Triage iniziale della prova digitale a Roma

Che cos’è il triage iniziale di una prova digitale?

Il triage iniziale è la prima valutazione tecnica della prova digitale. Serve a capire che cosa abbiamo davanti, da dove proviene il file o il dispositivo, se il materiale è fragile, se rischia di alterarsi, quali strumenti usare e quale percorso tecnico seguire.

Nel lavoro di un perito informatico a Roma, il triage può riguardare una chat WhatsApp, un telefono, un computer, una PEC, un file audio, un video, una fotografia, uno screenshot, un documento PDF, un profilo social, una pagina web o un account compromesso.

Il riferimento metodologico generale è coerente con i processi di identificazione, raccolta, acquisizione e preservazione della prova digitale richiamati dallo standard ISO/IEC 27037 e con il ciclo raccolta, esame, analisi e presentazione descritto dal NIST SP 800-86.

A cosa serve il triage in una perizia informatica?

Il triage serve a rispondere a domande pratiche prima che il materiale venga trattato in modo improprio:

• il file è originale o è una copia?
• è stato inviato tramite WhatsApp, email, PEC, social o cloud?
• il dispositivo è ancora disponibile?
• esistono backup o versioni meno compresse?
• il file contiene metadati?
• serve una copia forense o una semplice acquisizione documentata?
• il materiale è sufficiente per una relazione tecnica?

Una prova digitale non è soltanto “un file”. È un oggetto tecnico composto da contenuto visibile, metadati, struttura interna, formato, percorso di conservazione, cronologia, origine dichiarata e modalità di acquisizione.

Principio base: prima conservare, poi analizzare

La regola iniziale è semplice: prima si conserva la prova, poi si analizza. Molti errori avvengono perché il cliente, in buona fede, apre, inoltra, rinomina, comprime o converte il file prima di rivolgersi a un tecnico.

1. Primo colloquio tecnico con il cliente

Il primo colloquio serve a trasformare una richiesta generica in un problema tecnico definito. Il cliente spesso dice: “ho un audio e voglio sapere se è falso”, oppure “ho degli screenshot WhatsApp, posso usarli?”. Il perito deve trasformare queste frasi in quesiti tecnici.

Domande fondamentali

2. Classificazione iniziale della prova digitale

Il triage deve classificare il materiale ricevuto e individuare subito il rischio tecnico principale.

3. Messa in sicurezza della prova

Appena il materiale viene identificato, bisogna evitare modifiche ulteriori. Il cliente deve ricevere istruzioni chiare:

Non rinominare il file.
Non convertirlo.
Non inoltrarlo nuovamente.
Non comprimerlo se non necessario.
Non aprirlo con programmi di editing.
Non cancellare chat, email o notifiche.
Non ripristinare il telefono.
Non formattare il computer.

Per smartphone

• mantenere il dispositivo nello stato in cui si trova;
• evitare aggiornamenti, reset o cancellazioni;
• annotare modello, sistema operativo, stato batteria e blocco schermo;
• non tentare accessi non autorizzati;
• valutare se procedere con acquisizione forense o esportazione documentata.

Per computer

• evitare utilizzo non necessario;
• non installare nuovi programmi;
• non aprire documenti sospetti;
• valutare copia forense del disco o acquisizione mirata.

4. Creazione della cartella di caso

Ogni incarico deve avere una struttura ordinata, così da separare materiale originale, copie di lavoro, output degli strumenti e relazione.

2026-07-10_Caso_Roma_Cliente-Codice/
├── 00_incarico_e_note/
├── 01_materiale_originale/
├── 02_copie_lavoro/
├── 03_hash/
├── 04_metadati/
├── 05_screenshot_documentativi/
├── 06_output_strumenti/
├── 07_timeline/
├── 08_relazione/
└── 09_allegati/

5. Registro delle attività

Ogni operazione deve essere annotata con data, ora, operatore, file, supporto, attività e note.

10/07/2026 - ore 09:42
Ricevuto dal cliente file denominato "audio_cliente_01.m4a".
Il cliente dichiara che il file proviene da conversazione WhatsApp.
Il file viene copiato nella cartella 01_materiale_originale.
Viene calcolato hash SHA-256.
Nessuna modifica viene eseguita sul file originale.

6. Calcolo dell’hash

L’hash è l’impronta digitale del file. Se il file cambia anche di un solo bit, l’hash cambia. L’hash non prova da solo che il contenuto sia vero, ma serve a dimostrare che quel file specifico non è stato modificato dopo il momento in cui è stato acquisito.

Windows PowerShell

Get-FileHash ".\audio_cliente_01.m4a" -Algorithm SHA256

Per salvare il risultato:

Get-FileHash ".\audio_cliente_01.m4a" -Algorithm SHA256 | Out-File ".\03_hash\audio_cliente_01_sha256.txt"

Linux

sha256sum audio_cliente_01.m4a > 03_hash/audio_cliente_01_sha256.txt

macOS

shasum -a 256 audio_cliente_01.m4a > 03_hash/audio_cliente_01_sha256.txt

FTK Imager

1. aprire FTK Imager;
2. aggiungere il file o supporto;
3. creare immagine o acquisizione;
4. abilitare calcolo e verifica hash;
5. salvare log e report nella cartella del caso.

7. Analisi preliminare con ExifTool

ExifTool viene usato nel triage per leggere metadati di immagini, audio, video, PDF, documenti e file multimediali. In questa fase deve essere usato in sola lettura.

exiftool audio_cliente_01.m4a > 04_metadati/audio_cliente_01_exiftool.txt

Output JSON:

exiftool -json audio_cliente_01.m4a > 04_metadati/audio_cliente_01_exiftool.json

Nel risultato si osservano nome file, dimensione, tipo, MIME type, date interne, software, encoder, durata, dimensioni immagine/video, eventuali coordinate GPS e altri campi disponibili.

8. Analisi preliminare con MediaInfo

MediaInfo è particolarmente utile per file audio e video: mostra formato, codec, durata, bitrate, tracce audio/video, frame rate e dati di codifica.

mediainfo audio_cliente_01.m4a > 04_metadati/audio_cliente_01_mediainfo.txt

Output JSON:

mediainfo --Output=JSON audio_cliente_01.m4a > 04_metadati/audio_cliente_01_mediainfo.json

9. Triage per tipologia di reperto

File audio

Verificare se è un vocale WhatsApp, una registrazione ambientale, un file inoltrato o una copia derivata. Non equalizzare, non ripulire e non convertire il file nel triage.

File video

Verificare origine, codec, frame rate, risoluzione, eventuale ricodifica e disponibilità del file nativo.

Immagini e screenshot

Uno screenshot va trattato come indizio tecnico, non come fonte definitiva. Il triage deve cercare la fonte originale: chat, pagina web, profilo social o dispositivo.

Email e PEC

Non limitarsi alla stampa PDF. Richiedere file .eml, .msg, ricevute PEC, buste, allegati e catena completa di comunicazione.

10. Scheda di triage iniziale

SCHEDA TRIAGE PROVA DIGITALE

Codice caso:
Data:
Ora:
Operatore:
Cliente:
Avvocato di riferimento:
Finalità dichiarata:
Ambito: civile / penale / familiare / lavoro / aziendale / stragiudiziale

TIPO MATERIALE
[ ] Smartphone  [ ] Computer  [ ] Audio  [ ] Video
[ ] Immagine    [ ] Screenshot [ ] Email  [ ] PEC
[ ] PDF         [ ] Chat       [ ] Web    [ ] Social

ORIGINE DICHIARATA
Provenienza:
Dispositivo sorgente:
App o servizio:
Data presunta creazione:
Modalità ricezione:
File originale disponibile: sì / no / da verificare

STATO DEL FILE
Nome file:
Estensione:
Dimensione:
Supporto:
Hash SHA-256:
Output ExifTool:
Output MediaInfo:
Note:

RISCHI
[ ] rischio cancellazione
[ ] rischio alterazione
[ ] file derivato
[ ] screenshot isolato
[ ] assenza fonte originale
[ ] urgenza processuale
[ ] possibile contenuto AI/deepfake

AZIONE CONSIGLIATA
[ ] acquisizione forense
[ ] copia forense
[ ] analisi metadati
[ ] analisi audio/video
[ ] analisi chat
[ ] relazione tecnica

11. Caso pratico: audio ricevuto da WhatsApp a Roma

Un avvocato di Roma contatta il perito informatico perché il cliente ha ricevuto un audio WhatsApp rilevante in una controversia familiare. Il cliente teme che l’audio sia stato tagliato o generato artificialmente.

1. si verifica se l’audio è ancora nella chat;
2. si chiede se il telefono originale è disponibile;
3. si conserva il file senza nuove conversioni;
4. si calcola hash SHA-256;
5. si produce output ExifTool e MediaInfo;
6. si valuta se procedere con acquisizione smartphone o analisi audio specifica.

sha256sum PTT-20260710-WA0001.opus > 03_hash/PTT-20260710-WA0001_sha256.txt
exiftool PTT-20260710-WA0001.opus > 04_metadati/PTT-20260710-WA0001_exiftool.txt
mediainfo PTT-20260710-WA0001.opus > 04_metadati/PTT-20260710-WA0001_mediainfo.txt

12. Errori da evitare

• aprire subito il file senza registrare lo stato iniziale;
• lavorare sull’originale invece che su una copia;
• fidarsi solo dello screenshot;
• convertire audio o video prima dell’analisi;
• usare un solo programma;
• promettere certezza nel triage iniziale.

13. Formula di conclusione del triage

Il materiale è stato ricevuto in data __.
È stato conservato nella cartella di caso __.
È stato calcolato hash SHA-256 pari a __.
L’analisi preliminare con ExifTool e MediaInfo ha consentito di rilevare le principali caratteristiche tecniche del file.
In questa fase non vengono formulate conclusioni definitive sull’autenticità del contenuto, ma vengono indicati gli elementi utili per stabilire il successivo percorso di analisi.

14. Riferimenti tecnici

• ISO/IEC 27037:2012 — Identification, collection, acquisition and preservation of digital evidence
• NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response
• SWGDE — Best Practices for Digital Evidence Collection
• ExifTool — Metadata reader/writer
• MediaInfo — Technical and tag fields