Lo studio d’informatica forense si occupa da anni di PDF Forensics, svolgendo perizie informatiche, analisi forensi e consulenze tecniche su documenti PDF finalizzate a verificarne autenticità, integrità, provenienza e possibili alterazioni o manipolazioni.
L’attività del consulente informatico forense in ambito di perizia digitale documentale può essere richiesta quando un documento PDF viene contestato nell’ambito di un processo, di un contenzioso o di un’indagine: contratti, fatture, ricevute, quietanze, certificazioni, documentazione bancaria e societaria, atti giudiziari o amministrativi possono essere sottoposti a perizia informatica per ricostruirne, per quanto tecnicamente possibile, la genesi e la storia.
Analisi forense e ricerca di manipolazioni
Un PDF non contiene soltanto ciò che viene visualizzato sullo schermo, attraverso tecniche di digital forensics è infatti possibile analizzarne la struttura interna, gli oggetti PDF, gli stream, i font, le immagini incorporate, i metadati, le annotazioni, i livelli e gli altri elementi che compongono il documento.
L’analisi forense del PDF può evidenziare anomalie compatibili con modifiche successive alla creazione, inserimento o sostituzione di testi, immagini, firme, timbri, date o importi che possono portare poi a una querela per falso, a un disconoscimento o anche soltanto a mettere in dubbio l’originalità e integrità del documento digitale.
Particolare importanza possono avere le incremental updates, cioè le revisioni aggiunte da alcuni software senza riscrivere integralmente il PDF. In determinate condizioni queste strutture permettono di individuare modifiche e persino ricostruire versioni precedenti del documento, identificando gli oggetti aggiunti, modificati o sostituiti.
In alcuni casi, grazie alle incremental updates siamo riusciti a ricostruire le modifiche applicate a un pdf e persino identificare le date in cui sono avvenute, spesso dimostrando l’avvenuta manipolazione ad esempio tramite aggiunta di timbri, firme, correzioni, cancellazioni o persino protocolli amministrativi che nella versione precedente non erano presenti.
Firme digitali, firme grafiche e timbri
La perizia informatica sul PDF può riguardare firme digitali crittografiche, verificandone certificati, validità, timestamp e relazione con il contenuto firmato, ma anche firme grafiche inserite nel documento.
In alcuni casi, viene richiesto allo studio d’informatica forense di analizzare in maniera forense pdf firmati digitalmente tramite Pades o Cades per valutare eventuali manipolazioni successive alla firma digitale, datazione della firma, versioni precedenti con firme diverse o non firmate.
In quest’ultimo caso l’analisi può ricercare elementi utili a verificare se una firma, un timbro, un logo o un altro elemento grafico fosse presente originariamente oppure possa essere stato aggiunto, copiato o sovrapposto successivamente.
Metadati e ricostruzione della genesi
L’analisi dei metadati PDF, delle informazioni XMP e degli altri elementi interni può fornire indicazioni sui software utilizzati, sulle date dichiarate di creazione e modifica, sull’autore e sul processo di generazione del documento.
I metadati, tuttavia, possono essere modificati o rimossi: nell’informatica forense non vengono quindi considerati isolatamente, ma correlati con la struttura del file e con tutte le altre evidenze tecniche disponibili.
Nei casi più complessi l’analisi può scendere a basso livello, esaminando header, trailer, cross-reference, oggetti indiretti, stream compressi e revisioni incrementali. Possono così emergere oggetti nascosti o non più visualizzati, contenuti sovrapposti, revisioni precedenti e anomalie tra ciò che il PDF contiene e ciò che viene mostrato dai diversi software di visualizzazione.
Confronto informatico forense tra PDF
Quando sono disponibili più copie dello stesso documento, il consulente informatico forense può effettuare un confronto tecnico delle diverse versioni e una comparazione dei contenuti.
L’analisi può riguardare hash, struttura interna, oggetti, stream, immagini e metadati per determinare quali elementi siano cambiati e attraverso quale tipo di modifica.
È inoltre possibile verificare se differenze apparentemente significative siano realmente dovute a una modifica del PDF oppure dipendano esclusivamente dal software o dal motore utilizzato per il rendering del documento.
Acquisizione forense e catena di custodia
Quando il PDF deve essere prodotto come prova in Tribunale o utilizzato nell’ambito di un processo o di un’indagine, l’attività può comprendere anche l’acquisizione forense, il calcolo degli hash, la conservazione dell’originale e la documentazione della catena di custodia, garantendo verificabilità e ripetibilità delle operazioni effettuate.
La PDF Forensics può inoltre essere integrata con l’analisi di email, PEC, computer, smartphone, sistemi di messaggistica, servizi cloud o siti web dai quali il documento è stato ricevuto, trasmesso, scaricato o acquisito, così da ricostruirne anche la provenienza e il contesto.
Perizie informatiche e consulenze tecniche
Le attività di PDF Forensics e Digital Forensics vengono svolte nell’ambito di perizie informatiche, consulenze tecniche di parte (CTP), consulenze per il Pubblico Ministero, perizie disposte dal Giudice e consulenze tecniche d’ufficio (CTU), oltre che per avvocati, aziende e privati che necessitino di verificare l’autenticità o l’integrità di un documento digitale.
Le risultanze dell’analisi forense possono essere documentate in una relazione tecnica nella quale vengono descritti il materiale analizzato, la metodologia, gli strumenti utilizzati, le evidenze riscontrate e le conclusioni.
L’obiettivo di una perizia informatica su un PDF è quindi, in linea generale, quello d’individuare evidenze tecniche verificabili, documentabili e riproducibili, utilizzabili anche nell’ambito di un procedimento giudiziario penale o civile o, se possibile, stragiudiziale.