Articolo Pubblicazioni

WhatsApp e i messaggi sugli smartphone come prova: che cosa conservano i telefoni e come acquisirli

di · Pubblicato il 14 dicembre 2009

Abstract

Nel 2009 è nata WhatsApp, un’applicazione per iPhone che usa la connessione Internet per scambiare messaggi al posto degli SMS. Si aggiunge a BlackBerry Messenger e alle chat già presenti sugli smartphone. Per chi lavora sulle prove digitali significa che una parte crescente delle conversazioni si sposta dalle reti degli operatori alla memoria dei telefoni e ai server dei gestori. L’articolo spiega dove si trovano questi messaggi, perché una fotografia dello schermo è una prova fragile e come acquisirli nel rispetto della legge 48/2008.

Vincenzo Calabrò | WhatsApp e i messaggi sugli smartphone come prova: che cosa conservano i telefoni e come acquisirli
 

Dagli SMS alle app di messaggistica

Per anni il messaggio scritto sul telefono ha coinciso con l’SMS. Ogni messaggio passava dalla rete dell’operatore, che ne registrava almeno i dati di traffico, e restava nella memoria del telefono o della SIM. Il 2009 ha portato un cambiamento destinato a crescere. Sugli smartphone si diffondono applicazioni che inviano messaggi attraverso la connessione dati, come BlackBerry Messenger, molto usato nelle aziende, le versioni mobili di MSN e Skype e WhatsApp, nata quest’anno per l’iPhone.
Per l’utente la differenza è soprattutto economica, perché i messaggi viaggiano dentro il traffico dati e non si pagano singolarmente. Per chi indaga la differenza è di sostanza. L’operatore telefonico vede solo una connessione verso un server, senza sapere chi ha scritto a chi. Le informazioni utili restano sul telefono e, in parte, presso il gestore del servizio, che spesso ha sede all’estero.

Dove si trovano i messaggi

Le applicazioni di messaggistica conservano le conversazioni nella memoria del telefono, di solito in database SQLite. Ogni record contiene il testo, il mittente o il destinatario, la data e l’ora, lo stato di consegna e, quando presenti, i riferimenti a foto o file allegati. Altri dati utili si trovano:
  • nella rubrica, che collega il numero di telefono al nome con cui l’utente ha salvato il contatto;
  • nella cartella delle immagini e dei file ricevuti;
  • nei backup creati sul computer durante la sincronizzazione, che possono contenere anche messaggi poi cancellati dal telefono;
  • presso il gestore del servizio, che conserva almeno i dati dell’account e, in alcuni casi, i messaggi non ancora consegnati.

I limiti della fotografia dello schermo

Quando una persona vuole usare una conversazione come prova, la prima cosa che fa è fotografare lo schermo o stampare una cattura. È comprensibile, ma è una prova fragile. L’immagine mostra un nome che dipende da come il contatto è stato salvato nella rubrica, non dice a quale numero corrisponde, non consente di verificare la data e l’ora registrate dal sistema e può essere modificata con facilità. Basta cambiare il nome di un contatto per far apparire un messaggio come scritto da un’altra persona.
Se la controparte non contesta, il giudice può tenerne conto. Se invece contesta la provenienza o il contenuto, chi ha prodotto la foto deve dimostrare che corrisponde a messaggi effettivamente scambiati, e senza il telefono o una copia tecnica questa dimostrazione è difficile.

Come acquisirli

La legge 48 del 2008 ha introdotto nel codice di procedura penale il principio delle misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l’alterazione. Applicato ai messaggi sullo smartphone, porta a un metodo in alcuni passaggi:
  1. isolare il telefono dalla rete, per evitare che arrivino nuovi messaggi o che quelli esistenti vengano cancellati;
  2. annotare lo stato del dispositivo, la data e l’ora del sistema e la differenza con l’ora reale;
  3. acquisire la memoria con uno strumento forense che estragga i database delle applicazioni, preferendo quando possibile un’estrazione completa del file system;
  4. calcolare i valori di controllo dei file estratti e riportarli nel verbale;
  5. analizzare i database sulla copia, ricostruendo per ogni messaggio numero del mittente, data, ora e stato;
  6. documentare le conversazioni rilevanti con una relazione che colleghi le schermate ai record dei database.
Quando le estrazioni automatiche non supportano un’applicazione, si può ricorrere a una documentazione manuale, scorrendo le conversazioni e fotografando lo schermo in modo sistematico. In questo caso conviene filmare l’intera sequenza e mostrare anche le schede dei contatti con i numeri, così che il nome visualizzato possa essere collegato al numero reale.

Il ruolo del gestore

Quando il telefono non è disponibile, o quando serve dimostrare chi ha creato un account, si deve passare dal gestore del servizio. Le richieste vanno rivolte alla società che offre l’applicazione, spesso negli Stati Uniti o in Canada, e seguono i canali dell’assistenza giudiziaria internazionale. I tempi sono lunghi e le informazioni disponibili variano. Di solito si possono ottenere i dati di registrazione, il numero di telefono associato e gli indirizzi IP di connessione, raramente il contenuto dei messaggi, che molti servizi non conservano dopo la consegna.
Per questo, nelle indagini, la copia del telefono resta la fonte principale. Il gestore serve soprattutto a confermare l’attribuzione di un account e a ricostruire i tempi delle connessioni.

Nelle cause civili

Nei procedimenti civili la conversazione viene spesso prodotta dalla parte che l’ha ricevuta. Il modo più solido è affidare il telefono a un consulente, che ne esegue la copia, estrae le conversazioni rilevanti e redige una relazione con i valori di controllo. Se la controparte contesta, il giudice potrà disporre una consulenza tecnica d’ufficio sulla stessa copia, e il confronto fra i record dei database e le schermate prodotte permetterà di verificare l’autenticità dei messaggi.

I messaggi cancellati

Un messaggio cancellato dall’utente non sempre scompare subito dal database. Il record può restare nelle aree libere del file fino a quando non viene sovrascritto, e con gli strumenti adatti può essere recuperato. Per questo conviene intervenire presto e non usare il telefono dopo il sequestro.

Che cosa aspettarsi

Le applicazioni di messaggistica sugli smartphone si diffonderanno rapidamente, e con esse le richieste di perizia su conversazioni contese in cause di lavoro, separazioni e procedimenti penali. Avvocati e consulenti dovrebbero abituarsi fin d’ora a chiedere l’acquisizione tecnica del telefono, a conservare i dispositivi originali e a trattare la fotografia dello schermo come un punto di partenza.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn