Acquisizione forense di smartphone Android

1. Avvertenza preliminare

Le procedure descritte in questo capitolo devono essere eseguite solo su smartphone Android acquisiti o consegnati lecitamente, nell’ambito di un incarico professionale, di una consulenza tecnica, di una perizia informatica, di un incarico difensivo, di un’attività aziendale autorizzata o di una richiesta del proprietario o dell’avente diritto.

L’acquisizione forense di smartphone Android richiede sempre autorizzazione, documentazione tecnica e conservazione della prova. Prima di qualsiasi operazione, il tecnico deve richiamarsi al triage iniziale della prova digitale e alla catena di custodia digitale.

Non modificare il telefono prima di aver documentato il suo stato.

2. Che cos’è l’acquisizione forense di uno smartphone Android

L’acquisizione forense di uno smartphone Android è l’attività con cui il perito informatico raccoglie, conserva e documenta i dati disponibili sul dispositivo, riducendo il rischio di alterazioni e producendo output tecnici verificabili.

Uno smartphone Android può contenere prove digitali estremamente eterogenee: chat WhatsApp, Telegram e Signal, SMS, registro chiamate, contatti, foto, video, note vocali, documenti, screenshot, email, PEC, file scaricati, dati cloud, cronologia browser, geolocalizzazioni e tracce di app usate per modificare audio, video o immagini.

Il NIST SP 800-101 Rev. 1 descrive la mobile device forensics come recupero di prove digitali da dispositivi mobili in condizioni forensically sound, con fasi di preservazione, acquisizione, esame, analisi e reporting. Nel contesto romano, questa attività è spesso richiesta da privati, avvocati, aziende e professionisti che devono conservare chat, vocali, foto, video o file utili in giudizio o in fase precontenziosa.

3. Perché Android è delicato

Android è un ecosistema frammentato. Ogni dispositivo può avere marca, modello, versione del sistema, patch di sicurezza, interfaccia del produttore, cifratura, app installate, account configurati e modalità USB differenti.

Android 7.0 e versioni successive supportano la file-based encryption, mentre i dispositivi lanciati con Android 10 o superiore devono usare la file-based encryption. Questo incide fortemente sulla possibilità di accedere a dati, recuperare cancellati o eseguire acquisizioni profonde.

4. Collegamento con gli altri capitoli del manuale

L’acquisizione Android non è un blocco isolato. È il punto in cui molti capitoli del manuale si incrociano.

• Prima di toccare il telefono si applica il triage iniziale della prova digitale.
• Ogni ricezione deve essere documentata con catena di custodia, hash e verbale tecnico.
• Una microSD va trattata come supporto separato secondo la copia forense di hard disk, SSD, pendrive e NAS.
• Le chat rimandano a Perizia WhatsApp e Telegram, Signal e app di messaggistica forensics.
• Foto, video e audio acquisiti vanno poi analizzati con i criteri dei capitoli su metadati e provenienza dei file, autenticità audio, autenticità video e immagini manipolate o generate con AI.
• Per backup e dati remoti si rimanda alla cloud forensics
• Per organizzare gli eventi si userà la timeline forense.

5. Domande tipiche del cliente

Il cliente spesso non parla in termini tecnici. Il perito deve tradurre richieste generiche in quesiti verificabili.

La risposta non deve essere promessa commerciale. Deve essere una valutazione tecnica prudente.

6. Tipi di dati rilevanti su Android

Uno smartphone Android può raccogliere dati personali, professionali e probatori. La selezione dipende dal quesito.

Gli audio e video acquisiti da Android possono diventare oggetto di capitoli specialistici come voice cloning e audio generati con intelligenza artificiale, analisi video deepfake e face swapping e metadati, EXIF, XMP, C2PA e provenienza dei file.

7. Prima fase: triage dello smartphone Android

Il triage serve a decidere cosa fare prima di alterare involontariamente il dispositivo. La prima osservazione deve essere fotografica e descrittiva.

La domanda decisiva è: il telefono è acceso e sbloccato? Da questa risposta dipendono preservazione, isolamento, metodo di acquisizione e limiti.

8. Stati operativi del dispositivo

Lo stato operativo determina il comportamento del tecnico.

9. Prevenire alterazioni e cancellazioni remote

Lo smartphone può cambiare anche senza intervento diretto: riceve messaggi, backup, notifiche, cancellazioni remote, sincronizzazioni cloud e aggiornamenti.

Le opzioni possibili sono lasciare lo stato invariato, attivare modalità aereo se il telefono è sbloccato e l’operazione è autorizzata, usare una busta Faraday, mantenere alimentazione e acquisire rapidamente i dati più fragili. Ogni scelta deve essere motivata e verbalizzata.

10. Scheda reperto smartphone Android

Ogni smartphone deve essere identificato come reperto. La scheda tecnica deve essere compilata prima dell’acquisizione.

SCHEDA REPERTO SMARTPHONE ANDROID
Codice caso:
Codice reperto:
Data e ora ricezione:
Consegnante:
Tecnico ricevente:
Marca e modello:
IMEI / seriale, se disponibili:
Versione Android:
Patch di sicurezza:
Build number:
Stato dispositivo: acceso/spento
Stato schermo: bloccato/sbloccato
Batteria:
SIM / eSIM / microSD:
Rete mobile, Wi-Fi, Bluetooth:
Debug USB:
PIN/password forniti: sì/no
Finalità analisi:
Note:

IMEI, account, numeri di telefono e notifiche sono dati personali e devono essere trattati con riservatezza nel fascicolo tecnico.

11. Catena di custodia dello smartphone

La catena di custodia dello smartphone deve documentare ricezione, stato iniziale, fotografie, codice reperto, SIM, microSD, eventuale sblocco autorizzato, collegamento USB, strumenti usati, output prodotti, hash, report e restituzione o conservazione.

REGISTRO CATENA DI CUSTODIA SMARTPHONE
Data/Ora:
Operatore:
Reperto:
Azione:
Stato dispositivo:
Strumento:
Output:
Hash:
Note:

Esempio: 10/07/2026 ore 09:15, ricezione smartphone Android Samsung Galaxy S22, acceso e bloccato, batteria 68%, cliente dichiara presenza di chat WhatsApp rilevante.

12. Cartella di caso per smartphone Android

La cartella di lavoro deve separare output, foto, report, hash e note.

MQ-2026-0046_Acquisizione_Android_Roma/
├── 00_incarico_e_verbali/
├── 01_foto_reperto/
├── 02_scheda_dispositivo/
├── 03_log_catena_custodia/
├── 04_output_adb/
├── 05_output_tool_forensi/
│   ├── Cellebrite/
│   ├── Magnet_AXIOM/
│   ├── Oxygen/
│   └── MSAB_XRY/
├── 06_copia_file_utente/
├── 07_media_foto_video_audio/
├── 08_chat_e_messaggistica/
├── 09_metadati/
├── 10_hash/
├── 11_aleapp_output/
├── 12_report/
├── 13_screenshot_documentativi/
├── 14_note_analisi/
└── 15_relazione/

13. Tipi di acquisizione Android

Non esiste una sola acquisizione Android. Il metodo dipende dal dispositivo e dal quesito.

14. Scelta del metodo di acquisizione

La scelta del metodo deve essere proporzionata al caso.

• Telefono acceso e sbloccato: acquisizione manuale, MTP, ADB autorizzato o tool professionale.
• Telefono acceso ma bloccato: preservazione, richiesta credenziali, valutazione tool professionali leciti.
• Telefono spento: valutare accensione solo se necessario, documentando il rischio cifratura.
• MicroSD presente: acquisire come reperto separato con procedura di copia forense
• Dati cloud: valutare cloud forensics con autorizzazione specifica.

15. Preparazione della workstation

Prima di collegare il telefono, la workstation deve essere pronta e controllata.

16. Acquisizione manuale documentata

L’acquisizione manuale documentata è utile quando il contenuto è visibile ma non è possibile una raccolta più profonda. Deve essere usata con cautela e si collega al capitolo su screenshot e schermate.

1. Annotare codice caso e reperto.
2. Fotografare telefono fronte, retro e schermata iniziale.
3. Aprire solo l’app pertinente.
4. Fotografare nome chat, contesto, data e ora.
5. Scorrere lentamente senza salti.
6. Documentare vocali, immagini, video e allegati.
7. Salvare foto/screenshot nel fascicolo tecnico.
8. Calcolare hash degli output fotografici.

17. Acquisizione tramite MTP

La modalità MTP consente spesso di copiare file utente, foto, video, download e cartelle accessibili. Non consente normalmente l’accesso ai database interni delle app.

Cartelle tipiche da valutare:
DCIM/
Pictures/
Movies/
Download/
Documents/
Recordings/
Android/media/
Android/media/com.whatsapp/WhatsApp/Media/
Telegram/

Formula di verbale: È stata eseguita copia logica dei file utente accessibili tramite protocollo MTP, limitatamente alle cartelle visibili dal computer. L’acquisizione non comprende le aree protette delle applicazioni.

18. Hash dei file acquisiti

Ogni output copiato dal telefono deve essere cristallizzato con hash, come spiegato nel capitolo su hash e verbale tecnico.

Linux/macOS

find 06_copia_file_utente -type f -print0 | xargs -0 sha256sum > 10_hash/manifest_file_utente_sha256.txt

Windows PowerShell

Get-ChildItem "D:\Caso\06_copia_file_utente" -Recurse -File |
Get-FileHash -Algorithm SHA256 |
Export-Csv "D:\Caso\10_hash\manifest_file_utente_sha256.csv" -NoTypeInformation

Il manifest hash permette di verificare nel tempo che i file acquisiti non siano stati modificati dopo la raccolta.

19. ADB: quando usarlo

ADB è lo strumento ufficiale Android a riga di comando che permette di comunicare con un dispositivo autorizzato. È potente e quindi deve essere usato con estrema prudenza.

È opportuno usarlo solo se il dispositivo è sbloccato, il debugging USB è già attivo o viene attivato con consenso documentato, il proprietario autorizza e ogni comando viene annotato.

20. ADB: preparazione

Creare una cartella specifica per gli output ADB.

04_output_adb/
├── 00_comandi_eseguiti.txt
├── 01_adb_devices.txt
├── 02_getprop.txt
├── 03_device_date.txt
├── 04_battery.txt
├── 05_storage.txt
├── 06_packages.txt
├── bugreport_android.zip
└── file_pull/

Ogni comando deve essere riportato nel registro con data, ora, finalità e file di output.

21. ADB: verifica collegamento

Comando

adb devices -l

Salvataggio output

adb devices -l > 04_output_adb/01_adb_devices.txt

Se compare unauthorized, il dispositivo richiede autorizzazione RSA sullo schermo. Non procedere senza consenso e documentazione.

Formula: Il dispositivo è stato collegato tramite ADB previa autorizzazione dell’utente sullo schermo del dispositivo. L’output del comando adb devices -l è stato conservato nella cartella tecnica.

22. ADB: raccogliere informazioni tecniche

Comandi descrittivi utili:

adb shell getprop > 04_output_adb/02_getprop.txt
adb shell date > 04_output_adb/03_device_date.txt
adb shell dumpsys battery > 04_output_adb/04_battery.txt
adb shell df -h > 04_output_adb/05_storage.txt
adb shell pm list packages -f > 04_output_adb/06_packages.txt

Questi output possono documentare modello, versione Android, build, stato batteria, spazio e app installate. Non rappresentano un’acquisizione completa.

23. ADB: bugreport

adb bugreport può generare un archivio con informazioni diagnostiche. Va trattato come reperto digitale perché può contenere dati personali o sensibili.

adb bugreport 04_output_adb/bugreport_android.zip
sha256sum 04_output_adb/bugreport_android.zip > 10_hash/bugreport_android_sha256.txt

Formula: È stato acquisito bugreport Android tramite ADB, previa autorizzazione e documentazione dell’operazione. Il file prodotto è stato sottoposto a hash SHA-256.

24. ADB: copia di cartelle utente accessibili

ADB può copiare cartelle della memoria condivisa, quando accessibili e autorizzate.

adb pull /sdcard/DCIM 06_copia_file_utente/DCIM
adb pull /sdcard/Download 06_copia_file_utente/Download
adb pull /sdcard/Pictures 06_copia_file_utente/Pictures
adb pull /sdcard/Movies 06_copia_file_utente/Movies
adb pull /sdcard/Documents 06_copia_file_utente/Documents

Per media WhatsApp, a seconda della versione:

adb pull /sdcard/Android/media/com.whatsapp/WhatsApp/Media 08_chat_e_messaggistica/WhatsApp_Media

Questi comandi possono copiare media, ma non dimostrano l’acquisizione completa della conversazione. Per questo serve il capitolo su Perizia WhatsApp: messaggi, vocali e allegati.

25. ADB: cosa non fare

• non cancellare dati;
• non installare app non necessarie;
• non modificare impostazioni non pertinenti;
• non tentare root;
• non cambiare blocco schermo;
• non estrarre credenziali;
• non eseguire script invasivi;
• non alterare database app.

Formula: L’utilizzo di ADB è stato limitato a comandi descrittivi e ad acquisizione di file accessibili con autorizzazione, senza operazioni di modifica, rooting o bypass.

26. Acquisizione con Cellebrite UFED

Cellebrite UFED è una soluzione professionale di mobile forensics. Va usata solo in contesti autorizzati e documentati.

1. Creare caso nello strumento.
2. Inserire numero caso e codice reperto.
3. Selezionare marca e modello Android.
4. Collegare dispositivo.
5. Seguire solo procedure compatibili e autorizzate.
6. Selezionare tipo acquisizione disponibile.
7. Salvare report, log e output.
8. Calcolare hash degli output prodotti.

05_output_tool_forensi/Cellebrite/
├── MQ-2026-0046-R01.ufdr
├── report.pdf
├── extraction_log.txt
└── hash_output.txt

27. Acquisizione con Magnet AXIOM

Magnet AXIOM permette di processare evidenze mobile, computer e cloud in un unico caso. È utile quando l’analisi deve correlare telefono Android, computer, backup e cloud.

1. Creare nuovo caso.
2. Aggiungere mobile evidence.
3. Selezionare Android.
4. Collegare il dispositivo.
5. Scegliere acquisizione disponibile.
6. Processare evidenza.
7. Taggare elementi rilevanti.
8. Esportare report.

Formula: Il dispositivo Android è stato acquisito e processato mediante Magnet AXIOM; l’analisi ha riguardato gli artefatti disponibili in relazione ai quesiti tecnici.

28. Acquisizione con Oxygen Forensic Detective

Oxygen Forensic Detective può acquisire e analizzare dati da dispositivi mobili, computer, IoT e cloud. In ambito Android può prevedere modalità logiche e, in alcuni scenari, componenti agent.

Formula: L’acquisizione è stata eseguita mediante Oxygen Forensic Detective con modalità compatibile con il dispositivo Android. Eventuali componenti agent o permessi richiesti sono stati documentati.

29. Acquisizione con MSAB XRY

MSAB XRY è una piattaforma di mobile forensics per estrazione e recupero dati da telefoni e dispositivi mobili.

1. Creare caso XRY.
2. Inserire identificativi del reperto.
3. Selezionare modello Android.
4. Collegare dispositivo.
5. Scegliere acquisizione compatibile.
6. Eseguire estrazione.
7. Verificare report.
8. Conservare log, output e hash.

30. ALEAPP: analisi artefatti Android

ALEAPP significa Android Logs Events And Protobuf Parser. È uno strumento open source per il parsing di artefatti Android.

Può essere usato su estrazioni file system o raccolte di artefatti Android ottenute lecitamente. Il report ALEAPP non è la prova finale, ma un aiuto per individuare elementi da verificare.

11_aleapp_output/
├── report.html
├── report.csv
└── logs/

Formula: L’estrazione Android è stata sottoposta a parsing mediante ALEAPP; i risultati sono stati interpretati in correlazione con altri elementi tecnici.

31. Android e memoria esterna microSD

Se è presente una microSD, deve essere identificata come reperto separato.

1. Documentare presenza e posizione della microSD.
2. Fotografare scheda e slot.
3. Assegnare codice reperto separato.
4. Acquisire con procedura di copia forense di supporti digitali.
5. Calcolare hash dell’immagine.
6. Analizzare su copia.

32. SIM card

La SIM può avere valore limitato rispetto allo smartphone, ma va documentata. Annotare SIM presente, operatore, ICCID se leggibile, numero associato se dichiarato, eventuale seconda SIM o eSIM.

33. Chat WhatsApp su Android

WhatsApp è uno dei motivi più frequenti di acquisizione Android.

I dati rilevanti possono includere messaggi, vocali, immagini, video, documenti, sticker, contatti, gruppi, allegati, media, backup ed esportazioni. La cartella media può essere accessibile, ma il database conversazioni può non esserlo con una semplice copia.

La trattazione completa è nel capitolo Perizia WhatsApp: messaggi, vocali e allegati.

34. Telegram, Signal e altre app

Telegram, Signal e altre app hanno architetture diverse. Alcune usano cloud, altre cifratura end-to-end, messaggi effimeri o database locali protetti. Non si deve presumere che tutte le chat siano disponibili localmente.

Per la trattazione completa si rimanda a Telegram, Signal e app di messaggistica forensics.

35. Foto, video e metadati Android

Foto e video possono contenere metadati tecnici utili: modello dispositivo, data, ora, GPS, risoluzione, codec, bitrate, software e percorso.

Cartelle tipiche:

DCIM/Camera/
Pictures/
Movies/
Download/
Android/media/com.whatsapp/WhatsApp/Media/
Telegram/
Screenshots/

La verifica tecnica dei media rimanda a metadati e provenienza dei file, autenticità video e immagini manipolate o generate con AI.

36. Screenshot Android

Gli screenshot sono frequenti ma fragili: possono essere ritagliati, modificati, decontestualizzati o generati artificialmente. Devono essere acquisiti come file, sottoposti a hash e confrontati con la fonte originale quando possibile.

Approfondimento: verifica forense di screenshot e schermate.

37. Recupero dati cancellati su Android

Il recupero di dati cancellati su Android moderno è condizionato da cifratura, file-based encryption, TRIM, app sandbox, backup, cache e uso successivo del dispositivo.

Ciò che può essere ancora disponibile include media non cancellati, cache, miniature, backup, cloud, allegati, notifiche, copie su microSD o computer. Per la trattazione completa: recupero dati cancellati per fini probatori.

38. Google backup e dati cloud

Android è spesso collegato a Google e a servizi cloud. Possono essere coinvolti Google Foto, Drive, Gmail, Contatti, Calendario, backup dispositivo, WhatsApp backup su Google Drive e documenti.

L’accesso cloud richiede autorizzazione specifica e rientra nel capitolo Cloud forensics: Google, Microsoft, Dropbox e backup.

39. Profili lavoro, MDM e spazio aziendale

Molti Android aziendali hanno profilo lavoro, MDM, contenitori sicuri o Samsung Knox. Il tecnico deve distinguere dati personali e dati aziendali.

• identificare profilo lavoro;
• documentare icone e separazione;
• chiedere autorizzazione aziendale;
• non accedere senza permesso;
• coordinarsi con IT e legale.

Questa materia si collega a dipendente infedele, sottrazione dati e uso di USB e analisi di log aziendali, firewall, VPN e cloud.

40. App di editing, AI e manipolazione contenuti su Android

Uno smartphone può contenere app capaci di tagliare audio, montare video, generare immagini, cambiare voce, creare contenuti sintetici, comprimere file o modificare screenshot.

La presenza di tali app non dimostra da sola la manipolazione di uno specifico file. Deve essere correlata con timeline, file esportati, metadati, cache e dati applicativi.

Capitoli collegati: voice cloning, analisi deepfake, immagini AI e timeline forense.

41. Timeline Android

La timeline collega chat, file, foto, video, app, browser, download, notifiche e backup.

1. esportare artefatti da tool forense;
2. salvare CSV e report;
3. normalizzare il fuso orario;
4. filtrare il periodo di interesse;
5. correlare messaggi, file, chiamate e media;
6. preparare tabella eventi per la relazione.

Approfondimento: Timeline forense e ricostruzione cronologica degli eventi.

42. Report tecnico dell’acquisizione Android

Il report deve indicare dati caso, reperto, tecnico, data, ora, stato dispositivo, modello, versione Android, patch, metodo acquisizione, strumenti usati, limitazioni, output, hash e allegati.

VERBALE TECNICO DI ACQUISIZIONE SMARTPHONE ANDROID
Caso:
Reperto:
Tecnico:
Data e luogo:
Marca e modello:
IMEI / seriale:
Versione Android:
Patch:
Stato iniziale:
Batteria:
Rete:
Blocco schermo:
SIM / microSD:
Metodo acquisizione:
Strumento e versione:
Output:
Hash output:
Limitazioni:
Note:

43. Caso pratico 1 — Android con chat WhatsApp rilevante a Roma

Un avvocato di Roma consegna uno smartphone Android sbloccato. Il cliente dichiara che nella chat WhatsApp sono presenti messaggi e vocali importanti.

1. Aprire scheda caso.
2. Fotografare dispositivo.
3. Annotare stato acceso/sbloccato.
4. Documentare batteria e connettività.
5. Valutare acquisizione manuale preliminare.
6. Eseguire acquisizione con tool forense, se disponibile.
7. Copiare media accessibili.
8. Calcolare hash degli output.
9. Rimandare l’analisi dettagliata al capitolo perizia WhatsApp.

44. Caso pratico 2 — Android con foto e video sospetti

Un privato di Roma consegna un telefono Android contenente foto e video rilevanti.

1. Scheda smartphone.
2. Acquisizione MTP o tool forense.
3. Copia DCIM, Pictures, Movies e media app.
4. Hash dei file.
5. ExifTool per immagini.
6. MediaInfo per video.
7. Verifica provenienza.
8. Collegamento con metadati e AI forensics video.

45. Caso pratico 3 — Android aziendale con sospetto furto dati

Un’azienda di Roma sospetta che un dipendente abbia usato lo smartphone aziendale per inviare documenti, fotografare schermate o esportare file.

1. Verificare titolarità del dispositivo e policy aziendale.
2. Documentare MDM o profilo lavoro.
3. Acquisire con strumento forense.
4. Analizzare app cloud, email, chat, foto, documenti e download.
5. Costruire timeline e collegare con indagini su dipendente infedele e cloud forensics.

46. Caso pratico 4 — Android bloccato

Se il telefono è acceso ma bloccato e il cliente non ricorda il PIN, non si devono fare tentativi casuali.

1. Fotografare stato.
2. Annotare batteria, ora e notifiche.
3. Non forzare blocco.
4. Chiedere credenziali al proprietario tramite canale autorizzato.
5. Valutare backup e cloud forensics autorizzata.
6. Annotare limiti nel verbale.

Formula: Il dispositivo è stato ricevuto acceso ma bloccato. Non sono stati eseguiti tentativi di sblocco non autorizzati.

47. Caso pratico 5 — Android con audio sospetto

Il cliente ha sul telefono un audio che potrebbe essere stato alterato o creato con AI.

1. Identificare app di provenienza.
2. Acquisire file originale o più vicino all’originale.
3. Acquisire contesto chat.
4. Calcolare hash.
5. Analizzare metadati con ExifTool e MediaInfo.
6. Collegare al capitolo autenticità audio e voice cloning.

48. Errori da evitare

• sbloccare il telefono con tentativi casuali;
• attivare debug USB senza documentare;
• aprire app non pertinenti;
• inviare file via WhatsApp o email comprimendoli;
• confondere copia media con perizia chat completa;
• dimenticare hash degli output;
• ignorare cloud e backup;
• non annotare limiti di dispositivo, cifratura o compatibilità;
• caricare prove sensibili su tool online non autorizzati;
• promettere recupero dati garantito.

49. Checklist operativa completa

50. Output minimo dell’acquisizione Android

• verbale di ricezione;
• scheda dispositivo;
• fotografie documentative;
• registro catena di custodia;
• descrizione del metodo di acquisizione;
• log dello strumento;
• report acquisizione;
• output dati;
• hash output;
• note sui limiti;
• elenco dati rilevanti;
• bozza relazione tecnica.

51. Modelli di frasi tecniche

Stato dispositivo

Il dispositivo Android è stato ricevuto nello stato indicato nella scheda reperto, con batteria pari a __, stato schermo __ e connettività __.

Acquisizione logica

È stata eseguita acquisizione logica dei dati disponibili dal dispositivo Android mediante __, producendo output e report conservati nel fascicolo tecnico.

ADB

ADB è stato utilizzato esclusivamente per attività autorizzate e documentate, limitate alla raccolta di informazioni tecniche e file accessibili, senza rooting o bypass.

Limiti

L’acquisizione è condizionata da modello del dispositivo, versione Android, cifratura, stato di blocco, disponibilità di credenziali, app installate e compatibilità dello strumento utilizzato.

52. Figure consigliate per la pagina

• Figura 1 — Scheda reperto smartphone Android.
• Figura 2 — Fotografie documentative di telefono Android.
• Figura 3 — Output adb devices -l.
• Figura 4 — Cartella caso acquisizione Android.
• Figura 5 — Manifest hash SHA-256.
• Figura 6 — Report tool forense mobile.
• Figura 7 — Media WhatsApp acquisiti.
• Figura 8 — Timeline mobile forensics.

53. Riferimenti tecnici esterni

1. NIST SP 800-101 Rev. 1 — Guidelines on Mobile Device Forensics
2. SWGDE — Best Practices for Mobile Device Evidence Collection, Preservation, Handling, and Acquisition
3. Android Developers — Android Debug Bridge
4. Android Open Source Project — File-Based Encryption
5. Android Open Source Project — Encryption overview
6. Google Help — Backup and restore Android device data
7. Cellebrite UFED
8. Magnet AXIOM
9. Oxygen Forensic Detective
10. MSAB XRY
11. ALEAPP — Android Logs Events And Protobuf Parser

54. Collegamenti interni consigliati

Capitoli precedenti: triage, catena di custodia, copia forense, Windows forensics, macOS e Linux forensics.

Capitolo successivo: Acquisizione forense di iPhone e iPad iOS.

Approfondimenti correlati: WhatsApp, Telegram e Signal, recupero dati cancellati, metadati, timeline forense.

55. Box commerciale finale

56. Conclusione del capitolo

L’acquisizione forense di uno smartphone Android non è una semplice copia di foto e chat. È un’attività che richiede metodo, prudenza, documentazione e consapevolezza dei limiti tecnici.

Prima documenta lo stato del telefono. Poi scegli il metodo meno invasivo e più adatto. Poi acquisisci. Poi calcola hash. Poi interpreta i dati solo nei limiti del metodo usato.

Android è un ecosistema complesso: cifratura, app, cloud, backup, profili lavoro, chat e file multimediali rendono ogni caso diverso. Il prossimo capitolo affronta l’altro grande ecosistema mobile: Capitolo 07 · Acquisizione forense di iPhone e iPad iOS.