Analisi forense dello smartphone, cosa può accertare un tecnico e cosa no

Quando nasce il sospetto che il proprio telefono sia controllato, l'idea di farlo esaminare da un tecnico è la più naturale, ma le aspettative sono spesso lontane dalla realtà; da una parte si teme che il telefono nasconda segreti impossibili da scoprire, dall'altra si immagina che un'analisi possa ricostruire ogni cosa, compreso chi ha installato un'applicazione, quando e con quale scopo. Capire che cosa un'analisi forense può accertare, e che cosa invece resta fuori dalla sua portata, aiuta a chiedere la verifica giusta, a interpretarne correttamente l'esito e a usarlo bene, anche insieme al proprio avvocato.

Che cosa si intende per analisi forense di uno smartphone?

Per analisi forense si intende l'esame di un dispositivo condotto con un metodo che ne preservi il contenuto e che permetta a un terzo di ripercorrerne i passaggi; in pratica si acquisisce una copia dei dati con strumenti e procedure documentate, si calcola un'impronta digitale della copia, detta hash, che consente di dimostrare in seguito che non è stata alterata, e si lavora poi sulla copia invece che sul telefono. Tutto viene annotato in una relazione che indica gli strumenti usati, le operazioni svolte e i risultati, così che l'esito possa essere valutato da un avvocato o, se necessario, da un consulente nominato dall'autorità giudiziaria.

L'analisi si fa sul proprio dispositivo, o su un dispositivo di cui si ha legittimamente la disponibilità, e richiede la collaborazione del titolare, che deve fornire il codice di sblocco; esaminare il telefono di un'altra persona senza il suo consenso non è una verifica, ma un comportamento che può costituire reato.

Che cosa può accertare un tecnico?

Su un telefono sbloccato e consegnato dal titolare un tecnico può verificare quali applicazioni sono installate, comprese quelle che cercano di passare inosservate con nomi o icone ingannevoli, quali permessi hanno ottenuto, in particolare l'accesso alla posizione, al microfono, ai messaggi e alle funzioni di accessibilità, quali profili di configurazione o di gestione a distanza sono presenti e quali impostazioni di sicurezza sono state modificate rispetto a quelle normali. Può inoltre controllare gli account collegati al telefono, gli altri apparecchi che risultano connessi agli stessi account, l'inoltro automatico di messaggi o email, i backup su servizi esterni a cui altri potrebbero accedere e, in condizioni controllate, il traffico di rete del telefono, alla ricerca di comunicazioni verso destinazioni sospette.

Le applicazioni spia commerciali, i cosiddetti stalkerware, lasciano di solito tracce riconoscibili, e la loro individuazione è uno dei casi in cui l'analisi dà i risultati più chiari; ne abbiamo parlato nell'articolo dedicato allo stalkerware e alle app spia sul telefono. Spesso, poi, il controllo non dipende da un software ma da un accesso all'account, e l'elenco degli apparecchi collegati o delle sessioni attive è sufficiente a mostrare che qualcuno legge la posta o le fotografie da un altro dispositivo.

Che cosa un tecnico non può accertare?

Un'analisi seria dichiara anche i propri limiti; non sempre è possibile stabilire chi ha installato un'applicazione, perché il telefono registra che cosa è stato installato e talvolta quando, ma non chi aveva il dispositivo in mano in quel momento, e questo collegamento va cercato con altri elementi. Non sempre si recuperano i dati cancellati, perché i telefoni moderni cifrano la memoria e molti contenuti eliminati non sono più leggibili, e non è possibile accedere ai contenuti di un dispositivo bloccato senza il codice del titolare.

Esiste poi un limite di principio, perché nessuna analisi può garantire in senso assoluto l'assenza di qualsiasi forma di controllo; i software spia più sofisticati, sviluppati per usi governativi e destinati a bersagli molto specifici, sono progettati per lasciare tracce minime, e un esito negativo significa che non sono emersi elementi di compromissione con gli strumenti e i metodi indicati, non che il rischio sia escluso per sempre. Allo stesso modo l'esame del telefono non dice nulla su ciò che accade negli ambienti in cui viene usato, dove un microfono nascosto può captare le conversazioni indipendentemente dal dispositivo.

Come prepararsi all'analisi senza compromettere le tracce?

Chi sospetta un controllo è tentato di ripristinare il telefono, disinstallare le applicazioni sconosciute o cambiare subito tutte le password, ma ciascuna di queste azioni rischia di cancellare proprio gli elementi che l'analisi dovrebbe trovare; inoltre alcune applicazioni spia avvisano chi le ha installate quando vengono rimosse, e in un contesto di conflitto personale questo va considerato con attenzione. È preferibile continuare a usare il telefono con prudenza, evitando di trattare argomenti delicati, annotare con data e ora i comportamenti anomali osservati e usare per le comunicazioni riservate un altro dispositivo che non sia mai stato nelle mani di altri. Chi teme per la propria sicurezza deve rivolgersi alle forze dell'ordine o al numero antiviolenza 1522 prima di qualsiasi altra iniziativa.

Come si collega l'analisi del telefono alla bonifica degli ambienti?

Il telefono è spesso solo uno dei possibili canali, e quando il sospetto nasce da informazioni che qualcuno non dovrebbe conoscere conviene ragionare sull'insieme; se le informazioni trapelate erano state scritte, l'attenzione va sul telefono e sugli account, se erano state dette a voce in un luogo preciso va sull'ambiente, e se riguardano gli spostamenti va sull'auto oltre che sul telefono. L'esame di telefoni e computer è descritto nella pagina sulla bonifica di cellulari e computer, e può essere svolto nella stessa giornata della bonifica dei locali, con una relazione tecnica unica o separata a seconda delle esigenze. Per un'analisi può contattarci da un telefono diverso da quello sospetto.

Domande frequenti