Acquisiamo e preserviamo i dati presenti su smartphone Android, iPhone e tablet con modalità definite in base al dispositivo, al suo stato e all’obiettivo dell’incarico.
Lo smartphone conserva una parte rilevante della vita digitale di una persona: comunicazioni, fotografie, documenti, attività delle applicazioni e numerosi metadati. Una normale esportazione o una serie di schermate può mostrare singoli contenuti, ma non documenta necessariamente il contesto tecnico in cui sono stati rinvenuti.
La copia forense del cellulare è un’acquisizione eseguita con strumenti specialistici e passaggi documentati. Lo scopo è preservare i dati disponibili in un determinato momento, verificarne l’integrità quando tecnicamente possibile e predisporre una base di lavoro per l’eventuale analisi.
Non esiste una procedura identica per ogni telefono. La modalità viene scelta dopo aver valutato modello, versione del sistema operativo, cifratura, credenziali disponibili e dati di interesse.
La profondità e la quantità dei dati disponibili aumentano quando il dispositivo e gli strumenti consentono acquisizioni più complete.
Raccoglie le informazioni rese disponibili dal sistema operativo e dalle applicazioni. È generalmente meno invasiva, ma restituisce un insieme di dati più limitato.
Acquisisce, quando supportato, la struttura dei file del dispositivo e gli artefatti tecnici non sempre disponibili con la sola estrazione logica.
Mira all’acquisizione della memoria a basso livello. Sui dispositivi moderni può essere limitata o impedita da cifratura e sistemi di sicurezza.
Risultati variabili. Disponibilità e profondità dipendono da modello, sistema operativo, cifratura, stato del dispositivo, credenziali e strumenti compatibili.
In base alla modalità disponibile e al perimetro dell’incarico, l’acquisizione può comprendere:
La presenza di un dato non ne garantisce l’acquisibilità. Alcune informazioni possono non essere memorizzate localmente, essere cifrate, già sovrascritte oppure disponibili soltanto tramite servizi cloud che richiedono una procedura e un’autorizzazione specifiche.
Identifichiamo dispositivo, modello, sistema operativo, stato di accensione, credenziali disponibili e finalità dell’incarico. La presa in carico viene documentata e il reperto viene gestito in modo coerente con il contesto operativo.
Valutiamo gli accorgimenti necessari per limitare sincronizzazioni, connessioni remote o modifiche indesiderate. Le misure adottate dipendono dallo stato del telefono e non vengono applicate in modo automatico.
Eseguiamo la procedura tecnicamente più adatta e registriamo gli elementi rilevanti dell’operazione. Ove applicabile, calcoliamo le impronte hash dei risultati acquisiti per consentirne la successiva verifica.
La copia viene conservata o riversata sui supporti concordati. Su richiesta, l’attività può proseguire con analisi, estrazione mirata dei contenuti e redazione di una relazione tecnica.
Un telefono acceso, connesso o danneggiato può cambiare stato rapidamente. Se il dispositivo è coinvolto in un contenzioso, un’indagine o un incidente, è preferibile evitare tentativi improvvisati di sblocco, aggiornamento, ripristino o recupero dei dati.
Contattaci descrivendo lo stato del dispositivo: ti indicheremo come gestirlo fino alla presa in carico.
Tre attività collegate, ma con finalità differenti.
Preserva i dati acquisibili dal dispositivo e documenta le operazioni tecniche effettuate.
Ricerca, correla e interpreta le informazioni pertinenti al quesito dell’incarico.
Descrive metodo, risultati e limiti dell’attività in una forma utilizzabile nel contesto di riferimento.
Non sempre. La fattibilità dipende da modello, versione del sistema operativo, cifratura, stato del dispositivo, credenziali e strumenti disponibili al momento dell’intervento.
In alcuni casi è possibile individuare dati residui o informazioni correlate, ma sui dispositivi moderni cifratura, cancellazione e sovrascrittura possono rendere il recupero parziale o impossibile.
Non automaticamente. I dati presenti su servizi remoti richiedono una valutazione separata, credenziali o autorizzazioni adeguate e modalità di acquisizione specifiche.
Dipende dal dispositivo, dalla capacità occupata, dalla modalità di acquisizione e dalle eventuali criticità. Una stima viene fornita dopo la valutazione preliminare.
Indicaci marca e modello del dispositivo, stato di accensione, disponibilità del codice di sblocco, urgenza e obiettivo dell’attività. Non inviare PIN o password tramite il primo messaggio.