È possibile recuperare conversazioni WhatsApp cancellate? Come recuperare messaggi WhatsApp cancellati da Android? Si può tentare un recupero di chat di WhatsApp da iPhone?

Queste sono alcune delle domande che più di frequente ci vengono poste dai nostri clienti. Il recupero di una chat di WhatsApp può essere utile per scopi personali, come ad esempio il recupero di una particolare conversazione significativa magari contenente una fotografia, oppure per scopi legali, ad esempio quando il contenuto di una chat di WhatsApp può essere rilevante come prova informatica in un processo.

WhatsApp è un’applicazione di messaggistica istantanea per smartphone (iPhone, Android e Windows Phone) che permette agli utenti di avviare una conversazione con uno o più contatti della rubrica e condividere file immagini, audio, video e documenti.

I tabulati di WhatsApp salvati nella memoria dello smartphone sono protetti da crittografia end–to–end che ha lo scopo di proteggere i dati da occhi indiscreti e prevenire l’accesso alle informazioni in caso di intercettazioni di WhatsApp.

Tutti i dati delle conversazioni vengono salvate, insieme al loro contenuto, in un file dal quale è possibile recuperare i messaggi di WhatsApp e i relativi allegati anche dopo averli cancellati o dopo aver cambiato dispositivo.

Come è possibile recuperare le chat di WhatsApp?

Per recuperare le chat di WhatsApp è possibile utilizzare uno di questo software per recuperare file cancellati dai cellulari e in particolare relativamente all’app WhatsApp:

• il software WhatsApp KeyExctract
• un software di mobile forensics come Cellebrite UFED oppure Oxygen Forensics Suite

Recupero di chat cancellate WhatsApp con WhatsApp KeyExctract

Il recupero delle chat cancellate di WhatsApp avviene attraverso un tool eseguibile sia in ambiente Windows, attraverso il file scaricato denominato WhatsAppKeyExctract.bat, che in ambiente Linux, attraverso il file scaricato denominato WhatsAppKeyExctract.sh.

Quali sono gli step che il programma segue per il recupero delle conversazioni di WhatsApp?

• L’applicazione imposta dei permessi di amministratore temporanei sul dispositivo mobile al fine di accedere alla memoria e al file di backup per il recupero delle conversazioni di WhatsApp
• Successivamente disinstalla temporaneamente l’app WhatsApp più aggiornata perché prevede il salvataggio delle conversazioni WhatsApp in formato cifrato e quindi illegibili
• A fronte della disinstallazione, viene installata una versione di WhatsApp precedente in modo da ripristinare il file di backup delle conversazioni ed evitare che vengano nuovamente salvata in maniera crittografata
• Infine, dopo aver recuperato i messaggi delle chat di WhatsApp in chiaro, procede a reinstallare la versione che era presente in origine sul dispositivo mobile oggetto di analisi forense.

Le conversazioni di WhatsApp recuperate con WhatsApp KeyExctract vengono salvate in un file denominato msgstore.db.

È importante che sia abilitata la modalità USB debug sul dispositivo mobile oggetto di analisi forense per consentire l’effettivo recupero delle chat di WhatsApp e dei vari allegati ai messaggi di WhatsApp.

Il file ottenuto da WhatsApp KeyExctract può essere consultato con il programma WhatsAppViewer che, importando i file msgstore.db e wa.db, è in grado di visualizzare l’elenco dei messaggi recuperati da WhatsApp in formato facilmente fruibile dall’utente.

Nel caso fosse necessario stampare una copia dei messaggi recuperati dal database di WhatsApp, WhatsAppViewer offre anche una funzionalità di esportazione dei dati in formato TXT e HTML.

È tuttavia necessario precisare che per recuperare le chat di WhatsApp con questa procedura occorre che l’applicazione installata sullo smartphone non sia particolarmente aggiornata in quanto è possibile accedere solo ai database sino alla versione crypt8.

Quindi come recuperare le chat di WhatsApp più aggiornate? Occorre utilizzare dei software di mobile forensics che, previa acquisizione forense di tutto il dispositivo, sono in grado di recuperare i dati di WhatsApp, talvolta anche cancellati.

Come produrre messaggi WhatsApp come prove informatiche?

Per il recupero delle chat di WhatsApp da utilizzare come prove informatiche in un processo occorre necessariamente utilizzare software di informatica forense come ad esempio Cellebrite UFED e Oxygen Forensics Suite.

I software di mobile forensics consentono di effettuare un’acquisizione integrale di dispositivi mobili come smartphone, tablet e telefoni cellulari, generando un’immagine forense che può poi essere analizzata nell’ambito di una perizia sullo smartphone.

All’interno dei software di analisi forensi di smartphone sarà possibile visualizzare l’intero tabulato dei messaggi di WhatsApp, comprendendo sia i messaggi inviati che ricevuti, nonché quelli cancellati ancora presenti sul telefono cellulare.

In particolare UFED permette di recuperare le chat anche dalle versioni più recenti dell’app mediante la modalità APK Downgrade. Come illustrato nel caso precedente, questa modalità installa temporaneamente una versione meno recente di WhatsApp in modo tale da rendere non cifrato il file dei messaggi di WhatsApp. Al termine della procedura viene ripristinata la versione originale di WhatsApp che era presente sul dispositivo.

A differenza del software WhatsApp KeyExtractor, i software di mobile forensics sono soggetti a maggiore manutenzione e permettono quindi anche di recuperare i tabulati di WhatsApp più recenti.

Inoltre, i software di informatica forense che permettono l’analisi forense dei cellulari sono in grado di esportare tutti i dati, quindi anche le conversazioni di chat, in vari formati tra cui tipicamente PDF, XLS, RTF, CSV, HTML o XML.

Al fine di garantire la validità legale delle informazioni recuperate, i software di mobile forensics operano in modalità di “sola lettura”, assicurando così che i dati informatici acquisiti e analizzati restino inalterati per successive indagini e verifiche. La garanzia di inalterabilità è offerta dagli hash che vengono calcolati contestualmente all’acquisizione forense.

Come recuperare conversazioni WhatsApp cancellate per un processo?

Se hai bisogno di produrre un messaggio di chat WhatsApp come prova in un processo occorre rivolgersi a un consulente informatico forense che, seguendo la metodologia della mobile forensics, provveda a congelare i dati presenti sul dispositivo (la cosiddetta acquisizione forense di un dispositivo mobile) e a redigere una perizia sullo smartphone.

BIT4LAW offre i servizi di informatica forense per la produzione di messaggi di chat di qualsiasi tipo (WhatsApp, Viber, Skype, Messenger, Telegram, Signal…) come prove informatiche all’interno dei processi.

È importante rivolgersi a professionisti del settore per evitare che la propria controparte possa disconoscere i messaggi prodotti mediante procedure non adeguate e non accettate dai tribunali.

Contattaci allo 051.0562070 o scrivici a info@bit4law.com per un preventivo gratuito, oppure compila il seguente form per essere contattato al più presto da uno dei nostri consulenti tecnici di informatica forense.