Articolo Pubblicazioni

Chat WhatsApp come prova: screenshot, copia forense e catena di custodia

di · Pubblicato il 14 novembre 2026

Abstract

Le conversazioni di WhatsApp entrano ormai in quasi ogni causa, dalle separazioni ai licenziamenti ai procedimenti penali. L’articolo spiega che cosa dicono la Corte costituzionale e la Cassazione sul loro valore, perché uno screenshot regge finché nessuno lo contesta, quali sono le alternative tecniche, dalla copia forense del dispositivo all’esportazione acquisita con metodo, e come si documenta la catena di custodia.

Vincenzo Calabrò | Chat WhatsApp come prova: screenshot, copia forense e catena di custodia
 

Una prova che tutti producono

Quasi ogni contenzioso, civile o penale, contiene oggi una conversazione di WhatsApp. Spesso arriva come una serie di screenshot stampati o allegati a una memoria. Funziona finché la controparte non li contesta. Quando succede, la domanda diventa tecnica, cioè se quei messaggi esistono davvero, se sono completi, se provengono da chi si dice e se nessuno li ha modificati.

Che cosa dice la giurisprudenza

Nel processo civile lo screenshot è una riproduzione meccanica ai sensi dell’art. 2712 del codice civile. Se non viene disconosciuto fa piena prova dei fatti che rappresenta. La Cassazione, con l’ordinanza n. 1254 del 18 gennaio 2025, ha confermato che i messaggi conservati nel telefono possono essere prodotti anche con uno screenshot, previo riscontro della loro provenienza e attendibilità. Il disconoscimento però deve essere chiaro, circostanziato ed esplicito, e quando lo è chi ha prodotto la riproduzione deve essere in grado di dimostrarne l’origine e l’integrità.
Nel processo penale pesa la sentenza n. 170 del 2023 della Corte costituzionale, secondo cui messaggi di posta elettronica e chat restano corrispondenza anche dopo che il destinatario li ha ricevuti e letti, con le garanzie dell’art. 15 della Costituzione. Il loro sequestro e la loro acquisizione richiedono quindi le tutele previste per la corrispondenza, e la selezione dei contenuti pertinenti fra migliaia di messaggi diventa un passaggio da motivare. Sul sequestro dei dispositivi digitali è inoltre in discussione in Parlamento la riforma che introdurrebbe l’art. 254-ter del codice di procedura penale, approvata dal Senato nell’aprile 2024 e ancora all’esame della Camera nella primavera del 2026.

I limiti dello screenshot

Uno screenshot mostra soltanto un’immagine dello schermo, senza il dato che c’è dietro. Non contiene l’identificativo univoco del mittente, perché il nome visualizzato è quello salvato in rubrica da chi cattura la schermata, non dice se fra due messaggi ce ne sono altri cancellati, non riporta i metadati dei file allegati e può essere prodotto da app che simulano conversazioni inesistenti. Anche la data in alto è quella del dispositivo, che l’utente può modificare. Per questo il valore dello screenshot dipende quasi interamente dall’assenza di contestazioni.

Le alternative tecniche

  • Copia forense del dispositivo. Si acquisisce lo smartphone con strumenti di mobile forensics, estraendo il database delle chat con identificativi, orari, stato di consegna e lettura, messaggi eliminati quando recuperabili e allegati con i loro metadati, e si calcola l’hash di quanto acquisito;
  • Copia della chat. Quando la copia integrale non è possibile o non è proporzionata, si acquisiscono le sole conversazioni rilevanti con l’esportazione dell’app, filmando l’intera procedura, calcolando l’hash dei file esportati e apponendo firma digitale e marca temporale;
  • Confronto fra fonti. La stessa conversazione si trova di solito su due dispositivi, quello del mittente e quello del destinatario, e spesso nel backup in cloud. Il confronto fra copie indipendenti è il modo più semplice per dimostrare che nessuno ha manipolato i messaggi.
La copia forense di uno smartphone è in genere un accertamento non ripetibile, perché richiede di accendere e sbloccare il dispositivo e ne modifica alcuni dati. Nel penale va quindi svolta con le garanzie previste per le parti.

Quando la controparte contesta

Davanti a un disconoscimento il consulente tecnico lavora su più livelli. Sul dispositivo cerca la conversazione nel database dell’applicazione, che su Android è il file msgstore.db e su iPhone il file ChatStorage.sqlite, e verifica che i messaggi mostrati negli screenshot corrispondano a record reali, con identificativi, orari e stato di consegna coerenti. Controlla poi la continuità della conversazione, perché un vuoto nella numerazione dei record o un salto anomalo negli orari può indicare messaggi eliminati.
Il passo successivo è il confronto con le altre fonti. Il backup in cloud, su Google Drive o iCloud, e il telefono dell’altro interlocutore contengono copie indipendenti della stessa chat. Se le copie coincidono la manipolazione diventa molto difficile da sostenere, se divergono il punto di divergenza indica dove concentrare l’analisi.
Infine si verificano gli elementi di contorno, come l’orologio del dispositivo, le impostazioni del fuso orario, la presenza di applicazioni capaci di generare conversazioni false e i metadati degli allegati. Un esito negativo su questi controlli toglie forza alla produzione, anche quando da solo è insufficiente a provare la falsità della chat, e va riportato nella relazione.

La catena di custodia

Ogni passaggio va documentato. Chi ha consegnato il telefono, quando e in che stato, con quale codice di sblocco, quali strumenti e quali versioni sono stati usati, quali hash sono stati calcolati e dove sono state conservate le copie. Il verbale e la relazione tecnica devono permettere a un consulente della controparte di ripetere le verifiche sulle copie e ottenere lo stesso risultato. Per chi ha bisogno di usare una chat in giudizio, il consiglio pratico è conservare il telefono senza cancellare nulla, non reinstallare l’app e rivolgersi a un tecnico prima di produrre gli screenshot, quando la contestazione è prevedibile.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn