Verifica delle identità nelle indagini informatiche: il passaggio obbligato per ottenere prove ammissibili

Nelle indagini informatiche, la prova non è solo ciò che trovi, ma ciò che riesci a legare con certezza a una persona. L’attribuzione dell’identità è il varco stretto che separa un indizio brillante da un documento davvero utilizzabile in giudizio. È un passaggio che ho imparato sulle strade di piccoli paesi, dove testimonianze e abitudini di comunità si intrecciano ai dati dei telefoni: senza un’identità verificata, le prove digitali restano fragili.

Attribuzione, non solo raccolta: perché conta in aula

Il valore di una prova digitale dipende dalla sua origine, integrità e attribuzione. Le prime due sono garantite da una corretta catena di custodia: acquisizione forense, calcolo e verifica degli hash, conservazione a norma. L’ultima, la più insidiosa, richiede di dimostrare che dietro un account, un dispositivo o un indirizzo IP c’era proprio la persona indicata nel capo d’accusa o nella causa civile.

In assenza di una verifica d’identità, la difesa può evocare scenari credibili: account condivisi in famiglia, accessi da dispositivi compromessi, SIM swap, proxy aziendali, bot che generano attività spurie. È qui che indagine e tecnica si incontrano: l’attribuzione efficace ricostruisce un quadro coerente sommandone i tasselli, fino a superare la soglia della ragionevole certezza richiesta dal giudice.

Potrebbe interessarti anche

Valutazione dei comportamenti sospetti: la scheda operativa usata dagli espertiA quali rischi va incontro chi improvvisa un’indagine privata? La tutela legale che conviene sempre considerareTrasferire dati all’estero durante un’indagine privata: la regola che evita gravi illecitiRapporto tra investigatori privati e forze dell’ordine: quando la collaborazione migliora la riuscita di un caso

Quadro normativo essenziale: tra privacy, identità digitale e standard

La base giuridica dell’attribuzione tocca normativa nazionale e sovranazionale. Il trattamento dei dati personali e dei metadati, così frequente in un accertamento tecnico, deve rispettare il principio di minimizzazione e finalità legittima previsti dal GDPR. In concreto: si raccolgono solo i dati necessari, si documentano le basi giuridiche, si separano gli archivi di lavoro da quelli di conservazione, e si tracciano gli accessi.

Sull’identità digitale, il riferimento europeo è il Regolamento eIDAS, che disciplina firme elettroniche, sigilli e servizi fiduciari. Nei procedimenti civili e, sempre più spesso, in quelli penali, la robustezza di una firma qualificata o di una marca temporale qualificata può fare la differenza tra una chat contestabile e un documento opponibile. Per servizi diffusi come PEC, SPID e CIE, i livelli di garanzia allineati a eIDAS aiutano a valutare la forza probatoria dell’attribuzione.

Le buone pratiche tecniche, invece, parlano la lingua di standard e linee guida: ISO/IEC 27037 per l’identificazione e la raccolta delle evidenze digitali; le raccomandazioni NIST per l’analisi dei dispositivi mobili e la gestione del log; le linee guida dell’Agenzia europea per la cybersicurezza sul logging. Nessuna di queste sostituisce la legge, ma in aula rappresentano un’ancora metodologica: dimostrare di averle seguite aumenta l’affidabilità della prova.

Come si verifica un’identità: metodi che reggono il contraddittorio

L’attribuzione efficace non è mai un colpo di fortuna. È un mosaico costruito con tecniche complementari, documentate in ogni passaggio.

Triangolazione OSINT e fonti chiuse

L’Open Source Intelligence fornisce tasselli preziosi: username ricorrenti, pattern di pubblicazione, biografie incrociate su social, fotografia dei contatti. Ma regge in aula solo se corroborata da dati non solo pubblici: log di accesso rilasciati dal provider, registrazioni KYC di piattaforme finanziarie, documenti aziendali o scolastici, attestazioni di enti.

Attribuzione dispositivo-rete

La catena indirizzo IP – timestamp – utente è un classico, ma fragile se isolata. Oggi CGNAT, reti aziendali e VPN oscurano i confini. Servono incastri ulteriori: user agent coerenti con i dispositivi sequestrati, cookie e token di sessione, fingerprint del browser, correlazioni con reti Wi-Fi note del soggetto. Nei telefoni, le liste di reti conosciute, i dati delle app di trasporto, i log delle notifiche e la telemetria di sistema possono inchiodare l’uso personale in un dato momento.

Identità finanziaria e scambio di valore

Pagamenti, wallet e abbonamenti sono spesso l’ago della bilancia. Un account Netflix pagato con carta intestata all’indagato, un wallet cripto collegato a un exchange con KYC, un IBAN ricorrente su marketplace: tutti elementi che, insieme, spostano l’asticella della certezza. Nelle criptovalute, le analisi di flusso on-chain incrociate con dati dei fornitori regolamentati creano ponti affidabili tra indirizzi e persone fisiche.

Biometria e riconoscimento: usare con prudenza

Riconoscimento facciale e vocale possono suggerire una pista, ma da soli raramente bastano. In Italia e in UE, l’uso dev’essere proporzionato e giustificato; i risultati vanno sempre sostenuti da evidenze indipendenti. Liveness check certificati, quando disponibili nei flussi KYC di terze parti, hanno più forza probatoria di un semplice confronto di immagini.

Contestualità e coerenza temporale

Le prove più solide parlano tra loro nello stesso tempo: un messaggio inviato quando il telefono era con l’indagato; una geolocalizzazione coerente con un POS o una telecamera di esercizio; una chiamata che coincide con lo sblocco biometrico del dispositivo. L’attribuzione è spesso un’opera di sincronia.

Documentare bene: catena di custodia, consenso, richieste ai provider

La documentazione è la cintura di sicurezza dell’indagine. Ogni step deve essere registrato: chi acquisisce, con quale strumento e versione, su quale supporto, con quali hash. I log dell’attività dell’analista devono restare separati dai dati acquisiti. Le richieste a provider e piattaforme vanno inviate con formule standard, tempi e riferimenti normativi: lo storico di IP, i record di sessione, le modifiche ai dati di profilo, i numeri verificati.

Quanto a testimonianze, se raccolte in sede civile o stragiudiziale, si curino le formalità: dichiarazioni datate, firmate, con indicazione della fonte e dei limiti di percezione. E non si dimentichi il consenso informato quando si ha a che fare con dispositivi di terzi in ambito non penale: evita contenziosi e rinforza la legittimità della raccolta.

Errori comuni che rendono fragile l’attribuzione

• Affidarsi a screenshot senza origine verificabile, privi di metadati forensi o marca temporale.
• Confondere l’IP pubblico di un condominio o di un’azienda con una persona specifica, senza ulteriori riscontri.
• Ignorare i fusi orari o l’orario legale: discordanze di pochi minuti possono far cadere una ricostruzione.
• Usare dati di piattaforme ottenuti in modo non conforme, pregiudicando l’ammissibilità.
• Prendere per oro colato gli EXIF di una foto: possono essere assenti, manipolati o riscritti da app.

Lezioni dal campo: piccoli centri, grandi verifiche

In un’indagine su una presunta truffa assicurativa per colpo di frusta, i messaggi audio scambiati su un’app di messaggistica sembravano scagionare l’assicurato. La controparte contestava l’autenticità e l’attribuzione dell’account. La svolta è arrivata correlando tre livelli: l’estrazione forense del telefono, che mostrava gli orari di backup; i registri Wi-Fi del bar del paese, dove l’assicurato si collegava ogni sera; la carta fedeltà del supermercato usata pochi minuti dopo gli audio contestati. Le tre fonti, indipendenti, hanno reso l’identità digitale in quel lasso di tempo difficilmente contestabile.

In un altro caso, legato a romance scam, il conto di appoggio in banca italiana risultava aperto con riconoscimento da remoto. L’analisi dei documenti KYC, la verifica della geolocalizzazione del selfie di onboarding e la corrispondenza del dispositivo usato con quello poi impiegato per i bonifici hanno permesso di attribuire il ruolo di money mule a un soggetto locale, separando la sua responsabilità da quella della gang estera.

AI, deepfake e autenticazioni forti: cosa cambia davvero

L’onda dell’intelligenza artificiale complica la vita agli investigatori e la semplifica ai truffatori. Voci clonate, volti sintetici e contenuti generati sollevano dubbi nuovi sulla genuinità delle prove, specie quando la fonte è social. La risposta non è diffidare di tutto, ma alzare l’asticella metodologica: privilegiare fonti primarie, adottare marcature temporali qualificate, verificare i flussi di generazione dei contenuti.

In parallelo, si diffondono autenticazioni forti lato utente: passkey e FIDO2, hardware-backed keys sugli smartphone, sistemi di liveness nativi in KYC bancari. Per gli investigatori significa poter contare su log di accesso più significativi e su segnali di non ripudio più robusti. In pratica, quando un’azione digitale è legata a un token hardware o a un fattore biometrico certificato, l’attribuzione guadagna solidità, pur restando da corroborare con la solita triangolazione.

Checklist operativa per una verifica d’identità a prova di aula

• Definisci l’ipotesi di attribuzione: chi, cosa, quando, con quale canale digitale.
• Mappa le fonti: dispositivi, provider, piattaforme, istituti di pagamento, luoghi fisici con log.
• Acquisisci in modo forense: imaging, hash, catena di custodia, environment riproducibile.
• Richiedi ai provider i dati essenziali: accessi, sessioni, modifiche, numeri e email verificate.
• Correla tempi e luoghi: log, POS, telecamere, celle, Wi-Fi, abitudini documentate.
• Valuta i livelli di garanzia dei sistemi d’identità: PEC, SPID, firme e marche temporali eIDAS.
• Inquadra la privacy: minimizzazione dei dati, basi giuridiche, registri delle attività.
• Redigi la relazione spiegando il metodo, non solo il risultato: standard seguiti e margini d’errore.

Come presentare le prove: forma, sostanza e credibilità

La relazione tecnica deve guidare il lettore tra ipotesi, fonti e verifiche, sempre distinguendo i fatti dalle opinioni. Allega estratti con hash, timeline sinottiche e, quando possibile, documenti con firma digitale e marca temporale conformi a eIDAS. Usa glossari semplici per il giudice, indica gli standard adottati e specifica gli elementi di confutazione considerati e scartati.

Nei casi più delicati, una perizia giurata aggiunge forza formale. Se presenti messaggi o contenuti online, preferisci acquisizioni certificate rispetto a screenshot; se devi riportare link, conserva anche il contenuto con hash e indicazione del momento di cattura. Evita ridondanze: troppe pagine oscurano i nessi, poche pagine non li dimostrano.

Conclusione: la prova che convince è una storia coerente

Verificare un’identità non significa trovare l’ago nel pagliaio, ma dimostrare che l’ago non poteva essere altrove. Nelle indagini informatiche, l’ammissibilità nasce da un percorso tracciabile: norme rispettate, dati raccolti con metodo, triangolazioni chiare, limiti dichiarati. È un lavoro paziente, spesso silenzioso, che dai monti ai capoluoghi segue sempre la stessa regola: ogni fatto digitale deve trovare un volto, un luogo e un’ora. Solo allora diventa davvero prova.