Recuperare chat cancellate da uno smartphone: perché oggi è molto più difficile di quanto si pensi

Dott. Domenico Moretta
Criminalista forense – Digital & Audio Forensics Expert
Studioso di diritto delle nuove tecnologie e prova digitale

Tra aspettative del cliente, limiti tecnici e realtà della mobile forensics moderna

Negli ultimi anni, e con particolare intensità negli ultimi mesi, sono sempre più frequenti le richieste di persone che chiedono di recuperare chat, messaggi vocali, fotografie, cronologie, dati applicativi o conversazioni cancellate dal proprio smartphone. Le ragioni sono spesso tutt’altro che banali: difendersi da accuse gravi, documentare minacce, provare una relazione comunicativa, ricostruire il contesto di una denuncia, dimostrare la genuinità di una conversazione o far valere un proprio diritto in sede civile, penale o familiare.

La domanda che arriva al consulente è quasi sempre la stessa: “Si può recuperare ciò che è stato cancellato?”.

La risposta corretta, però, non può essere né un sì generico né un no categorico. La risposta tecnicamente seria è: dipende.

Dipende dal modello del telefono, dal sistema operativo, dalla versione di Android o iOS, dal livello delle patch di sicurezza, dal tipo di cifratura, dallo stato del dispositivo, dall’applicazione utilizzata, dalla presenza di backup, dalla modalità di cancellazione, dal tempo trascorso dalla cancellazione, dall’uso successivo del telefono e, soprattutto, dal tipo di acquisizione tecnicamente e giuridicamente praticabile.

Questo contributo nasce proprio dall’esigenza di chiarire, in modo divulgativo ma rigoroso, perché il recupero dei dati cancellati dagli smartphone moderni sia diventato sempre più complesso e perché non sia corretto promettere risultati automatici, soprattutto quando si parla di chat WhatsApp, Telegram, Signal, Messenger, Instagram o altre applicazioni di messaggistica.

Lo smartphone moderno non è una semplice memoria da “scandagliare”

Per molti anni l’immaginario comune ha associato il recupero dati a un’idea abbastanza semplice: se un file viene cancellato, in realtà resta fisicamente nella memoria finché non viene sovrascritto. Quindi, con strumenti adeguati, lo si potrebbe recuperare.

Questa idea, in parte, è stata vera in molti contesti informatici tradizionali: hard disk, chiavette USB, vecchi telefoni, memory card, file system non cifrati o scarsamente protetti. Ma sugli smartphone moderni il discorso è profondamente diverso.

Un telefono attuale non è un contenitore neutro di file. È una piattaforma complessa, costruita intorno a più livelli di sicurezza:

• cifratura dei dati;
• separazione tra aree accessibili prima e dopo lo sblocco;
• protezione hardware delle chiavi;
• ambienti di esecuzione sicuri;
• limitazioni della porta USB;
• sandbox applicative;
• database cifrati;
• protezioni contro il brute force;
• cancellazione logica e gestione dinamica dello spazio;
• backup locali e cloud con regole proprie.

Quando un utente cancella un messaggio, una chat o un file, non sta semplicemente “spostando” un documento nel cestino. Sta interagendo con un’applicazione che, a sua volta, scrive e modifica dati in database, cache, file di log, backup, notifiche, allegati multimediali, metadati e sincronizzazioni cloud.

Cifratura: il primo grande ostacolo al recupero

La cifratura è il punto centrale.

Negli smartphone moderni i dati dell’utente non sono normalmente memorizzati “in chiaro”. Sono protetti da chiavi crittografiche legate al dispositivo, al sistema operativo, alla credenziale dell’utente e, nei dispositivi più evoluti, anche a componenti hardware dedicati.

Questo significa che non basta rimuovere la memoria fisica o accedere al file system per leggere i dati. Senza le chiavi corrette, ciò che si ottiene può essere solo una massa di dati cifrati e inutilizzabili.

Su Android, per anni è esistito il modello della Full Disk Encryption, cioè una cifratura dell’intera partizione dati. Nei dispositivi più recenti, però, il modello prevalente è la File-Based Encryption, o FBE.

La File-Based Encryption consente di cifrare file diversi con chiavi diverse e introduce una distinzione fondamentale tra due aree:

• Device Encrypted storage, cioè dati disponibili anche prima dello sblocco;
• Credential Encrypted storage, cioè dati disponibili solo dopo l’inserimento della credenziale dell’utente.

Questa distinzione è decisiva in ambito forense. Le informazioni veramente rilevanti — database delle app, chat, messaggi, allegati, configurazioni sensibili — si trovano normalmente nell’area protetta dalla credenziale. Se il telefono è spento o appena riavviato e non è mai stato sbloccato, molti di quei dati non sono accessibili in chiaro.

Anche Apple utilizza un modello di protezione molto sofisticato. Sugli iPhone, la protezione dei dati è strettamente integrata con il Secure Enclave, un sottosistema hardware separato e isolato dal processore principale. Il Secure Enclave concorre alla protezione delle chiavi e rende molto più difficile aggirare il codice di sblocco o derivare le chiavi necessarie per accedere ai dati.

In termini pratici, questo vuol dire che la possibilità di recuperare dati cancellati dipende prima ancora dalla possibilità di accedere ai dati del dispositivo in forma decrittata.

BFU e AFU: due sigle che cambiano tutto

Un concetto spesso ignorato, ma fondamentale, è la distinzione tra BFU e AFU.

BFU significa Before First Unlock. Il dispositivo è acceso dopo un riavvio, ma non è ancora stato sbloccato almeno una volta dall’utente.

AFU significa After First Unlock. Il dispositivo è stato già sbloccato almeno una volta dopo l’ultimo riavvio. Anche se in quel momento appare bloccato, alcune chiavi possono essere già state caricate in memoria.

La differenza è enorme.

In stato BFU, il telefono è molto più protetto. Le chiavi necessarie per leggere i dati più sensibili non sono ancora disponibili. In stato AFU, invece, il dispositivo è più esposto, perché una parte delle chiavi è già stata resa disponibile al sistema dopo il primo sblocco.

Per questo, nella pratica investigativa e forense, lo stato del dispositivo al momento della presa in carico è un’informazione essenziale. Un telefono spento non equivale a un telefono acceso. Un telefono acceso ma mai sbloccato dopo il riavvio non equivale a un telefono acceso e già sbloccato. Un telefono con codice noto non equivale a un telefono bloccato senza credenziale.

La differenza tra questi scenari può determinare il successo o il fallimento di un’acquisizione.

Cosa succede quando cancelliamo una chat?

Quando un utente cancella una chat, non sempre viene eliminato immediatamente ogni frammento di informazione. Molte applicazioni di messaggistica utilizzano database SQLite o strutture analoghe. In questi database, la cancellazione può comportare la rimozione logica del record, la marcatura dello spazio come riutilizzabile, la modifica di tabelle, l’aggiornamento di indici o la propagazione della modifica su file temporanei, journal o WAL.

Il Write-Ahead Log, noto come WAL, è un file utilizzato da SQLite per gestire le transazioni. In alcuni casi, può contenere informazioni recenti che non sono più presenti nel database principale. Analogamente, aree libere, freelist, cache, file temporanei o spazio non allocato possono talvolta conservare residui di dati cancellati.

Ma questo non significa che ogni dato cancellato sia recuperabile.

Il recupero dipende da molti fattori:

• se l’app conserva o meno residui nel database;
• se il database è cifrato;
• se il file WAL è ancora presente;
• se lo spazio è stato sovrascritto;
• se l’app ha effettuato operazioni di vacuum o pulizia;
• se il telefono è stato usato dopo la cancellazione;
• se il sistema ha ottimizzato o riorganizzato lo storage;
• se esistono backup locali o cloud;
• se il consulente può accedere all’area dati dell’app;
• se l’acquisizione è logica, file system, full file system o fisica.

La cancellazione, quindi, non è un evento unico e semplice. È un processo che può lasciare tracce diverse a seconda dell’applicazione, del sistema operativo e del tempo trascorso.

WhatsApp: il caso più frequente, ma anche uno dei più delicati

La maggior parte delle richieste riguarda WhatsApp.

Qui bisogna distinguere diversi livelli.

Il primo livello è il contenuto visibile nell’app: chat ancora presenti, messaggi ricevuti, vocali, foto, video, documenti, contatti, gruppi e metadati.

Il secondo livello è il database interno dell’applicazione. WhatsApp, su Android, conserva storicamente le conversazioni in database come msgstore.db, spesso protetti o esportati in forma cifrata nei backup. Su iOS la struttura è diversa, ma il principio non cambia: l’applicazione conserva dati in aree protette del dispositivo e in eventuali backup.

Il terzo livello è quello dei backup. Su Android si possono avere backup locali e backup Google Drive. Su iOS si possono avere backup iCloud o backup locali tramite computer. Questi backup possono contenere dati non più presenti sul dispositivo, ma solo se sono stati creati prima della cancellazione o se non sono stati sovrascritti da backup successivi.

Il quarto livello è quello degli artefatti indiretti: notifiche, anteprime, allegati multimediali rimasti in cartelle accessibili, miniature, cache, file temporanei, esportazioni precedenti, screenshot, WhatsApp Web/Desktop, dati presenti su altri dispositivi collegati.

Quando una persona chiede: “Può recuperarmi le chat cancellate?”, la prima risposta tecnica dovrebbe essere: “Dobbiamo capire dove potrebbero ancora trovarsi”.

Potrebbero trovarsi nel database attivo.
Potrebbero trovarsi in un backup.
Potrebbero trovarsi in residui SQLite.
Potrebbero trovarsi come allegati multimediali.
Potrebbero essere presenti su un altro dispositivo.
Potrebbero essere ricostruibili solo parzialmente.
Oppure potrebbero non essere più recuperabili.

Perché i nuovi telefoni rendono tutto più difficile

I telefoni più recenti sono progettati per proteggere i dati dell’utente anche contro accessi fisici non autorizzati.

Questa protezione è certamente positiva dal punto di vista della privacy e della sicurezza personale, ma ha un impatto diretto anche sulla digital forensics.

Oggi molti dispositivi integrano:

• cifratura file-based;
• protezione hardware delle chiavi;
• Trusted Execution Environment;
• Secure Element o componenti analoghi;
• controlli anti-brute force;
• restrizioni USB;
• protezioni contro downgrade e rollback;
• verified boot;
• sandbox applicativa;
• sistemi di cancellazione remota;
• auto-reboot o riavvio dopo inattività;
• limitazioni sempre maggiori all’accesso ai dati delle app.

Questo significa che la vecchia idea di “estrarre tutto dal telefono” è sempre meno realistica, soprattutto se il dispositivo è recente, aggiornato, bloccato e protetto da una password robusta.

Gli strumenti forensi commerciali più avanzati non funzionano per magia. Possono sfruttare vulnerabilità, modalità di servizio, bootloader, exploit, acquisizioni logiche, backup, accessi consentiti dall’utente o stati favorevoli del dispositivo. Ma la loro efficacia dipende dal modello, dalla versione del sistema, dallo stato BFU/AFU e dalle vulnerabilità disponibili in quel momento.

Per questo motivo, chi promette il recupero certo di chat cancellate senza prima analizzare il caso concreto sta facendo una promessa tecnicamente imprudente.

Acquisizione logica, file system, full file system e fisica: non sono la stessa cosa

Un altro equivoco molto comune riguarda il tipo di acquisizione.

L’acquisizione logica consente di estrarre ciò che il sistema o le API consentono di esportare: contatti, messaggi ancora accessibili, media, alcuni dati applicativi, backup o informazioni sincronizzate. È meno invasiva, ma anche più limitata.

L’acquisizione file system consente di accedere a una porzione più ampia della struttura dei file, ma non necessariamente a tutto ciò che serve per ricostruire dati cancellati.

La full file system acquisition mira a ottenere una copia molto più completa del file system del dispositivo, comprese aree applicative più profonde. Tuttavia, sui dispositivi moderni, può richiedere condizioni tecniche particolari, exploit, accesso privilegiato, stato AFU o compatibilità specifica con il modello.

L’acquisizione fisica, intesa come immagine bit-a-bit della memoria, sui moderni smartphone cifrati è spesso molto meno utile di quanto si pensi, perché senza le chiavi corrette può restituire dati cifrati e non leggibili.

Quindi non basta dire: “facciamo un’acquisizione”. Bisogna capire quale tipo di acquisizione sia possibile, lecita, proporzionata e utile rispetto all’obiettivo probatorio.

Il ruolo dei backup: spesso la vera chiave del recupero

Quando si parla di chat cancellate, i backup possono essere più importanti del telefono stesso.

Un backup creato prima della cancellazione può contenere dati che sul dispositivo non sono più visibili. Questo vale per backup WhatsApp, backup iCloud, backup iTunes/Finder, backup Android, backup Google, backup applicativi o esportazioni precedenti.

Tuttavia anche qui bisogna fare attenzione.

Un backup successivo alla cancellazione può aver sovrascritto quello precedente. Un backup cifrato può richiedere password o credenziali. Un backup cloud può essere soggetto a regole di sincronizzazione, conservazione e cancellazione proprie. Un backup locale può essere incompleto. Un backup WhatsApp può contenere dati non immediatamente leggibili senza la corretta chiave di decrittazione o senza lo strumento adeguato.

Per questo, in molti casi, la prima attività utile è fotografare lo scenario:

• esistono backup?
• quando sono stati creati?
• sono anteriori o posteriori alla cancellazione?
• sono locali o cloud?
• sono cifrati?
• sono stati sovrascritti?
• possono essere acquisiti in modo forense?
• contengono il periodo di interesse?

Questa verifica preliminare è spesso decisiva.

Il tempo è un fattore probatorio

Chi ha cancellato una chat e poi continua a usare intensamente il telefono riduce progressivamente le possibilità di recupero.

Ogni nuovo messaggio, aggiornamento, download, backup, sincronizzazione, installazione, cancellazione o attività dell’app può modificare database, file temporanei, cache, WAL e spazio libero.

In termini pratici, più il telefono viene usato dopo la cancellazione, maggiore è il rischio che eventuali residui vengano sovrascritti o resi non più recuperabili.

Per questo motivo, quando il dato ha potenziale rilevanza giudiziaria, la prima raccomandazione è evitare iniziative improvvisate:

• non reinstallare l’app;
• non ripristinare backup a caso;
• non fare “prove” con app di recupero dati;
• non collegare il telefono a software non verificati;
• non cancellare altri contenuti;
• non aggiornare inutilmente il sistema;
• non inizializzare il dispositivo;
• non cambiare telefono senza prima valutare il contenuto probatorio.

In ambito forense, il comportamento successivo alla cancellazione può essere determinante.

Recuperare non significa solo “trovare”: significa dimostrare

C’è poi un punto spesso sottovalutato.

Anche quando un dato viene recuperato, non basta “averlo trovato”. Bisogna dimostrare come è stato trovato, da dove proviene, con quale metodo è stato acquisito, se è integro, se è attribuibile, se è contestualizzato e se può essere utilizzato in giudizio.

Una chat recuperata senza metodo, senza catena di custodia, senza descrizione tecnica, senza hash, senza indicazione dello strumento, senza log e senza contestualizzazione rischia di essere fragile sul piano probatorio.

La vera differenza tra una semplice produzione documentale e un’analisi forense è proprio questa: non ci si limita a mostrare il contenuto, ma si ricostruisce il percorso tecnico che consente di valutarne origine, integrità, attendibilità e significato.

Nel caso delle chat, questo è ancora più importante. Il singolo messaggio, letto isolatamente, può essere fuorviante. Una conversazione deve essere analizzata nel suo contesto: messaggi precedenti e successivi, timestamp, allegati, vocali, reazioni, cancellazioni, eventuali inoltri, dispositivi coinvolti, backup, esportazioni e metadati.

La prova digitale non è solo contenuto. È contenuto più contesto più metodo.

Cosa dovrebbe fare chi ha bisogno di recuperare dati cancellati

Quando una persona ritiene di avere bisogno di recuperare chat o dati cancellati per finalità difensive o probatorie, il percorso corretto dovrebbe essere ordinato.

Prima di tutto occorre preservare il dispositivo e ridurre l’uso al minimo. Poi bisogna raccogliere le informazioni essenziali:

• modello del telefono;
• sistema operativo e versione;
• stato del dispositivo;
• codice di sblocco disponibile o meno;
• app interessata;
• periodo temporale da ricostruire;
• tipo di dato cancellato;
• data presumibile della cancellazione;
• presenza di backup;
• eventuali altri dispositivi collegati;
• finalità della richiesta;
• urgenza processuale o difensiva.

Solo dopo questa valutazione si può decidere se procedere con:

• acquisizione forense del dispositivo;
• acquisizione di backup locali;
• verifica dei backup cloud;
• estrazione selettiva di chat ancora presenti;
• analisi dei database;
• ricerca di artefatti residui;
• recupero di media;
• analisi di notifiche e cache;
• confronto con altri dispositivi;
• redazione di relazione tecnica.

Il recupero non dovrebbe mai essere affrontato come un tentativo casuale. Deve essere trattato come un’attività tecnica documentata.

Il recupero delle chat cancellate è uno dei temi più delicati della mobile forensics contemporanea.

Da un lato, le esigenze delle persone sono reali: difendersi, provare un fatto, contrastare accuse, documentare minacce, ricostruire rapporti, tutelare minori, dimostrare la verità di una conversazione.

Dall’altro lato, la tecnologia degli smartphone moderni è sempre più orientata alla protezione dei dati: cifratura file-based, Secure Enclave, TEE, chiavi hardware, restrizioni USB, sandbox applicative e backup cifrati rendono il recupero sempre più complesso.

Il punto di equilibrio è il metodo.

Non bisogna alimentare false aspettative, ma non bisogna neppure escludere a priori ogni possibilità. In molti casi, qualcosa può essere ancora ricostruito: da backup, database, file WAL, cache, notifiche, allegati, dispositivi collegati o artefatti indiretti. In altri casi, invece, il dato può essere realmente non più recuperabile.

La valutazione deve essere tecnica, caso per caso.

Per questo, quando una chat cancellata può avere valore giudiziario, la scelta più corretta non è affidarsi a software generici di recupero, ma rivolgersi a un consulente in grado di acquisire, preservare, analizzare e spiegare il dato secondo criteri forensi.

Perché nel processo non conta soltanto “trovare” un messaggio. Conta poter dimostrare, con metodo, da dove proviene, come è stato acquisito, se è integro, se è attribuibile e quale significato assume nel contesto complessivo della vicenda.

✒️ Nota sull’autore

Domenico Moretta, laureato in Diritto della Società Digitale, è criminalista forense e consulente tecnico specializzato in digital forensics, audio forense e trascrizioni giuridiche. Autore di volumi divulgativi e professionali, affianca all’attività peritale un costante percorso di approfondimento nelle discipline giuridiche e nelle tecnologie applicate alla prova digitale.
Con il progetto www.acquisizioneprovedigitali.it promuove una cultura integrata tra scienze forensi, innovazione tecnologica e tutela dei diritti nell’ambiente digitale.

CLICCA QUI PER RICHIEDERE MAGGIORI INFORMAZIONI