Hai appena scoperto una violazione dei sistemi aziendali, un accesso abusivo o un furto di dati? Il panico è il primo nemico della giustizia. Nel mio lavoro di consulente informatico forense, vedo spesso prove schiaccianti andare perdute perché chi ha scoperto l’incidente ha agito d’impulso, modificando inconsapevolmente i reperti.
In informatica forense, il primo intervento è decisivo. Ecco i 4 passaggi fondamentali per conservare correttamente un dispositivo dopo un incidente informatico.
1. 📴 Spegnere o non spegnere? Il dilemma della RAM
Non esiste una regola universale, ma una linea guida tecnica:
- Se il computer è acceso: Non spegnerlo immediatamente se sospetti che ci siano attività in corso (come un attacco ransomware o un accesso remoto attivo). La RAM contiene dati volatili che svaniscono allo spegnimento.
- Se decidi di spegnere: Fallo solo se sai che i dati critici sono già su disco o se il dispositivo sta subendo un danneggiamento fisico. In ogni caso, evita la procedura di “Arresta il sistema” classica; a volte è preferibile staccare direttamente la spinta (ma solo sotto consiglio esperto).
2. 🧊 Il “congelamento” dei dati: evita l’uso
Una volta isolato il dispositivo, non toccarlo più.
- Non navigare su internet per cercare soluzioni.
- Non avviare scansioni antivirus (che modificano le date di accesso ai file).
- Non aprire cartelle per “controllare cosa manca”. Qualsiasi operazione, anche la più banale, scrive nuovi dati sul disco che potrebbero sovrascrivere le tracce lasciate dall’attaccante.
3. 🔒 Sicurezza Fisica: La Busta Antistatica
La protezione del dato è anche fisica. Il dispositivo va riposto in un luogo sicuro per evitare manomissioni o danni ambientali.
- Se possibile, utilizza una busta antistatica per proteggere i circuiti da cariche elettrostatiche.
- Se si tratta di uno smartphone, isolalo dalla rete (modalità aereo) o riponilo in una busta di Faraday per impedire il wipe (cancellazione) da remoto.
4. 🧑💻 Contatta un professionista (prima che sia tardi)
Il “fai da te” digitale è il miglior alleato della controparte. Prima di tentare qualsiasi analisi o recupero, contatta un consulente informatico forense. Solo un esperto dispone degli strumenti (come i write-blocker hardware) per analizzare il sistema senza alterare un singolo bit.
Un’analisi corretta può salvarti, un errore può costarti caro
In sede legale, la validità della prova dipende dalla sua integrità. Se la catena di custodia viene interrotta o se i metadati risultano alterati, la tua difesa (o accusa) potrebbe crollare in aula.
Hai subito un incidente informatico?
Agire subito è bene, agire correttamente è meglio. Se hai bisogno di un intervento tecnico certificato per mettere in sicurezza i tuoi dispositivi e avviare un’analisi forense, contattami immediatamente.
