L’analisi delle celle telefoniche e dei tabulati è uno degli strumenti più potenti e più fraintesi dell’informatica forense.

Attraverso i dati dei tabulati telefonici è possibile ricostruire contatti, abitudini e spostamenti di un’utenza, ma solo se il dato viene interpretato con rigore tecnico e cautela scientifica.

In questo articolo spieghiamo che cosa contengono i tabulati, come si acquisiscono e chi ha il potere di acquisirli, quali sono i tempi di conservazione e soprattutto quali sono i limiti reali della localizzazione tramite celle.

Cosa sono i tabulati telefonici (e cosa non contengono)

I tabulati telefonici sono documenti che riportano il dettaglio cronologico degli eventi di traffico registrati dagli operatori di rete.

Possiamo immaginarli come una tabella che contiene una serie di righe relativamente a specifiche tipologie di eventi (ad esempio, le telefonate in entrata e in uscita) con tutti i dati associati (interlocutori, data e ora, durata…).

Un punto va chiarito subito, perché è la fonte di gran parte degli equivoci: il tabulato telefonico non contiene il contenuto delle comunicazioni. Non è possibile leggervi il testo di un SMS né ascoltare l’audio di una telefonata. Il contenuto delle comunicazioni si ottiene, semmai, tramite intercettazione, seguita eventualmente da perizia fonica, che seguono una disciplina del tutto diversa.

I tabulati telefonici registrano invece i cosiddetti dati esterni (o metadati): chi ha comunicato con chi, quando, per quanto tempo, con quale dispositivo e appoggiandosi a quali celle.

Poiché sono generati e custoditi dagli operatori (soggetti terzi rispetto all’utente e tenuti per legge a misure di sicurezza e integrità) costituiscono una fonte di prova a elevata affidabilità che il soggetto coinvolto non può modificare.

È tuttavia più corretto parlare di dati di origine controllata e non direttamente modificabili dall’utente piuttosto che di dati “inalterabili” in senso assoluto: come ogni dato, anche il tabulato va verificato nella sua catena di custodia e nella sua coerenza interna.

Come e quando si acquisiscono i tabulati: il quadro normativo aggiornato

La disciplina dell’acquisizione dei tabulati è cambiata in modo sostanziale con il D.L. 132/2021, convertito nella Legge 178/2021, che ha modificato l’art. 132 del Codice Privacy (D.Lgs. 196/2003) recependo i principi della Corte di Giustizia UE (sentenza C-746/18, H.K.).

Oggi, nel procedimento penale, i dati sono acquisiti presso il fornitore previa autorizzazione del giudice con decreto motivato, su richiesta del Pubblico Ministero o su istanza del difensore dell’imputato, della persona sottoposta a indagini, della persona offesa e delle altre parti private.

Non occorre quindi, ovviamente, il consenso dell’intestatario dell’utenza: l’acquisizione è disposta dall’autorità giudiziaria.

L’autorizzazione presuppone tre condizioni:

• che si proceda per reati puniti con l’ergastolo o con la reclusione non inferiore nel massimo a tre anni (o per minaccia, molestia o disturbo col mezzo del telefono, quando gravi)
• la sussistenza di sufficienti indizi di reato
• la rilevanza dei dati per l’accertamento dei fatti.

Nei soli casi d’urgenza il PM può disporre l’acquisizione con proprio decreto motivato, che deve essere comunicato entro 48 ore al giudice per la convalida: in difetto di convalida, i dati non sono utilizzabili.

Tempi di conservazione dei dati (data retention)

La legge stabilisce per quanto tempo gli operatori devono conservare i dati. In via ordinaria (art. 132 Codice Privacy):

• traffico telefonico: 24 mesi
• traffico telematico: 12 mesi
• chiamate senza risposta: 30 giorni

A questi si aggiunge un termine esteso a 72 mesi (6 anni) introdotto dall’art. 24 della Legge 167/2017 per finalità di contrasto ai reati più gravi, segnatamente quelli di cui all’art. 51, comma 3-quater (terrorismo) e all’art. 407, comma 2, lett. a) c.p.p. (tra cui i delitti di criminalità organizzata e mafiosa).

La tematica della data retention è fondamentale nell’impostazione di una strategia difensiva poichè quando è necessario acquisire dati di tabulati telefonici occorre avere consapevolezza della possibilità di entrare in possesso dei dati da parte dell’autorità giudiziaria.

Traffico telefonico e traffico telematico: due dati da non confondere

Entrando più nel merito dei dati, i tabulati distinguono due tipologie di traffico che rispondono a logiche diverse.

Il traffico telefonico documenta le comunicazioni tradizionali qual chiamate (voce o VoLTE), SMS e MMS, indicando chiaramente numero chiamante, numero chiamato, durata e tipo di evento.

Il traffico telematico documenta invece le sessioni di connessione a Internet: qui non esiste un interlocutore (un numero chiamato, una pagina web consultata, un destinatario email, un referente di un messaggio Whatsap…).

Nel tabulato di traffico telematico vengono registrati unicamente parametri tecnici come l’indirizzo IP (privato assegnato all’utente e pubblico tramite NAT), data e ora di comunicazione, la quantità di dati scambiati.

Se quindi l’analisi di un tabulato di traffico telefonico consente di capire maggiormente abitudini dell’intestatario sotto il profilo degli interlocutori, l’analisi di un tabulato telematico nulla dice del tipo di attività svolta sulla rete internet.

Sotto un profilo operativo, a seconda dell’operatore, il traffico telematico può essere accorpato al traffico telefonico oppure fornito in un tabulato separato, motivo per cui la richiesta va formulata con precisione per non perdere dati utili.

Le celle telefoniche (BTS): il cuore dell’analisi di localizzazione

Per ricostruire gli spostamenti di un dispositivo si analizzano le stazioni radio base, ossia le antenne che servono i terminali coprendo una determinata area.

Il termine BTS (Base Transceiver Station) è tecnicamente proprio del 2G, anche se per semplicità comunicativa si tende a utilizzarlo anche nelle tecnologie successive: ad essere rigorosi, la stazione radio base prende il nome di Node B (3G), eNodeB (4G) e gNodeB (5G).

Per mappare le posizioni si utilizzano i cosiddetti “tabulati lista celle”, che riportano i dati tecnici dell’antenna nel periodo di interesse: direzione di irradiazione (azimuth), ampiezza orizzontale e verticale del fascio (beamwidth), altezza sul livello del mare e inclinazione (tilt).

È essenziale indicare nella richiesta il periodo temporale esatto, perché configurazione e posizione delle celle possono variare nel tempo.

Utile conoscere anche eventuali malfunzionamenti temporanei di una BTS, poichè l’assenza di un punto sulla mappa ridisegna la distribuzione e rischia di portare a valutazioni errate in tema di spostamenti e localizzazioni dell’utenza sul territorio.

Perché la localizzazione tramite tabulati non equivale a una posizione GPS

Questa domanda è senza dubbio il punto tecnicamente più delicato e difficile da far comprendere, sebbene tecnicamente sia molto evidente.

È il punto tecnicamente più delicato, e quello su cui si giocano molte perizie: l’aggancio a una cella non individua un punto, ma un’area di copertura, per di più irregolare e variabile.

Ricavare da una cella una posizione precisa come quella di un GPS è un errore metodologico e concettuale, perchè è attività impossibile.

Ciò che è possibile è escludere da un’analisi di celle telefoniche è la possibilità di presenza in uno specifico posto; nell’area di compatibilità, qualunque punto è buono.

La copertura reale di una cella non dipende infatti solo dalla distanza.

Il raggio d’azione teorico di un’antenna varia da poche decine di metri (micro e small cell) fino a decine di chilometri per le celle GSM di ampia portata, in funzione dello standard (2G, 3G, 4G, 5G) e della tipologia (omnidirezionale o settoriale).

L’effettivo collegamento del dispositivo dipende però da fattori ambientali e architettonici che vanno verificati sul campo: la morfologia del territorio (rilievi che creano coni d’ombra), gli edifici, e persino le superfici riflettenti come pareti vetrate, che possono comportarsi da ripetitori passivi e spingere il segnale in zone altrimenti non raggiunte dall’irradiazione diretta.

Per questo un’analisi seria non si ferma al dato di tabulato, ma lo confronta con la realtà fisica del territorio.

I dati passivi di presenza (Location Update)

Oltre al traffico “attivo”, la rete registra anche dati passivi noti come Location Update (o dati di presenza): quando un dispositivo è semplicemente acceso, scambia periodicamente segnali con la rete per notificare la propria area di posizione.

Questi log possono contenere l’identità del dispositivo (IMEI) e della SIM (IMSI) transitati sotto una determinata cella e, in linea di principio, consentirebbero di ricostruire spostamenti anche in assenza di uso attivo del telefono.

Va però usata cautela: la disponibilità e i tempi di conservazione di questi log di segnalazione sono molto ridotti (dell’ordine di ore o pochi giorni) e variano da operatore a operatore; non si tratta di un dato sempre acquisibile. La loro utilità è massima nelle fasi in cui non si ha ancora un indagato e si cerca di capire quali dispositivi fossero presenti in una certa zona in un certo momento.

Nella nostra esperienza, si tratta di un tipo di dato quasi mai oggetto di acquisizione.

Obiettivi dell’analisi e strumenti software

L’analisi dei tabulati persegue diversi scopi investigativi: ricostruire la cronologia degli eventi (chiamate, SMS, connessioni dati, celle agganciate, dispositivi usati), incrociare i dati tra più utenze per individuare contatti in comune o presenze negli stessi luoghi e orari, e verificare la coerenza geografica di un evento.

In tal senso, è utile, ad esempio, un’estrazione forense dello smartphone (con tecniche di mobile forensics) per trovare elementi di riscontro o di supporto, specie in relazione all’analisi di tabulati di traffico telematico.

Data la mole di informazioni, l’incrocio di più tabulati richiede software specialistici che consentono ricerche complesse con supporto anche grafico di rappresentazione su mappa delle aree di copertura.

Lo strumento, però, resta un supporto: il valore del dato esaminato è sempre oggetto dell’interpretazione critica del consulente.

Conclusioni

I tabulati e l’analisi delle celle telefoniche offrono una fotografia dettagliata dell’utilizzo di un’utenza e quindi in cascata di un dispositivo e del suo utilizzatore, pur senza rivelare il contenuto delle comunicazioni.

La loro forza probatoria dipende da tre elementi: la correttezza dell’acquisizione (oggi necessariamente autorizzata dal giudice), la precisione tecnica nella richiesta dei dati agli operatori e soprattutto la prudenza nell’interpretazione, in particolare quando si parla di localizzazione.

Distinguere tra “area di copertura di una cella” e “posizione del soggetto” è ciò che separa una perizia sui tabulati telefonici solida da una contestabile.