Un incarico apparentemente semplice

Sono stato incaricato dal Giudice, in qualità di consulente tecnico informatico forense, nell'ambito di una controversia ereditaria nella quale alcuni documenti digitali avevano assunto particolare rilevanza.

Il quesito tecnico riguardava principalmente l'origine, la cronologia e l'integrità di alcuni file rinvenuti sul computer di una persona nel frattempo deceduta.

Tra questi era presente un documento particolarmente importante.

Il suo contenuto, se effettivamente riconducibile al proprietario del computer e al periodo temporale indicato, avrebbe potuto incidere significativamente sulla ricostruzione dei rapporti patrimoniali oggetto del procedimento.

A prima vista non c'era nulla di anomalo.

Il documento aveva un nome plausibile, un contenuto coerente e riportava informazioni temporali apparentemente compatibili con quanto sostenuto negli atti.

Ma in informatica forense quello che vediamo sullo schermo è soltanto una parte di ciò che un computer può raccontarci.

Ed è stato proprio approfondendo ciò che non era immediatamente visibile che il caso ha preso una direzione completamente diversa.

L'acquisizione forense

La prima attività che ho svolto è stata quella di preservare correttamente il dato.

Prima ancora di entrare nel merito del documento contestato, ho proceduto all'acquisizione forense del supporto di memoria del computer, documentando le operazioni eseguite e verificando l'integrità dei dati attraverso il calcolo delle relative impronte hash.

L'analisi è stata quindi condotta sulla copia forense. È un principio fondamentale del nostro lavoro.

Quando un dato informatico può assumere rilevanza giudiziaria, non è sufficiente individuare un'informazione interessante: bisogna essere in grado di dimostrare da dove proviene, come è stata acquisita e che cosa tecnicamente consente di affermare.

Completata questa fase, ho iniziato l'analisi del sistema.

Ed è qui che ho trovato la prima anomalia.

Ore 09:42

Tra gli eventi registrati dal computer compariva un normale avvio del sistema operativo.

Ore 09:42.

Inizialmente non sembrava un elemento particolarmente significativo.

Ho quindi confrontato il timestamp con la cronologia riportata nella documentazione del procedimento.

L'ho ricontrollato.

Poi ho verificato nuovamente gli altri artefatti temporali disponibili.

La data era corretta.

Quel computer risultava acceso quattro giorni dopo la morte del suo proprietario.

Era il primo elemento realmente interessante dell'intera analisi.

Ma non era ancora una prova di manipolazione.

Qualcuno avrebbe potuto legittimamente accendere quel computer dopo il decesso per recuperare fotografie, documenti personali o qualsiasi altra informazione.

Dovevo quindi rispondere a una domanda molto più importante:

che cosa era stato fatto su quel computer dopo la sua accensione?

La timeline cominciava a parlare

Ho quindi esteso l'analisi all'intero sistema.

Ho esaminato gli artefatti del filesystem, i registri di Windows, le informazioni relative al profilo utente, i file recenti, i collegamenti, le cache applicative e le tracce generate dai programmi utilizzati per la gestione dei documenti.

Non cercavo più soltanto una data.

Stavo cercando una sequenza di eventi.

La ricostruzione temporale ha iniziato progressivamente a prendere forma:

09:42 — avvio del computer
09:44 — accesso al profilo utente
09:47 — avvio dell'applicazione utilizzata per la gestione dei documenti
09:51 — accesso alla directory contenente il documento oggetto di accertamento
09:53 — attività informatica riconducibile proprio al file contestato

A quel punto la situazione era molto diversa.

Il computer non era stato semplicemente acceso.

Qualcuno lo aveva utilizzato.

E durante quella sessione erano state registrate attività proprio nell'area del sistema nella quale si trovava il documento sul quale il Giudice mi aveva chiesto di effettuare gli accertamenti.

Una data non è mai soltanto una data

A questo punto sarebbe stato facile fermarsi.

Ma una delle regole fondamentali dell'informatica forense è evitare conclusioni costruite su un singolo artefatto.

Un timestamp, preso isolatamente, può essere fuorviante.

Un file può essere copiato, sincronizzato, ripristinato o modificato da un'applicazione. Alcune operazioni possono alterare determinate informazioni temporali lasciandone invece inalterate altre.

Per questo motivo ho cercato conferme indipendenti.

Ho correlato i dati provenienti dal filesystem con le informazioni generate dal sistema operativo e dalle applicazioni presenti sulla macchina.

Ed è proprio questa correlazione ad aver dato consistenza alla timeline.

Più elementi indipendenti collocavano infatti attività sul computer nella medesima finestra temporale.

Il documento aveva una storia diversa da quella apparente

Approfondendo ulteriormente l'analisi del file contestato, è emerso che la sua storia digitale non era compatibile con una ricostruzione che attribuiva integralmente quelle attività al proprietario originario del computer.

Esistevano infatti tracce informatiche successive alla sua morte.

Questo rappresentava un dato tecnico importante.

Ma nella mia relazione ho ritenuto altrettanto importante chiarire ciò che l'analisi non consentiva di affermare.

Potevo documentare che il computer era stato utilizzato.

Potevo ricostruire la sequenza temporale delle operazioni.

Potevo evidenziare attività relative al documento.

Non potevo invece attribuire automaticamente quelle operazioni a una determinata persona senza ulteriori elementi tecnici.

È una distinzione fondamentale.

Il compito del consulente del Giudice non è riempire con supposizioni ciò che i dati non raccontano.

È stabilire il confine tra ciò che può essere tecnicamente dimostrato e ciò che rimane un'ipotesi.

Quando la tecnica cambia la prospettiva del procedimento

La mia attività non aveva il compito di stabilire chi avesse ragione nella controversia.

Quella valutazione appartiene al Giudice.

Il mio compito era fornire una risposta tecnica a una questione che, senza un'analisi informatico-forense, sarebbe rimasta nascosta dietro le normali proprietà di un file.

Ed è proprio questo uno degli aspetti più interessanti del lavoro che svolgo come consulente tecnico.

Un computer non sa di essere al centro di una causa.

Non conosce il valore economico di un documento.

Non sa che il proprio proprietario è morto.

Registra semplicemente eventi.

Accessi, aperture, modifiche, connessioni e sincronizzazioni lasciano continuamente tracce.

Il lavoro dell'informatico forense consiste nell'individuarle, preservarle e metterle in relazione, mantenendo sempre una separazione rigorosa tra dato tecnico e interpretazione.

Tutto era iniziato alle 09:42

Alla fine dell'analisi, l'elemento che aveva cambiato la prospettiva dell'accertamento non era stato un sofisticato attacco informatico né il recupero di un file apparentemente irrecuperabile.

Era stato qualcosa di molto più semplice.

09:42 — il computer viene acceso. Quattro giorni dopo la morte del suo proprietario.

Da quel singolo evento sono partito per ricostruire una sequenza di attività che ha permesso di collocare temporalmente l'utilizzo del sistema e di evidenziare elementi rilevanti proprio sul documento oggetto dell'incarico.

È una delle ragioni per cui considero l'informatica forense una disciplina tanto tecnica quanto investigativa.

Perché spesso il dato determinante è già lì.

Non bisogna inventarlo. Bisogna sapere dove cercarlo, come preservarlo e, soprattutto, come farlo parlare.