Articolo Pubblicazioni

Autenticità di foto e video: l’analisi forense dei file multimediali

di · Pubblicato il 14 novembre 2026

Abstract

Foto e video entrano nelle cause come prove di un fatto, di un luogo o di un momento, e oggi si alterano o si generano con pochi strumenti alla portata di tutti. L’articolo descrive il metodo per valutarne l’autenticità, partendo dall’acquisizione del file originale e passando per metadati, struttura del file, tracce di compressione, impronta del sensore, coerenza della scena e segnali di generazione artificiale, con i limiti di ciascuna verifica.

Vincenzo Calabrò | Autenticità di foto e video: l’analisi forense dei file multimediali
 

Prima di tutto il file originale

L’analisi parte dal file prodotto dal dispositivo. Quello passato per una chat o un social ha già subito trasformazioni. Le app di messaggistica e le piattaforme ricomprimono le immagini, cambiano risoluzione e cancellano quasi tutti i metadati. Una foto inoltrata su WhatsApp ha già perso gran parte delle informazioni utili. Quando possibile si acquisisce il file dal dispositivo che l’ha scattata, con hash e catena di custodia, insieme ad altre immagini dello stesso dispositivo da usare come confronto.

Metadati e struttura del file

Il formato EXIF registra marca e modello della fotocamera, impostazioni di scatto, data e ora e, se attiva, la posizione GPS. I metadati si modificano facilmente, quindi non provano nulla da soli. Contano le incoerenze, come un modello di telefono che non corrisponde alla risoluzione, una data successiva alla modifica del file, il nome di un software di fotoritocco nel campo che indica il programma che ha generato il file. Anche la struttura interna, l’ordine dei blocchi e le tabelle di quantizzazione del JPEG, varia da un produttore all’altro e da un software all’altro, e permette di capire se il file è uscito direttamente dalla fotocamera.

Compressione e impronta del sensore

Ogni salvataggio in JPEG lascia una traccia. Una zona incollata da un’altra immagine porta spesso segni di una compressione diversa dal resto, che le analisi statistiche sulla doppia compressione possono mettere in evidenza. Tecniche visive come l’analisi del livello di errore vanno però usate con cautela, perché producono facilmente falsi allarmi su bordi e zone ad alto contrasto.
Il sensore di ogni fotocamera ha piccole imperfezioni di fabbricazione che lasciano un rumore caratteristico, chiamato PRNU, in tutte le immagini che produce. Confrontando il rumore di una foto contestata con quello di immagini scattate con il dispositivo sospetto si può stabilire se provengono dallo stesso sensore, e le zone in cui il rumore manca o non corrisponde indicano possibili manipolazioni.

Coerenza della scena

Alcune verifiche non richiedono strumenti particolari. Ombre e riflessi coerenti con un’unica sorgente di luce, prospettive compatibili, posizione del sole rispetto all’ora e al luogo dichiarati, meteo di quel giorno, cartelli, veicoli e vetrine che esistevano in quel momento. Nei video si controllano anche la continuità dei fotogrammi, il sincronismo fra labbra e voce e il rumore di fondo, che non dovrebbe cambiare bruscamente fra una scena e l’altra.

Immagini generate dall’intelligenza artificiale

Le immagini e i video generati dall’IA non hanno l’impronta di un sensore e spesso mostrano incoerenze nei dettagli, come mani, testi, riflessi o elementi ripetuti. I rilevatori automatici aiutano a orientare l’analisi, ma sono addestrati su generatori noti e sbagliano su quelli nuovi e sui file compressi, quindi vanno indicati con versione e limiti e mai usati come unica base della conclusione. Lo standard C2PA, con le credenziali di contenuto, permette a fotocamere e software di firmare la storia di un file, e la loro presenza integra è un indizio utile, mentre la loro assenza non prova nulla.
La conclusione di una perizia multimediale si esprime in gradi di compatibilità con le ipotesi, motivati da più verifiche indipendenti. Un solo indicatore, a favore o contro, raramente basta a chiudere la questione.

Un caso tipico

In una causa civile viene prodotta una foto che mostrerebbe un danno a un immobile in una certa data. La parte contraria la contesta. L’analisi parte dal file originale sul telefono di chi l’ha scattata. I metadati riportano modello e data compatibili, e la struttura del file corrisponde a quella prodotta da quel modello senza passaggi in software di modifica. Il confronto del rumore del sensore con altre foto dello stesso telefono conferma l’origine. La posizione del sole e le ombre sono compatibili con l’ora indicata, e nell’immagine compare un cantiere che le foto satellitari collocano in quel periodo. Nessuna verifica da sola è decisiva, ma insieme sostengono con forza l’autenticità.

Il video

Per i video si aggiungono verifiche specifiche. La struttura del contenitore, cioè l’organizzazione dei blocchi nel file MP4 o MOV, cambia se il video viene rielaborato. I fotogrammi chiave e il ritmo di compressione possono rivelare tagli o inserzioni. L’audio ha un suo rumore di fondo, e nelle registrazioni vicino ad apparecchi collegati alla rete elettrica porta il segnale della frequenza di rete, confrontabile con i dati del gestore per datare e verificare la continuità. I video delle telecamere di sorveglianza vanno acquisiti dal videoregistratore con il software del produttore, insieme ai log e all’orario del sistema, spesso sfasato rispetto all’ora reale.

Limiti da dichiarare

Un’analisi seria dichiara i propri limiti. Un file passato per un social network ha perso gran parte delle informazioni, e su di esso si può dire molto meno. Un’immagine ricompressa più volte può nascondere tracce di manipolazione o mostrarne di false. I rilevatori di contenuti generati dall’IA hanno tassi di errore che dipendono dal generatore e dalla qualità del file. La relazione deve indicare per ogni verifica che cosa può e che cosa non può dimostrare.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn