Articolo Pubblicazioni

Recupero di file cancellati: cosa è davvero possibile

di · Pubblicato il 14 novembre 2026

Abstract

Nelle perizie la domanda arriva spesso, cioè se si possono recuperare file, messaggi o foto cancellati. La risposta dipende dal supporto, dal sistema operativo, dalla cifratura e dal tempo trascorso. L’articolo spiega che cosa succede quando si cancella un file, come lavorano l’analisi del file system e il carving e perché sugli SSD, sugli smartphone moderni e nel cloud le possibilità sono molto diverse da quelle dei vecchi dischi.

Vincenzo Calabrò | Recupero di file cancellati: cosa è davvero possibile
 

Che cosa succede quando si cancella

Nella maggior parte dei file system la cancellazione non azzera i dati. Il sistema segna come libero lo spazio occupato dal file e toglie o marca la voce che lo descriveva. I dati restano sul supporto finché lo spazio non viene riutilizzato. È questo intervallo che rende possibile il recupero, e la sua durata dipende dal supporto e dall’uso che se ne fa dopo.

Dischi tradizionali

Su un disco magnetico le probabilità sono buone, soprattutto se il disco è stato poco usato dopo la cancellazione. L’analisi dei metadati del file system, per esempio la MFT di NTFS, permette spesso di recuperare il file con il nome, le date e la posizione dei frammenti. Quando i metadati sono stati sovrascritti si ricorre al file carving, che cerca nello spazio non allocato le firme di inizio e fine dei formati noti. Il carving funziona bene con file contigui, recupera male quelli frammentati e perde nomi e date. Un disco sovrascritto completamente, anche una sola volta, non restituisce più i dati.

SSD e TRIM

Sugli SSD la situazione cambia. Il sistema operativo comunica all’unità, con il comando TRIM, quali blocchi non sono più in uso, e il controller li azzera durante le operazioni di manutenzione, spesso in pochi secondi o minuti. Su un SSD moderno con TRIM attivo il recupero dei file cancellati da tempo è raro. Resta qualche possibilità sui dischi esterni collegati via USB, che a volte non ricevono il TRIM, e sui sistemi in cui la funzione è disattivata. Le tracce indirette restano comunque utili, come collegamenti recenti, miniature, registri e copie di sicurezza.

Smartphone

Gli smartphone attuali cifrano i dati con chiavi legate al dispositivo e, per molti file, al singolo file. Quando un file viene cancellato si perde anche la sua chiave, e i blocchi rimasti sul supporto diventano illeggibili. Il carving sulla memoria di un telefono moderno restituisce quindi poco o nulla. Si recupera invece dentro i database delle app. Molti messaggi cancellati restano per un po’ nelle pagine libere dei database SQLite o nei file di registro delle transazioni, e le copie di sicurezza locali o in cloud possono contenere versioni precedenti delle conversazioni.

Cloud

Nei servizi cloud il file cancellato finisce di solito in un cestino, dove resta per un periodo stabilito dal fornitore, spesso intorno ai trenta giorni, e da cui l’utente stesso può ripristinarlo. Dopo quel periodo il recupero dipende dalle politiche di conservazione del fornitore e passa per una richiesta formale. Sugli account aziendali le politiche di conservazione e le copie di backup gestite dall’organizzazione allungano molto le possibilità, ed è lì che conviene cercare per primo.

Che cosa fare se il dato serve

La regola è fermarsi subito. Ogni uso del dispositivo dopo la cancellazione riduce le possibilità, perché scrive nuovi dati e, sugli SSD, avvia le operazioni di pulizia. Non bisogna installare programmi di recupero sullo stesso disco né tentare ripristini fai da te. Si spegne o si isola il dispositivo, si annota quando e come è avvenuta la cancellazione e ci si rivolge a un tecnico, che acquisirà il supporto con una copia forense prima di qualunque tentativo.

Tracce indirette

Anche quando il file non si recupera, spesso resta la prova che è esistito. Su Windows i collegamenti ai file recenti, le liste di salto delle applicazioni, il registro di sistema, i file di prefetch e il registro delle modifiche del file system NTFS conservano nomi, percorsi e date di file aperti o cancellati. Le miniature delle immagini possono sopravvivere all’immagine originale. Su macOS e sugli smartphone i database delle app e dei servizi di sistema registrano molte attività. Queste tracce permettono di dimostrare che un documento era sul computer e quando è stato usato, anche senza il suo contenuto.

Cancellazione sicura e anti-forensics

Esistono strumenti che sovrascrivono deliberatamente i dati o cancellano le tracce, e il loro uso lascia a sua volta tracce, come l’installazione del programma, la sua esecuzione e la presenza di file con contenuto uniforme. In un procedimento la prova che qualcuno ha cancellato in modo sicuro dei dati dopo aver saputo dell’indagine può essere rilevante quanto i dati stessi. Anche il ripristino alle impostazioni di fabbrica di uno smartphone, che sui modelli recenti rende i dati irrecuperabili, lascia indizi nei servizi cloud collegati, come la data dell’ultimo backup o la registrazione di un nuovo dispositivo.

Aspettative realistiche

Nelle perizie conviene chiarire subito al committente che cosa è realistico ottenere. Su un disco tradizionale poco usato le probabilità di recupero sono alte, su un SSD moderno o su uno smartphone recente sono basse per i file, migliori per i messaggi dentro i database delle app e per le tracce indirette, mentre le copie di sicurezza e i servizi cloud sono spesso la fonte più promettente. Una risposta onesta evita costi inutili e orienta la ricerca nei punti giusti.
Il fattore tempo pesa ovunque. Ogni giorno di uso del dispositivo riduce le probabilità di recupero.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn