Un telefono è l’oggetto più informativo nella maggior parte delle scene moderne e quello più facile da danneggiare maneggiandolo. Quasi ogni errore commesso con un telefono viene commesso da qualcuno che sta cercando di essere d’aiuto.
Annotare lo stato in cui lo si è trovato, prima di fare qualsiasi altra cosa. Acceso o spento. Bloccato o sbloccato. Cosa è visualizzato sullo schermo. Livello della batteria. Se è collegato alla rete elettrica. Se è connesso a una rete. Questi fatti non sono più accertabili nel momento in cui qualcuno lo tocca.
Non consultarlo. L’apertura di un messaggio lo contrassegna come letto, lo sposta e modifica i timestamp che altrimenti un esaminatore avrebbe utilizzato. Una fotografia di uno schermo su cui si è fatto scorrere il contenuto è una fotografia di un reperto che si è alterato — e verrà chiesto, sotto giuramento, cos’altro si è guardato.
Non accenderlo per "controllare qualcosa". Un dispositivo che si avvia può eseguire attività pianificate, sincronizzarsi e applicare un comando remoto.
Isolarlo dalla rete. Un dispositivo che rimane connesso può essere cancellato da remoto mentre si trova in una busta per reperti. Modalità aereo quando il dispositivo è già sbloccato e la procedura lo consente, oppure una busta schermata; annotare quale opzione è stata utilizzata e quando.
Mantenerlo alimentato nello stato in cui era alimentato. La memoria volatile viene persa allo spegnimento e un dispositivo che si scarica completamente può ricrittografarsi al successivo avvio. La batteria e il cavo devono accompagnarlo.
I codici di accesso non si tentano. I tentativi concorrono all’attivazione della cancellazione dei dati su molti dispositivi. Se qualcuno fornisce un codice, annotare chi lo ha fornito e quando.
Fonte. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Cosa non è. Un esame forense, che viene effettuato da esaminatori qualificati su copie acquisite tramite imaging, utilizzando strumenti che lasciano l’originale invariato. Questa pagina riguarda i primi dieci minuti, prima che tutto ciò sia possibile.