Copia forense del computer: come si esegue, quando serve e quanto costa

La copia forense di un computer è l'acquisizione integrale del contenuto dei suoi dischi, eseguita in modo da non alterare l'originale e da poter dimostrare, in ogni momento successivo, che la copia è identica. È il primo passo di quasi ogni perizia informatica che riguarda PC, portatili e server: senza una copia fatta bene, qualunque analisi successiva può essere contestata. Qui spiego come si esegue, in quali situazioni serve e cosa aspettarsi in termini di tempi e costi.

Cosa distingue una copia forense da un backup

Un backup salva i file che vedi. Una copia forense acquisisce tutto il supporto, settore per settore: file attivi, file cancellati non ancora sovrascritti, spazio non allocato, aree di sistema, tracce di programmi e dispositivi collegati. Ogni copia viene identificata con impronte crittografiche (hash MD5 e SHA-256) calcolate sull'originale e sulla copia: se coincidono, la copia è fedele; se un solo bit cambiasse, l'impronta sarebbe diversa. Il tutto è descritto in un verbale che indica data, ora, strumenti, numeri di serie e operazioni svolte. Questa documentazione è la catena di custodia che la legge 48/2008 richiede perché la prova digitale sia utilizzabile.

Come si esegue, passo per passo

1. Documentazione dello stato: fotografie del computer, dei collegamenti, dei supporti; annotazione di marca, modello, numero di serie, stato di accensione.
2. Decisione su acceso o spento: se il computer è acceso e cifrato, spegnerlo può rendere i dati inaccessibili; in quel caso si acquisiscono prima la memoria volatile e le chiavi. Se è spento, resta spento.
3. Estrazione del disco e collegamento tramite write blocker, un dispositivo che consente la lettura ma impedisce fisicamente qualsiasi scrittura sull'originale. In alternativa, avvio da un sistema forense che non monta i dischi in scrittura.
4. Acquisizione con strumenti dedicati (duplicatori forensi o software come FTK Imager, Guymager, X-Ways) in formato forense (E01 o raw), con calcolo degli hash durante la copia.
5. Verifica: ricalcolo degli hash sulla copia e confronto con l'originale.
6. Verbale di acquisizione e conservazione della copia su supporto dedicato, in cassaforte o archivio con accesso tracciato.

I tempi dipendono dalla capacità: un disco da 500 GB richiede in genere 1-3 ore, un disco da 2 TB mezza giornata. L'originale viene restituito al termine, salvo diverse disposizioni dell'autorità.

Quando serve la copia forense di un computer

• Dipendente che lascia l'azienda e si sospetta abbia copiato clienti, progetti o preventivi: la copia del PC aziendale (nel rispetto dello Statuto dei lavoratori e della policy aziendale) conserva le tracce di chiavette collegate, file inviati, cloud personali.
• Licenziamento per uso improprio degli strumenti: navigazione, software non autorizzato, dati sottratti. Ne parlo nell'articolo sulle prove digitali nel contenzioso di lavoro.
• Contenziosi tra soci o con fornitori: email, contabilità, documenti modificati, date di creazione dei file.
• Procedimenti penali: il computer come corpo del reato o come contenitore di prove (frodi, accessi abusivi, diffamazione, materiale illecito), sia per la difesa sia come consulente del pubblico ministero o del giudice.
• Incidenti informatici: ransomware, intrusioni, data breach, dove la copia serve a ricostruire l'accaduto e a documentarlo per assicurazione e Garante.
• Proprietà intellettuale: plagio di codice, copia di database, sviluppo parallelo da parte di ex collaboratori.
• Successioni e contenziosi familiari: documenti, corrispondenza, accessi a conti.

Cosa si può ricavare dalla copia

Oltre ai file visibili: documenti cancellati, versioni precedenti, cronologia di navigazione e download, dispositivi USB collegati con data e ora, programmi installati e rimossi, accessi a servizi cloud, email locali, chat desktop, metadati che dicono quando un file è stato creato, modificato o stampato, e in molti casi l'uso del computer in un certo intervallo di tempo (orari di accensione, utenti). Tutto questo si ricostruisce solo se la copia è completa e integra.

Computer cifrati e portatili moderni

BitLocker, FileVault e i dischi SSD saldati dei portatili recenti complicano l'acquisizione. Con le credenziali o la chiave di ripristino la copia si esegue regolarmente; senza, il contenuto resta cifrato e la perizia lo dice chiaramente. È uno dei motivi per cui, in azienda, le chiavi di ripristino vanno conservate centralmente: ne parlo spesso con i clienti di consulenza IT.

Un caso concreto

Una piccola azienda della zona di Varese ha visto un ex commerciale aprire un'attività concorrente portando via i clienti. Sul suo portatile aziendale, acquisito in modo forense il giorno dopo la restituzione, sono emerse le tracce di una chiavetta USB collegata l'ultima settimana di lavoro e la copia di tutto l'archivio preventivi su un cloud personale, con date e orari. La relazione tecnica ha permesso all'avvocato dell'azienda di agire con elementi concreti invece che con sospetti. Se il portatile fosse stato riassegnato a un altro dipendente, come stava per accadere, quelle tracce sarebbero state in gran parte sovrascritte.

Cosa non fare

• Non accendere il computer "per dare un'occhiata": ogni avvio modifica centinaia di file e date.
• Non copiare i file con il copia-incolla: perde metadati e non dimostra nulla.
• Non far intervenire il tecnico interno o l'amico informatico: anche in buona fede, altera la prova e non può certificarla.
• Non riassegnare o formattare il computer di chi è coinvolto in una contestazione finché non è stata fatta la copia.

Quanto costa

Nel mio studio l'acquisizione forense di un computer o di un disco, con verbale e hash, parte da 800 €; con l'analisi e la relazione tecnica si colloca in genere tra 800 e 3.000 €, a seconda del numero di supporti, della quantità di dati e dei quesiti. Per i server e gli ambienti virtualizzati il preventivo è dedicato. Urgenze con maggiorazione del 50%. Il preventivo è gratuito e a prezzo fisso: richiedilo online indicando numero e tipo di dispositivi.

Server, cloud e dispositivi che non si possono spegnere

Non sempre si può estrarre un disco. Un server aziendale in produzione, una macchina virtuale, un archivio su cloud o un NAS condiviso richiedono un'acquisizione "a caldo" o mirata: si esportano le macchine virtuali con i loro file, si acquisiscono i dati rilevanti tramite le API o gli strumenti di esportazione del servizio (Microsoft 365, Google Workspace), si raccolgono i log con hash e verbale. L'integrità si garantisce documentando ogni passaggio e calcolando le impronte al momento dell'estrazione; la completezza si dichiara per quello che è, con i limiti del caso. Un perito che promette "la copia bit a bit del cloud" non sa di cosa parla: nel cloud si acquisisce ciò che il fornitore rende disponibile, e si documenta come.

Conservazione e durata della prova

La copia forense va conservata su supporti dedicati, in doppio esemplare, in luogo protetto e con accesso tracciato, per tutta la durata del procedimento e dei possibili gradi di giudizio: in pratica, anni. Nel mio studio le copie restano cifrate in archivio con registro degli accessi, e vengono distrutte solo su richiesta scritta del cliente o alla chiusura definitiva del caso. È un aspetto che pochi considerano al momento dell'acquisizione, ma che diventa decisivo quando, tre anni dopo, la controparte chiede di verificare gli hash.

Domande frequenti

Posso far acquisire il computer di un dipendente?

Il computer aziendale sì, se esistono una policy sull'uso degli strumenti e l'informativa prevista dallo Statuto dei lavoratori, e se l'accesso è proporzionato allo scopo. Lo verifichiamo insieme all'avvocato prima di procedere.

Quanto tempo restate con il computer?

Di solito da poche ore a un giorno per l'acquisizione; l'analisi si fa sulla copia e il dispositivo torna subito al proprietario.

Potete venire in azienda?

Sì, l'acquisizione si esegue spesso sul posto, in Lombardia e, su appuntamento, in tutta Italia. Per singoli dischi è possibile la spedizione con corriere assicurato.

La copia vale anche se la causa inizia tra un anno?

Sì: gli hash e il verbale permettono di dimostrare in qualsiasi momento che la copia è identica all'originale acquisito in quella data.

Per capire se nel tuo caso serve una copia forense, o se basta un'acquisizione mirata, scrivimi: la prima valutazione è gratuita. Per gli smartphone ho scritto una guida dedicata alla copia forense del cellulare.