Perquisizione e sequestro

Un Consulente Tecnico Forense, oltre ad occuparsi dell'Indagine Forense, può anche prendere parte alle fasi di perquisizione e sequestro dei dispositivi informatici.
La nomina avviene solitamente come "Ausiliario di Polizia Giudiziaria": in queste fasi il CT coadiuva il lavoro delle forze dell'ordine, allo scopo di individuare quali siano i dispositivi di interesse, se vi siano archivi nascosti o cifrati, se vi siano dispositivi fisicamente occultati ma individuabili ad esempio in rete o in modalità wifi, ecc.

Prima di partecipare alla fase di perquisizione e sequestro, il CT esperto fa innanzitutto un "profiling" del soggetto indagato, allo scopo di capire quali possibili tecniche di anti-forensics abbia potuto attuare e di quali strumenti hardware e/o software potrebbe necessitare in tali circostanze. Il CT si atterrà inoltre alle best practice in materia anche per quanto riguarda il sequestro dei dispositivi, in base alla situazione: alcune volte un dispositivo non è sequestrabile, e va dunque fatta una speciale acquisizione "a caldo", che prevede anche l'acquisizione della memoria RAM, la documentazione fotografica dello schermo, ecc.

Quando è invece possibile sequestrare fisicamente i dispositivi, il CT ha le conoscenze tecniche giuste per verificare la presenza di eventuale cifratura delle memorie, sa come deve avvenire lo spegnimento del computer o del dispositivo mobile da sequestrare, e questo dipende da diverse variabili e situazioni. In molte situazioni è indispensabile impedire al dispositivo di comunicare con la rete Internet, allo scopo di non permettere all'indagato di inviare comandi remoti di cancellazione dei dati in esso presenti: si utilizzano dei speciali "bag" schermati che impediscono qualsiasi comunicazione wireless.