Come analizzare uno smartphone con Cellebrite in un’indagine per stupefacenti

Nelle indagini relative alla detenzione, cessione o traffico di sostanze stupefacenti, lo smartphone può rappresentare una delle fonti informative più ricche.

Il dispositivo può infatti contenere conversazioni, contatti, fotografie, posizioni, pagamenti, cronologie di navigazione e numerosi altri elementi che, se correttamente correlati, possono contribuire a ricostruire rapporti tra soggetti, incontri, spostamenti e sequenze temporali.

L’errore più comune consiste però nel pensare che l’analisi si riduca alla ricerca di parole come “cocaina”, “erba” o “dose”.

Una corretta attività investigativa dovrebbe invece partire da ipotesi verificabili e cercare elementi indipendenti che possano confermarle o smentirle.

1. Partire dal quesito investigativo

Prima di aprire Cellebrite Reader o Physical Analyzer, l’investigatore dovrebbe chiarire che cosa deve verificare.

Le domande potrebbero essere, ad esempio:

• con quali soggetti comunicava l’indagato;
• se determinati contatti ricorrono con particolare frequenza;
• se vi siano incontri ricorrenti in determinati luoghi;
• se comunicazioni e spostamenti siano temporalmente correlati;
• se immagini, pagamenti o altri dati confermino il contenuto delle conversazioni;
• se sia possibile ricostruire ruoli differenti all’interno di una rete di soggetti.

Partire da una domanda precisa evita di trasformare l’esame in una ricerca indiscriminata di migliaia di elementi privi di contesto.

2. Verificare acquisizione e perimetro dell’analisi

Prima della fase investigativa vera e propria è necessario conoscere che cosa sia stato effettivamente acquisito.

Una extraction logica, una Full File System e un’acquisizione più profonda non forniscono necessariamente gli stessi artefatti.

L’investigatore dovrebbe quindi conoscere almeno:

• marca e modello del dispositivo;
• sistema operativo;
• tipo di acquisizione;
• data dell’acquisizione;
• strumento e versione utilizzati;
• eventuali limitazioni documentate dall’operatore forense;
• periodo temporale coperto dai dati;
• eventuali applicazioni non decodificate o dati mancanti.

Il fatto che un’informazione non compaia nel report non significa necessariamente che non sia mai esistita: potrebbe non essere stata acquisita, decodificata, potrebbe essere stata cancellata o non più disponibile.

3. Delimitare il periodo investigativo

Una delle operazioni più utili consiste nel definire una finestra temporale coerente con l’indagine.

Ad esempio:

1 marzo 2026 - 30 aprile 2026

oppure periodi ancora più ristretti collegati a singoli episodi investigativi.

In Cellebrite la Timeline consente di concentrare l’analisi su finestre temporali specifiche e di osservare eventi provenienti da differenti categorie di artefatti.

4. Identificare le applicazioni rilevanti

Non bisogna partire dal presupposto che le comunicazioni avvengano esclusivamente tramite WhatsApp.

È opportuno verificare la presenza e l’effettivo utilizzo di:

• WhatsApp;
• Telegram;
• Signal;
• Messenger;
• Instagram;
• SMS e MMS;
• iMessage;
• email;
• altre applicazioni di messaggistica installate sul dispositivo.

L’elenco delle applicazioni installate da solo non è sufficiente: bisogna capire quali fossero realmente utilizzate nel periodo d’interesse.

5. Analizzare le conversazioni nel loro contesto

La ricerca testuale è utile come strumento di triage, ma una parola isolata può essere estremamente ambigua.

Termini, soprannomi, numeri o espressioni apparentemente rilevanti devono essere interpretati all’interno della conversazione completa.

Per ogni chat di interesse è utile osservare:

• identità dei partecipanti;
• data di inizio e fine della conversazione;
• frequenza dei contatti;
• sequenza temporale dei messaggi;
• allegati;
• messaggi vocali;
• eventuali messaggi cancellati recuperati;
• posizioni condivise;
• riferimenti a incontri o pagamenti;
• eventuali contatti citati nella conversazione.

6. Non confondere linguaggio ambiguo con prova

Nelle conversazioni possono comparire termini generici, abbreviazioni, numeri o soprannomi.

Un singolo messaggio come:

“Portamene due questa sera”

non permette, da solo, di stabilire a che cosa si riferisca.

La sua interpretazione diventa eventualmente più significativa se viene correlata, ad esempio, con:

• messaggi precedenti e successivi;
• fotografie;
• pagamenti;
• luoghi;
• incontri documentati;
• sequestri;
• altre comunicazioni convergenti.

7. Ricostruire la rete dei contatti

Una delle attività più importanti consiste nell’individuare chi comunica con chi e con quale frequenza.

La rubrica, da sola, non è sufficiente. Un contatto potrebbe essere memorizzato con un soprannome, con un nome incompleto oppure non essere presente affatto.

È quindi utile correlare:

• rubrica telefonica;
• numeri presenti nelle chat;
• account delle applicazioni;
• gruppi;
• chiamate;
• indirizzi email;
• username;
• eventuali alias utilizzati nelle conversazioni.

8. Frequenza delle comunicazioni e ruoli

Il numero di telefonate o messaggi può aiutare a individuare rapporti particolarmente intensi, ma la frequenza da sola non dimostra il ruolo dei soggetti.

Un contatto con centinaia di messaggi potrebbe essere:

• un familiare;
• un collega;
• un amico;
• un cliente;
• un soggetto di interesse investigativo.

Il ruolo deve emergere dal contenuto delle comunicazioni e dai riscontri esterni, non dalla sola quantità.

9. Analizzare gruppi e partecipanti

I gruppi delle applicazioni di messaggistica possono essere particolarmente interessanti per comprendere la rete di rapporti tra più soggetti.

Per ogni gruppo è utile verificare:

• nome del gruppo;
• data di creazione;
• amministratori;
• partecipanti;
• soggetti entrati o usciti;
• frequenza degli interventi;
• condivisione di immagini, documenti e posizioni;
• eventuali numeri o identificativi non ancora attribuiti.

L’identificazione degli utenti deve essere effettuata con attenzione, specialmente quando WhatsApp utilizza identificativi tecnici come JID o LID.

10. Fotografare il contesto: immagini e video

La sezione Media può essere estremamente rilevante.

Non bisogna limitarsi alle immagini apparentemente evidenti: anche una fotografia apparentemente ordinaria può fornire informazioni su luogo, data o relazioni tra soggetti.

Per ogni elemento di interesse possono essere esaminati:

• timestamp;
• coordinate GPS EXIF, quando presenti;
• modello del dispositivo che ha generato il file;
• origine del file;
• cartella o applicazione di provenienza;
• eventuale messaggio al quale il file era allegato;
• soggetti o luoghi riconoscibili;
• testo presente nell’immagine.

11. Distinguere una fotografia scattata da una ricevuta

È importante stabilire l’origine del media.

Una fotografia potrebbe essere:

• scattata dal dispositivo;
• ricevuta tramite WhatsApp;
• salvata da Telegram;
• scaricata dal browser;
• ricevuta via email;
• proveniente da una chat precedente.

Il fatto che un’immagine sia presente nel telefono non significa automaticamente che sia stata prodotta dal proprietario del dispositivo.

12. Posizioni e luoghi ricorrenti

La componente geografica può essere molto importante, ma anche in questo caso bisogna evitare conclusioni basate su una singola coordinata.

Possono essere correlate:

• posizioni GPS;
• cronologia delle applicazioni di navigazione;
• luoghi ricercati;
• posizioni condivise nelle chat;
• fotografie geolocalizzate;
• reti Wi-Fi;
• celle telefoniche;
• indirizzi presenti nelle conversazioni.

L’obiettivo può essere verificare se determinati soggetti e comunicazioni convergano ripetutamente verso gli stessi luoghi e gli stessi intervalli temporali.

13. Costruire una timeline degli eventi

Il passaggio più utile consiste spesso nel mettere insieme elementi appartenenti a categorie differenti.

Una sequenza ipotetica potrebbe apparire così:

18:02  messaggio con Contatto A
18:06  ricerca di un indirizzo in Maps
18:21  posizione compatibile con quell'indirizzo
18:24  chiamata con Contatto A
18:40  fotografia acquisita nella stessa zona
18:52  movimento verso altra area

Nessuno di questi eventi, preso isolatamente, dimostra necessariamente una condotta illecita.

La sequenza, però, può costituire una traccia investigativa da confrontare con gli altri atti del procedimento.

14. Pagamenti e movimenti economici

L’eventuale presenza di applicazioni bancarie, wallet digitali o ricevute può fornire ulteriori elementi, sempre nei limiti del dato effettivamente acquisito.

Possono risultare rilevanti:

• ricevute presenti nelle chat;
• screenshot di pagamenti;
• email di conferma;
• note contenenti importi;
• documenti PDF;
• fotografie di ricevute;
• operazioni memorizzate dalle applicazioni quando accessibili all’acquisizione.

Anche in questo caso un pagamento, preso isolatamente, non dimostra la sua causale.

Diventa più significativo quando importo, data, soggetti e conversazioni coincidono.

15. Note, calendario e promemoria

Le informazioni investigative non si trovano soltanto nelle chat.

È opportuno verificare anche:

• note;
• promemoria;
• calendario;
• file di testo;
• PDF;
• fogli di calcolo;
• documenti cloud presenti nell’acquisizione;
• screenshot.

Numeri, nomi o appuntamenti devono comunque essere interpretati nel loro contesto e correlati con altre fonti.

16. Browser e ricerche

Cronologia di navigazione e ricerche possono fornire informazioni sul contesto dell’attività del dispositivo.

Possono essere esaminati:

• URL visitati;
• query di ricerca;
• download;
• cookie e cache, quando disponibili;
• ricerche cartografiche;
• pagine aperte in determinati intervalli temporali.

Anche qui il dato deve essere interpretato con cautela: la presenza di una pagina nella cronologia non dimostra automaticamente la finalità con cui è stata visitata.

17. Cercare prima gli elementi noti

Un approccio particolarmente efficace consiste nel partire da elementi già conosciuti attraverso gli altri atti d’indagine.

Ad esempio:

• un numero telefonico già identificato;
• un nickname;
• una targa;
• un indirizzo;
• un IBAN;
• un username;
• una data specifica;
• un luogo;
• un contatto emerso da un altro dispositivo.

Questi elementi possono essere ricercati trasversalmente nel report e successivamente utilizzati per espandere la rete dei dati correlati.

18. Dal noto all’ignoto

Una strategia investigativa molto utile è:

Ad esempio:

numero telefonico noto
        ?
chat WhatsApp
        ?
gruppo
        ?
nuovo numero
        ?
foto condivise
        ?
luogo
        ?
ulteriori comunicazioni

In questo modo l’analisi procede per espansioni successive supportate dai dati, anziché attraverso supposizioni.

19. Utilizzare bookmark e tag

Durante l’esame di migliaia di artefatti è essenziale costruire progressivamente un insieme di elementi di interesse.

Bookmark e tag possono essere utilizzati, ad esempio, per classificare:

• soggetti;
• conversazioni;
• luoghi;
• pagamenti;
• fotografie;
• eventi da verificare;
• elementi già confermati da altre fonti.

Questo permette di trasformare il report in un vero e proprio dossier investigativo strutturato.

20. Distinguere dato, interpretazione e ipotesi

È uno dei punti più importanti dell’intera analisi.

Supponiamo di osservare:

19:12 - messaggio: “sono arrivato”
19:13 - posizione del dispositivo in Via Roma
19:15 - chiamata con soggetto A

Il dato è costituito dai tre artefatti.

L’interpretazione può essere che il dispositivo sia giunto nella zona indicata e che vi sia stata una comunicazione con A.

L’ipotesi che in quel momento sia avvenuta una cessione di stupefacente richiede invece ulteriori elementi di riscontro.

21. Verificare gli artefatti importanti alla sorgente

Cellebrite Reader semplifica notevolmente la consultazione, ma visualizza dati derivati dalla decodifica effettuata dallo strumento.

Quando un elemento assume particolare rilievo, può essere opportuno risalire:

• al database sorgente;
• al file originale;
• al percorso del file system;
• al record dal quale l’artefatto è stato decodificato;
• ai relativi timestamp originali.

Questo passaggio aumenta la verificabilità dell’interpretazione tecnica.

22. Correlare il telefono con le altre fonti investigative

Lo smartphone non dovrebbe essere considerato un universo isolato.

I risultati possono essere confrontati con:

• tabulati telefonici;
• intercettazioni;
• videosorveglianza;
• GPS di veicoli;
• perquisizioni e sequestri;
• altri telefoni acquisiti;
• informazioni bancarie legittimamente acquisite;
• testimonianze;
• attività di osservazione;
• documentazione fotografica.

La coincidenza tra fonti indipendenti è generalmente molto più significativa del singolo artefatto trovato sul telefono.

Un esempio di ricostruzione

Immaginiamo che dagli atti investigativi emerga un incontro di interesse alle ore 18:30.

Dal telefono vengono rilevati:

17:52  messaggio con soggetto B
18:04  ricerca di un indirizzo
18:22  posizione compatibile con la zona
18:27  chiamata con soggetto B
18:34  fotografia acquisita nella stessa area
18:49  nuovo messaggio con soggetto B

La corretta conclusione tecnica non è automaticamente “alle 18:30 è avvenuta una cessione”.

È invece possibile affermare che:

• il dispositivo ha comunicato con B prima e dopo l’intervallo;
• ha ricercato un indirizzo;
• risulta presente nella zona in un intervallo temporalmente coerente;
• ha prodotto un ulteriore artefatto nella medesima area.

Questa ricostruzione potrà poi essere confrontata con le altre risultanze investigative.

Una possibile checklist per l’investigatore

Come dovrebbe essere formulato il risultato

Una relazione tecnica dovrebbe descrivere prima ciò che è stato effettivamente osservato e soltanto dopo esporre le eventuali correlazioni.

Una formulazione di questo tipo mantiene separati il dato informatico e la sua successiva valutazione investigativa.

In sintesi

L’analisi di uno smartphone in un’indagine relativa agli stupefacenti non dovrebbe ridursi alla ricerca di singole parole nelle chat.

La metodologia più efficace consiste nel ricostruire un quadro composto da differenti categorie di evidenza:

• comunicazioni;
• contatti e reti relazionali;
• gruppi;
• fotografie e video;
• posizioni;
• movimenti temporali;
• pagamenti;
• note e documenti;
• cronologia web;
• fonti investigative esterne.

Cellebrite permette di organizzare e consultare queste informazioni attraverso ricerca, filtri, Timeline e classificazione degli elementi di interesse.