Analisi forense delle e-mail per le autorità di perseguimento penale
Nei procedimenti per truffa, estorsione, abuso d’identità o sottrazione di dati, un’e-mail è spesso il mezzo di prova centrale. Se è autentica, da dove è stata consegnata e quale percorso ha seguito si può dimostrare a partire da header, firme e log dei server. Supporto ministeri pubblici, polizia e altre autorità con analisi tecniche e rapporti scritti comprensibili anche per chi non è un tecnico.
La consulenza si svolge in tedesco o in inglese.
- Analisi forense delle e-mail
- Analisi degli header
- Verifica DKIM
- Exchange e Microsoft 365
- Procedimento penale
- Perizie
Servizi
- Analisi dell’origineValutare la Received chain, gli indirizzi IP di consegna, i server di posta e le marche temporali; distinguere chiaramente i campi header affidabili da quelli falsificabili.
- Verifica dell’autenticitàVerificare a posteriori le firme DKIM, interpretare i risultati SPF e DMARC, riconoscere manipolazioni del contenuto o degli header.
- Analisi di log e piattaformeMessage tracking di Exchange, Message Trace e log di audit di Microsoft 365, log dei gateway: ricostruire recapito, inoltri e accessi.
- Account compromessiStabilire se e da quando una casella è stata presa in controllo e quali messaggi l’attaccante ha inviato, letto o eliminato.
- Rapporto e spiegazioneRapporto scritto con metodo, risultati e limiti delle conclusioni; spiegazione a inquirenti e tribunale.
Metodo e valore probatorio
Le analisi vengono svolte su copie dei dati messi al sicuro, mai sugli originali; i valori di hash dimostrano che le copie non sono state modificate. Per l’analisi degli header si usano strumenti che lavorano in locale, in modo che il materiale probatorio non lasci l’ambiente controllato. Ogni passo è documentato in modo che un altro specialista possa ripeterlo. Il rapporto separa risultati, interpretazione e questioni aperte; ciò che i dati non permettono di dimostrare viene indicato come tale. Sono possibili incarichi come perito ai sensi degli art. 182 segg. CPP così come il supporto tecnico a indagini in corso.
Come si svolge un incarico
- Incarico e quesitiL’autorità formula i quesiti; vengono definiti portata, scadenze e forma della consegna dei dati.
- Presa in consegna dei datiCopie con valori di hash, consegna documentata e conservazione sicura.
- AnalisiValutare header, firme e log, documentare i risultati con i dati grezzi.
- RapportoRisposte ai quesiti posti, metodo e limiti delle conclusioni, se necessario spiegazione orale.
Esempi dalla pratica
- Header Analyzer: analizza gli header delle e-mail in locale nel browser, senza upload.
- MailHeaderAnalyzer per PowerShell: analisi degli header senza accesso alla rete, adatta ad ambienti di analisi isolati.
- compauth in Microsoft 365: come Microsoft valuta l’autenticità di un mittente, con tutti i reason code.
- AuthMechanism 10 e AuthAs Internal: come Exchange classifica la consegna nell’header.
- Interno o esterno?: classificare le e-mail di Exchange ibrido in base all’header.
