Quando i dati non devono solo tornare, ma reggere.
Un recupero dati chiede: riusciamo a riavere il file? Un’acquisizione forense ne aggiunge un’altra: si potrà poi dimostrare che il file si presentava esattamente così e che nel frattempo nulla è cambiato? È un altro livello di rigore — e un altro modo di procedere.
Riservatezza prima di tutto
Accordo di riservatezza prima dell’accettazione, non dopo.
Solo sulla copia
Ciò che si analizza è un’immagine con checksum. L’originale resta intatto.
Una sola sede
Tutto nel nostro laboratorio di Francoforte. Nessuna esternalizzazione, nessuna tappa intermedia.
Un solo referente
Parli con la persona che segue il caso.
La differenza rispetto al recupero dati
In un recupero conta il risultato: il file è tornato, tutto a posto. In un’acquisizione forense conta anche la strada percorsa. Chi ha avuto il supporto e quando? Con cosa è stato letto? Si può dimostrare che tra la presa in carico e l’analisi non è cambiato nulla?
Per questo all’inizio c’è sempre un’immagine completa, sulla quale viene calcolato un checksum — una sorta di impronta digitale del set di dati. Ogni analisi successiva avviene su una copia di quell’immagine. Se il checksum può essere ricalcolato in qualsiasi momento, è dimostrato che lo stato analizzato è quello ricevuto.
Per te significa soprattutto una cosa: non metterci mano prima. Il motivo più frequente per cui un set di dati perde valore probatorio non è la manipolazione ma l’iniziativa in buona fede — un collega che ha «solo dato un’occhiata».
Se c’è urgenza
Situazioni tipiche
Fuga di dati all’uscita di un dipendente
Un collaboratore lascia l’azienda e si sospetta che siano usciti dei documenti. Va chiarito cosa è stato copiato, quando e su quale supporto.
Indagine interna
Casi di compliance, sospetto di infedeltà o manipolazione. I risultati devono reggere a un controllo successivo.
Controversia civile
Acquisizione e preparazione di un set di dati a cui entrambe le parti si riferiscono, con documentazione comprensibile di come è nato.
Sinistri e assicurazioni
Dopo incendio, acqua o furto: cosa c’era sul dispositivo e se lo stato può essere documentato.
Eredità e amministrazione di sostegno
Accesso ai dispositivi quando l’avente diritto non può più accedervi, con prova della legittimazione.
Accessi perduti in azienda
Supporti cifrati con chiave irreperibile, dispositivi bloccati con codice ignoto. Legittimo ma tecnicamente impegnativo.
Come lavoriamo
- 01
Chiarire la riservatezza
Accordo di riservatezza prima dell’accettazione, con il tuo modello o il nostro. Solo dopo il dispositivo viene aperto.
- 02
Verbalizzare la consegna
Registrare il dispositivo con il numero di serie, documentarne lo stato, mettere per iscritto la consegna. Da qui è tracciabile chi ha avuto accesso e quando.
- 03
Immagine con checksum
Acquisizione completa, letta in sola lettura. Sull’immagine viene calcolato un checksum e messo agli atti.
- 04
Analisi sulla copia
Tutti i passi successivi avvengono su una copia dell’immagine. Dopo l’acquisizione l’originale non viene più toccato.
- 05
Documentare i riscontri
Cosa è stato trovato, con quale metodo e cosa se ne può dimostrare — e cosa espressamente no.
- 06
Consegna o custodia
Risultati consegnati cifrati. L’originale torna indietro o resta sotto chiave fino a revoca.
Dispositivi mobili
Oggi uno smartphone è la fonte più ricca in quasi ogni caso — e la più difficile da raggiungere. I dispositivi attuali cifrano per impostazione predefinita e il codice di blocco entra nella derivazione della chiave. Senza codice non c’è accesso; il numero di tentativi è limitato in hardware, quindi provare in modo sistematico è escluso.
Ciò che è possibile dipende dunque da tre cose: modello e versione software, stato dell’hardware e disponibilità del codice. Per l’analisi usiamo Cellebrite UFED e Oxygen Forensics. Se il dispositivo è danneggiato fisicamente, la riparazione viene prima: lo stesso lavoro a livello di chip di un recupero dati da smartphone.
Password e cifratura
Container cifrati, archivi bloccati, supporti con password dimenticata: nei casi con un legittimo diritto di accesso lavoriamo con Passware. Non è affatto un aggiramento della cifratura, che allo stato attuale non si rompe. È una ricerca strutturata della password.
Le prospettive dipendono interamente da ciò che si sa: lunghezza approssimativa, schemi usati, vecchie varianti, consuetudini aziendali. Da simili indicazioni si può costruire uno spazio di ricerca abbastanza piccolo. Dal nulla non funziona, e preferiamo dirlo prima.
Cosa ricevi per iscritto
Accordo di riservatezza
Reciproco, prima dell’accettazione. Il tuo modello o il nostro.
Verbale di presa in carico
Dispositivo, numero di serie, stato, data, persone coinvolte.
Checksum dell’immagine
La prova che lo stato analizzato corrisponde a quello ricevuto.
Relazione sui riscontri
Metodo, strumenti, risultati — ed espressamente anche i limiti dell’affermazione.
Attestazione di cancellazione
Su richiesta per iscritto, non appena le nostre copie di lavoro sono state rimosse.
Con cosa lavoriamo.
Strumenti del recupero dati e dell’informatica forense professionali. Ciò che si usa nel caso concreto dipende dal supporto, non da ciò che suona bene.
Cosa non offriamo.
Questo elenco è qui di proposito. In ambito forense un limite chiaro vale più di una promessa vaga — e ciò che qui manca lo daresti altrimenti per scontato.
Nessun aggiramento della cifratura
Senza chiave, password o codice e senza indizi per una ricerca non c’è accesso. È matematica, non una questione di attrezzatura.
Nessun lavoro senza diritto di accesso
Lavoriamo solo su dispositivi per i quali esiste un diritto comprensibile. Lo chiediamo, e prima dell’accettazione.
Nessun tasso di risoluzione
Non citiamo cifre di successo. Senza la distribuzione dei casi alle spalle non significherebbero nulla.
Nessuna certificazione che non abbiamo
Non abbiamo la certificazione ISO 27001 né marchi comparabili. Se la tua procedura lo richiede tassativamente, dillo subito: allora un altro indirizzo è quello giusto.
Nessun incarico peritale
Non siamo periti nominati e giurati. Documentiamo in modo comprensibile; la valutazione come perizia spetta ad altri.
Risposte in breve.
Firmate un accordo di riservatezza?
Sì, e prima dell’accettazione del dispositivo. Il tuo modello o il nostro, entrambi sono usuali. L’apertura avviene solo dopo.
Quanto tempo richiede?
L’acquisizione richiede da ore a giorni a seconda del volume. L’analisi dipende dal caso. Dicci se corre un termine e pianifichiamo di conseguenza.
Potete aprire un telefono bloccato?
Solo con il codice. Sui dispositivi attuali il codice entra nella derivazione della chiave e il numero di tentativi è limitato in hardware. Sui modelli più vecchi dipende da modello e versione software: lo chiarisce la diagnosi.
Riceviamo qualcosa per iscritto?
Sì: verbale di presa in carico, checksum dell’immagine e relazione sui riscontri con metodo, strumenti e risultati, limiti dell’affermazione inclusi.
Che ne è dei dati dopo il caso?
Stanno esclusivamente sul nostro server cifrato. Alla chiusura le nostre copie di lavoro vengono cancellate, su richiesta con attestazione scritta. In alternativa custodiamo l’immagine fino a revoca.
Lavorate anche per privati?
Sì, se esiste un diritto di accesso comprensibile: per esempio in una successione o su dispositivi propri con accesso perduto.
Data Recovery Professionals
Un’associazione mondiale di aziende di recupero dati indipendenti e a conduzione diretta. I membri condividono metodi di recupero professionale, informatica forense e sviluppo software — nei casi rari, dietro al tuo supporto c’è il sapere dell’intero gruppo.
Un caso di cui non si parla al telefono?
Allora iniziamo dall’accordo di riservatezza e parliamo dopo. Ci raggiungi direttamente, senza sistema di ticket e senza intermediari.
Wasserweg 8–10 · 60594 Frankfurt am Main