Certificazione Forense pagine web, e-mail e file

Screenshot e acquisizione forense non sono la stessa cosa

Uno screenshot mostra ciò che era visibile sullo schermo in un determinato momento, ma da solo può non documentare adeguatamente indirizzo, struttura, intestazioni, allegati, metadati, origine e modalità di raccolta.

Un’acquisizione forense viene invece pianificata per raccogliere e descrivere gli elementi pertinenti, registrare le operazioni svolte e produrre materiale verificabile. La tecnica utilizzata varia tra pagina web, email, file, conversazione o contenuto multimediale.

Pagine web e contenuti online

L’acquisizione può riguardare pagine pubbliche, articoli, annunci, profili, post, commenti e altri contenuti accessibili con le necessarie autorizzazioni. In base al caso possono essere documentati:

• URL e percorso di navigazione;
• data e ora delle operazioni;
• testi, immagini, video e collegamenti pertinenti;
• elementi tecnici disponibili e contesto di pubblicazione;
• file associati e valori di hash, quando applicabili.

Quando un contenuto rischia di essere modificato o rimosso è consigliabile intervenire tempestivamente, evitando azioni che possano alterare la fonte o avvisarne inutilmente il gestore.

Email e allegati

La semplice stampa o il PDF di un messaggio non contengono necessariamente tutti gli elementi disponibili. L’attività può comprendere acquisizione del messaggio nel formato originale, intestazioni tecniche, mittente e destinatari dichiarati, date, percorso di trasmissione, allegati, collegamenti e indicatori utili a verifiche su phishing, frodi o comunicazioni contestate.

L’interpretazione delle intestazioni e degli altri dati viene effettuata nel contesto concreto: un singolo elemento non consente sempre di attribuire con certezza una comunicazione a una persona.

File, documenti e contenuti multimediali

Su documenti, immagini, audio e video possono essere esaminati formato, struttura, metadati, date disponibili, applicazioni o dispositivi indicati, coerenza interna e possibili segni di elaborazione. I metadati costituiscono elementi tecnici da interpretare e non una prova automatica dell’autore o dell’autenticità.

Quando può essere utile

• contenuti diffamatori, minacce, stalking o cyberbullismo;
• phishing, frodi BEC e comunicazioni email contestate;
• uso non autorizzato di marchi, immagini o proprietà intellettuale;
• violazioni contrattuali e controversie commerciali;
• pubblicazione o divulgazione non autorizzata di informazioni;
• contenuti destinati a essere modificati o rimossi;
• verifica tecnica di documenti e file multimediali.

Come si svolge l’attività

1. Definizione dell’obiettivo: individuiamo fonte, contenuti rilevanti, urgenza e autorizzazioni.
2. Acquisizione: raccogliamo gli elementi pertinenti utilizzando modalità adeguate alla fonte.
3. Documentazione: registriamo passaggi, riferimenti temporali e strumenti impiegati.
4. Verifica: calcoliamo valori di hash e svolgiamo controlli tecnici quando applicabili.
5. Analisi: esaminiamo contenuti, intestazioni, metadati e relazioni utili al quesito.
6. Consegna: predisponiamo materiali acquisiti e relazione tecnica secondo l’incarico.

Le procedure sono impostate coerentemente con i principi richiamati dalla ISO/IEC 27037 e possono essere integrate con attività di acquisizione e analisi dei dispositivi.

CTP, CTU e Laboratorio Forense

Le acquisizioni possono essere svolte nell’ambito di perizie informatiche, CTP e CTU. Quando necessario, il Laboratorio Forense WAYlog può ospitare consulenti e soggetti autorizzati per operazioni in contraddittorio.

Cosa viene consegnato

In funzione dell’incarico, la consegna può comprendere verbale delle operazioni, copie dei contenuti acquisiti, file originali disponibili, intestazioni email, allegati, valori di hash, evidenze selezionate, cronologia delle attività e relazione tecnica.

La relazione documenta metodo e risultanze tecniche. Utilizzabilità e valore probatorio vengono valutati nel relativo contesto dall’autorità competente.