La corretta gestione della fonte di prova digitale nel giudizio penale

Transcript

1 La corretta gestione della fonte di prova digitale nel giudizio penale Eleonora avv. Colombo DFA Digital Forensics Alumni Università degli Studi dell Insubria Milano, 24 ottobre 2013

2 La fonte di prova Nel diritto processuale penale più che di prova si parla di fonte di prova consistente in tutto ciò che è idoneo a fornire risultati apprezzabili per la decisione del giudice (Prof. Tonini)

3 La fonte di prova digitale - sviluppo di nuova tecnologia - devices completamente nuovi -carattere di immaterialità e fragilità -scarto tra sviluppo tecnologico e conoscenza -difficoltà di avere una normativa al passo: problemi nuovi e principi tradizionali -aspetti tecnologici anche nei reati tradizionali

4 Dove cercare la fonte di prova digitale... VoIP WhatsApp e Viber Smartphone Tablet Phablet USB hard disk Fax e stampanti,.

5 HUMAN FACTOR ATTENZIONE!!! DOVE MENO TE LO ASPETTI...

6 HARD DISK ESPLOSIVO Un hard disk carico di esplosivo è stato recapitato al giornalista Massimo Numa del quotidiano La Stampa presso la sede della redazione torinese. Se inserito in un computer, sarebbe esploso. Torino, 4 ottobre 2013

7 CONVENZIONE DI BUDAPEST Convenzione sulla criminalità informatica del 2001 Consiglio d'europa Numero totale di firme non seguite da ratifiche : 11 Numero totale di ratifiche/adesioni : 40

8 CONVENZIONE DI BUDAPEST -primo trattato internazionale sulle infrazioni penali commesse via internet e su altre reti informatiche -serie di misure e procedure appropriate, quali la perquisizione dei sistemi di reti informatiche e l intercettazione dei dati. -perseguire una politica penale comune per la protezione della società contro la cibercriminalità

9 CONVENZIONE DI BUDAPEST ART. 1 DEFINIZIONI ( )

10 CONVENZIONE DI BUDAPEST

11 CONVENZIONE DI BUDAPEST

12 CONVENZIONE DI BUDAPEST

13

14

15 Legge n. 48 del 2008 Legge di ratifica ed esecuzione della Convenzione di Budapest Italia uno degli ultimi Stati a provvedere Modifiche al codice penale, al codice di diritto processuale penale e al codice privacy

16 ART 244 C.P.P. Casi e forme delle ispezioni. 1. L'ispezione delle persone, dei luoghi e delle cose è disposta con decreto motivato quando occorre accertare le tracce e gli altri effetti materiali del reato. 2. Se il reato non ha lasciato tracce o effetti materiali, o se questi sono scomparsi o sono stati cancellati o dispersi, alterati o rimossi, l'autorità giudiziaria descrive lo stato attuale e, in quanto possibile, verifica quello preesistente, curando anche di individuare modo, tempo e cause delle eventuali modificazioni. L'autorità giudiziaria può disporre rilievi segnaletici, descrittivi e fotografici e ogni altra operazione tecnica, anche in relazione a sistemi informatici o telematici, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione. (1) (1) Parole aggiunte dall art. 8, comma 1, della L. 18 marzo 2008, n. 48.

17 ART. 247 C.P.P. Casi e forme delle perquisizioni. 1. Quando vi è fondato motivo di ritenere che taluno occulti sulla persona il corpo del reato o cose pertinenti al reato, è disposta perquisizione personale. Quando vi è fondato motivo di ritenere che tali cose si trovino in un determinato luogo ovvero che in esso possa eseguirsi l'arresto dell'imputato o dell'evaso, è disposta perquisizione locale. 1-bis. Quando vi è fondato motivo di ritenere che dati, informazioni, programmi informatici o tracce comunque pertinenti al reato si trovino in un sistema informatico o telematico, ancorchè protetto da misure di sicurezza, ne è disposta la perquisizione, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione.

18 Art. 248 C.P.P. Richiesta di consegna. 1. Se attraverso la perquisizione si ricerca una cosa determinata, l'autorità giudiziaria può invitare a consegnarla. Se la cosa è presentata, non si procede alla perquisizione, salvo che si ritenga utile procedervi per la completezza delle indagini. 2. Per rintracciare le cose da sottoporre a sequestro o per accertare altre circostanze utili ai fini delle indagini, l'autorità giudiziaria o gli ufficiali di polizia giudiziaria da questa delegati possono esaminare presso banche atti, documenti e corrispondenza nonché dati, informazioni e programmi informatici. (1) In caso di rifiuto, l'autorità giudiziaria procede a perquisizione.

19 Art. 254 C.P.P. Sequestro di corrispondenza. 1. Presso coloro che forniscono servizi postali, telegrafici, telematici o di telecomunicazioni è consentito procedere al sequestro di lettere, pieghi, pacchi, valori, telegrammi e altri oggetti di corrispondenza, anche se inoltrati per via telematica, che l autorità giudiziaria abbia fondato motivo di ritenere spediti dall imputato o a lui diretti, anche sotto nome diverso o per mezzo di persona diversa, o che comunque possono avere relazione con il reato. (1) 2. Quando al sequestro procede un ufficiale di polizia giudiziaria, questi deve consegnare all'autorità giudiziaria gli oggetti di corrispondenza sequestrati, senza aprirli o alterarli (2) e senza prendere altrimenti conoscenza del loro contenuto.

20 Art. 254 bis C.P.P. Sequestro di dati informatici presso fornitori di servizi informatici, telematici e di telecomunicazioni. (1) 1. L autorità giudiziaria, quando dispone il sequestro, presso i fornitori di servizi informatici, telematici o di telecomunicazioni, dei dati da questi detenuti, compresi quelli di traffico o di ubicazione, può stabilire, per esigenze legate alla regolare fornitura dei medesimi servizi, che la loro acquisizione avvenga mediante copia di essi su adeguato supporto, con una procedura che assicuri la conformità dei dati acquisiti a quelli originali e la loro immodificabilità. In questo caso è, comunque, ordinato al fornitore dei servizi di conservare e proteggere adeguatamente i dati originali.

21 Art. 256 C.P.P. Dovere di esibizione e segreti. 1. Le persone indicate negli articoli 200 e 201 devono consegnare immediatamente all'autorità giudiziaria, che ne faccia richiesta, gli atti e i documenti, anche in originale se così è ordinato, nonché i dati, le informazioni e i programmi informatici, anche mediante copia di essi su adeguato supporto, (1) e ogni altra cosa esistente presso di esse per ragioni del loro ufficio, incarico, ministero, professione o arte, salvo che dichiarino per iscritto che si tratti di segreto di Stato ovvero di segreto inerente al loro ufficio o professione. (...)

22 ART. 259 C.P.P. Custodia delle cose sequestrate. 1. Le cose sequestrate sono affidate in custodia alla cancelleria o alla segreteria. Quando ciò non è possibile o non è opportuno, l'autorità giudiziaria dispone che la custodia avvenga in luogo diverso, determinandone il modo e nominando un altro custode, idoneo a norma dell'articolo All'atto della consegna, il custode è avvertito dell'obbligo di conservare e di presentare le cose a ogni richiesta dell'autorità giudiziaria nonché delle pene previste dalla legge penale per chi trasgredisce ai doveri della custodia. Quando la custodia riguarda dati, informazioni o programmi informatici, il custode è altresì avvertito dell obbligo di impedirne l alterazione o l accesso da parte di terzi, salva, in quest ultimo caso, diversa disposizione dell autorità giudiziaria. (1) Al custode può essere imposta una cauzione. Dell'avvenuta consegna, dell'avvertimento dato e della cauzione imposta è fatta menzione nel verbale. La cauzione è ricevuta, con separato verbale, nella cancelleria o nella segreteria.

23 ART. 352 C.P.P. - Perquisizioni 1. Nella flagranza del reato o nel caso di evasione, gli ufficiali di polizia giudiziaria procedono a perquisizione personale o locale quando hanno fondato motivo di ritenere che sulla persona si trovino occultate cose o tracce pertinenti al reato che possono essere cancellate o disperse ovvero che tali cose o tracce si trovino in un determinato luogo o che ivi si trovi la persona sottoposta alle indagini o l'evaso. 1-bis. Nella flagranza del reato, ovvero nei casi di cui al comma 2 quando sussistono i presupposti e le altre condizioni ivi previsti, gli ufficiali di polizia giudiziaria, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l alterazione, procedono altresì alla perquisizione di sistemi informatici o telematici, ancorche' protetti da misure di sicurezza, quando hanno fondato motivo di ritenere che in questi si trovino occultati dati, informazioni, programmi informatici o tracce comunque pertinenti al reato che possono essere cancellati o dispersi. (1)

24 ART. 353 C.P.P. 1. Quando vi è necessità di acquisire plichi sigillati o altrimenti chiusi, l'ufficiale di polizia giudiziaria li trasmette intatti al pubblico ministero per l'eventuale sequestro. 2. Se ha fondato motivo di ritenere che i plichi contengano notizie utili alla ricerca e all'assicurazione di fonti di prova che potrebbero andare disperse a causa del ritardo, l'ufficiale di polizia giudiziaria informa col mezzo più rapido il pubblico ministero il quale può autorizzarne l'apertura immediata e l accertamento del contenuto.(1) 3. Se si tratta di lettere, pieghi, pacchi, valori, telegrammi o altri oggetti di corrispondenza, anche se in forma elettronica o se inoltrati per via telematica, (2) per i quali è consentito il sequestro a norma dell'articolo 254, gli ufficiali di polizia giudiziaria, in caso di urgenza, ordinano a chi è preposto al servizio postale, telegrafico, telematico o di telecomunicazione (3) di sospendere l'inoltro.se entro quarantotto ore dall'ordine della polizia giudiziaria il pubblico ministero non dispone il sequestro, gli oggetti di corrispondenza sono inoltrati.

25 Art. 354 C.P.P. - Sequestro 1. Gli ufficiali e gli agenti di polizia giudiziaria curano che le tracce e le cose pertinenti al reato siano conservate e che lo stato dei luoghi e delle cose non venga mutato prima dell'intervento del pubblico ministero. 2. Se vi è pericolo che le cose, le tracce e i luoghi indicati nel comma 1 si alterino o si disperdano o comunque si modifichino e il pubblico ministero non può intervenire tempestivamente, ovvero non ha ancora assunto la direzione delle indagini, gli ufficiali di polizia giudiziaria compiono i necessari accertamenti e rilievi sullo stato dei luoghi e delle cose. In relazione ai dati, alle informazioni e ai programmi informatici o ai sistemi informatici o telematici, gli ufficiali della polizia giudiziaria adottano, altresì, le misure tecniche o impartiscono le prescrizioni necessarie ad assicurarne la conservazione e ad impedirne l alterazione e l accesso e provvedono, ove possibile, alla loro immediata duplicazione su adeguati supporti, mediante una procedura che assicuri la conformità della copia all originale e la sua immodificabilità. (1) Se del caso, sequestrano il

26 Reati e fonti di prova digitale Crimini informatici in senso stretto Crimini tradizionali -NECESSARIO UTILIZZARE DEI PARAMETRI CONOSCITIVI (METODOLOGIE E PRINCIPI) CHE NON SONO PROPRI DEL SAPERE COMUNE E CHE PERTANTO RICHIEDONO IL RICORSO AD UN ESPERTO PROBLEMA DELLE BEST PRACTICES e DEL TEST DI RESISTENZA DELLA FONTE DI PROVA DIGITALE IN GIUDIZIO

27 Novità giurisprudenziali Cass. 12 dicembre marzo 2009 n , B. L'esperibilità delle procedure di hashing, ossia delle tecniche volte a verificare l'integrità e la conformità all'originale del dato informatico sequestrato e conservato in copia su un apposito supporto (nella specie Cd-Rom), è una questione di merito, potendosi in sede di legittimità esclusivamente delibare se gli accorgimenti adottati dalla polizia giudiziaria delegata siano o meno idonei in astratto a tutelare le finalità indicate dal legislatore negli articoli 247, comma 1-bis, e 354, comma 2, del C.p.p. per come modificati dalla legge 48/2008 di ratifica della Convenzione del Consiglio d'europa sul cybercrime.

28 Novità giurisprudenziali Cass. Sez. 1, del 25/02/2009, n (dep.16/03/2009)dell'avers. Ipotesi di analisi/lettura del PC in assenza dei difensori in assenza di una accertata alterazione del disco informatico, tra l altro appartenente ad un terzo soggetto. Non dà luogo ad accertamento tecnico irripetibile la lettura dell' "hard disk" di un computer sequestrato, che è attività di polizia giudiziaria volta, anche con urgenza, all'assicurazione delle fonti di prova. E quindi ripetibile.

29 Novità giurisprudenziali Cass. Sez. 1, del 26/02/2009 n , (dep. 18/03/2009 ) Amm. L'estrazione dei dati contenuti in un supporto informatico, se eseguita da personale esperto in grado di evitare la perdita dei medesimi dati, costituisce un accertamento tecnico ripetibile.

30 Novità giurisprudenziali Cass. Sez. 1, n del 05/03/2009 (dep. 02/04/2009 ) Non rientra nel novero degli atti irripetibili l'attività di estrazione di copia di "file" da un computer oggetto di sequestro, dal momento che essa non comporta alcuna attività di carattere valutativo su base tecnico scientifica, né determina alcuna alterazione dello stato delle cose, tale da recare pregiudizio alla genuinità del contributo conoscitivo nella prospettiva dibattimentale, essendo sempre comunque assicurata la riproducibilità d'informazioni identiche a quelle contenute nell'originale

31 SEGUE : La Cassazione sensibilizza i difensori a confortare i loro assunti in concreto Sez. 1, Sentenza n del 05/03/2009 Cc. (dep. 02/04/2009 ) Lo stesso ricorrente, del resto, non ha in concreto allegato alcuna forma di distruzione o alterazione dei dati acquisiti tali da confortare il suo assunto, ma si è limitato ipoteticamente a prospettare alcuni situazioni potenziali che esulano dalla fattispecie sottoposta all'esame della Corte

32 La Cassazione sulla captazione occulta di dati da remoto (il cd Trojan di Stato) Sez. 5, Sentenza n del 14/10/2009 Ud. (dep. 29/04/2010 ) È legittimo il decreto del pubblico ministero di acquisizione in copia, attraverso l'installazione di un captatore informatico, della documentazione informatica memorizzata nel "personal computer" in uso all'imputato e installato presso un ufficio pubblico, qualora il provvedimento abbia riguardato l'estrapolazione di dati, non aventi ad oggetto un flusso di comunicazioni, già formati e contenuti nella memoria del "personal computer" o che in futuro sarebbero stati memorizzati. (La Suprema Corte ha considerato corretta la qualificazione della captazione informatica come prova atipica e non come intercettazione)

33 La geolocalizzazione non è intercettazione I sistemi di controllo G.P.S. Degli spostamenti di una persona non sono assimilabili ad una intercettazione di conversazioni o comunicazioni ma risponde ad un pedinamento che non necessita di alcuna autorizzazione del GIP (Cass. n /07 ex multis)

34 CASO DI GARLASCO (I GRADO) Intervento di soggetti (PG) privi di competenze tecniche All esito di successivi accertamenti tecnici sono stati riscontrati sette accessi al pc di Stasi, l installazione ed utilizzo di alcune periferiche USB, nonché accessi multipli al file della tesi di laurea dell indagato in vari percorsi di memorizzazione. Il Giudice ha ritenuto necessario disporre una perizia, chiedendo di effettuare copie conformi all originale per garantire l inalterabilità ed immodificabilità dei dati dei supporti informatici, indi ha chiesto loro di evidenziare le alterazioni di contenutodei dati stessi, nonché di quantificare le perdite di evidenze digitali.

35 segue (2) Sono stati persi più della metà dei dati informatici contenuti nel pc. Il giudicante ha ritenuto comunque attendibili le risultanze delle acquisizioni informatiche ottenute e utilizzabili i dati non raccolti e non persi. Le electronic evidence sono state valutate dal Giudice, senza applicazione della cd exclusionary rule (di matrice anglosassone) e senza una graduazione dell attendibilità, nonostante la non genuinità.

36