Perizia su hard disk per stalking o diffamazione

Essere vittima di stalking o diffamazione è un'esperienza devastante. Quando queste azioni avvengono online, tramite email, social network o forum, la sensazione di impotenza può essere schiacciante. Spesso, le prove più importanti di questi reati non sono su un telefono, ma si nascondono in profondità all'interno di un hard disk, sia esso di un computer fisso (PC) o di un portatile (laptop).

In qualità di periti informatici forensi, il nostro compito è trasformare quei bit in prove inconfutabili. Una perizia informatica su un hard disk non è un semplice "recupero dati", ma un'analisi tecnica rigorosa, svolta con metodologie valide in tribunale, che può fare la differenza tra un'accusa fondata e un caso archiviato per mancanza di prove.

Questo articolo spiega in dettaglio come un'analisi forense di un hard disk può concretamente raccogliere le prove digitali necessarie per difendersi legalmente dai reati di stalking e diffamazione.

Perché l'Hard Disk è ancora la "scatola nera" dei crimini informatici?

Nell'era degli smartphone, molti sottovalutano l'importanza del computer. Tuttavia, l'hard disk (o l'SSD, il suo erede moderno) rimane il luogo dove risiede la memoria a lungo termine delle nostre attività digitali. A differenza di un telefono, un computer viene usato per attività più complesse, che lasciano tracce diverse e spesso più dettagliate.

Per un'indagine, un hard disk è una miniera d'oro perché contiene:

• Email e bozze: Non solo le email inviate, ma anche quelle salvate in bozza, i tentativi di accesso falliti e le email di notifica (es. "un nuovo dispositivo ha effettuato l'accesso al tuo account").
• Cronologia Browser Completa: Molto più dettagliata di quella mobile. Rivela ricerche su Google (es. "come creare un profilo falso"), visite a profili social, attività su forum.
• File e Metadati: Documenti di testo (diari, lettere minatorie), foto, video e, soprattutto, i loro metadati (date di creazione, modifica, autore).
• Tracce di Software Spia: Programmi (keylogger, trojan) installati per spiare la vittima, che spesso risiedono sul PC.
• Chat e Messaggistica Desktop: Versioni di WhatsApp Web, Telegram Desktop o Skype che sincronizzano e memorizzano messaggi.

Stalking (Art. 612-bis c.p.): Le Prove Nascoste nel PC

Il reato di stalking (definito giuridicamente come "Atti persecutori" dall'Art. 612-bis del Codice Penale) richiede una serie di condotte reiterate che generano nella vittima un grave stato d'ansia o un fondato timore per la propria incolumità.

L'hard disk della vittima, o in caso di sequestro quello del sospettato, può contenere prove decisive. L'analisi forense mira a trovare:

• Email e Messaggi Persistenti: La prova della reiterazione delle molestie. Recuperiamo anche email cancellate o provenienti da indirizzi creati "ad hoc".
• File di Log di Software Spia (Spyware): Se lo stalker ha installato un software sul PC della vittima, possiamo trovare le tracce dell'installazione e i file (log) con cui venivano registrati i tasti premuti (keylogger) o catturate schermate.
• Cronologia delle Posizioni: Se lo stalker ha usato il proprio PC per tracciare la vittima (es. tramite servizi di localizzazione o accedendo all'account Google della vittima).
• File Creati: Fotomontaggi, documenti con minacce o file "diario" in cui lo stalker pianificava le sue azioni.

Diffamazione (Art. 595 c.p.): Identificare l'Autore

La diffamazione (Art. 595 c.p.), specialmente quella aggravata perché commessa "col mezzo della stampa o con qualsiasi altro mezzo di pubblicità" (come i social media o i blog), consiste nell'offendere la reputazione altrui comunicando con più persone.

Il problema principale è l'anonimato. L'autore spesso si nasconde dietro un falso profilo (fake). Una perizia sull'hard disk può essere fondamentale per:

• Collegare un profilo "fake" a una persona: Analizzando l'hard disk del sospettato, possiamo trovare le tracce della creazione del profilo: email di conferma, foto usate, bozze dei post diffamatori, e le tracce di navigazione che collegano l'IP di casa all'attività del profilo.
• Recuperare le "Bozze": Spesso l'autore scrive e riscrive i post diffamatori. Trovare questi file (anche se cancellati) sull'hard disk dimostra la premeditazione e l'intento.
• Dimostrare l'Invio: Identificare le tracce lasciate dall'invio di email diffamatorie o dalla pubblicazione di contenuti su un sito web.
• Acquisire la Prova (se la vittima è il cliente): Possiamo cristallizzare la prova della diffamazione (es. un post su un social) con data certa e valore legale, prima che venga cancellata dall'autore.

L'Errore Fatale: Perché il "Fai-da-te" Invalida le Prove

Se sospettate che il vostro hard disk (o quello di un vostro caro) contenga prove, l'istinto è quello di "andare a vedere". NON FATELO.

Ogni singola azione su un computer lascia una traccia e, soprattutto, altera le tracce esistenti. Il semplice avvio del PC, l'apertura di un file o l'esecuzione di un antivirus modificano irrimediabilmente i metadati (come la data di "ultimo accesso") dei file. Questo si chiama inquinamento della prova.

Se un perito di controparte in tribunale dimostra che il computer è stato "manomesso" dopo i fatti, tutta la vostra perizia potrebbe essere invalidata. Un hard disk contenente prove non va mai acceso: va consegnato a un perito.

Il Nostro Processo: Dalla Scena del Crimine al Tribunale

Una perizia forense non è un'opinione. È una scienza. Per garantire che ogni prova sia inattaccabile in sede legale, seguiamo un protocollo rigido, conforme alla ISO 27037 (Ratifica della Convenzione di Budapest sul cybercrime), che stabilisce le migliori pratiche per la digital forensics.

1. Acquisizione Forense (Copia Bit a bit)

Non lavoriamo mai sull'hard disk originale (il "reperto"). Per prima cosa, si utilizza un write-blocker (un dispositivo che impedisce fisicamente qualsiasi scrittura) per creare una "copia forense" (o immagine forense). Si tratta di una copia bit-per-bit, identica all'originale. L'originale viene sigillato e conservato. Tutta l'analisi si svolge sulla copia.

2. Calcolo dell'Hash e Catena di Custodia

Per garantire l'integrità, calcoliamo un'impronta digitale unica (un valore "hash" SHA-256 o SHA-128) sia dell'originale sia della copia. I due valori devono combaciare. Questo dimostra al giudice che la copia è identica e che il reperto non è stato alterato. L'intero processo viene documentato in una rigorosa catena di custodia (Chain of Custody).

3. Analisi Forense e Data Carving

È qui che avviene la vera indagine. Utilizzando software forensi specializzati (come Autopsy, FTK Imager, EnCase), analizziamo la copia. Ricostruiamo la cronologia, analizziamo i registri di sistema, i file di log e, soprattutto, eseguiamo il "data carving".

Il data carving ci permette di recuperare file cancellati che non sono ancora stati sovrascritti, anche se il Cestino è stato svuotato o il disco è stato formattato (formattazione rapida).

4. La Relazione Tecnica

Il risultato finale non è una chiavetta USB con dei file, ma una relazione tecnica dettagliata (perizia). In questa relazione, spieghiamo ogni passaggio tecnico in modo comprensibile per avvocati e giudici, presentiamo le prove trovate (email, chat, file) e certifichiamo la metodologia usata.

Domande Frequenti (FAQ)

Quanto costa una perizia informatica su un hard disk?

Il costo non è fisso, ma dipende dalla dimensione dell'hard disk, dalla complessità del caso (es. recupero da disco danneggiato, presenza di crittografia) e dal tempo necessario per l'analisi. Diffidate da prezzi "standard" troppo bassi, che spesso nascondono un'analisi superficiale e non forense.

Potete analizzare un hard disk anche se il PC è rotto o non si accende?

Assolutamente sì. Nella maggior parte dei casi, il problema è del PC (alimentatore, scheda madre) ma l'hard disk è intatto. Lo smontiamo e lo analizziamo nei nostri laboratori. Se è l'hard disk stesso a essere danneggiato fisicamente, collaboriamo con partner specializzati nel recupero in camera bianca, sempre mantenendo la catena di custodia.

Potete trovare prove su un hard disk formattato?

Dipende. Se è stata eseguita una "formattazione rapida" (la più comune), i dati sono ancora presenti e ampiamente recuperabili con le tecniche di data carving. Se è stata eseguita una "formattazione completa" o una "bonifica" (wiping), il recupero è molto più difficile o impossibile. È fondamentale non fare nulla e consegnarci subito il disco.

L'analisi va fatta sul mio computer (vittima) o su quello dello stalker?

Entrambe le cose. Sul PC della vittima, cerchiamo le prove di ricezione delle molestie (email, messaggi) o le tracce di un'intrusione (spyware). Sul PC del sospettato (generalmente dopo un sequestro disposto dall'Autorità Giudiziaria, dove noi operiamo come Consulente Tecnico di Parte - CTP), cerchiamo le prove della creazione e dell'invio del materiale (bozze, cronologia, profili fake).

Conclusione: Trasformare i Dati in Giustizia

Un hard disk è un testimone silenzioso. Sa cosa è stato scritto, cancellato, cercato e inviato. In casi delicati come lo stalking e la diffamazione, dove le prove digitali sono spesso l'unica cosa che avete, una perizia informatica forense è l'unico strumento che può dare a quel testimone una voce legalmente valida.

Non lasciate che l'inquinamento delle prove o il tempo cancellino le vostre tracce. Se siete vittima e sospettate che le prove siano su un computer, la vostra prima e unica mossa deve essere quella di spegnerlo e contattare un professionista.