Articolo Pubblicazioni

Acquisizione forense delle email: PEC, posta ordinaria e intestazioni

di · Pubblicato il 14 novembre 2026

Abstract

Un’email stampata dimostra poco, perché il testo visibile è solo una parte del messaggio. L’articolo spiega dove si trovano le informazioni che contano, nelle intestazioni e nel formato originale, come si acquisisce una singola email o un’intera casella, come si leggono i campi Received e le verifiche di autenticazione e che cosa aggiunge la posta elettronica certificata con le sue ricevute e i log dei gestori.

Vincenzo Calabrò | Acquisizione forense delle email: PEC, posta ordinaria e intestazioni
 

Il messaggio vero sta nelle intestazioni

Quello che si vede nel client di posta è una presentazione. Il messaggio originale, nel formato definito dalla RFC 5322, contiene intestazioni che registrano il percorso dal mittente al destinatario e i controlli eseguiti dai server. Una stampa o un PDF le perdono quasi tutte, e con loro la possibilità di verificare che il messaggio sia autentico.
  • Received, una riga per ogni server attraversato, da leggere dal basso verso l’alto, con nomi, indirizzi IP e orari;
  • Message-ID, l’identificativo univoco assegnato dal server di origine, utile per cercare lo stesso messaggio in altre caselle o nei log;
  • Date e From, che il mittente può scrivere come vuole e vanno quindi confrontati con le altre intestazioni;
  • Authentication-Results, con l’esito dei controlli SPF, DKIM e DMARC eseguiti dal server di ricezione.

SPF, DKIM e DMARC

SPF indica quali server possono spedire posta per un dominio. DKIM aggiunge una firma crittografica, calcolata dal server di origine, su intestazioni e corpo del messaggio. DMARC dice al destinatario come trattare i messaggi che non superano questi controlli. Una firma DKIM ancora valida è l’indizio più forte che il contenuto non sia stato modificato dopo l’invio, ed è verificabile anche a distanza di tempo, finché la chiave pubblica del dominio resta disponibile o è stata conservata.

Come si acquisisce

Per un singolo messaggio si salva il file originale in formato EML, o MSG per Outlook, dalla webmail o dal client, insieme alla schermata che mostra il messaggio nella cartella e alle informazioni sulla casella. Per un’intera casella si configura un client in IMAP, che riproduce la struttura delle cartelle e lascia gli originali sul server, oppure si esporta l’archivio dal server o dal servizio cloud. In tutti i casi si calcolano gli hash dei file, si documentano le operazioni e si firma il risultato. Quando la casella è aziendale conviene acquisire anche i log del server di posta e del sistema di protezione, che registrano consegne e blocchi.

Che cosa cambia con la PEC

La posta elettronica certificata, disciplinata dal DPR 68 del 2005, aggiunge garanzie che la posta ordinaria non ha. Il gestore del mittente rilascia una ricevuta di accettazione, quello del destinatario una ricevuta di avvenuta consegna, e il messaggio viaggia dentro una busta di trasporto firmata dal gestore, con un file di dati di certificazione che riporta mittente, destinatari, data, ora e identificativo. I gestori conservano la traccia delle operazioni per trenta mesi.
Per acquisire una PEC con valore probatorio bisogna quindi conservare il messaggio completo, cioè la busta in formato EML con la firma del gestore e gli allegati originali, e le ricevute, anch’esse nel formato originale. La stampa delle ricevute ha poco valore, perché perde la firma che ne garantisce l’autenticità. Se la ricevuta di consegna manca o è contestata, i log del gestore possono essere richiesti per ricostruire l’accaduto.

Corrispondenza e garanzie

Nel processo penale le email, come le chat, sono corrispondenza anche dopo la lettura, secondo la sentenza n. 170 del 2023 della Corte costituzionale. Il loro sequestro richiede quindi le garanzie previste per la corrispondenza, e la selezione dei messaggi pertinenti va motivata e documentata.

Come leggere un percorso

Si prenda un’email contestata in cui il mittente dichiarato è un fornitore e il contenuto chiede di cambiare l’IBAN per i pagamenti. Le righe Received, lette dal basso, mostrano che il messaggio è partito da un server di un servizio di posta gratuito, estraneo al dominio del fornitore. Il campo Reply-To indica un indirizzo diverso da quello del mittente visualizzato. L’esito dei controlli riporta SPF fallito e assenza della firma DKIM del dominio del fornitore. Messi insieme, questi elementi dimostrano che il messaggio non proviene dal fornitore, anche se il nome e la grafica sono identici. È lo schema tipico della frode del cambio IBAN.

Email cancellate e caselle in cloud

Un messaggio cancellato dall’utente non è sempre perso. Nelle caselle in cloud resta spesso per un periodo nel cestino e poi negli elementi recuperabili, accessibili all’amministratore. Le organizzazioni con politiche di conservazione o archiviazione possono conservarlo per anni. Sul computer dell’utente gli archivi locali dei client di posta possono contenere copie di messaggi poi cancellati dal server. Per questo, quando un’email è rilevante, conviene acquisire subito sia la casella sul server sia gli archivi locali, e chiedere all’amministratore di sospendere le cancellazioni automatiche.

Errori ricorrenti

  • inoltrare l’email da acquisire a un altro indirizzo, perché l’inoltro cambia le intestazioni e il messaggio originale si perde;
  • stampare in PDF il messaggio e la ricevuta PEC senza conservare gli originali;
  • acquisire solo il messaggio contestato, senza quelli precedenti e successivi della stessa conversazione;
  • non verificare l’orario del server e il fuso orario delle intestazioni.
Per le email ricevute su caselle aziendali conviene coinvolgere subito l’amministratore di sistema, che può esportare il messaggio originale dal server, verificare nei log di consegna l’indirizzo IP del server mittente e l’orario esatto di ricezione e controllare se messaggi simili sono arrivati ad altri utenti. Queste informazioni, conservate dal server e non dal client dell’utente, rafforzano molto l’acquisizione e sono spesso decisive nei casi di frode.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn