Come la digital forensics trova messaggi cancellati e cronologia del browser
"L'ho cancellato" e "è sparito" sono due affermazioni diverse, e la digital forensics esiste in gran parte proprio per questo divario.
Perché le app di messaggistica sono particolarmente recuperabili
La maggior parte delle app di messaggistica (WhatsApp, Telegram, database SMS/iMessage) memorizza le conversazioni in un file di database locale, e "cancellare" un messaggio nell'app di solito marca semplicemente quel record come inattivo all'interno del database — non necessariamente rimuove immediatamente i byte sottostanti dal file.
Questo è aggravato dal comportamento di backup delle app stesse: molte app di messaggistica mantengono backup locali automatici (per scopi di ripristino da crash propri) che gli strumenti forensi possono leggere direttamente, a volte contenenti messaggi già cancellati dalla conversazione live e visibile.
La cronologia del browser funziona in modo simile
I browser memorizzano la cronologia in file di database SQLite. Cancellare la cronologia dall'interfaccia del browser stesso di solito rimuove le voci visibili ma, come la maggior parte delle cancellazioni, non necessariamente azzera immediatamente i dati sottostanti — gli strumenti forensi di file carving su database spesso possono recuperare voci dallo spazio non allocato all'interno dello stesso file di database.
Cosa determina davvero la recuperabilità
| Fattore | Effetto sulla recuperabilità |
|---|---|
| Tempo dalla cancellazione | Meno tempo = probabilità più alte (meno possibilità di sovrascrittura) |
| Tipo di archiviazione del dispositivo | SSD/archiviazione flash con TRIM si comporta diversamente dall'archiviazione più vecchia — vedi la nostra guida su SSD e TRIM |
| Comportamento di backup specifico dell'app | Le app con backup locali automatici sono più recuperabili |
| Se il dispositivo ha continuato a essere usato dopo la cancellazione | L'uso continuato aumenta la possibilità di sovrascrittura |
| Stato di sincronizzazione cloud | Se sincronizzato, potrebbe esistere una copia cloud indipendente dalla cancellazione locale |
Dove questo viene effettivamente usato
La digital forensics in quest'area appare in contesti come: dispute di affidamento e diritto di famiglia, indagini sul posto di lavoro, casi di frode e molestie, e indagini penali — ovunque il contenuto di una conversazione o sessione di navigazione cancellata sia rilevante come prova. Il recupero tecnico è solo metà del lavoro; l'altra metà è preservare una corretta catena di custodia e validare i risultati in un modo che regga al controllo, ed è ciò che distingue un esame forense da un recupero dati occasionale.
Se messaggi cancellati o la cronologia di navigazione sono rilevanti per una questione legale o lavorativa, smetti di usare il dispositivo normalmente e ottieni un parere forense adeguato prima di tentare qualsiasi cosa da solo — tentativi di recupero autonomi possono complicare o compromettere il valore probatorio di ciò che viene trovato. Contattami.
Domande frequenti
I messaggi WhatsApp o di testo cancellati possono davvero essere recuperati?
Spesso sì, a seconda del dispositivo, di quanto tempo è passato, e se l'app stessa mantiene backup locali del database (molte app di messaggistica lo fanno, specificamente per il proprio ripristino da crash, cosa che anche gli strumenti forensi possono leggere).
Cancellare la cronologia del mio browser la rimuove davvero?
Dall'elenco visibile della cronologia, sì — ma i file di database SQLite sottostanti spesso conservano voci cancellate in spazio non allocato all'interno dello stesso file, recuperabili con strumenti di database forensi, in modo simile a come i file cancellati persistono su un disco.
È qualcosa che solo le forze dell'ordine possono fare?
Alcuni strumenti sono usati principalmente dalle forze dell'ordine e da esaminatori autorizzati, ma il principio sottostante — i dati cancellati persistono finché non vengono sovrascritti — è lo stesso su cui si basa il software di recupero generico. La parte specializzata è interpretare e validare correttamente ciò che viene trovato per uso probatorio.