano metodo, output ed esito dichiarato dallo strumento. Non dimostravano però, da soli, che ogni possibile informazione fosse stata recuperata o fosse disponibile in forma leggibile.
Il verbale non riportava risultati di recupero di dati cancellati né un’analisi del contenuto delle applicazioni. Non è quindi possibile attribuire all’estrazione tali risultati.
La denominazione Full File System va mantenuta distinta da quella di immagine fisica bit-a-bit dell’intera memoria del telefono.
Il notebook e l’acquisizione del profilo utente
Per il notebook veniva utilizzato Cellebrite Digital Collector.
Il verbale descriveva un’acquisizione logica di tutti i dati del profilo utente, riportando un estratto del log con le informazioni di avvio e conclusione. Il log completo veniva richiamato come allegato digitale.
Il perimetro descritto era dunque il profilo utente. Non veniva documentata una copia fisica dell’intero disco, né un’acquisizione dello spazio non allocato.
Anche le informazioni sulle verifiche vanno lette entro i confini del documento disponibile: nell’estratto stampato per il notebook non comparivano valori hash. Questo non consente di stabilire che fossero assenti anche dagli allegati digitali, che non fanno parte del materiale qui esaminato.
Le microSD e le immagini fisiche
Le tre schede di memoria venivano acquisite con Exterro FTK Imager, utilizzato insieme a un write blocker Tableau Forensic Bridge.
Il write blocker è il componente destinato a impedire le scritture verso il supporto sorgente durante l’accesso. Il suo utilizzo era espressamente riportato per tutte e tre le microSD.
I log identificavano le sorgenti come fisiche e riportavano dimensioni, numero di settori e segmenti delle immagini prodotte.
Le estensioni E01, E02 e successive indicavano la suddivisione dell’immagine in più file. I segmenti appartenevano all’acquisizione dello stesso supporto e dovevano essere considerati come un insieme.
Per queste memorie il documento supporta quindi la descrizione di un’acquisizione fisica. Il verbale non presenta, invece, risultati di recupero o interpretazione dei file contenuti nelle immagini.
Le verifiche hash delle immagini
Per ciascuna microSD il report riportava impronte MD5 e SHA-1 e una successiva fase di verifica.
In tutti e tre i casi, le sezioni dedicate ai risultati indicavano entrambe le impronte come verified.
Questo è un riscontro tecnico preciso: secondo i log dello strumento, la verifica delle immagini si era conclusa positivamente rispetto ai valori calcolati durante l’acquisizione.
Le impronte permettono di controllare la corrispondenza dei dati acquisiti. Non attribuiscono autonomamente un contenuto a una persona e non ne stabiliscono la rilevanza rispetto ai fatti del procedimento.
La partecipazione del CTP e la prosecuzione delle attività
Il verbale attestava la presenza del consulente di parte all’identificazione dei reperti e nella fase iniziale delle operazioni.
Riportava poi il suo allontanamento prima della conclusione dell’estrazione dello smartphone, con parere favorevole alla prosecuzione delle attività tecniche da parte del consulente incaricato.
L’acquisizione del notebook e quelle delle schede di memoria risultavano avviate successivamente.
La ricostruzione deve quindi distinguere ciò a cui il CTP partecipò direttamente da ciò che venne documentato nei report delle operazioni proseguite dopo il suo allontanamento. Il verbale non consente di descrivere una presenza continuativa del consulente di parte durante tutte le acquisizioni.
In chiusura veniva riportato che il CTP non aveva osservazioni da evidenziare.
Questa annotazione riguarda le operazioni oggetto del verbale. Non equivale a un’adesione preventiva alle eventuali interpretazioni successive dei contenuti.
Gli esiti documentati e i limiti del verbale
Il documento riferiva che, nei giorni successivi, tutti i dati acquisiti erano stati sottoposti a verifica per accertare la riuscita delle copie, con esito positivo.
I risultati riportati comprendevano quindi:
- l’estrazione Full File System dello smartphone conclusa con successo;
- l’acquisizione logica del profilo utente del notebook;
- le immagini fisiche delle tre microSD, con verifiche MD5 e SHA-1 positive;
- l’esito favorevole delle ulteriori verifiche richiamate in chiusura.
Restavano distinti gli accertamenti non descritti: esame dei contenuti, attribuzione delle attività agli utenti, ricostruzione degli eventi e valutazione degli elementi rispetto all’oggetto del procedimento.
Il verbale conteneva inoltre alcuni riferimenti non uniformi nelle date e nella descrizione del notebook. Per la ricostruzione divulgativa è sufficiente mantenere le informazioni tecniche coerentemente documentate, senza trasformare queste difformità in conclusioni sull’esito delle acquisizioni.
Il contributo dell’assistenza tecnica di parte
Il caso mostra perché l’assistenza del CTP durante l’acquisizione abbia un valore specifico: consente alla parte di partecipare alla fase in cui il materiale digitale viene identificato e raccolto, prendendo conoscenza delle modalità operative e degli esiti verbalizzati.
La distinzione tra Full File System, acquisizione logica e immagine fisica è parte di questa comprensione. Ciascuna modalità rende disponibile un insieme di dati che deve essere descritto correttamente prima di affrontarne l’interpretazione.
In questo caso, il contributo documentato del CTP consiste nella partecipazione iniziale, nel parere favorevole alla prosecuzione e nell’assenza di osservazioni riportata alla chiusura. Le operazioni di acquisizione e i relativi controlli restano attribuiti al consulente tecnico che li ha eseguiti.
