Quando uno smartphone improvvisamente mostra attività insolite, rivela informazioni private di un'altra persona o non visualizza messaggi importanti, sorge spontanea la domanda se si sia verificato un accesso non autorizzato. Tuttavia, un'indagine tecnica non parte dal presupposto che siano effettivamente presenti spyware, un attacco hacker o una manipolazione deliberata. Ciò che conta sono le tracce digitali effettivamente presenti sul dispositivo e nelle relative fonti di dati.

A Brema, per i privati, analizziamo smartphone, computer e altre prove digitali, in particolare in caso di sospetto accesso non autorizzato, comunicazioni cancellate, account utente sospetti o controversie digitali a seguito di una separazione. Le aziende necessitano di supporto forense informatico in situazioni quali fughe di dati, sospetti interni, incidenti informatici o potenziale divulgazione di dati aziendali e di progetto riservati.

Brema possiede un contesto economico unico. Le attività portuali e logistiche, l'industria aerospaziale, automobilistica e le aziende industriali con una presenza internazionale ne plasmano il territorio. Qui i dati digitali possono includere comunicazioni personali, documentazione tecnica, informazioni sulla catena di approvvigionamento, dati di sviluppo o informazioni aziendali sensibili.

Analisi forense informatica a Brema: quali tracce digitali sono davvero significative?

L'obiettivo di un'indagine forense non è quello di raccogliere quanti più dati possibile, ma di rispondere a una domanda specifica. Qualcuno ha avuto accesso a uno smartphone? È possibile trovare tracce di comunicazioni cancellate? Alcuni file sono stati elaborati su un computer aziendale? Quali sistemi sono stati colpiti da un attacco informatico?

Un singolo elemento non è spesso sufficiente. Una chiavetta USB collegata a un computer non prova il furto di dati. Un login da un utente sconosciuto non identifica automaticamente il colpevole. E un aumento del consumo della batteria non costituisce una prova tecnica di sorveglianza dello smartphone.

Un'indagine diventa più affidabile quando diverse informazioni tecniche si integrano tra loro e possono essere correlate nel tempo.

Analisi forensi di telefoni cellulari per privati ​​a Brema

Oggi gli smartphone contengono gran parte della vita personale: WhatsApp e altre app di messaggistica, foto, email, contatti, account utente, informazioni sulla posizione, connessioni al cloud e numerosi dati delle app.

Un esame può essere utile, ad esempio, se si desidera sapere :

• se vi sono indicazioni di accesso non autorizzato,
• sia che si possano rilevare app o configurazioni insolite,
• se dispositivi sconosciuti sono collegati ai tuoi account,
• se i messaggi WhatsApp cancellati possano essere ancora tecnicamente rilevanti,
• se i metodi di accesso digitale esisteranno ancora dopo una separazione,
• se foto, documenti o altri dati possono ancora essere salvati,
• o se le informazioni digitali debbano essere documentate per fini legali.

I dati che possono effettivamente essere esaminati dipendono, tra le altre cose, dal dispositivo, dal sistema operativo, dallo stato di sicurezza, dalla crittografia e dal metodo di estrazione tecnicamente disponibile.

Il mio telefono potrebbe essere stato hackerato: cosa si può indagare?

In caso di sospetto accesso non autorizzato, a seconda del dispositivo, è possibile esaminare applicazioni, autorizzazioni, artefatti di sistema, account utente e altre informazioni tecnicamente rilevanti.

È importante non limitarsi a cercare esclusivamente spyware classici. Password note, dispositivi ancora autorizzati, account Apple o Google condivisi, sincronizzazioni cloud o dispositivi di messaggistica collegati possono anch'essi consentire a terzi di accedere alle informazioni.

L'indagine approfondita rimane pertanto in corso. Qualora non emergessero prove attendibili di compromissione all'interno dei dati disponibili, anche questa conclusione farà parte del risultato.

Accesso esterno dopo una separazione

Soprattutto dopo una rottura, spesso sorgono incertezze digitali. Gli ex partner potrebbero aver configurato dispositivi insieme, conoscere le password o aver utilizzato funzionalità cloud e familiari.

Ciò significa che le connessioni digitali potrebbero essere rimaste attive anche senza l'installazione di software di sorveglianza nascosto.

A seconda dei casi, può quindi essere utile considerare non solo lo smartphone in sé, ma anche gli account pertinenti, i dispositivi connessi e i metodi di accesso tecnicamente plausibili.

WhatsApp come prova digitale

La comunicazione tramite WhatsApp può essere di notevole importanza in caso di conflitti privati, frodi, minacce o controversie legali.

Un'analisi forense non si limita al testo visibile di una chat. A seconda dei dati disponibili, possono essere rilevanti messaggi, timestamp, informazioni sui partecipanti, contenuti multimediali, documenti, informazioni sul gruppo e altri artefatti tecnici.

Uno screenshot ha un significato tecnico diverso rispetto ai dati provenienti da una fonte originale verificabilmente protetta.

Spieghiamo le possibilità tecniche in modo più dettagliato nell'articolo della knowledge base "Analisi forense dei messaggi WhatsApp".

Messaggi eliminati: cosa potrebbe esserci ancora?

I messaggi WhatsApp o altri dati di comunicazione eliminati non possono essere recuperati automaticamente. Tuttavia, sarebbe altrettanto errato affermare in modo categorico che nessuna informazione tecnica possa mai rimanere dopo l'eliminazione.

Il dispositivo, il sistema operativo, la versione dell'app, lo stato del database, i backup esistenti e l'utilizzo successivo alla cancellazione influenzano significativamente le possibilità.

Qualora si preveda un'indagine successiva, è sconsigliabile reinstallare WhatsApp prematuramente e, se possibile, evitare di ripristinare lo smartphone.

Foto, video e documenti eliminati

Anche immagini, video o documenti cancellati possono essere oggetto di indagine. Tuttavia, gli smartphone moderni utilizzano memorie flash crittografate e una gestione complessa dell'archiviazione.

Ciò differenzia significativamente le possibilità offerte dai tradizionali dischi rigidi. Pertanto, oltre al dispositivo stesso, possono essere rilevanti anche i backup esistenti, le sincronizzazioni cloud o altri sistemi connessi.

iPhone e Android: requisiti tecnici differenti

Un'analisi forense deve essere adattata allo specifico smartphone. Per un iPhone, il modello, la versione di iOS, le condizioni del dispositivo e la configurazione di sicurezza possono essere cruciali. Per i dispositivi Android, anche fattori aggiuntivi come il produttore, il chipset, la versione del sistema operativo e le patch di sicurezza variano.

Pertanto, non è possibile prevedere in termini generali quali dati saranno disponibili su ogni dispositivo. La situazione tecnica viene valutata caso per caso prima di determinare un metodo di backup e analisi adeguato.

Informatica forense in ambito privato

Non tutti i processi digitali possono essere risolti esclusivamente tramite smartphone. PC Windows, Mac o laptop possono contenere tracce aggiuntive.

A seconda del sistema, potrebbero essere rilevanti l'attività dell'utente, le informazioni sul file system, i dati del browser, i dispositivi connessi o le informazioni memorizzate localmente dai servizi cloud e di messaggistica.

Ulteriori informazioni di base sono disponibili nell'articolo informativo "Che cos'è la computer forensics?".

Phishing, smishing e frode online

Dopo aver cliccato su un link fraudolento o aver ricevuto un messaggio di phishing, spesso si teme che l'intero smartphone sia stato compromesso. Tecnicamente, non è necessariamente così.

Pertanto, la sequenza degli eventi è cruciale per l'indagine: quale messaggio è stato ricevuto? Quale link è stato aperto? Sono state inserite le credenziali di accesso? È stato scaricato un file? Quali eventi insoliti si sono verificati in seguito?

A seconda delle circostanze, messaggi SMS, e-mail, dati del browser, download e altre informazioni tecniche possono contribuire a documentare il processo in modo comprensibile.

Prove digitali per avvocati e controversie legali

Se i dati digitali devono essere utilizzati in una controversia legale, il solo contenuto spesso non è sufficiente. Può essere altrettanto importante poter risalire all'origine dei dati e alla base tecnica su cui si fonda una conclusione.

Con opportune misure di sicurezza, i valori hash crittografici possono essere utilizzati per verificare la successiva integrità di un determinato insieme di dati. Tuttavia, un valore hash non dimostra né la veridicità del contenuto né l'identità della persona che ha compiuto una specifica azione.

Questa distinzione spiega il nostro contributo all'integrità delle prove digitali.

Brema come polo commerciale marittimo, logistico e tecnologico.

La struttura economica di Brema si differenzia notevolmente da quella di molte altre città tedesche. Le attività portuali e la logistica internazionale si intrecciano con i settori aerospaziale, automobilistico, della produzione industriale e altri settori ad alta intensità tecnologica.

In tali aziende, le informazioni digitali hanno spesso un valore economico immediato. Informazioni sulla catena di fornitura, documentazione tecnica, documenti di progetto, dati di progettazione, informazioni sui clienti e comunicazioni interne possono essere distribuite su diversi dispositivi e sistemi.

In caso di sospetto concreto di violazione della sicurezza, è quindi necessario innanzitutto chiarire quali dati potrebbero effettivamente essere interessati e su quali sistemi è lecito aspettarsi di trovare tracce rilevanti.

Analisi forense digitale per il settore marittimo e la logistica.

Oggi i processi logistici sono altamente digitalizzati. La comunicazione con clienti e partner commerciali, le informazioni relative a merci e consegne, i diritti di accesso, i documenti e i processi operativi vengono gestiti tramite sistemi interconnessi.

In caso di violazione dei dati o di sospetti interni, concentrarsi esclusivamente su un singolo computer potrebbe non essere sufficiente. A seconda delle circostanze, i sistemi di postazioni di lavoro, i dispositivi mobili, gli account utente e altre fonti di dati potrebbero essere interconnessi.

Tuttavia, lo scopo di un'indagine non è quello di esaminare completamente tutti i sistemi aziendali, ma di acquisire in modo selettivo quelle tracce che sono rilevanti per la specifica questione in esame.

Settore aerospaziale: analisi forense di dati sensibili relativi allo sviluppo.

Brema vanta una solida industria aerospaziale. Nei settori ad alta intensità di ricerca e sviluppo, la documentazione tecnica, i dati di progetto, lo stato di avanzamento dello sviluppo e il know-how interno possono essere particolarmente meritevoli di tutela.

Qualora sussista un fondato sospetto di fuga di dati non autorizzata, le attività sui file, i supporti di memorizzazione esterni, gli account utente e altri elementi tecnici possono essere esaminati in condizioni idonee.

Anche in questo caso, il fatto che un file sia stato aperto non dimostra automaticamente che sia stato condiviso. La valutazione forense significa evitare di interpretare gli eventi tecnici al di là di quanto consentito dai dati disponibili.

Indagini forensi aziendali a Brema

Le domande tipiche per un'indagine operativa potrebbero includere:

• Sono stati copiati o cancellati file riservati?
• Quali supporti di archiviazione esterni sono stati utilizzati?
• Si sono verificate attività insolite prima della partenza del dipendente?
• È stato utilizzato un account aziendale senza autorizzazione?
• Sono stati potenzialmente trasferiti dati sensibili relativi al progetto o allo sviluppo?
• Quali sistemi sono stati effettivamente colpiti in seguito a un incidente informatico?

L'ambito dell'indagine tecnica dovrebbe essere adattato il più possibile alla specifica domanda posta.

Perdita di dati tramite USB, cloud o messaggistica

I dati aziendali possono essere elaborati o condivisi in vari modi. Le unità USB sono solo una delle possibili fonti di dati. Anche la posta elettronica, i servizi cloud o le app di messaggistica possono svolgere un ruolo, a seconda delle circostanze.

Un singolo artefatto raramente è sufficiente a dimostrare una fuga di dati completa. Una ricostruzione diventa più conclusiva quando diverse tracce tecniche coincidono in termini di tempo e contenuto.

Incidente informatico: reagire e preservare le prove

In caso di incidente di sicurezza in corso, la priorità assoluta è prevenire ulteriori danni. Allo stesso tempo, interventi di spegnimento o ripristino non coordinati possono alterare importanti prove tecniche.

Pertanto, la prevenzione delle minacce e le indagini forensi dovrebbero essere coordinate il più possibile. I sistemi e i dati necessari dipendono dallo specifico attacco e dalle questioni oggetto di indagine.

I nostri strumenti per indagini su dispositivi mobili e computer

Dispositivi diversi richiedono strumenti forensi diversi. Pertanto, a seconda dell'oggetto dell'indagine, utilizziamo diverse soluzioni specializzate.

Inserti in Cellebrite

Cellebrite Inseyets supporta in particolare l'analisi strutturata dei dati mobili. A seconda del dispositivo e delle funzionalità di estrazione disponibili, è possibile esaminare e correlare in modo specifico gli elementi rilevanti presenti negli smartphone.

Cellebrite Digital Collector

Digital Collector supporta metodi di acquisizione adeguati per computer e supporti di memorizzazione digitali. Il metodo scelto dipende dal sistema operativo, dall'hardware, dalla crittografia e dall'obiettivo dell'indagine.

Ispettore Cellebrite

Inspector consente di approfondire l'analisi di ampi set di dati forensi informatici e supporta l'analisi strutturata di artefatti rilevanti.

X-Ways Forensics

X-Ways Forensics viene utilizzato per indagini approfondite su supporti di dati, file system, partizioni e altre strutture informatiche forensi.

MOBILedit Forensic e MEFF 3 Pro

MOBILedit Forensic e MEFF 3 Pro si integrano a vicenda nell'ambito dell'analisi forense mobile. L'utilizzo di più strumenti può rivelarsi particolarmente utile quando è necessario esaminare diversi tipi di dati o strutture specifiche del dispositivo.

Tuttavia, il software da solo non produce risultati affidabili. L'interpretazione da parte di esperti dei reperti risultanti rimane fondamentale.

Processi certificati e valutazione da parte di esperti.

LB Detective GmbH dispone di un sistema di gestione della qualità certificato da TÜV NORD secondo la norma DIN EN ISO 9001, che comprende anche la digital forensics . Inoltre, il perito è certificato secondo la norma DIN EN ISO/IEC 17024.

Entrambi i livelli svolgono funzioni diverse: la norma DIN EN ISO 9001 riguarda i processi di qualità organizzativi definiti. La certificazione secondo la norma DIN EN ISO/IEC 17024 riguarda la comprovata competenza della persona certificata.

Per i clienti, procedure investigative trasparenti, una gestione controllata delle prove e una valutazione tecnicamente comprensibile sono particolarmente importanti.

Tre situazioni tipiche di esame a Brema

Le comunicazioni private non sembrano più essere riservate.

Dopo una rottura, un'altra persona può accedere a informazioni che dovrebbero essere accessibili solo tramite lo smartphone o gli account personali del soggetto in questione. Invece di presumere immediatamente la presenza di spyware, si restringono le possibili vie di accesso tecniche.

I messaggi cancellati diventano rilevanti in una controversia.

Un'importante parte della storia delle comunicazioni non è più completamente visibile. In primo luogo, verranno esaminate le fonti di dati disponibili e le versioni di backup. Solo allora si potrà valutare se un'ulteriore ricostruzione sia tecnicamente fattibile.

È possibile che i dati aziendali siano trapelati prima che un dipendente lasciasse l'azienda.

Si verificano attività anomale sui file in un intervallo di tempo limitato. I sistemi pertinenti, i dispositivi di archiviazione esterni e altri elementi vengono esaminati nel loro contesto, anziché trarre conclusioni affrettate da un singolo evento.

Ecco come funziona un'indagine forense informatica

1. Definire la domanda di ricerca

Innanzitutto, viene chiarito quale specifico processo tecnico debba essere oggetto di indagine.

2. Individuare le fonti di dati pertinenti

Saranno inclusi solo i dispositivi, i supporti di memorizzazione o gli account direttamente collegati alla questione in oggetto.

3. Proteggere adeguatamente i dati

Il metodo di backup dipende dal dispositivo, dal sistema operativo, dalla crittografia e dalle condizioni tecniche.

4. Valutare le tracce digitali

I reperti rilevanti vengono analizzati e, se necessario, correlati tra loro in termini di tempo o contenuto.

5. Documentare i risultati in modo comprensibile

A seconda dell'incarico, i risultati possono essere raccolti in una relazione investigativa o in una documentazione peritale più dettagliata.

Cosa bisogna evitare prima di un esame?

• Non ripristinare frettolosamente uno smartphone sospetto.
• Non eliminare manualmente le app sospette.
• Non reinstallare WhatsApp se i messaggi rilevanti sono stati eliminati.
• Non installare spyware o programmi di pulizia sconosciuti.
• Non sovrascrivere inutilmente i backup esistenti.
• Non modificare inutilmente computer o dispositivi di archiviazione dati se si sospetta una violazione dei dati.

Analisi forensi informatiche a Brema e nelle nostre aree operative nel nord

La nostra area di servizio comprende Brema, Bremerhaven, Delmenhorst, Oldenburg, Verden, Achim, Osterholz-Scharmbeck e altre città della Germania nordoccidentale. Manteniamo anche stretti legami con Hannover e Amburgo.

Privati ​​cittadini, aziende e avvocati della regione possono far esaminare sia i propri smartphone o computer, sia casi più complessi con molteplici prove digitali.

Domande frequenti sulla digital forensics a Brema

Posso, in qualità di privato cittadino, far esaminare il mio telefono cellulare?

Sì. I casi tipici di investigazione privata riguardano possibili accessi non autorizzati, comunicazioni cancellate, sospetto di spyware, account utente o prove digitali relative a controversie personali e legali.

È possibile stabilire se qualcuno ha accesso al mio smartphone?

È possibile esaminare le tracce tecniche esistenti relative a possibili percorsi di accesso. Tuttavia, la possibilità di dimostrare un accesso specifico dipende dal dispositivo, dal possibile percorso di accesso e dai dati rimanenti.

Il mio ex partner può accedere ai miei dati senza utilizzare spyware?

Sì. Credenziali di accesso note, dispositivi ancora autorizzati, account cloud o connessioni di sincronizzazione esistenti possono fornire metodi di accesso alternativi.

I messaggi WhatsApp eliminati vengono comunque memorizzati?

In determinate condizioni tecniche, i dati o altri artefatti rilevanti potrebbero essere ancora presenti. Tuttavia, non è possibile garantire un recupero completo.

Uno screenshot può essere considerato una prova digitale sufficiente?

Uno screenshot può essere utile, ma contiene meno informazioni tecniche rispetto alla fonte di dati originale. Per una valutazione più approfondita, lo smartphone originale o un backup adeguato sono spesso più informativi.

Le aziende possono verificare se i dati sono stati copiati?

A seconda del sistema, è possibile esaminare l'attività dei file, i dispositivi di archiviazione esterni e altre tracce tecniche. La possibilità di dimostrare il trasferimento di file specifici dipende dalla totalità dei dati disponibili.

È possibile indagare su un attacco informatico a posteriori?

Ciò potrebbe essere possibile se sono ancora disponibili dispositivi finali, dati dell'account, protocolli o altre fonti di dati pertinenti.

Che ruolo svolgono i valori hash?

I valori hash possono essere utilizzati per verificare l'integrità di un dataset definito rispetto a uno stato di riferimento documentato. Tuttavia, non dimostrano il contenuto o la paternità di un file.

È possibile redigere una perizia?

A seconda dell'incarico, oltre a una relazione di indagine tecnica, è possibile predisporre una perizia più dettagliata e una documentazione corredata.

Come vengono determinati i costi di un esame?

L'impegno richiesto dipende dalla domanda di ricerca, dal numero di dispositivi, dalla quantità di dati, dall'accessibilità tecnica e dall'ambito di documentazione desiderato. Pertanto, nei casi più complessi, si definisce innanzitutto l'effettivo ambito dell'indagine.

Richiedi una consulenza forense informatica riservata a Brema

Per una valutazione iniziale, quattro informazioni risultano particolarmente utili: Quale dispositivo o sistema è interessato? Cosa è stato notato esattamente? Quando si è verificato l'evento in questione, approssimativamente? E il dispositivo è stato utilizzato, ripristinato o modificato in altro modo da allora?

In base a ciò, è possibile determinare quali prove digitali siano effettivamente necessarie e quale metodo di conservazione e analisi sia appropriato per il caso specifico. Ulteriori spiegazioni tecniche sono disponibili nella nostra knowledge base.