Recupero dati cancellati per fini probatori

1. Avvertenza preliminare

Le procedure di recupero dati descritte in questo capitolo devono essere applicate soltanto su supporti, immagini forensi, backup o account ricevuti lecitamente. Il recupero dati per fini probatori non è un tentativo casuale con programmi diversi, ma una procedura documentata che parte da autorizzazione, conservazione della fonte, copia forense, hash, registro tecnico e relazione prudente.

Non usare il dispositivo.
Non installare software di recupero sul supporto da recuperare.
Non salvare file recuperati sullo stesso disco.
Non lavorare sull’originale se è possibile lavorare su immagine.
Non promettere recupero garantito.

La procedura deve rimanere coerente con il triage iniziale, con la catena di custodia e con la copia forense.

2. Che cosa significa recuperare dati cancellati?

Recuperare un dato cancellato significa tentare di individuare, ricostruire o ripristinare un file, un messaggio, una cartella, una foto, un video, un audio o un allegato non più normalmente visibile all’utente. In ambito forense, però, non basta riottenere il file: bisogna poter spiegare da dove proviene, come è stato recuperato, con quale strumento, in quale stato, con quali hash e con quali limiti tecnici.

• documenti cancellati da computer Windows o macOS;
• foto e video eliminati da schede SD, smartphone o cloud;
• audio, vocali e allegati provenienti da chat;
• email, PEC e PDF rimossi da client o caselle;
• cartelle cancellate da NAS, pendrive o hard disk;
• frammenti individuati tramite file carving.

Dopo il recupero possono servire analisi su metadati, autenticità audio, autenticità video o immagini generate con AI.

3. Recupero dati forense e recupero dati ordinario

Il recupero ordinario punta a riavere il file. Il recupero forense punta anche a documentare la prova. Questo significa che ogni passaggio deve essere ripetibile e spiegabile a un avvocato, a un consulente tecnico, a una parte o a un giudice.

4. Che cosa succede quando un file viene cancellato?

In molti file system la cancellazione non distrugge immediatamente tutto il contenuto. Spesso vengono rimossi i riferimenti al file e lo spazio viene marcato come disponibile. Se quello spazio non è stato sovrascritto, il recupero può essere possibile. Se invece è stato riutilizzato o azzerato, il recupero può diventare parziale o impossibile.

• cancellazione logica: il file non è visibile ma può lasciare dati residui;
• cancellazione dal Cestino: il file può trovarsi in una struttura gestita dal sistema;
• cancellazione permanente: i riferimenti possono essere rimossi;
• cancellazione da app: messaggi e allegati dipendono da database, cloud e backup;
• cancellazione da cloud: possono esistere cestini, versioni precedenti o policy di retention.

5. Quando un dato cancellato è recuperabile?

Un dato cancellato può essere recuperabile quando non è stato sovrascritto, quando esistono metadati residui, quando si trova nel Cestino, in una snapshot, in una copia shadow, in un backup o in un cloud autorizzato. Può invece essere non recuperabile quando lo spazio è stato sovrascritto, quando il supporto è cifrato, quando TRIM ha agito su SSD, quando il database è stato compattato o quando la cancellazione è avvenuta in un’app con contenuti effimeri.

6. Prima regola: fermare l’uso del dispositivo

Quando un cliente chiede il recupero di dati cancellati, la prima indicazione operativa è fermare l’uso del dispositivo. Ogni nuova scrittura può occupare lo spazio in cui il dato cancellato era ancora recuperabile.

Dire al cliente:
“Non usare il computer o il telefono.
Non installare programmi.
Non fare nuove foto o video.
Non salvare documenti.
Non fare tentativi di recupero sullo stesso supporto.
Porta il dispositivo o il supporto per una valutazione tecnica.”

7. Recupero dati e catena di custodia

Prima di usare R-Studio, UFS Explorer, PhotoRec, TestDisk, Autopsy o X-Ways bisogna applicare la catena di custodia. Il supporto deve essere ricevuto, identificato, fotografato, codificato come reperto, acquisito o copiato, e solo dopo analizzato.

Verbale iniziale:
Il supporto viene ricevuto per attività di recupero dati a finalità tecnica/probatoria.
In questa fase non viene garantito il recupero dei dati cancellati.
La possibilità di recupero dipende da supporto, file system, sovrascritture, cifratura, backup e stato tecnico.

8. Identificare il supporto

Il recupero cambia radicalmente a seconda della fonte. Un hard disk, un SSD, una pendrive, uno smartphone, un iPhone, un NAS, un account cloud o una chat non si recuperano con lo stesso metodo.

9. Creare immagine o copia di lavoro

Il recupero deve essere eseguito su immagine o copia, non sull’originale. Se il supporto è fisico, si crea un’immagine forense. Se il dato è cloud o app, si esportano i dati autorizzati e si calcolano hash degli output. Se il supporto è danneggiato, si valuta ddrescue o laboratorio specializzato.

1. fotografare e identificare il supporto;
2. creare immagine forense o esportazione controllata;
3. calcolare hash della fonte o dell’immagine;
4. conservare log di acquisizione;
5. lavorare su immagine o copia;
6. recuperare su destinazione separata;
7. calcolare hash dei file recuperati.

10. Cartella di caso per recupero dati

MQ-2026-0050_Recupero_Dati_Roma/
├── 00_incarico_e_verbali/
├── 01_foto_reperto/
├── 02_scheda_supporto/
├── 03_immagine_forense/
├── 04_hash_e_verifiche/
├── 05_log_strumenti/
│   ├── R-Studio/
│   ├── UFS_Explorer/
│   ├── PhotoRec/
│   ├── TestDisk/
│   ├── Autopsy/
│   ├── X-Ways/
│   └── ddrescue/
├── 06_recuperati_grezzi/
├── 07_recuperati_selezionati/
├── 08_carving/
├── 09_cestino_shadow_backup/
├── 10_metadati/
├── 11_timeline/
├── 12_screenshot_documentativi/
├── 13_note_analisi/
├── 14_relazione/
└── 15_allegati/

La cartella dei recuperati grezzi conserva tutto ciò che lo strumento produce; la cartella dei recuperati selezionati contiene solo i file pertinenti al quesito tecnico. Non cancellare l’output grezzo: può servire per verifiche successive.

11. Tipi di recupero

• recupero da Cestino o Trash;
• recupero da metadati file system;
• recupero da spazio non allocato;
• file carving tramite firme note;
• recupero da backup locali;
• recupero da cloud con account autorizzato;
• recupero da cache e miniature;
• recupero da allegati in email, PEC, WhatsApp, Telegram o Signal.

Il recupero da email e header, PEC, WhatsApp e Telegram/Signal richiede sempre il collegamento tra file recuperato e contesto.

12. Strumenti principali

13. Non confondere recupero e autenticità

Recuperare una foto, un video, un audio o un PDF non significa provare automaticamente che il contenuto sia autentico. Dopo il recupero può essere necessario verificare metadati, struttura, provenienza, eventuali modifiche, compressioni, ricodifiche o generazione artificiale.

Per questo il recupero deve essere collegato ai capitoli su metadati, autenticità audio, autenticità video, deepfake e immagini generate con AI.

14. Recupero da Windows

In ambiente Windows si controllano Cestino, cartelle utente, Documenti, Download, Desktop, MFT, USN Journal, LNK, Jump Lists, shadow copies, File History, OneDrive e artefatti utente. Il capitolo sull’analisi di Windows spiega in dettaglio MFT, USN Journal, Cestino, LNK e Jump Lists.

Fonti Windows da controllare:
C:\$Recycle.Bin
C:\Users\<utente>\Desktop
C:\Users\<utente>\Documents
C:\Users\<utente>\Downloads
Volume Shadow Copies
OneDrive
MFT e USN Journal
LNK e Jump Lists

Approfondire in analisi forense di computer Windows.

15. Recupero da macOS

Su macOS bisogna valutare APFS, snapshot, Time Machine, Cestino utente, iCloud Drive, Foto, Mail, FSEvents, Spotlight, file temporanei e FileVault. Se il volume è cifrato e non sono disponibili credenziali lecite, il recupero può essere limitato o impossibile.

Percorsi e fonti utili:
/Users/<utente>/.Trash/
APFS snapshots
Time Machine
iCloud Drive
FSEvents
Spotlight
Mail e allegati
Backup iOS presenti su Mac

Approfondire in analisi forense di macOS e Linux.

16. Recupero da Linux

Su Linux il metodo dipende da file system, distribuzione, LVM, LUKS, home directory, log, cron, backup, snapshot e servizi attivi. Il recupero su EXT4, XFS o Btrfs richiede strumenti e cautele diverse.

Fonti Linux:
/home/<utente>/.local/share/Trash/
/var/log/
/home/<utente>/
/tmp/
backup e snapshot
LVM e volumi logici
LUKS, se cifrato

Approfondire in analisi forense di macOS e Linux.

17. Recupero da hard disk HDD

Gli hard disk meccanici possono essere favorevoli al recupero se il dato non è stato sovrascritto e il disco non presenta danni fisici gravi.

1. ricevere e fotografare il disco;
2. creare immagine forense con write blocker, se disponibile;
3. calcolare hash;
4. eseguire scansione file system;
5. controllare Cestino e cartelle utente;
6. eseguire carving se necessario;
7. esportare solo su destinazione separata;
8. calcolare hash dei file recuperati.

18. Recupero da SSD

Gli SSD sono più complessi a causa di TRIM, garbage collection, wear leveling, controller interno e cifratura. Il recupero da SSD non va mai promesso. Può essere impossibile anche se il file è stato cancellato da poco.

Formula prudente:
Il supporto è un SSD.
Le funzioni TRIM, garbage collection, wear leveling e cifratura possono ridurre o escludere la possibilità di recuperare dati cancellati.

Questa valutazione si collega alla copia forense di SSD e supporti.

19. Recupero da pendrive e schede SD

Pendrive e schede SD sono frequenti nei casi di foto, video, dashcam, documenti aziendali, registratori audio e dispositivi mobili. Devono essere acquisite come immagini prima di qualunque recupero.

1. fotografare supporto;
2. creare immagine;
3. calcolare hash;
4. analizzare file system;
5. usare R-Studio o UFS Explorer;
6. usare PhotoRec per carving;
7. analizzare metadati dei file recuperati;
8. distinguere file completi e parziali.

20. Recupero da NAS e RAID

NAS e RAID richiedono massima prudenza. Non bisogna rimuovere dischi senza numerare gli slot e non bisogna ricostruire il RAID sul NAS originale. Si lavora su immagini dei dischi o su acquisizione logica autorizzata.

Procedura NAS/RAID:
1. documentare modello e stato;
2. numerare dischi e slot;
3. acquisire log e snapshot se disponibili;
4. creare immagini dei dischi, se necessario;
5. ricostruire RAID su copie;
6. usare UFS Explorer o R-Studio;
7. esportare su destinazione separata.

Il tema si collega a analisi log aziendali e cloud forensics.

21. Recupero da smartphone Android

Il recupero da Android moderno è condizionato da cifratura, file-based encryption, TRIM, app sandbox, backup, cloud, cache e uso successivo del dispositivo. Le fonti residue possono essere media non cancellati, cache, miniature, backup, allegati, notifiche, microSD o copie su computer.

Approfondire in acquisizione forense Android, perizia WhatsApp e Telegram/Signal.

22. Recupero da iPhone e iPad

Il recupero da iOS è condizionato da Data Protection, passcode, backup cifrati, iCloud, sandbox app e sincronizzazioni. Spesso le fonti più utili sono backup locali cifrati, backup iCloud autorizzati, iCloud Drive, Foto iCloud, allegati ancora disponibili e altri dispositivi Apple collegati.

Approfondire in acquisizione forense di iPhone e iPad e cloud forensics.

23. Recupero da WhatsApp

Le richieste di recupero WhatsApp sono frequenti: messaggi cancellati, vocali eliminati, foto non più visibili, allegati mancanti o chat rimosse. Il recupero non è garantito e dipende da telefono, backup, database, media residui, cloud e tempo trascorso.

• verificare chat ancora presente;
• verificare media folder;
• verificare backup locale o cloud;
• acquisire telefono se disponibile;
• collegare il file recuperato al contesto della chat;
• analizzare vocali con metodi audio-forensi se necessario.

Approfondire in perizia WhatsApp e autenticità audio.

24. Recupero da Telegram e Signal

Telegram può offrire cloud chat, export Desktop e media locali, mentre le Secret Chat presentano limiti più marcati. Signal dipende dal dispositivo, dai backup Android con passphrase, da Signal Desktop e dai messaggi effimeri. Non bisogna promettere recupero di messaggi cancellati o effimeri.

Approfondire in Telegram, Signal e app di messaggistica.

25. Recupero da email e PEC

Email e PEC cancellate possono trovarsi in client locali, file PST/OST, profili Thunderbird, Mail macOS, caselle IMAP, webmail, backup, cartelle eliminate o allegati salvati altrove.

Approfondire nei capitoli su analisi email e header e PEC, ricevute e allegati.

26. Recupero da cloud

Il recupero cloud deve essere autorizzato e documentato. I servizi possono offrire Cestino, versioni precedenti, attività recenti, log o strumenti di ripristino. Le procedure variano tra OneDrive, Google Drive, Dropbox, iCloud Drive, Microsoft 365, Google Workspace e altri ambienti.

Approfondire in cloud forensics.

27. Recupero con Autopsy

Autopsy consente di importare immagini forensi, cercare file cancellati, usare moduli di carving, analizzare attività recenti, keyword, web artifacts e timeline.

1. creare nuovo caso;
2. aggiungere immagine forense;
3. impostare timezone;
4. abilitare moduli pertinenti;
5. controllare Deleted Files;
6. controllare File Types e carving;
7. esportare file pertinenti;
8. calcolare hash dei recuperati;
9. documentare limiti.

28. Recupero con R-Studio

R-Studio è utile per file system diversi, partizioni perse, recupero selettivo, RAID e immagini disco. Va usato su immagine o copia, mai salvando i recuperati sul supporto sorgente.

1. aprire immagine forense;
2. eseguire scan;
3. esaminare partizioni trovate;
4. cercare file cancellati;
5. usare anteprima;
6. esportare su destinazione separata;
7. salvare log o report;
8. calcolare hash.

29. Recupero con UFS Explorer

UFS Explorer è indicato per file system diversi, NAS, RAID e scenari complessi. È utile quando la struttura del volume è danneggiata, quando ci sono array RAID o quando bisogna ricostruire volumi su copie dei dischi.

1. caricare immagini dei dischi;
2. ricostruire parametri RAID se necessario;
3. eseguire scansione;
4. esaminare file system;
5. esportare file pertinenti;
6. calcolare hash;
7. documentare parametri e limiti.

30. Recupero con PhotoRec

PhotoRec esegue file carving ignorando il file system e cercando direttamente firme di file. È utile con schede SD, pendrive, supporti formattati o file system gravemente danneggiati.

Procedura sintetica:
1. usare immagine o copia;
2. selezionare supporto/immagine;
3. scegliere partizione o whole disk;
4. selezionare tipi file utili;
5. esportare su destinazione separata;
6. calcolare hash;
7. indicare perdita di nome/percorso originale.

31. Recupero con TestDisk

TestDisk è utile per partizioni perse e alcuni casi di undelete. In ambito forense va usato su immagine o copia, evitando di riscrivere partizioni sul supporto originale.

• analizzare partizioni perse;
• verificare struttura;
• tentare undelete se supportato;
• esportare file su destinazione separata;
• documentare ogni scelta.

32. Recupero con X-Ways Forensics

X-Ways può individuare file esistenti e cancellati, eseguire carving, verificare tipi file, esportare elementi rilevanti e generare report. È uno strumento professionale adatto ad analisi manuale avanzata.

1. creare caso;
2. aggiungere immagine come evidence object;
3. verificare hash;
4. creare volume snapshot;
5. cercare file cancellati;
6. applicare file type verification;
7. esportare file pertinenti;
8. creare report.

33. Recupero da supporto danneggiato con ddrescue

Se il supporto presenta errori di lettura, blocchi o disconnessioni, non bisogna insistere con scansioni ripetute. ddrescue può creare un’immagine tentando prima le aree leggibili e usando un mapfile per riprendere il lavoro.

sudo ddrescue -f -n /dev/sdb 03_immagine_forense/disco_rescue.dd 05_log_strumenti/ddrescue/disco_rescue.map

# Eventuale secondo passaggio, solo se appropriato:
sudo ddrescue -d -r3 /dev/sdb 03_immagine_forense/disco_rescue.dd 05_log_strumenti/ddrescue/disco_rescue.map

Il mapfile va conservato perché documenta lo stato del recupero e consente di riprendere una sessione interrotta.

34. File carving: come funziona

Il file carving cerca firme e strutture note, ad esempio header JPEG, struttura PDF, contenitori ZIP/DOCX, box MP4 o firme di file audio/video. È potente, ma spesso perde nome originale, percorso e timestamp.

35. Hash dei file recuperati

Ogni file recuperato e selezionato deve essere sottoposto a hash SHA-256. Questo fissa lo stato del file recuperato nel fascicolo tecnico.

# Linux/macOS
find 07_recuperati_selezionati -type f -print0 | xargs -0 sha256sum > 11_hash/recuperati_selezionati_sha256.txt

# Windows PowerShell
Get-ChildItem "D:\Caso\07_recuperati_selezionati" -Recurse -File |
Get-FileHash -Algorithm SHA256 |
Export-Csv "D:\Caso\11_hash\recuperati_selezionati_sha256.csv" -NoTypeInformation

36. Verifica dei file recuperati

Recuperare un file non basta: bisogna verificare se si apre, se è completo, se è corrotto, se ha metadati, se è duplicato, se è pertinente al caso e se si può collegare a una timeline.

• ExifTool per immagini, PDF e metadati;
• MediaInfo per audio e video;
• viewer forensi per anteprima controllata;
• hash per deduplicazione;
• Timeline Explorer o Plaso per collocazione temporale;
• strumenti PDF per struttura e firme.

Questa fase si collega ai capitoli su PDF e firme digitali, metadati e timeline forense.

37. Timeline dei dati recuperati

Un file recuperato deve essere collocato cronologicamente. La timeline può usare timestamp file system, metadati interni, Cestino, shadow copies, backup, log, MFT, USN Journal, chat, email e cloud.

Approfondire in timeline forense e ricostruzione cronologica.

38. Recupero di fotografie

Le foto possono essere recuperate da DCIM, WhatsApp Images, Telegram media, Google Foto, iCloud Foto, schede SD, cache, miniature, backup e carving. Dopo il recupero serve analisi EXIF, GPS, dispositivo, data scatto, compressione e possibili modifiche.

Per sospetti di manipolazione o AI, vedere immagini e fotografie manipolate o generate con AI.

39. Recupero di video

I video recuperati devono essere verificati con MediaInfo, metadati, durata, risoluzione, frame rate, presenza audio, eventuale corruzione e collegamento al contesto.

Approfondire in autenticità video e analisi video deepfake.

40. Recupero di audio e vocali

Audio e vocali possono provenire da WhatsApp, Telegram, Memo Vocali iOS, registratori Android, email, cloud o carving. Devono essere conservati nel formato recuperato e analizzati con MediaInfo, ExifTool e strumenti audio-forensi.

Approfondire in autenticità audio e voice cloning.

41. Recupero di PDF e documenti

PDF e documenti recuperati possono essere stati creati, firmati, marcati temporalmente, modificati o trasmessi tramite email, PEC, chat o cloud. Dopo il recupero vanno controllati metadati, struttura, eventuali firme digitali, marche temporali e relazioni con il contesto.

Approfondire in PDF, firme digitali e marche temporali.

42. Duplicati, file corrotti e file parziali

Gli strumenti possono produrre molti duplicati o file parziali. Non cancellare l’output grezzo, ma crea una selezione deduplicata tramite hash e confronto tecnico.

Classificazione consigliata:
- file completo e pertinente;
- file completo ma non pertinente;
- file duplicato;
- file parziale leggibile;
- file corrotto;
- file recuperato tramite carving senza nome/percorso;
- file da sottoporre ad analisi metadati.

43. Caso pratico 1 — PDF cancellato da computer Windows a Roma

Un avvocato chiede di recuperare un contratto PDF eliminato da un notebook Windows. La procedura parte dall’immagine forense del computer, controlla Cestino, MFT, LNK, Jump Lists, Shadow Copies e OneDrive, poi usa Autopsy o R-Studio per cercare file cancellati e versioni residue.

1. verificare hash immagine;
2. cercare nel Cestino;
3. cercare per nome e contenuto;
4. controllare LNK e Jump Lists;
5. verificare shadow copies e OneDrive;
6. recuperare PDF su destinazione separata;
7. calcolare hash;
8. analizzare metadati e firme;
9. inserire in timeline.

44. Caso pratico 2 — Foto cancellate da scheda SD

Una scheda SD formattata viene consegnata allo studio. La procedura corretta è creare immagine, calcolare hash, eseguire R-Studio/UFS Explorer e PhotoRec sull’immagine, esportare foto recuperate su destinazione separata e analizzare metadati EXIF.

Il recupero di foto si collega al capitolo su metadati e provenienza.

45. Caso pratico 3 — Vocale WhatsApp cancellato

Il recupero di un vocale WhatsApp richiede prima l’acquisizione del telefono o dei media disponibili. Bisogna cercare file audio residui, backup, export, cartelle WhatsApp media e collegare il vocale al messaggio e al contesto della chat.

Capitoli collegati: perizia WhatsApp, acquisizione Android, acquisizione iOS e autenticità audio.

46. Caso pratico 4 — Pendrive aziendale formattata

Una pendrive aziendale formattata può contenere documenti cancellati o sottratti. La procedura richiede verbale, foto, immagine forense, hash, scansione con R-Studio/UFS Explorer, carving con PhotoRec, deduplicazione, metadati e timeline.

Questa situazione si collega a dipendente infedele e sottrazione dati USB.

47. Caso pratico 5 — File cancellati da NAS

Un NAS richiede verifica di Cestino NAS, snapshot, log, permessi, versioni e possibile recupero RAID su copie dei dischi. Non si deve modificare la configurazione originale del NAS.

Collegamenti: copia forense di NAS, analisi log aziendali e cloud forensics.

48. Caso pratico 6 — File cancellati da OneDrive o cloud

Nel cloud bisogna operare solo con account autorizzato, documentare accesso, verificare cestino, versioni precedenti, log e dispositivi sincronizzati. I file recuperati vanno esportati, hashati e documentati con screenshot tecnici.

Approfondire in cloud forensics.

49. Errori da evitare

• installare il programma di recupero sul disco da recuperare;
• salvare file recuperati sullo stesso supporto sorgente;
• lavorare sull’originale;
• promettere recupero garantito;
• insistere su disco danneggiato;
• ignorare SSD e TRIM;
• ignorare backup, cloud e allegati;
• non calcolare hash;
• confondere file completo e file parziale;
• non dichiarare limiti tecnici.

50. Checklist operativa completa

Prima del recupero:
[ ] autorizzazione
[ ] codice caso
[ ] verbale ricezione
[ ] scheda supporto
[ ] foto supporto
[ ] cartella caso
[ ] destinazione capiente

Acquisizione:
[ ] write blocker, se possibile
[ ] immagine forense
[ ] hash immagine
[ ] log acquisizione
[ ] originale conservato

Recupero:
[ ] Cestino/Trash
[ ] file system
[ ] backup/shadow/snapshot
[ ] carving
[ ] esportazione su destinazione separata
[ ] hash recuperati

Analisi:
[ ] verifica file
[ ] metadati
[ ] deduplicazione
[ ] timeline
[ ] limiti
[ ] relazione

51. Output minimo

• verbale di ricezione;
• scheda supporto;
• fotografie supporto;
• immagine forense;
• hash immagine;
• log acquisizione;
• report strumenti di recupero;
• cartella recuperati grezzi;
• cartella recuperati selezionati;
• manifest hash recuperati;
• metadati file;
• timeline;
• nota sui limiti;
• relazione tecnica.

52. Modelli di frasi tecniche

Ricezione:
Il supporto è stato ricevuto per attività di recupero dati a finalità tecnica/probatoria, senza garanzia preventiva di recuperabilità.

Immagine:
Le attività di recupero sono state eseguite sull’immagine forense del supporto, preservando separatamente l’originale.

File recuperati:
I file indicati sono stati recuperati mediante __ e salvati su destinazione separata. Per ciascun file selezionato è stato calcolato hash SHA-256.

File carving:
I file ottenuti mediante carving possono non conservare nome, percorso o timestamp originari e devono essere valutati nei limiti propri della tecnica.

Limiti:
L’assenza di recupero non dimostra necessariamente che il dato non sia mai esistito; può dipendere da sovrascrittura, cifratura, perdita di metadati, backup assenti o limiti del metodo.

53. Figure consigliate per la pagina

Figura 1 — Cartella caso recupero dati
Alt: Struttura cartelle per recupero dati cancellati a fini probatori

Figura 2 — Immagine forense prima del recupero
Alt: Immagine forense verificata prima dell’analisi di recupero dati

Figura 3 — R-Studio con scansione del file system
Alt: Scansione R-Studio su immagine forense per recupero dati cancellati

Figura 4 — UFS Explorer su NAS o RAID
Alt: UFS Explorer per recupero dati da RAID e NAS su copie forensi

Figura 5 — PhotoRec carving
Alt: PhotoRec durante file carving da spazio non allocato

Figura 6 — Autopsy Deleted Files
Alt: Vista file cancellati in Autopsy durante analisi forense

Figura 7 — Manifest hash file recuperati
Alt: Manifest SHA-256 dei file recuperati selezionati

Figura 8 — Timeline file recuperato
Alt: Timeline forense che colloca un file recuperato nel periodo di interesse

54. Riferimenti tecnici esterni

1. NIST SP 800-86 — processo forense con raccolta, esame, analisi e reporting
2. SWGDE Best Practices for Computer Forensic Examinations
3. SWGDE Best Practices for Computer Forensic Acquisitions
4. R-Studio Data Recovery
5. UFS Explorer RAID Recovery
6. TestDisk & PhotoRec
7. Autopsy PhotoRec Carver Module
8. X-Ways Forensics
9. GNU ddrescue manual
10. Microsoft Windows File Recovery
11. Android file-based encryption
12. Apple Platform Security — Data Protection

55. Collegamenti interni consigliati

Capitoli precedenti: triage iniziale, catena di custodia, copia forense, analisi Windows, macOS e Linux, Android, iPhone e iPad, perizia WhatsApp e Telegram/Signal.

Capitolo successivo: analisi forense di email e header. Capitoli correlati: PDF e firme digitali, metadati, screenshot, cloud forensics, timeline, audio, video, immagini AI, USB e dipendente infedele e relazione tecnica CTP.

56. Box operativo finale

57. Conclusione del capitolo

Il recupero dati cancellati per fini probatori non è una promessa di risultato. È una procedura tecnico-forense che richiede conservazione, copia, hash, strumenti adeguati, verifica dei file recuperati, metadati, timeline e relazione prudente.

Un file recuperato non è automaticamente una prova forte. Diventa tecnicamente utile quando origine, metodo, hash, contesto, metadati e limiti sono documentati.

Nel prossimo capitolo il manuale passerà all’analisi forense di email e header.