Archivi autore: Paolo Dal Checco

Informazioni su Paolo Dal Checco

Consulente Informatico Forense specializzato in Perizie Informatiche e Consulenze Tecniche di Parte e d'Ufficio per privati, avvocati, aziende, Tribunali e Procure.

FTK Imager 8.3.0.27: download e aggiornamento sicurezza

FTK Imager, nella versione 8.3.0.27, è stato appena reso disponibile per il download gratuito sul sito Exterro, che ormai da qualche anno ha ereditato il software da Accessdata continuandone lo sviluppo, riportiamo quindi qui di seguito il link di download, le informazioni strategiche sulle patch applicate e le differenze con le precedenti versioni di FTK Imager.

FTK Imager Free Download Link

FTK Imager, il “coltellino svizzero” dell’informatica forense

Definito il “coltellino svizzero” della digital forensics, utilizzato da quasi 20 anni dagli informatici forensi di tutto il mondo, FTK Imager permette di creare copie forensi di dischi, supporti rimovibili e volumi logici, visualizzarne il contenuto prima dell’acquisizione, esportare file e cartelle e calcolare gli hash necessari per verificarne l’integrità.

La versione 8.3 non introduce particolari novità funzionali, ma le release notes contengono una correzione piuttosto interessante dal punto di vista della sicurezza.

Vulnerabilità di sicurezza su XML e UFDR sanata

Exterro dichiara nelle Release Notes di aver risolto la vulnerabilità FCR-72008, attraverso la quale l’elaborazione di XML malevoli contenuti in file Cellebrite UFED UFDR poteva portare alla esfiltrazione di file, presumibilmente dalla macchina sulla quale veniva eseguito FTK Imager.

Il testo esatto, che ritrovate al punto 1 delle Release Notes, è “Resolved a vulnerability where execution of malicious UFDR XMLs could lead to file exfiltration. (FCR-72008)“.

FTK Imager Free 8.3.0.27 - Resolved Issues

Gli UFDR (UFED Report) sono file comunemente utilizzati nell’ecosistema di mobile forensics Cellebrite per contenere e trasferire in una sorta di rapporto utilizzabile da chiunque (anche chi non possiede il software Cellebrite licenziato) il prodotto delle acquisizioni di dispositivi mobili e possono includere un file dal nome “report.xml” utilizzato per descrivere e organizzare i dati presenti nel report.

Exterro non fornisce ulteriori dettagli tecnici sulla vulnerabilità: non specifica quali versioni precedenti siano coinvolte, quali file potessero essere letti o con quali modalità potesse avvenire l’esfiltrazione ma cita solo, nelle relesase notes associate a questa versione di FTK Imager, che hanno “resolved a vulnerability where execution of malicious UFDR XMLs could lead to file exfiltration. (FCR-72008)“.

Il termine utilizzato da Exterro – file exfiltration – merita infine particolare attenzione: una workstation forense può contenere contemporaneamente dati provenienti da procedimenti differenti, copie forensi, esportazioni e portable case, report forensi, documentazione riservata e informazioni relative ad altri incarichi. Consideriamo poi che, per il tipo di attività svolto dagli informatici forensi, gli strumenti in ambito digital forensics vengono frequentemente utilizzati con privilegi elevati.

Questo non significa che FCR-72008 consentisse necessariamente di accedere a tutti questi dati: le informazioni pubblicate da Exterro non permettono di stabilire quali file fossero accessibili né quali fossero i limiti della vulnerabilità, ma il problema e il termine “malicious UFDR XMLs” insieme a “file exfiltration” evidenzia perfettamente perché una workstation forense debba essere considerata un ambiente nel quale vengono continuamente elaborati input potenzialmente ostili e quindi mantenuta offline, protetta, separata o comunque con controlli di sicurezza più stringenti di altri sistemi di lavoro.

La descrizione fornita da Exterro però fa pensare a una possibile vulnerabilità legata al parsing XML, ad esempio della famiglia XXE (XML External Entity), attraverso la quale un XML opportunamente costruito può in determinate condizioni provocare l’accesso a file locali e persino la loro trasmissione verso sistemi remoti: non ci sono però elementi sufficienti per affermare che FCR-72008 fosse effettivamente una XXE, quindi per ora rimane soltanto un’ipotesi tecnica.

La vulnerabilità evidenziata è però interessante soprattutto perché ricorda un aspetto a volte sottovalutato nell’informatica forense: i dati che analizziamo non sono necessariamente passivi e non è la prima volta che questo tipo di vulnerabilità viene messa in risalto. Siamo abituati a utilizzare write blocker, copie forensi e hash per evitare di modificare il reperto, ma dobbiamo considerare anche il problema opposto: proteggere la workstation forense dal materiale che stiamo analizzando. Un’immagine forense, un archivio, un documento o, come in questo caso, un XML possono essere costruiti appositamente per sfruttare una vulnerabilità del software utilizzato per elaborarli.

Il caso degli UFDR è ancora più interessante perché si tratta di file che possono essere ricevuti da clienti, colleghi, controparti o altri laboratori e che l’informatico forense apre normalmente proprio per svolgere il proprio lavoro ma chi li riceve non necessariamente è abituato agli aspetti di sicurezza.

Da qui l’importanza non soltanto di mantenere aggiornati gli strumenti forensi, ma anche di limitare e controllare le connessioni in uscita dalle workstation di analisi, separare quando opportuno gli ambienti di lavoro e trattare qualunque evidenza ricevuta da terzi come input potenzialmente non fidato.

Certamente è bizzarro che un software di generazione copie forensi di memorie di massa o RAM e apertura delle stesse, come è FTK Imager, sia soggetto a questo tipo di bug, ipotizziamo però che possa essere legato alla versione più “grande” e “completa” del software, quella a pagamento chiamata “FTK Imager Pro”, che invece è dotata di funzionalità di mobile forensics che magari sono state comunque inserite in maniera embrionale anche nel “fratellino” FTK Imager Free.

FTK Imager Free Vs FTK Imager Pro

Avendo tirato in ballo la versione commerciale di FTK Imager, può avere senso ribadire quali sono le differenze con la versione gratuita, con la quale ora pare che condivida anche il sistema di gestione delle licenze CodeMeter, come avremo modo di osservare più avanti quando parleremo della versione FTK Imager Portable o FTK Imager Lite.

Accanto al tradizionale FTK Imager gratuito, Exterro propone ora anche FTK Imager Pro, versione a pagamento che mantiene le normali funzioni di imaging, preview, esportazione, hashing e montaggio delle immagini forensi, aggiungendo però alcune possibilità interessanti soprattutto per attività di triage e acquisizione sul campo. La differenza principale è che la versione Pro permette di effettuare acquisizioni Advanced Logical da dispositivi iOS, rilevare la presenza di cifratura e accedere ai dati cifrati quando sono disponibili le credenziali o le chiavi necessarie. In particolare, Exterro indica la possibilità di riconoscere oltre dieci sistemi di cifratura e, nel caso di BitLocker, di visualizzare o acquisire direttamente i dati decifrati dal dispositivo senza dover prima creare una copia cifrata completa.

FTK Imager Free Vs FTK Imager Pro

Un’altra differenza interessante riguarda il modo di lavorare: mentre FTK Imager Free rimane essenzialmente uno strumento gratuito per acquisire, verificare e visualizzare evidenze digitali, la versione Pro punta maggiormente sul triage, permettendo di esaminare rapidamente il contenuto del dispositivo e procedere poi con un’acquisizione mirata soltanto dei file, delle cartelle o degli artefatti ritenuti rilevanti. L’obiettivo è evitare, quando non necessario, l’acquisizione completa di grandi quantità di dati, riducendo tempi, spazio occupato e successive attività di processing. Exterro propone quindi FTK Imager Pro non tanto come sostituto del classico Imager, quanto come sua estensione verso workflow di acquisizione più selettivi, gestione della cifratura e prime attività sul mondo mobile. Al momento la licenza viene proposta a 499 dollari l’anno per utente, mentre FTK Imager continua a essere utilizzabile gratuitamente e senza licenza.

Le altre correzioni e novità della release 8.3.0.27

A parte i fix sulla gestione dei report UFDR di Cellebrite, FTK Imager 8.3.0.27 corregge anche un problema nella gestione delle password VeraCrypt/TrueCrypt: inserendo una password errata, la precedente versione poteva accettarla senza mostrare il relativo errore.

È stato inoltre aggiornato il vecchio driver “ad_driver.sys”, eliminando dall’installer la versione precedente: è sempre strategico, in informatica forense, utilizzare driver e software aggiornati, quindi ben venga che ogni tanto i produttori pubblichino update.

Come le versioni 8.x.x.x di FTK Imager, anche questa ha una caratteristica che la serie 4.x.x.x non aveva: il software di licensing CodeMeter, di cui viene richiesta l’installazione durante l’installazione di FTK Imager: senza installare CodeMeter o cliccando su CANCEL alla richiesta, il processo d’installazione s’interrompe.

FTK Imager Free richiede installazione del servizio di licensing CodeMeter

Sono disponibili varie opzioni d’installazione del CodeMeter Runtime Kit v.8.20 in base alle preferenze dell’utente, ma non cambiano l’esito dell’installazione e utilizzo di FTK Imager Free.

FTK Imager Free - Codemeter License

Ci si potrà chiedere se la versione FTK Imager funziona comunque in maniera portable (o lite) nonostante la necessità del software di gestione licenze CodeMeter: vedremo che non è un problema, probabilmente Exterro lo richiede per la vicinanza con il software FTK Imager Pro ma abbiamo notato che disinstallando il software di licensing CodeMeter, una volta installato FTK Imager Free, questo continua comunque a funzionare.

Vale la pena aggiornare?

Le patch inserite in questa versione di FTK Imager non sono molte ma sono significative e importanti soprattutto per la sicurezza: per chi utilizza FTK Imager nelle attività di acquisizione e analisi forense, quindi, questa è una versione che vale la pena aggiornare.

Raccomandiamo di aggiornare non tanto per nuove funzionalità, quanto per rafforzare la propria sicurezza e in qualche modo rimarcare anche un buon promemoria operativo: dobbiamo certamente proteggere il reperto dall’analista (e lo facciamo con write blocker, hardware o software) ma anche l’analista e la sua infrastruttura dal reperto.

FTK Imager in versione 8.3 installabile su Windows può essere scaricato liberamente e senza registrazione da questo link dove si trova sia l’archivio zip con l’eseguibile sia il pdf con le release notes.

Il file archivio zip “FTK Imager 8.3.0.27.zip” contenente l’installatore di FTK Imager in versione 8.3.0.27 produce valore hash MD5 7535e5ff1db098741716d802183798a1, SHA1 8779f5c34877d9aa4af56de5d84906ecbf20eb20 e SHA256 0f717d0d91c94af94107775ae37c2e330cc2a2312a8eecc91a344c8010e82afe.

L’eseguibile “Exterro_FTK_Imager_(x64).exe” produce invece valore hash MD5 8eb09425e8d47406df1f88d335989d81, SHA1 f39f8d3012efa31b033c78eadbd9b953685d26e9 e SHA256 1ec9500126b9b33e79e8178ffa12104377f2b77ddc8fca69d8fa1068d8e360d8.

Consigliamo sempre di verificare che il download di FTK Imager avvenga dal sito ufficiale, dato che il suo utilizzo in informatica forense è strategico ma anche delicato per via dei danni che potrebbe fare un software malevolo o difettoso.

I link di download di FTK Imager talvolta variano e non sempre sono indicizzati correttamente, perciò consiglio di tentare anche con questo link secondario di download di FTK Imager (che però richiede registrazione) o nel dubbio verificare la presenza della pagina di download del software FTK Imager dalla sezione del sito Exterro FTK Downloads Library.

FTK Imager Portable

Ricordo che il software FTK Imager è installabile su Windows ma è possibile anche crearne una copia portatile (un tempo veniva chiamata “FTK Imager Lite) che non richiede installazione ma può essere utilizzata direttamente su PC lanciandone l’eseguibile, ad esempio per attività di triage o incident response o ancora per procedere a copia forense “a caldo” di un PC con il sistema operativo Windows avviato.

Spesso si procede copiando la versione “FTK Imager Portable” (generata autonomamente secondo le istruzioni che troverete più avanti) su di una pendrive, così da poterla poi utilizzare su qualunque PC senza necessità d’installazione.

FTK Imager Portable - FTK Imager Lite

Quando installerete FTK Imager su di un PC con Windows, troverete le librerie DLL necessarie per la sua esecuzione all’interno della cartella “C:\Program Files\AccessData”: tali librerie sono sufficienti per eseguire il tool FTK Imager in modalità portable anche su altri PC senza installarlo, ma avviandolo direttamente da una pendrive o da una risorsa di rete.

Per poter estrarre la versione FTK Portable, è sufficiente copiare tutta la cartella d’installazione, volendo la si può anche comprimere così da poterla più agevolmente portare sul campo, così da evitare di sporcare il sistema con una nuova installazione.

La Polizia Postale interviene sugli attacchi 0click a Whatsapp

La Polizia Postale ha pubblicato di recente sul sito web e su Linkedin un documento di allerta sugli attacchi 0click su Whatsapp, dando finalmente concretezza e “istituzionalità” a un fenomeno di cui parliamo ormai da mesi.

Polizia Postale - Attacchi 0click a Whatsapp su Apple iPhone iOS

Il team Forenser è stato infatti tra i primi a identificare gli attacchi comparsi a maggio, analizzarli e persino riprodurli riuscendo a replicare la sessione di un account di test che simula la vittima, leggere i messaggi cifrati scambiati con i contatti e inviarne al posto suo.

Si tratta infatti di uno scenario che lo Studio d’Informatica Forense della società Forenser Srl aveva già analizzato e segnalato a Meta nei mesi precedenti, durante la prima ondata di maggio, seguita poi da una seconda e ora una terza.

Ricordo le caratteristiche dell’attacco 0click alla chiave di sessione di Whatsapp, ottenute mettendo a confronto i diversi casi raccolti nei mesi:

  • tutti i casi rilevati riguardano iPhone (dal modello 8 al 14, incluse le varianti X, XR, XS, 11, SE, 12 e 13) su cui è installata un versione di iOS 16 nelle sue diverse release;
  • gli attaccanti scrivono in chat ai contatti della vittima, dal numero WhatsApp della vittima stessa, chiedendo di disporre bonifici;
  • gli attaccanti sembrano avere accesso alle sole chat recenti, ovvero a quelle con cui la vittima ha interagito da poco;
  • nessun dispositivo collegato è visibile nella sezione “Dispositivi collegati” (o “Linked devices”) delle impostazioni di WhatsApp;
  • le vittime non riportano di aver compiuto alcuna azione di pairing particolare: non hanno fornito codici, non hanno inquadrato QR code, non hanno autorizzato accessi, da qui il tipo di attacco definito “zero click” o “0-click”, cioè che non richiede neanche un click da parte della vittima per essere portato a segno.

Per queste ragioni è stato sin da subito evidente che non si trattasse di un classico episodio di ghost pairing (nel quale l’attaccante induce la vittima a scansionare un QR code o a condividere un codice di verifica): l’assenza di qualsiasi interazione richiesta all’utente fa propendere per una compromissione di tipo 0-click, cioè per un’infezione che non richiede alcun intervento da parte della vittima e che colpisce direttamente lo smartphone o l’app WhatsApp.

Dopo la segnalazione a Meta, che ha preso in seria considerazione la comunicazione prodotta da Forenser, il team ha proseguito la ricerca e replicato in laboratorio lo scenario osservato, riuscendo a riprodurre lo scenario 0-click. Su dispositivi di test, un client su PC ha acquisito la sessione della vittima, letto le chat recenti e inviato messaggi come titolare dell’account: questo è il passaggio sperimentale che sviluppa quanto documentato nel precedente articolo.

Ricordo che l’attacco colpisce smartphone iPhone con versioni obsolete di iOS di Apple, delle quali per alcune versioni Apple distribuisce versione con patch (iOS 16.7.16 per i dispositivi fermi a iOS 16 e iOS 17.7.11 per i dispositivi fermi a iOS 17) ma spesso gli utenti – per mancanza di spazio o di tempo – non aggiornano.

Per chi pensa che i dispositivi che supportano iOS 16 siano pochi o vecchi, qui di seguito possiamo osservare come modelli anche recenti supportano iOS 16 e spesso anzi non vengono aggiornati, rimanendo su tale versione anche precedente alla 16.7.16 che sarebbe certamente più sicura perché contiene diverse patch di sicurezza.

Matrice iOS o iOS Matrix con versioni sistema operativo e modello iPhone

Un aspetto importante, quando si parla di dispositivi ancora esposti a vulnerabilità che riguardano iOS 16 o iPadOS 16, è distinguere tra i modelli che possono ancora eseguire queste versioni e quelli che, invece, non possono proprio – anche volendo -essere aggiornati a una major release successiva.

Per quanto riguarda gli iPhone, iOS 16 è compatibile con un intervallo piuttosto ampio di dispositivi, che parte da iPhone 8, iPhone 8 Plus e iPhone X e arriva fino alla generazione iPhone 14, comprendendo quindi anche iPhone XR, XS e XS Max, iPhone SE di seconda e terza generazione e tutte le serie iPhone 11, 12 e 13. All’interno di questo insieme, però, solo iPhone 8, iPhone 8 Plus e iPhone X sono rimasti definitivamente sulla famiglia iOS 16, perché non supportano iOS 17 e versioni successive. Per questi modelli, quindi, iOS 16 rappresenta effettivamente l’ultima major release disponibile.

Il discorso è simile per gli iPad, anche se la frammentazione tra generazioni è maggiore. iPadOS 16 è compatibile con numerosi modelli, a partire da iPad di quinta generazione, iPad mini di quinta generazione, iPad Air di terza generazione e diverse generazioni di iPad Pro. Anche in questo caso, però, soltanto alcuni dispositivi sono rimasti confinati a iPadOS 16: in particolare iPad di quinta generazione, iPad Pro da 9,7 pollici e iPad Pro da 12,9 pollici di prima generazione.

Questo significa che il numero di dispositivi potenzialmente ancora presenti su iOS o iPadOS 16 non coincide con il solo insieme dei modelli “bloccati” a quella versione ma è ben più ampio. Una quota, probabilmente minoritaria ma non trascurabile, può infatti essere costituita anche da dispositivi più recenti che supportano versioni successive del sistema operativo ma che, per scelta dell’utente, mancato aggiornamento o particolari condizioni d’uso, continuano ancora oggi a eseguire una release della famiglia 16.

Matrice iPad OS o iPad OS Matrix con versioni sistema operativo e modello iPhone

Ricordiamo infatti che, nella realtàmolte persone non aggiornano i loro sistemi perché hanno paura che questi rallentino, scaldino o consumino più spesso la batteria. Non aggiornano perché hanno paura di fare dei danni. Non aggiornano perché non hanno tempo per farlo o a volte semplicemente non hanno abbastanza spazio sul loro iPhone per poter completare correttamente l’aggiornamento, che a volte magari parte e non si conclude correttamente o non parte neanche.

In sostanza, ci sono milioni di persone che rimangono con sistemi operativi obsoleti per diversi motivi e quindi vulnerabili, spesso non aggiornati neanche alle versioni con le patch che Apple continua a produrre, anche per i dispositivi più vecchi.

Il problema, che non emerge dai report che circolano, è che è vero che l’attacco alla sessione Whatsapp di Meta per ora sfrutta CVE su versioni obsolete di iOS, ma potrebbe benissimo funzionare anche con versioni più recenti nel caso in cui circolassero 0click anche per quelli

Purtroppo l’impostazione di una verifica a due passaggi 2FA e il check dei dispositivi connessi non serve a limitare né rimuovere l’infezione: l’unica precauzione è aggiornare la versione di iOS, se possibile portandola alla 26.

Se già infetti aggiornare può non essere sufficiente – dato che c’è stata sottrazione della session di WhatsApp – ed è necessario anche ripristinare il telefono allo stato di fabbrica, oltre che reinstallare Whatsapp in versione aggiornata.

L’articolo completo della società d’informatica forense di Torino, con aggiornamenti e ulteriori dettagli sull’attacco a Whatsapp di cui ha parlato di recente la Polizia Postale, è visionabile online sul sito della società Forenser.

Responsabilità professionale, consulenza tecnica e prova digitale: sentenza 6677, 11 agosto 2026, Tribunale di Milano

Il Tribunale di Milano ha accertato la responsabilità professionale di un avvocato e la corresponsabilità del consulente tecnico autore della consulenza tecnica posta alla base dell’azione, a seguito di una causa civile instaurata contro un istituto di credito sulla base di una documentazione risultata insufficiente e di una consulenza tecnica ritenuta gravemente inadeguata.

Sentenza n. 6677/2026 del Tribunale di Milano - Responsabilità dell'avvocato e del consulente tecnico

Con la sentenza n. 6677 dell’11 agosto 2026, il Tribunale di Milano ha in particolare disposto la risoluzione dei rapporti professionali e condannato il legale alla restituzione dei compensi percepiti, oltre al risarcimento dell’ulteriore danno riconosciuto, rilevando nella motivazione anche la corresponsabilità del consulente autore della perizia tecnica sulla quale era stata fondata l’azione giudiziaria.

Secondo quanto emerge dalla decisione, infatti, la causa contro la banca era stata intrapresa senza aver preventivamente acquisito tutti gli elementi documentali che lo stesso legale considerava indispensabili per sostenerne le ragioni e facendo sostanzialmente affidamento su una consulenza tecnica di parte priva di una base documentale sufficiente e risultata metodologicamente e concettualmente errata, come già emerso nel giudizio dinanzi al Tribunale di Lucca anche attraverso le valutazioni del CTU ivi nominato.

Spiace ovviamente per le conseguenze patite dai professionisti – avvocato e consulente tecnico, nel caso specifico un commercialista incaricato di redigere la perizia econometrica – ma la sentenza offre uno spunto importante non soltanto per i legali, ma anche per chi opera quotidianamente nell’ambito della prova digitale quale il consulente informatico forense.

Prima di formulare conclusioni in una perizia informatica e, a maggior ragione, prima di instaurare un giudizio, occorre infatti sempre valutare quali evidenze siano effettivamente disponibili, quali possano essere acquisite direttamente dai sistemi del cliente – ove opportuno mediante copia forense – e quali debbano invece essere tempestivamente richieste a soggetti terzi: log di accesso e di traffico, tracciati e record bancari, tabulati, dati detenuti dai provider, informazioni presenti sui dispositivi e ogni altra evidenza tecnica potenzialmente rilevante.

Attenzione alla documentazione probatoria

La sentenza, sotto questo profilo, è particolarmente significativa perché evidenzia che la causa era stata instaurata senza disporre di documenti che lo stesso legale aveva indicato come indispensabili per sostenere le proprie conclusioni.

Il Tribunale ricostruisce infatti una sequenza temporale particolarmente eloquente: la documentazione bancaria era stata formalmente richiesta poco prima dell’introduzione della controversia, ma l’atto di citazione era stato predisposto senza attenderne l’acquisizione. La consulenza tecnica sulla quale l’azione si fondava era quindi stata elaborata senza disporre di una parte essenziale dei documenti contrattuali necessari a verificare proprio le anomalie che si sostenevano esistenti.

Il problema, dunque, non consiste semplicemente nell’aver perso una causa – tra l’altro, in tal senso, i professionisti hanno obbligo di mezzi e non di risultato – bensì l’avere formulato conclusioni tecniche e aver costruito su di esse una strategia processuale senza disporre degli elementi documentali necessari per verificarne preventivamente la fondatezza.

Anche questo è un principio che può essere agevolmente trasposto nell’ambito dell’informatica forense: un’ipotesi tecnica può essere ragionevole e meritevole di approfondimento, ma non per questo può essere trasformata in una conclusione peritale se i dati disponibili non consentono di dimostrarla o, quantomeno, la difficoltà va rappresentata ad avvocato e cliente/committente, che valuteranno – in particolare il legale – se ha comunque senso produrre un elaborato tecnico a supporto della strategia difensiva, anche se magari debole o basato su insufficienti elementi probatori.

Occorre distinguere chiaramente tra ciò che i dati dimostrano, ciò che rendono probabile, ciò che è soltanto compatibile con essi e ciò che, in assenza di ulteriori elementi, rimane una semplice ipotesi e, come vedremo più avanti, anche ciò che può confutare o indebolire la tesi difensiva.

La volatilità della prova digitale

Questo aspetto assume ancora maggiore rilievo nel mondo della prova digitale, spesso caratterizzata da una significativa volatilità, dovuta al fatto che per questioni di data retention, i dati spesso durano pochi giorni, settimane o quando va bene mesi, poi scompaiono.

Alcuni log vengono conservati soltanto per periodi limitati; determinati dati possono essere sovrascritti; account, servizi cloud e dispositivi possono cambiare stato; un computer o uno smartphone possono essere sostituiti, formattati, aggiornati, assegnati a nuovi soggetti o persino rotti o persi; un servizio online può modificare i propri sistemi di logging o le proprie politiche di conservazione, gli account possono scadere, essere chiusi o disabilitati.

Informazioni disponibili all’inizio della controversia potrebbero quindi non esserlo più quando viene disposta una CTU, magari mesi o anni dopo: per questo motivo non è sufficiente domandarsi quali prove serviranno durante il processo, è necessario valutare anche quando quelle prove debbano essere acquisite e preservate.

In alcuni casi potrebbe essere opportuno procedere immediatamente a una copia forense del dispositivo o dei dati – anche remoti, in cloud, su account online – disponibili; in altri occorrerà inviare tempestivamente una richiesta di conservazione o acquisizione a un soggetto terzo; in altri ancora sarà necessario valutare insieme al legale quali strumenti processuali possano consentire di ottenere dati non direttamente accessibili alla parte.

Legittimità di acquisizione e utilizzo di evidenze digitali

Esiste poi un secondo problema, distinto dalla mera conservazione tecnica dell’informazione: anche quando il dato continua materialmente a esistere, non è detto che possa essere acquisito o prodotto nel procedimento in qualunque momento. Mai dimenticare che disponibilità tecnica, possibilità pratica di acquisizione forense, producibilità in Giudizio, ammissibilità e utilizzabilità processuale non sono necessariamente la stessa cosa.

Un dato che sarebbe stato possibile ottenere e produrre tempestivamente può risultare molto più difficile – o in alcuni casi impossibile – da introdurre nel processo quando siano già maturate determinate preclusioni, questo rende ancora più importante il coordinamento tra legale e consulente tecnico nelle fasi iniziali della controversia: il consulente deve sapere non soltanto quali informazioni potrebbero avere valore tecnico, ma anche quali siano le esigenze e le tempistiche processuali entro le quali devono essere identificate, acquisite e messe a disposizione del difensore.

Acquisire ma valutare cosa produrre in Giudizio

Esiste però anche il problema opposto: non sempre acquisire indiscriminatamente grandi quantità di informazioni e riversarle integralmente nel procedimento costituisce la scelta migliore. Una corretta attività forense dovrebbe certamente preservare le fonti rilevanti nella maniera più completa possibile, ma acquisizione, analisi e produzione processuale sono momenti differenti.

È perfettamente possibile – e spesso opportuno – acquisire integralmente una fonte digitale per garantirne la conservazione e l’autenticità, per poi individuare attraverso l’analisi gli elementi effettivamente pertinenti alle questioni oggetto del procedimento.

Prima di produrre documentazione tecnica occorre inoltre conoscerne realmente il contenuto: capita più frequentemente di quanto si possa immaginare che un’e-mail, un file di log, uno screenshot, i metadati di un documento o una porzione di una timeline contengano elementi che non rafforzano la ricostruzione inizialmente prospettata ma, al contrario, la indeboliscono, la contraddicono oppure offrono alla controparte una diversa chiave interpretativa dei fatti.

Il compito del consulente tecnico non è ignorare questi elementi, al contrario, una seria analisi forense deve individuarli, contestualizzarli e segnalarli al legale, affinché quest’ultimo possa valutare consapevolmente la strategia processuale e informare correttamente il cliente.

Un consiglio, in tal senso, è quello di acquisire separatamente le evidenze digitali, in modo da poterle poi eventualmente scorporare, produrne soltanto una parte (ad esempio quella positiva) ed escluderne un’altra (ad esempio quella negativa, superflua o neutra) senza che ciò che viene prodotto in causa possa subirne un’influenza.

La qualità dell’evidenza digitale

Un ulteriore insegnamento riguarda il rapporto tra completezza dell’evidenza e forza delle conclusioni: la sentenza prende in esame una perizia che aveva quantificato differenze economiche molto rilevanti pur in assenza di documenti contrattuali che risultavano necessari per verificare alcune delle anomalie ipotizzate. Il problema metodologico, in termini generali, è evidente: quanto più incompleto è il dato di partenza, tanto maggiore deve essere la cautela nella formulazione delle conclusioni.

Nell’informatica forense lo stesso principio vale in modo trasversale: l’assenza di una parte dei log, l’indisponibilità del dispositivo originario, una timeline incompleta, la mancanza di dati lato server o l’impossibilità di validare un artefatto possono non impedire ogni valutazione, ma vi è il rischio che incidano sul livello di confidenza attribuito alla conclusione.

Una relazione tecnicamente corretta dovrebbe quindi dichiarare con chiarezza quali fonti sono state esaminate, quali non erano disponibili, quali assunzioni sono state necessarie e con quale grado di certezza o probabilità può essere sostenuta ciascuna conclusione, anche se sta sempre poi al legale valutare come giustificare l’inserimento di una prova piuttosto che un’altra, specificando eventuale indisponibilità, mancata opportunità o semplicemente non motivando l’assenza dei dati non prodotti.

La valutazione preliminare delle evidenze digitali

Per questo motivo, una corretta strategia processuale dovrebbe partire, nei casi nei quali la componente tecnica ha un peso significativo, da una vera e propria valutazione preliminare delle evidenze digitali, fatta dal legale con lo stretto supporto del consulente informatico forense.

Ricordiamo che avvocato e consulente tecnico di parte devono, per massimizzare la possibilità di vittoria e minimizzare quella di soccombenza, collaborare per pesare ogni singola evidenza digitale e l’opportunità (o il rischio) di utilizzo in causa.

Questa fase preliminare permette di comprendere non soltanto quali siano gli elementi favorevoli, ma anche quali prove manchino, quali non siano più acquisibili, quali presentino limiti tecnici e quali possano addirittura essere incompatibili – se non contrarie – con la ricostruzione prospettata dal cliente.

Il consulente tecnico e la tesi difensiva

Questo è probabilmente questo uno degli insegnamenti più interessanti che la vicenda può offrire a chi svolge attività di consulenza tecnica: il ruolo del consulente di parte non dovrebbe essere quello di costruire a posteriori una spiegazione tecnica compatibile con la tesi del proprio cliente, ma di sottoporre quella tesi a verifica.

Ciò significa ricercare gli elementi che la sostengono, ma anche quelli che potrebbero smentirla: verificare ipotesi alternative, esplicitare le assunzioni sulle quali si fondano le conclusioni, distinguere i fatti accertati dalle inferenze e dalle semplici possibilità tecniche.

Una perizia di parte metodologicamente debole – o formulata sulla base di dati insufficienti – non soltanto rischia di essere confutata dal CTU o dal consulente della controparte, ma può finire per compromettere l’intera impostazione della controversia.

Ancora più rischiosa è una consulenza nella quale le conclusioni siano state formulate prima di aver acquisito e analizzato le evidenze necessarie a verificarle, a meno che ovviamente tale formulazione non sia condivisa dal legale per strategia processuale e si decida di utilizzarla pur in mancanza di solide basi probatorie.

Il rapporto tra avvocato e consulente tecnico

La sentenza contiene anche un passaggio di particolare interesse sul rapporto tra competenza giuridica e competenza tecnica: il Tribunale osserva infatti che l’avvocato non poteva semplicemente sostenere di non essere in grado di verificare le valutazioni specialistiche contenute nella perizia.

Non si pretende naturalmente che il legale sostituisca il consulente tecnico nello svolgimento delle analisi tecniche, ma che eserciti almeno quel controllo necessario a verificare che le conclusioni sulle quali intende fondare l’azione siano basate su dati oggettivi, specifici e sufficientemente documentati.

Il principio è importante perché definisce correttamente i due ruoli: il consulente tecnico deve rispondere della metodologia utilizzata, dei dati analizzati, delle inferenze formulate e dei limiti delle proprie conclusioni mentre l’avvocato deve comprendere quale sia il valore probatorio di quelle conclusioni, verificarne la coerenza con la strategia processuale e chiedere gli approfondimenti necessari prima di farne il fondamento di un’azione giudiziaria.

Questo dovrebbe ricordare che lato legale e tecnico non sono due attività indipendenti che si incontrano soltanto al momento del deposito di una relazione tecnica, ma di competenze differenti che dovrebbero dialogare fin dalle prime fasi della controversia.

Quando le prove digitali non sono sufficienti

C’è infine un altro passaggio della sentenza che merita particolare attenzione: il Tribunale richiama espressamente il dovere dell’avvocato di informare, sollecitare e, ove necessario, dissuadere il cliente dall’intraprendere o proseguire un giudizio dall’esito probabilmente sfavorevole.

Il punto è che affinché il legale possa assolvere correttamente questo compito, quando il contenzioso dipende in misura significativa da questioni informatiche deve poter disporre di una valutazione tecnica sufficientemente affidabile, chiara, onesta e completa, al punto da includere, magari in via riservata, anche note sugli elementi mancanti o persino contrari alla linea difensiva.

Questo significa che anche il consulente dovrebbe avere la capacità – e l’indipendenza professionale – di dire che i dati disponibili non consentono di raggiungere la conclusione desiderata dal cliente o, peggio ancora, che parte delle prove potrebbe smontare la tesi legale.

Un risultato negativo, inconcludente o incompatibile con l’ipotesi iniziale non costituisce necessariamente il fallimento dell’attività forense: può invece essere proprio l’informazione che consente al legale e al cliente di evitare un contenzioso privo di sufficienti basi probatorie, l’importante è essere chiari, anticipare le possibili mosse/contestazioni di controparte, pensare a cosa il legale potrebbe dover conoscere per poter fare le sue valutazioni.

Dove scaricare la Sentenza del Tribunale di Milano

È possibile ottenere il download gratuito della Sentenza n. 6677 dell’11 agosto 2026, proc. RG 45156/2021 del Tribunale di Milano presso la Banca Dati di Merito del Ministero della Giustizia accedendo al portale BDP Giustizia all’indirizzo https://bdp.giustizia.it accedendo con SPID o CIE: il servizio è gratuito per tutti i cittadini italiani e si possono scaricare direttamente i PDF di sentenze, decreti e ordinanze provenienti dal SICI.

Download gratuito delle Sentenze del Tribunale

All’interno della Banca Dati sono disponibili gratuitamente per la ricerca, la consultazione e il download degli abstract e i provvedimenti civili (sentenze, decreti e ordinanze) provenienti dal Sistema Informatico del Settore Civile (SICI) dal 01/01/2016 ad oggi.

La Banca Dati BDP del Ministero della Giustizia non include i provvedimenti relativi a famiglia, minori e stato persona ed è stata progettata per fornire un accesso agevole e affidabile a provvedimenti pubblicati in ambito civile.

Per scaricare direttamente la Sentenza n. 6677 dell’11 agosto 2026, proc. RG 45156/2021 del Tribunale di Milano e avviare il download del PDF del documento pubblico è sufficiente collegarsi alla banca dati BDP e inserire i dati della sentenza:

  • Distretto: MILANO
  • Ufficio: TRIBUNALE DI MILANO
  • Numero: 6677
  • Anno: 2026

A questo punto è sufficiente cliccare sul bottone Ricerca per ottenere la sentenza desiderata.

In alternativa, si può accedere direttamente alla Sentenza n. 6677 dell’11 agosto 2026, proc. RG 45156/2021 del Tribunale di Milano (NRG 45156/2021 deposito minuta 11/08/2026, pubblicazione 11/08/2026) cliccando direttamente su questo link, conformato per ottenere la sentenza specifica senza aprire i risultati della ricerca.

Conclusioni

In base a quanto abbiamo rilevato con l’analisi della sentenza, possiamo concludere che prima di iniziare una causa è fondamentale che l’avvocato, anche grazie al supporto del consulente tecnico, abbia piena consapevolezza non soltanto delle prove favorevoli, ma anche di quelle mancanti, non più acquisibili, tecnicamente insufficienti, ambigue o addirittura contrarie alla tesi che si vorrebbe sostenere, valutando con lucidità il rischio processuale che ne deriva e mettendo il cliente nella condizione di assumere una decisione realmente informata.

La digital forensics, in altre parole, non dovrebbe servire soltanto a produrre una perizia informatica quando la causa è già iniziata, ma dovrebbe intervenire prima, per verificare se esistano realmente evidenze sufficienti per iniziarla e, soprattutto, per comprendere con quali limiti quelle evidenze consentano di sostenere la ricostruzione che si intende portare in giudizio.

Nota metodologica

Le considerazioni in materia di prova digitale contenute in questo articolo costituiscono un’estensione tecnico-professionale dei principi e dei fatti esaminati nella sentenza n. 6677 dell’11 agosto 2026, proc. RG 45156/2021, Tribunale di Milano.

Precisiamo che il provvedimento riguarda una controversia in materia bancaria e una perizia econometrica, non una perizia informatica e il consulente coinvolto nella causa non è un consulente informatico forense bensì un commercialista: i riferimenti a copia forense, log, dati dei provider, dispositivi, volatilità e analisi delle evidenze digitali sono quindi applicazioni generali ai contesti di informatica forense che ho voluto utilizzare per contestualizzare il problema in un’area che ritengo compatibile con quanto descritto in sentenza, non si tratta di affermazioni testuali del Tribunale su tali specifici strumenti, come si può peraltro verificare scaricando la sentenza originale dal sito della Banca Dati di Merito del Ministero della Giustizia.

Le Prove Digitali nel Processo Civile – Convegno per Ordine Avvocati di Torino

Giovedì 28 maggio 2026 dalle 14:30 alle 17:30 si terrà in presenza presso l’Aula 74 – COA Torino, Palazzo di Giustizia, ingresso 18, primo piano – e in FAD tramite piattaforma zoom il seminario “Le Prove Digitali nel Processo Civile – Tipologia, Valore Probatorio, Produzione e Disconoscimento” durante il quale si parlerà di come tecnologia e informatica hanno consolidato nuovi scenari nella acquisizione forense di immagini, video e dati che, in caso di contenzioso, possono assumere rilevanza determinante al fine di fornire la prova della realtà fattuale.

Il seminario, organizzato dalla Commissione Scientifica dell’Ordine degli Avvocati di Torino è coordinato e moderato dagli Avv. Guido Napolitano, Avv. Fausta De Stefano ed Avv. Simona Castagna, Componenti della Commissione Scientifica del Consiglio dell’Ordine degli Avvocati di Torino e vede gli interventi di due relatori, il Dott. Paolo DAL CHECCO, Consulente Informatico Forense e il Prof. Avv. Alberto RONCO.

Il seminario approfondirà il tema della prova digitale nel processo civile, affrontando sia gli aspetti tecnici sia quelli giuridici. Verranno analizzati documenti informatici, immagini, video, email, screenshot, pagine web e dati cloud, con attenzione alla loro acquisizione, conservazione, autenticità e possibile manipolazione anche tramite Intelligenza Artificiale.

Saranno inoltre esaminati il valore probatorio dei documenti digitali, le modalità di produzione in giudizio, il disconoscimento e le più recenti pronunce giurisprudenziali in materia.

Il programma completo dell’evento “Le Prove Digitali nel Processo Civile” che si terrà a Torino presso il Tribunale, Aula 74, dalle 14:30 alle 17:30 di giovedì 28 maggio 2026 è il seguente:

Dott. Paolo DAL CHECCO, Consulente informatico forense.
I documenti informatici. Il documento informatico non sottoscritto elettronicamente.
Le immagini digitali, gli screenshot, i video digitali, le pagine web, i messaggi di posta elettronica, le scansioni di documenti cartacei. La ripartizione di informazioni e dati tra dispositivi, sistemi cloud e log di accesso. La copia forense e le modalità informatiche preferibilmente da attuare per la produzione dei documenti digitali nei diversi formati disponibili, anche in previsione di possibili future verifiche peritali. La verifica informatica della genuinità della prova informatica, in considerazione degli sviluppi della tecnologia, delle possibilità di modifica e manipolazione dei file e dell’avvento dell’Intelligenza Artificiale.

Prof. Avv. Alberto RONCO
L’inquadramento giuridico dei documenti informatici. La produzione del documento informatico. La necessità e/o l’opportunità di attestarne la conformità ad un originale e l’individuazione di che cosa sia questo originale. I termini e le modalità per la contestazione della provenienza e/o della veridicità del documento informatico (anche in funzione della tipologia della sua sottoscrizione). La contestazione di immagini digitali, screenshot, video digitali, pagine web, SMS, mail non certificate. Le conseguenze della contestazione e del disconoscimento e gli oneri della parte che ha prodotto il documento disconosciuto o contestato. La prova della trasmissione del documento e la distribuzione dell’onere relativo. Le più recenti pronunce di legittimità sui vari profili.

Le iscrizioni possono avvenire tramite la piattaforma “Riconosco”, la partecipazione è titolo per l’attribuzione di tre crediti formativi. l’evento potrà essere seguito in FAD gratuitamente dagli iscritti al Foro di Torino mentre per gli avvocati iscritti ad altri Fori la partecipazione prevede un costo di € 20,00: le indicazioni per il pagamento sono disponibili sulla piattaforma “Riconosco”.

La locandina ufficiale dell’evento “Le Prove Digitali nel Processo Civile – Tipologia, Valore Probatorio, Produzione e Disconoscimento” che si terrà presso il Tribunale di Torino giovedì 28 maggio 2026 è disponibile qui di seguito.

Lezione di specializzazione per l’avvocato penalista sulla prova digitale

Sabato 22 maggio 2026 si terrà la lezione del Corso Biennale di Specializzazione dell’Avvocato Penalista dal titolo “Le perquisizioni e i sequestri probatori informatici – La gestione del reperto informatico – L’acquisizione della prova digitale in dibattimento” che terrò insieme all’Avv. Marco Pittiruti.

La lezione – che fa parte del I° Corso di specializzazione dell’avvocato penalista 2025 – 2027, organizzato da UCPI in convenzione con il CNF e i Dipartimenti Universitari di Milano Bicocca, Bologna, Benevento, Palermo, Roma Tre, Unitelma Sapienza – sarà in presenza dalla sede della Scuola di Roma, Via del Banco di S. Spirito n.42.

Per una problematica dell’ultimo momento io parteciperò da remoto, l’Avv. Pittiruti sarà invece in presenza ew sono certo che sarà un’ottima occasione di confronto su temi attuali in ambito legale oltre che tecnico informatico forense.

Qui di seguito la locandina dell’evento di Roma su “Le perquisizioni e i sequestri probatori informatici – La gestione del reperto informatico – L’acquisizione della prova digitale in dibattimento.”, tenuto dai docenti Dr. Paolo Dal Checco – Consulente informatico forense – e Avv. Marco Pittiruti – Associato di diritto processuale penale Università degli Studi di Teramo.

Corso Biennale di Specializzazione Avvocato Penalista a Roma

L’Unione Camere Penali Italiane ha organizzato, in collaborazione con il Consiglio Nazionale Forense, il Dipartimento di Giurisprudenza dell’Università degli Studi di Milano –Bicocca, il Dipartimento di Scienze Giuridiche dell’Università degli Studi di Bologna “Alma Mater Studiorum”, la Scuola Superiore di Studi Giuridici dell’Università degli Studi di Bologna “Alma Mater Studiorum” il Dipartimento di Giurisprudenza dell’Università degli Studi di Roma Tre, l’Università degli Studi di Roma Unitelma Sapienza, il Dipartimento di Diritto e società digitale dell’Università degli Studi di Roma Unitelma Sapienza, il Dipartimento di Giurisprudenza dell’Università degli Studi di Palermo, il Dipartimento di Diritto, Economia, Management e Metodi quantitativi dell’Università degli Studi del Sannio Benevento, il I Corso di specializzazione dell’avvocato penalista indirizzo “Diritto penale dell’informazione, di internet e delle nuove tecnologie”.