Il
primo errore può avvenire prima che il video arrivi al consulente

Quando si parla di analisi forense dei filmati, l’attenzione si
concentra quasi sempre sulle attività svolte in laboratorio:
miglioramento delle immagini, estrazione dei fotogrammi, ricostruzione
temporale, comparazione dei soggetti o degli oggetti ripresi.

In molti casi, però, il problema nasce prima. Nasce nel momento in
cui il filmato viene individuato, esportato e consegnato agli
investigatori o alle parti processuali.

Un video può essere chiaramente visibile e riproducibile, ma avere
già perso informazioni rilevanti: metadati, temporizzazioni, risoluzione
originaria, fotogrammi, tracce audio o elementi necessari a ricostruirne
la provenienza. Il fatto che un file “si apra” non significa, quindi,
che sia stato acquisito correttamente né che rappresenti la migliore
evidenza disponibile.

Un recente approfondimento di David Spreadborough, Senior Forensic
Video Analyst di Amped Software, pubblicato da Forensic
Magazine con il titolo “From
Powder to Pixels: Taming the Digital Beast at the Crime Scene”,
richiama un cambiamento ormai evidente: la scena del crimine
contemporanea non contiene soltanto impronte, tracce biologiche e
reperti materiali. È popolata da telecamere, DVR, NVR, videocitofoni,
smartphone, sistemi cloud e dispositivi connessi.

Il personale che interviene per primo è pertanto chiamato, sempre più
spesso, ad agire anche come digital first responder.
Una scelta apparentemente banale effettuata sul posto può conservare
l’informazione oppure comprometterla definitivamente.

Il video non è “soltanto un
file”

La convinzione che acquisire un filmato significhi semplicemente
copiarlo su una pen drive è tecnicamente pericolosa.

I sistemi di videosorveglianza costituiscono un ecosistema fortemente
eterogeneo. Possono utilizzare:

• formati proprietari;
• codec non comuni;
• sistemi di compressione più o meno aggressivi;
• registrazione continua o attivata dal movimento;
• memorizzazione locale, remota o ibrida;
• strutture temporali e metadati gestiti in modo differente;
• applicazioni proprietarie necessarie per la corretta
  riproduzione.

Inoltre, molti registratori operano mediante sovrascrittura ciclica.
Raggiunta la capacità disponibile, i dati più risalenti vengono
cancellati e sostituiti dalle nuove registrazioni. Il filmato, quindi, è
una fonte di prova deperibile: il ritardo
nell’intervento può determinarne la perdita anche senza alcuna condotta
dolosa.

Le Best
Practices for Data Acquisition from Digital Video Recorders dello
Scientific Working Group on Digital Evidence – SWGDE sottolineano
proprio che i dati contenuti nei DVR devono essere acquisiti nel più
breve tempo possibile e che l’obiettivo è ottenere la migliore qualità e
la rappresentazione più accurata disponibili.

Registrare
il monitor con uno smartphone non equivale ad acquisire il filmato

Uno degli errori più frequenti consiste nel riprendere con uno
smartphone il monitor sul quale viene mostrata la registrazione.

Questa modalità può avere una funzione emergenziale o di
documentazione preliminare, soprattutto quando non sia possibile
procedere immediatamente all’esportazione. Non può però essere
considerata equivalente all’acquisizione del dato memorizzato nel
sistema.

La registrazione dello schermo può infatti introdurre:

• riflessi e alterazioni cromatiche;
• perdita di risoluzione e di dettaglio;
• deformazioni prospettiche;
• sfarfallii dovuti alla diversa frequenza di aggiornamento;
• salti o duplicazioni apparenti dei fotogrammi;
• perdita dei metadati originari;
• impossibilità di verificare codec, frame rate e struttura
  temporale;
• rumori ambientali sovrapposti all’eventuale audio registrato.

In sostanza, non viene acquisito il filmato presente nel DVR, ma una
nuova registrazione che rappresenta il monitor mentre riproduce quel
filmato. Si tratta di un dato derivato, tecnicamente diverso dalla
sorgente.

Quando la ripresa del monitor rappresenta l’unica soluzione
praticabile, questa circostanza deve essere dichiarata e documentata,
chiarendo i limiti del materiale ottenuto. La stessa SWGDE colloca la
cattura del segnale o la ripresa del monitor tra le soluzioni
subordinate, da utilizzare quando il video è visualizzabile ma non
esportabile.

Tre
livelli di acquisizione: non esiste una procedura valida per ogni
sistema

La modalità operativa deve essere scelta in relazione al dispositivo,
alle condizioni del sistema, al tempo disponibile e al perimetro
dell’autorizzazione.

1. Esportazione
attraverso l’interfaccia del DVR o NVR

È normalmente il primo livello di intervento. Si utilizza la funzione
nativa di esportazione, backup o archiviazione del registratore,
salvando i dati su un supporto esterno.

Quando il sistema offre più opzioni, è opportuno acquisire:

• il formato nativo o proprietario;
• il relativo player o codec;
• se disponibile, anche una versione in formato aperto destinata alla
  consultazione.

Prima di lasciare il luogo, occorre verificare che i file esportati
siano effettivamente riproducibili e che comprendano tutte le
telecamere, l’intervallo temporale e l’eventuale audio di interesse.

2. Acquisizione attraverso la
rete

In alcuni sistemi è possibile collegarsi direttamente al registratore
mediante rete locale, interfaccia web o software proprietario. Questa
modalità può consentire il download dei flussi registrati e dei log, ma
richiede cautela.

Un’applicazione remota potrebbe mostrare o esportare un flusso
secondario, con risoluzione e frame rate inferiori rispetto a quelli
conservati sul dispositivo. Eventuali modifiche necessarie per
instaurare la connessione devono essere ridotte al minimo e documentate,
operando preferibilmente sul computer utilizzato per l’acquisizione e
non sul DVR.

3. Accesso diretto ai
supporti di memorizzazione

Quando il sistema è danneggiato, non accessibile, protetto da
credenziali sconosciute o contiene grandi quantità di dati, può rendersi
necessario rimuovere il disco e realizzarne un’immagine forense.

L’operazione richiede competenze specialistiche, documentazione
accurata e l’impiego di un write blocker. Spegnere e riavviare un DVR
non è una scelta neutra: un disco degradato potrebbe non ripartire,
mentre alcuni sistemi potrebbero modificare dati o tentare una
reinizializzazione del supporto.

Prima di procedere, devono pertanto essere valutati i rischi e,
quando possibile, acquisita almeno una registrazione di sicurezza delle
sequenze rilevanti. È inoltre importante ricordare che l’immagine fisica
del disco non garantisce automaticamente la possibilità di ricostruire i
filmati: file system proprietari, configurazioni RAID e strutture
frammentate possono rendere necessarie attività di recupero
complesse.

Formato
nativo e formato “comodo” non sono la stessa cosa

Il formato più semplice da aprire non è necessariamente quello più
utile per l’analisi.

Il file nativo tende a conservare più informazioni sulla struttura
della registrazione, sulla temporizzazione e sul rapporto tra i flussi.
Per questa ragione dovrebbe essere preservato insieme all’eventuale
software di riproduzione.

Ciò non significa che un file con estensione AVI o MP4 sia
automaticamente alterato o ricompresso. AVI e MP4 sono contenitori: per
comprendere cosa sia realmente accaduto occorre esaminare codec,
parametri, struttura e modalità con cui il sistema ha prodotto
l’esportazione.

Occorre inoltre distinguere:

• re-wrapping o cambio di contenitore, nel quale il
  flusso video può rimanere invariato ma alcuni metadati possono essere
  modificati o persi;
• transcodifica lossless, che modifica la codifica
  senza introdurre, in linea teorica, perdita di informazione visiva;
• transcodifica lossy, che applica una nuova
  compressione con possibile perdita di dettaglio e alterazione dei valori
  dei pixel;
• screen capture, che genera un nuovo filmato a
  partire da ciò che viene visualizzato.

Le Best
Practices for Digital Forensic Video Analysis raccomandano di
limitare le conversioni non necessarie, eseguire le elaborazioni sulla
copia di lavoro e documentare strumenti, ordine delle operazioni e
parametri utilizzati, affinché il procedimento possa essere valutato e,
per quanto possibile, riprodotto.

L’orario
impresso nel video può non coincidere con quello reale

Il timestamp visualizzato sul filmato non deve essere assunto
automaticamente come esatto.

Un DVR può presentare:

• orologio anticipato o ritardato;
• fuso orario errato;
• mancato aggiornamento dell’ora legale;
• progressiva deriva dell’orologio interno;
• data non corretta dopo un’interruzione dell’alimentazione;
• impostazioni diverse tra registratore, telecamere e server.

Sul posto dovrebbe essere effettuato un confronto tra l’orario
mostrato dal sistema e una fonte temporale attendibile, documentando
entrambi nello stesso momento. Devono essere annotati il dispositivo
utilizzato come riferimento, lo scostamento rilevato, il fuso orario e
ogni altra circostanza utile.

È altrettanto importante non correggere l’orologio del DVR
prima dell’acquisizione. Modificarlo significherebbe alterare
la configurazione che deve essere osservata e documentata. Se
l’intervallo d’interesse è molto ampio, può essere necessario verificare
anche l’eventuale deriva temporale, perché uno scostamento misurato oggi
potrebbe non coincidere esattamente con quello esistente alla data del
fatto.

Questo aspetto può diventare decisivo quando occorre sincronizzare
più telecamere, confrontare un video con tabulati, localizzazioni,
accessi, telefonate o altre fonti dotate di un proprio riferimento
cronologico.

L’hash
dimostra l’integrità, non certifica da solo l’autenticità

Il calcolo dell’hash costituisce un passaggio essenziale, ma il suo
significato deve essere descritto correttamente.

Una funzione crittografica, come SHA-256, produce un’impronta
associata a una determinata sequenza di dati. Se anche un solo bit del
file cambia, il valore ottenuto sarà diverso. Il confronto tra hash
consente quindi di verificare che due copie siano identiche o che un
file non sia cambiato dopo il momento in cui l’impronta è stata
calcolata.

L’hash, tuttavia, non dimostra da solo:

• chi abbia prodotto il filmato;
• quale dispositivo lo abbia generato;
• se data e ora siano corrette;
• se il file sia completo;
• se l’esportazione abbia escluso alcune telecamere o determinati
  intervalli;
• se il dato fosse già stato modificato prima del calcolo.

È quindi tecnicamente improprio presentare l’hash come una
certificazione assoluta di autenticità. La posizione
SWGDE sull’impiego degli algoritmi di hash chiarisce che la verifica
riguarda le modifiche intervenute dal momento del calcolo e che la
continuità della custodia inizia già durante la raccolta, prima ancora
della generazione dell’impronta.

L’autenticità richiede una valutazione più ampia, fondata sulla
provenienza, sulle modalità di acquisizione, sulla struttura del file,
sui metadati disponibili, sulla coerenza audiovisiva e sulla
documentazione delle diverse attività.

Master di
acquisizione, copia di lavoro e file derivati

Una corretta gestione dovrebbe distinguere almeno tre livelli:

Master di acquisizione

È il dato ottenuto direttamente dalla sorgente mediante la procedura
prescelta. Deve essere identificato, sottoposto ad hash, protetto da
modifiche e conservato senza effettuare elaborazioni.

È preferibile parlare di master di acquisizione e
non sempre di “originale”, perché il dato originariamente registrato può
continuare a risiedere all’interno del DVR, mentre ciò che viene
consegnato è il risultato della sua esportazione.

Copia di lavoro

È una copia verificata del master, utilizzata per la riproduzione,
l’esame tecnico e le elaborazioni. Il confronto degli hash permette di
dimostrare che la copia iniziale coincide con il file acquisito.

Derivati

Sono i prodotti delle successive attività: conversioni, ritagli,
ingrandimenti, chiarificazioni, estrazioni di fotogrammi, rallentamenti
o sequenze destinate alla presentazione.

Ogni derivato dovrebbe rimanere collegato al master attraverso una
documentazione che indichi file di origine, operazioni compiute,
strumenti, parametri e nuovi valori hash. L’elaborazione non è vietata:
deve essere trasparente, tecnicamente motivata e ripercorribile.

Cloud,
videocitofoni e file ricevuti tramite applicazioni di messaggistica

La stessa attenzione deve essere applicata ai filmati archiviati nel
cloud o messi a disposizione da privati.

Il download effettuato da un portale, la condivisione tramite link e
l’invio attraverso WhatsApp, Telegram, e-mail o social network non sono
operazioni equivalenti. Alcune piattaforme possono ricomprimere il
contenuto, rimuovere metadati, modificare il nome del file o rendere
disponibile soltanto una versione a risoluzione ridotta.

Quando possibile, il dato dovrebbe essere acquisito direttamente
dall’account, dal dispositivo o dalla piattaforma che conserva la
versione di qualità più elevata, documentando:

• soggetto che ha eseguito l’accesso;
• account utilizzato;
• data e ora del download;
• percorso seguito;
• denominazione originaria del file;
• eventuali informazioni mostrate dal servizio;
• hash calcolato immediatamente dopo l’acquisizione.

Un filmato ricevuto tramite messaggistica può certamente conservare
valore informativo. Occorre però evitare di definirlo “originale” in
assenza di una verifica sulla sorgente e sulla modalità di trasmissione.
L’hash calcolato sul file ricevuto ne cristallizza quella specifica
versione, non ricostruisce ciò che potrebbe essere andato perduto
prima.

Il
valore processuale dipende anche dalla possibilità di controllo

Nel processo penale italiano, le videoregistrazioni formate al di
fuori del procedimento, come quelle provenienti da sistemi privati di
sicurezza, possono essere acquisite come prova documentale. L’articolo
234 c.p.p. consente infatti l’acquisizione di documenti che
rappresentano fatti, persone o cose mediante fotografia, cinematografia,
fonografia o qualsiasi altro mezzo.

Il piano dell’utilizzabilità processuale non deve però essere confuso
con quello dell’attendibilità tecnica.

L’assenza dell’hash, la disponibilità della sola copia convertita o
una catena di custodia incompleta non determinano automaticamente, in
ogni situazione, l’inutilizzabilità del filmato. Possono tuttavia
incidere sulla possibilità di verificarne provenienza, integrità,
completezza e corrispondenza alla sorgente, alimentando contestazioni
sul peso probatorio dell’evidenza.

Il quesito corretto non è soltanto: “Il video si vede?”. Occorre
chiedersi:

• da quale sistema proviene?
• chi lo ha esportato e con quale procedura?
• esiste una versione nativa?
• l’intervallo è completo?
• tutte le telecamere pertinenti sono state considerate?
• l’orario è stato verificato?
• il file è stato ricompresso o convertito?
• sono disponibili log, player e informazioni sul dispositivo?
• le attività successive sono documentate?

L’affidabilità della prova deriva dalla possibilità di sottoporre
questi elementi a controllo tecnico e al contraddittorio, non dalla
semplice riproducibilità del file.

Checklist
essenziale prima di lasciare il luogo

Prima di considerare conclusa l’acquisizione, sarebbe opportuno
verificare almeno i seguenti punti:

1. identificazione di marca, modello e numero seriale del DVR o
   NVR;
2. documentazione fotografica del dispositivo, dei collegamenti e della
   posizione delle telecamere;
3. verifica delle telecamere effettivamente collegate e operative;
4. individuazione dell’intervallo temporale completo, includendo un
   margine precedente e successivo all’evento;
5. confronto tra orario del sistema e fonte temporale attendibile,
   senza modificare il DVR;
6. annotazione delle impostazioni rilevanti: risoluzione, frame rate,
   registrazione continua o motion detection;
7. esportazione del formato nativo e acquisizione del relativo player o
   codec;
8. eventuale esportazione secondaria in formato aperto;
9. acquisizione dell’audio e dei log, quando presenti e
   pertinenti;
10. verifica della riproducibilità e della completezza dei file prima di
    lasciare la scena;
11. calcolo e registrazione degli hash nel più breve tempo
    possibile;
12. conservazione del master e utilizzo di una copia verificata per le
    analisi;
13. verbalizzazione delle persone presenti, delle operazioni eseguite e
    di eventuali anomalie o deviazioni dalla procedura ordinaria.

Una checklist non sostituisce la competenza dell’operatore, ma riduce
il rischio che un passaggio essenziale venga trascurato in una fase
spesso caratterizzata da urgenza, difficoltà logistiche e sistemi poco
familiari.

Conclusioni

L’analisi forense non può sempre recuperare ciò che è stato perso
durante l’acquisizione.

Un filmato convertito, incompleto o privo di adeguata documentazione
può continuare a offrire informazioni utili. Non possiede
necessariamente, però, lo stesso valore tecnico del dato acquisito
correttamente dalla sorgente.

Per questo la scena del crimine deve essere considerata anche una
scena digitale. Il DVR non è un semplice elettrodomestico dal quale
prelevare una sequenza video, così come un file non diventa attendibile
per il solo fatto di essere visibile o accompagnato da un valore
hash.

Preservare il formato nativo, verificare il riferimento temporale,
separare master e copie di lavoro, documentare ogni passaggio e
dichiarare i limiti dell’acquisizione non rappresentano formalismi. Sono
le condizioni che consentono di ricostruire la storia del dato e di
sottoporlo a una valutazione tecnica realmente controllabile.

Quando un procedimento dipende da immagini di videosorveglianza, la
verifica dovrebbe pertanto iniziare dalla sorgente e dalle modalità di
acquisizione, prima ancora che dal contenuto visibile del filmato.

---

Riferimenti essenziali

• David Spreadborough, From
  Powder to Pixels: Taming the Digital Beast at the Crime Scene,
  Forensic Magazine, 21 settembre 2026.
• SWGDE, Best
  Practices for Data Acquisition from Digital Video Recorders,
  versione 1.3, 28 febbraio 2025.
• SWGDE, Best
  Practices for Digital Forensic Video Analysis, versione 2.0, 10
  dicembre 2025.
• SWGDE, Position
  on the Use of MD5 and SHA1 Hash Algorithms in Digital and Multimedia
  Forensics.
• NIST, Recommendation:
  Closed Circuit Television Digital Video Export Profile – Level 0,
  Revision 1, NISTIR 8161r1.
• Art.
  234 del Codice di procedura penale, D.P.R. 22 settembre 1988,
  n. 447.

---