Le indagini informatiche, in inglese digital forensics, sono l’insieme delle attività con cui si individuano, acquisiscono, conservano e analizzano dati contenuti in computer, telefoni, supporti di memoria, reti e servizi online, con metodi che ne garantiscono l’integrità e ne permettono l’uso come prova.
Il termine italiano corrente è “informatica forense” o “indagini informatiche forensi“; l’obiettivo è ricostruire fatti (chi ha fatto cosa, quando, con quale dispositivo) in modo verificabile da un giudice o da un perito di parte avversa. L’Agenzia Investigativa delle Alpi svolge indagini informatiche a Torino nell’ambito della propria autorizzazione ex art. 134 T.U.L.P.S.: cristallizzazione di contenuti digitali, analisi di dispositivi per la ricerca di software spia, bonifiche ambientali e ricerche OSINT.
In breve
- Le indagini informatiche acquisiscono dati digitali con copia integrale e impronta hash, così che la prova resti identica all’originale e verificabile.
- Le fasi sono cinque: identificazione, acquisizione, conservazione, analisi, relazione.
- Si distinguono computer forensics (PC e dischi), mobile forensics (telefoni), network forensics (traffico di rete), multimedia forensics (foto, audio, video).
- Si possono recuperare file cancellati non sovrascritti, chat, cronologie, metadati di foto e documenti, registri di accesso.
- In Italia ci si rivolge alla Polizia Postale per denunciare un reato, a un’agenzia investigativa autorizzata per acquisire prove su dispositivi nella propria disponibilità, a un consulente tecnico per la perizia nel processo.
Cosa sono le indagini informatiche e cosa significa digital forensics
Le indagini informatiche sono un ramo delle scienze forensi applicato ai dati digitali. “Forensics” significa infatti “destinato al foro”, cioè al tribunale: la differenza tra una semplice analisi tecnica e un’indagine informatica forense sta nel metodo, che deve permettere a chiunque di ripetere l’esame e ottenere lo stesso risultato. Per questo motivo ogni operazione viene documentata, i dati originali non vengono mai modificati e ogni copia è accompagnata da un’impronta hash (una sequenza che cambia se cambia anche un solo bit).
In Italia il riferimento normativo è la legge 48/2008, che ha ratificato la Convenzione di Budapest sulla criminalità informatica e ha introdotto nel codice di procedura penale l’obbligo di acquisire i dati “adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l’alterazione”. Lo standard tecnico di riferimento è la norma ISO/IEC 27037 sulle fasi di identificazione, raccolta, acquisizione e conservazione delle prove digitali.
Quali sono le fasi di un’indagine informatica
| Fase | Cosa si fa | Cosa deve essere acquisito o prodotto |
| 1. Identificazione | Si individuano i dispositivi, gli account e le fonti che possono contenere dati utili | Elenco dei dispositivi, fotografie dello stato in cui si trovano, data e ora |
| 2. Acquisizione | Si esegue la copia forense (bit a bit) del supporto o l’acquisizione del contenuto online, senza alterare l’originale | Copia integrale, impronta hash, verbale delle operazioni |
| 3. Conservazione | Si custodiscono originale e copia con catena di custodia documentata | Registro di chi ha avuto accesso ai reperti, quando e perché |
| 4. Analisi | Si esaminano i dati sulla copia: file, cancellati, chat, cronologie, metadati, registri | Risultati riproducibili con gli stessi strumenti |
| 5. Relazione | Si espongono metodo, strumenti e risultati in forma comprensibile al giudice e all’avvocato | Relazione tecnica con allegati e hash |
Il primo passo dopo una violazione o un sospetto è non toccare il dispositivo: ogni accensione, apertura di file o reinstallazione sovrascrive dati e indebolisce la prova. Di conseguenza, la prima cosa da fare è isolare il dispositivo (spegnerlo o metterlo in modalità aereo, a seconda del caso) e contattare chi deve eseguire l’acquisizione.
A cosa servono le indagini informatiche: scopo e obiettivi
Lo scopo principale delle indagini informatiche è trasformare i dati presenti su un dispositivo o online in una prova utilizzabile. In concreto, gli obiettivi sono tre: stabilire se un fatto è avvenuto (un accesso, un invio, una cancellazione, un’installazione), attribuirlo a una persona o a un dispositivo, e fissarlo nel tempo in modo che non possa più essere contestato.
Nella pratica le richieste più frequenti riguardano chat e messaggi da far valere in una separazione o in una causa di lavoro, contenuti diffamatori pubblicati online, telefoni che si sospetta siano controllati, documenti aziendali sottratti da un dipendente, email e profili falsi, truffe online con fondi da tracciare.
Computer forensics, mobile forensics, network forensics: le differenze
La digital forensics è la disciplina generale; i rami si distinguono per il tipo di fonte dei dati.
- Computer forensics: computer, dischi, memorie USB, server. Si lavora sulla copia forense del disco e si analizzano file, cancellati, registri di sistema, cronologie.
- Mobile forensics: smartphone e tablet. Richiede strumenti dedicati perché i sistemi dei telefoni cifrano i dati e limitano l’accesso; si estraggono chat, chiamate, posizioni, foto, app installate.
- Network forensics: traffico e registri di rete, per ricostruire accessi, intrusioni ed esfiltrazioni di dati in azienda.
- Multimedia forensics: foto, audio e video, per verificarne l’autenticità, i metadati e le eventuali manipolazioni.
- Fonti online e social: pagine, profili, post e annunci, acquisiti con cristallizzazione (copia con integrità e data certificata) e analizzati con tecniche OSINT.
Cosa si può scoprire e recuperare con le indagini informatiche
Un’indagine informatica può recuperare file cancellati finché lo spazio che occupavano non è stato sovrascritto, chat e messaggi eliminati presenti nelle copie di sicurezza o nei database delle app, cronologie di navigazione, metadati di foto e documenti (data di scatto, dispositivo, posizione, autore, modifiche), registri di accesso e di installazione, tracce di software spia. La navigazione privata e i contenuti cifrati lasciano invece poche tracce e non sempre sono recuperabili: una risposta onesta prima dell’incarico vale più di una promessa.
Sul piano legale, le indagini informatiche sono lecite solo su dispositivi e account nella disponibilità di chi le commissiona o con il consenso del titolare. Accedere al telefono, alla posta o ai profili di un’altra persona è reato (art. 615 ter c.p.) e i dati così ottenuti non sono utilizzabili. Inoltre, i dati raccolti da un istituto autorizzato nell’ambito di un mandato investigativo restano coperti dal segreto professionale e vengono trattati secondo il Regolamento UE 2016/679.
Come svolge le indagini informatiche l’Agenzia Investigativa delle Alpi
L’Agenzia Investigativa delle Alpi, autorizzata dalla Prefettura di Torino ex art. 134 T.U.L.P.S. dal 1992, svolge le indagini informatiche con investigatori informatici dipendenti con attestati in OSINT, Ethical Hacking, Digital Forensics e Network Analysis. L’incarico parte dal colloquio con il responsabile, coperto dal segreto professionale, in cui si verifica che i dispositivi e gli account siano nella disponibilità del cliente e si definisce cosa va acquisito; i dottori in Legge in sede valutano con l’avvocato del cliente l’uso che se ne farà.
Le attività svolte sono la cristallizzazione di contenuti online e di chat (acquisizione formale con impronta hash e data certificata, utilizzabile per diffamazione, separazioni e cause di lavoro), acquisizione e recupero dati cancellati da dispositivi, l’analisi di telefoni e computer per la ricerca di software spia e di accessi non autorizzati, la bonifica ambientale da microspie in uffici, abitazioni e veicoli, e le ricerche OSINT su profili, pagine e annunci. Al termine viene fornito il rapporto investigativo con metodo, strumenti, allegati e hash, utilizzabile in tutte le sedi di giudizio. La perizia informatica forense nel processo, invece, è riservata ai consulenti tecnici nominati dal giudice o dalle parti: in quei casi l’agenzia fornisce al consulente il materiale acquisito e la documentazione delle operazioni.
A chi rivolgersi in Italia per un’indagine informatica
- Polizia Postale (oggi Servizio Polizia Postale e per la Sicurezza Cibernetica): per denunciare un reato informatico, dalla truffa online all’accesso abusivo. Il portale è [commissariatodips.it](https://www.commissariatodips.it/).
- Agenzia investigativa autorizzata ex art. 134 del (Testo unico delle leggi di pubblica sicurezza): per acquisire e cristallizzare prove su dispositivi e contenuti nella propria disponibilità, verificare un telefono, bonificare un ambiente, identificare autori di contenuti online, prima o al di fuori di un processo.
- Consulente tecnico (CTU o CTP): per la perizia informatica quando la prova va esaminata nel processo e contestata dalla controparte.
Spesso i tre percorsi si combinano: la cristallizzazione fatta subito dall’agenzia fissa la prova prima che sparisca, la denuncia attiva l’autorità, la perizia la fa valere in giudizio.
Quanto costa un’indagine informatica
Il costo si calcola a ore. L’Agenzia Investigativa delle Alpi applica il tariffario orario depositato presso la Prefettura di Torino, con una tariffa media di 68,00 euro l’ora, IVA esclusa. Una cristallizzazione di poche pagine richiede ore limitate; l’analisi completa di un telefono o di un computer richiede un maggiore numero di ore di lavoro. Per questo il preventivo viene redatto dopo il colloquio con il responsabile, in base a cosa va acquisito e analizzato.
Richiesta di colloquio riservato
Per capire se i dati che Le servono si possono acquisire in modo utilizzabile, e come farlo prima che vengano cancellati, il primo passo è il colloquio con un responsabile dell’Agenzia Investigativa delle Alpi, coperto dal segreto professionale. Può chiamare il numero indicato in questa pagina o inviare la richiesta di colloquio riservato indicando che si tratta di un’indagine informatica.
Approfondimenti correlati:
- Cristallizzazione di contenuti digitali – acquisizione con data certa
- Cosa può fare un’agenzia investigativa per un’azienda – controlli leciti sui dipendenti
- Agenzia investigativa: quanto costa, cosa fa e come sceglierla – le risposte alle domande più frequenti
- Prezzi e tariffe – il tariffario per tipologia di indagine
FAQ
Sono le attività di identificazione, acquisizione, conservazione e analisi di dati digitali (computer, telefoni, reti, contenuti online) svolte con metodi che garantiscono l’integrità dei dati e li rendono utilizzabili come prova. In inglese: digital forensics.
Cinque: identificazione delle fonti, acquisizione con copia forense e impronta hash, conservazione con catena di custodia, analisi sulla copia, relazione finale con metodo e risultati.
La digital forensics è la disciplina generale su tutti i dati digitali; la computer forensics è il ramo dedicato a computer e dischi. Gli altri rami sono mobile forensics (telefoni), network forensics (reti) e multimedia forensics (foto, audio, video).
Sì, finché lo spazio non è stato sovrascritto o se esistono copie di sicurezza e database delle app. Navigazione privata e contenuti cifrati lasciano poche tracce e non sempre sono recuperabili.
No. Le indagini informatiche sono lecite solo su dispositivi e account nella disponibilità del cliente o con il consenso del titolare. L’accesso al dispositivo di un terzo è reato e i dati non sono utilizzabili.