Articolo Pubblicazioni

Intercettazioni telefoniche e telematiche: come funzionano e quali garanzie

di · Pubblicato l’8 novembre 2024 - Aggiornato il 14 novembre 2026 · Tratto da «Intercettazioni telefoniche e telematiche»

Abstract

L’articolo riprende il seminario «Intercettazioni telefoniche e telematiche» tenuto nel 2024 alla Camera Penale di Reggio Calabria. Descrive lo schema di ogni comunicazione a distanza e la differenza fra tabulati e contenuti, spiega dove avviene l’intercettazione e perché protocolli internet e cifratura la rendono spesso non intelligibile. Esamina poi le alternative, cioè il captatore informatico, la copia forense del dispositivo, i criptofonini con l’acquisizione dei server del provider e l’acquisizione dalle piattaforme online.

Vincenzo Calabrò | Intercettazioni telefoniche e telematiche: come funzionano e quali garanzie
 

Lo schema di ogni comunicazione

Qualunque comunicazione a distanza, una telefonata, un SMS, un messaggio in chat o una videochiamata, si riduce allo stesso schema. Una sorgente usa un terminale, si appoggia a un provider, attraversa una rete e raggiunge, attraverso un altro provider, il terminale del destinatario. Ogni punto della catena è un possibile luogo di captazione, e ciascuno restituisce informazioni diverse.
Il traffico, cioè il tabulato, dice chi comunica con chi, con quale utenza e quale apparato, quando, per quanto tempo, con quale tipo di comunicazione e quanti byte, e da dove, attraverso la localizzazione o la distanza dalla cella. Il contenuto restituisce la voce, i testi, le immagini, i video e i metadati, oltre ai byte trasmessi, al protocollo e al software usato.

Dove avviene l’intercettazione

Nell’intercettazione tradizionale il dato è prelevato direttamente presso il provider e dirottato verso i server della Procura, dove viene memorizzato. Occorre distinguere il dato telefonico, voce, SMS e videochiamata, dal dato telematico, che può viaggiare in chiaro o cifrato. Sul dato intercettato va apposto un sigillo digitale che ne garantisca l’originalità e l’immodificabilità.

I limiti dell’intercettazione sulla linea

Oggi molte intercettazioni non sono intelligibili. La maggior parte delle comunicazioni viaggia su protocolli internet e quasi tutte sono cifrate, spesso da un capo all’altro. Sono volatili, transitano su server esteri e avvengono su piattaforme, social network, posta elettronica, videoconferenze e app, dove il provider di connettività vede solo traffico cifrato. Le alternative sono tre, cioè il captatore informatico, la copia forense del dispositivo e la copia forense dalla piattaforma.

Il captatore informatico

Il captatore è un trojan di accesso remoto che permette di controllare un dispositivo e di aggirare la cifratura, perché acquisisce le informazioni sul dispositivo stesso, prima che vengano cifrate o dopo che sono state decifrate. Nei limiti delle norme può attivare microfono e telecamera, localizzare il dispositivo, leggere e copiare la memoria, registrare ciò che viene digitato e intercettare tutte le comunicazioni e le attività dell’utente.
L’installazione può avvenire in locale, con il dispositivo nella disponibilità degli investigatori o consegnando all’indagato un apparato già configurato, oppure da remoto, inducendo la persona a installare il software o sfruttando vulnerabilità, anche non ancora note, e aggiornamenti veicolati dal provider. Dopo l’installazione il dispositivo è alterato, vulnerabile e compromesso. Ogni attività, dall’installazione alla disattivazione, con le captazioni e le acquisizioni, deve essere registrata e verificabile, e i dati devono transitare sui server della Procura.

La copia forense del dispositivo

La copia forense segue le regole della legge 48 del 2008 e della ISO/IEC 27037:2012. Nella prassi è un accertamento tecnico non ripetibile, perché quasi sempre il dispositivo va acceso prima dell’acquisizione e questo modifica alcune informazioni in memoria.

Che cosa verificare

Per il consulente della difesa le intercettazioni e le acquisizioni sono anzitutto un insieme di file e di registri da controllare. Le verifiche principali riguardano:
  • la completezza, cioè la corrispondenza fra il periodo autorizzato, le registrazioni disponibili e i brogliacci;
  • l’integrità, con il confronto fra le impronte hash dei file consegnati e quelle annotate al momento della memorizzazione sui server della Procura;
  • la datazione, con il controllo della sincronizzazione degli orologi dei sistemi di registrazione e dei fusi orari;
  • per il captatore, i log delle attività, dall’installazione alla disinstallazione, e le funzioni effettivamente attivate rispetto a quelle autorizzate;
  • per le copie forensi, gli strumenti usati con la loro versione, i verbali delle operazioni e la possibilità di ripetere l’analisi su una copia.
Una lacuna in uno di questi punti va documentata con precisione, indicando quali dati mancano o non sono verificabili e quali conseguenze ha sull’affidabilità delle conclusioni.

I criptofonini

I criptofonini sono smartphone modificati per resistere all’intercettazione. Il sistema operativo disattiva GPS, servizi di Apple e Google, Bluetooth, fotocamera e porta USB, che resta solo per la ricarica, e blocca le notifiche push. Chiamate e chat sono cifrate su più livelli, con Diffie-Hellman, crittografia a curve ellittiche, PGP per le email, OTR per le chat e ZRTP per le chiamate. La protezione poggia su tre livelli, il dispositivo con il suo sistema antimanomissione, la connessione limitata a una rete dedicata di server e le app, con password solide e cancellazione automatica dei dati dopo tentativi falliti.
Acquisire il singolo apparecchio è difficile e rende poco, tra password complesse, pochissimi dati a bordo e reset automatici. Molto più utile è acquisire i server del provider, che permettono di ricostruire contatti e dispositivi, ricavare le chiavi crittografiche, capire la logica applicativa e gli algoritmi e ottenere log e comunicazioni in forma originale e integrale.

L’acquisizione dalla piattaforma

Molte informazioni esistono solo sulla piattaforma, o lì sono più complete che sul dispositivo, come backup, conversazioni, profili social e spazi cloud. Con le credenziali di accesso, eventualmente modificate per bloccare il profilo, si acquisiscono il contenuto visibile o esportato, il traffico generato e il video di tutte le operazioni, e si applica una marca temporale. Il seminario chiudeva con un promemoria, cioè acquisire e analizzare l’intero percorso della comunicazione, incrociare le tracce temporali con i tabulati, ricordare che le evidenze digitali sono volatili e alterabili, verificarne l’integrità anche con fonti esterne e tenere conto delle app di intelligenza artificiale generativa.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn