Email ordinarie
File EML e MSG, mailbox, archivi PST o MBOX, header completi, allegati, notifiche e copie presenti su account differenti.
Email e document forensics · Roma
Analisi di email, PEC e documenti digitali a Roma
Verifica tecnica di email, PEC, PDF, allegati, firme digitali, marche temporali, metadati, revisioni e possibili alterazioni.
Una schermata, una stampa o un PDF ricavato da un messaggio non contengono necessariamente tutte le informazioni tecniche disponibili nella fonte originaria. L’analisi distingue ciò che viene visualizzato da ciò che è realmente presente nel file.
Che cos’è l’analisi forense di email e documenti digitali?
È un’attività tecnica finalizzata a esaminare struttura, provenienza, integrità e storia di un messaggio o di un documento digitale.
ciò che viene visualizzato
→ ciò che è presente nel file
→ ciò che può essere verificato
→ ciò che non può essere determinato
L’obiettivo non è soltanto leggere il contenuto. Occorre comprendere quale formato è stato consegnato, se il messaggio è completo, quali server risultano coinvolti, quali parti sono firmate e quali limiti impediscono una conclusione certa.
Principio di prudenza: una data, un nome visualizzato o un metadato non identificano automaticamente autore, mittente o momento reale di creazione.
Quali materiali possono essere analizzati?
EMLMSGPSTMBOXPECRicevutePDFP7MDOCXXLSXODTAllegatiLog
PEC
Messaggio originario, ricevute di accettazione e consegna, busta di trasporto, XML, firme del gestore, certificati e allegati.
PDF e file firmati
PDF nativi o scansioni, firme PAdES, file P7M, firme CAdES, revisioni, allegati incorporati, moduli e metadati XMP.
Documenti Office
DOCX, XLSX, PPTX, ODT, ODS, RTF e formati legacy con proprietà, autori, revisioni, commenti, template e file incorporati.
Quando può essere utile il servizio?
Email contestate
Mittente, orario, contenuto, catena delle risposte, allegati, spoofing, versioni differenti e completezza del messaggio.
PEC e ricevute
Invio, accettazione, consegna, allegati, gestore, firme, busta di trasporto e corrispondenza tra file prodotti.
Contratti e documenti
Contratti, fatture, relazioni, preventivi, verbali, documenti professionali e file aziendali contestati.
CTP e procedimenti
Analisi preliminare, relazione tecnica, verifica della prova avversaria, osservazioni alla CTU e confronto tra versioni.
Come si analizza un’email?
Acquisizione del messaggio originario
Quando possibile è preferibile acquisire EML, MSG, mailbox, export controllato o archivio PST/MBOX. Una stampa non conserva necessariamente header, struttura MIME, firme, server e allegati originari.
Analisi degli header
Gli header possono contenere From, To, Date, Message-ID, Received, Return-Path, Reply-To, DKIM, SPF, ARC, Content-Type e informazioni sul client utilizzato.
Catena Received
Le righe Received possono documentare il percorso del messaggio tra server. Devono essere interpretate considerando ordine, fusi orari, host, IP e autenticazioni. Non ogni riga ha lo stesso livello di affidabilità.
Message-ID
Può offrire indicazioni sul sistema che lo ha generato, sul dominio e sulla relazione tra messaggi, ma non identifica da solo la persona che ha effettuato l’invio.
DKIM, SPF e DMARC
Una firma DKIM valida può documentare che alcune parti del messaggio risultano firmate dal dominio indicato. Non identifica automaticamente l’utente fisico che controllava l’account.
Struttura MIME
La struttura MIME può contenere testo semplice, HTML, allegati, immagini incorporate, firme, parti alternative, boundary e codifiche. Il file visualizzato dal client può essere diverso dalla rappresentazione tecnica originaria.
Come si analizza una PEC?
Messaggio PEC originario
Il pacchetto può contenere messaggio, busta, ricevute, allegati, certificati, firme, XML e dati del gestore.
Ricevuta di accettazione
Può documentare che il gestore del mittente ha accettato il messaggio, con data, identificativo, destinatari e firma del gestore.
Ricevuta di consegna
Può documentare la consegna nella casella PEC. Occorre distinguere ricevuta completa, breve, sintetica e mancata consegna.
Busta di trasporto
È utile verificare la corrispondenza tra file inviato, file ricevuto e allegato prodotto mediante nome, dimensione, firma e hash.
Consegna non significa lettura: la ricevuta PEC documenta normalmente la consegna nella casella, non la lettura personale del contenuto.
Email spoofing e mittente apparente
Lo spoofing consiste nella presentazione di un mittente apparente differente dalla reale origine tecnica del messaggio. La verifica può considerare header, Return-Path, DKIM, SPF, DMARC, Received, dominio, server, IP, account e log.
Non sempre è possibile identificare l’autore. Può essere possibile concludere soltanto che il messaggio non risulta autenticato dal dominio apparente o che il percorso non è coerente con la rappresentazione visualizzata.
Analisi di allegati, PDF e documenti digitali
Allegati
Gli allegati possono essere verificati per nome, estensione, MIME type, dimensione, hash, metadati, firma, contenuto e differenze tra copie. Un file può essere rinominato, convertito, modificato, ricompresso o sostituito.
Metadati PDF
Titolo, autore, creator, producer, date, XMP e identificativi possono essere utili, ma possono essere modificati o riscritti durante esportazioni e conversioni.
Revisioni incrementali
Un PDF può contenere aggiornamenti successivi senza essere riscritto completamente. Possono essere individuati nuovi oggetti, moduli compilati, annotazioni, firme e modifiche successive.
PDF nativi, scansioni e OCR
Un PDF può derivare da software di scrittura, scansione, fotografia, OCR, conversione o stampa virtuale. La provenienza incide sulle informazioni tecniche disponibili.
Confronto tra versioni
Due PDF visivamente identici possono essere diversi a livello binario. Il confronto può riguardare testo, pagine, immagini, metadati, firme, hash, struttura, oggetti e allegati.
Firme digitali e marche temporali
Firme PAdES
Possono essere verificate copertura, certificato, algoritmo, integrità, timestamp ed eventuali modifiche successive al PDF.
Firme CAdES e P7M
Possono contenere documento, firma, certificato, algoritmo, attributi, timestamp e catena di certificazione.
Marche temporali
Possono associare a un’impronta un riferimento temporale firmato, senza dimostrare automaticamente la data di creazione originaria del documento.
Limiti
Firma e timestamp non dimostrano automaticamente verità del contenuto, identità dell’utilizzatore materiale o assenza di modifiche precedenti.
Come si svolge il servizio?
Valutazione preliminare
Si identificano messaggio, documento, formato, fonte, account, periodo, quesito, firme e versioni.
Verifica dell’autorizzazione
Si verifica il titolo che consente l’analisi di file, account, mailbox e documenti.
Presa in carico
Nome, formato, dimensione, hash, modalità di ricezione, supporto e soggetto consegnante vengono registrati.
Conservazione dell’originale
Si preserva la fonte, si calcola l’hash e si crea una copia di lavoro verificata.
Analisi tecnica
Si esaminano header, MIME, metadati, firme, certificati, timestamp, revisioni, allegati e struttura.
Correlazione
Il documento viene correlato con account, server, allegati, firma, timestamp, log e contesto.
Verifica indipendente
Quando necessario si utilizzano strumenti differenti, controlli manuali e verifica crittografica.
Relazione tecnica
Materiale, hash, strumenti, procedura, risultati, limiti, conclusioni e allegati vengono documentati.
Quali materiali preparare?
Materiale utile
- File EML o MSG.
- Mailbox o archivio PST/MBOX.
- PEC originaria, ricevute e busta.
- Allegati nella forma ricevuta.
- PDF originario e file P7M.
- Firma e marca temporale.
- Versioni differenti del documento.
- Log, quesito, procedimento e scadenze.
Cosa non fare
- Non limitarti alla stampa.
- Non convertire l’email in PDF come unica fonte.
- Non inoltrare ripetutamente il messaggio.
- Non aprire e salvare nuovamente il documento.
- Non rimuovere firme o certificati.
- Non cancellare mailbox e ricevute PEC.
- Non caricare documenti riservati su servizi non verificati.
Email, PEC e supporto CTP
Il servizio può essere svolto nell’ambito di CTU, perizia, consulenza di parte, contestazione di email, verifica di documenti avversari, osservazioni tecniche e comparazione tra versioni.
Il CTP può verificare fonte utilizzata, completezza, header, allegati, firme, hash, metodo, strumenti e coerenza delle conclusioni.
Domande frequenti
Non sempre. La stampa può non contenere header, struttura MIME, server, identificativi, firme tecniche e allegati originari.
No. Deve essere verificato insieme a Return-Path, Received, DKIM, SPF, dominio, server e log disponibili.
La ricevuta documenta normalmente la consegna nella casella PEC, non necessariamente la lettura personale del messaggio.
No. Può documentare integrità e certificato utilizzato, ma non la verità delle dichiarazioni contenute nel documento.
Possono essere utili, ma possono essere modificati, rimossi, riscritti o prodotti durante una conversione.
In alcuni casi è possibile individuare revisioni incrementali, aggiornamenti, oggetti aggiunti, firme o differenze strutturali.
Sì. Possono avere hash, struttura interna, metadati, firme, oggetti incorporati o revisioni differenti.
La valutazione dipende dal momento della firma, dalla catena di certificazione, dalla revoca, dalla marca temporale e dal contesto tecnico.
Sì. È preferibile analizzare l’allegato originario insieme al messaggio che lo conteneva e documentarne nome, MIME type, hash e metadati.
No. Documenta risultati e limiti tecnici. La valutazione processuale compete al difensore e all’autorità giudiziaria.
Approfondimenti e risorse tecniche
Hai bisogno di verificare un’email, una PEC o un documento digitale?
Lo Studio Quaranta può valutare formato disponibile, provenienza, header, ricevute, allegati, firme, marche temporali, metadati, versioni, possibili alterazioni e limiti.
Non vengono garantite identificazione certa del mittente, autenticità assoluta, ricostruzione completa o esito del procedimento.
Contatto riservato
Descrivi il messaggio o il documento da verificare
Indica se disponi di EML, MSG, PEC, ricevute, PDF, P7M, firme, allegati o versioni differenti. Non inviare materiale riservato prima di aver concordato un canale idoneo.
Telefono: +39 393 020 9776
Email: info@periziainformatica.legal
Sede: Via Gregorio Ricci Curbastro, 43, 00149 Roma RM