Caso Garlasco: perché i messaggi di Sempio cancellati dal forum non si possono recuperare

Da qualche giorno, in mezzo al rumore mediatico sulla nuova fase dell’inchiesta sul delitto di Garlasco, c’è una frase che rimbalza ovunque: sui social, nei commenti agli articoli, perfino in qualche talk-show. È la frase del cugino esperto di tecnologia: «Tanto l’autorità giudiziaria può sempre recuperare i messaggi cancellati».

Spoiler: no, non può. Almeno non come la gente immagina.

E siccome il tema è diventato di interesse pubblico — con migliaia di post attribuiti ad Andrea Sempio sul forum Italian Seduction Club sotto il nickname “Andreas”, scritti tra il 2009 e il 2016 e ora finiti al centro dell’indagine — vale la pena fare un po’ di chiarezza tecnica. In modo semplice, ma onesto.

Il punto di partenza: cosa è successo davvero

Riassumo i fatti, perché servono per inquadrare il discorso. Sul forum citato sopra, l’utente “Andreas” — riconducibile, secondo la stessa difesa, ad Andrea Sempio — ha pubblicato migliaia di messaggi. La cifra che circola è quella ricostruita dalla redazione di MowMag e ripresa da diverse testate: il contatore del forum riporta 3.428 post a nome di Andrea S, di cui 3.362 effettivamente visitabili. Mancano all’appello una sessantina di messaggi.

Possono essere in sezioni riservate. Oppure possono essere stati cancellati. Curiosità: la possibilità di cancellare i propri post fu introdotta dall’amministratore del forum nell’estate 2016, al costo di 10 euro a post. Per Sempio, ripulire tutto sarebbe costato oltre 34.000 euro.

Quindi: se una sessantina di post fosse stata davvero rimossa, il tema — qui ed è ciò di cui voglio parlare — è capire se quei messaggi sarebbero in qualche modo recuperabili da parte degli inquirenti. La risposta breve è: praticamente no. Quella lunga richiede di spiegare un paio di cose.

Come funziona, tecnicamente, un forum

Un forum non è “una pagina web”. È un software che gira su un server e che, sotto il cofano, scrive ogni messaggio in un database. Pensate al database come a un foglio Excel gigantesco: ogni post è una riga, con dei campi (autore, data, testo, sezione, etc.).
Quando voi caricate la pagina del forum, il software pesca quelle righe dal database (dal nostro foglio Excel, per continuare con l’esempio di prima), le impagina con grafica e ve le mostra.

Questa è la prima cosa da tenere a mente: esiste una riga in un database, su un disco di un server, da qualche parte nel mondo. Esiste la riga nel nostro foglio Excel: se la cancelliamo, non è detto che sia recuperabile senza un backup.

Cosa succede davvero quando si “cancella” un messaggio

Qui c’è la prima distinzione importante, perché esistono due tipi di cancellazione:

• Cancellazione logica (soft delete). Il messaggio non viene rimosso davvero: il software cambia un campo nel database e da quel momento in poi, quando si carica la pagina, il messaggio non viene mostrato. Però è ancora lì.
  In questo caso sì, su richiesta dell’autorità giudiziaria, il gestore del forum può facilmente “ripescarlo” dal database.
  Per continuare nel nostro parallelismo con Excel: è come se barrassimo una riga. Questa è ancora lì, visibile, ma semplicemente la ignoriamo.

• Cancellazione fisica (hard delete). La riga viene proprio eliminata dalla tabella. A quel punto il database, per il software del forum, non sa più che quel messaggio sia mai esistito. E questo è lo scenario su cui si gioca tutta la discussione.

La maggior parte dei forum moderni implementa una cancellazione di tipo hard, soprattutto quando il servizio è a pagamento e il senso commerciale stesso dell’operazione è “sparire davvero”. Se pago 10 euro per cancellare un post e quello rimane nel database con un flag, il prodotto venduto sarebbe una truffa.

Il mito del “recupero forense”: perché in pratica non funziona

A questo punto il ragionamento del cugino-esperto è: «Sì, ma anche se la riga è cancellata dal database, sul disco rigido c’è una traccia. La polizia postale recupera tutto».
Questa è un’idea che viene dal folklore delle serie TV americane più che dalla realtà ed anzi, prende spesso il nome di “Effetto CSI” (di cui spesso parlo durante i miei speech).
Quando un dato viene cancellato fisicamente da un database, lo spazio sul disco non viene immediatamente azzerato: viene marcato come libero. Quel pezzo di disco, in teoria, potrebbe ancora contenere il vecchio dato fino a quando non viene riscritto.

In teoria. Perché su un server di un forum attivo, con migliaia di utenti che pubblicano in continuazione, lo spazio “libero” viene riutilizzato in tempi brevissimi — minuti, ore al massimo. Il vecchio messaggio viene sovrascritto da nuovi dati e a quel punto è perso davvero, anche per i forensi più attrezzati. È la stessa logica per cui, se cancellate un file dal vostro PC e continuate a usarlo, dopo qualche giorno non c’è più software al mondo che ve lo ripeschi.

Aggiungiamo che:

• I database moderni gestiscono lo spazio in pagine compattate, frammentate, indicizzate. Non si “leggono i bit” come si farebbe su un settore grezzo del disco.
• I server di forum di solito girano in datacenter su storage condiviso, con replicazione, snapshot rotanti, virtualizzazione. La nozione stessa di “disco fisico da analizzare” diventa fumosa.
• Anche se per assurdo si arrivasse a un blocco di dati ancora intatto, ricostruire il contesto (di chi era? quando? in quale thread?) senza i metadati del database è un lavoro spesso impossibile.

In pratica: una volta che un messaggio è stato cancellato fisicamente da un forum attivo, è perso. Punto. Non c’è perizia che tenga. L’unica cosa che la magistratura può ottenere è ciò che esiste ancora.

L’unica vera eccezione: i backup

C’è un caso in cui il messaggio cancellato può “tornare in vita”: se esiste un backup del database fatto prima della cancellazione.
I backup sono copie periodiche del database che il gestore conserva per sicurezza, in caso di guasti o attacchi informatici. A seconda della politica del forum, possono essere giornalieri, settimanali, mensili. Possono essere conservati per giorni o per anni.

Se un giudice chiede al gestore del forum di consegnare i backup e fra questi ce n’è uno antecedente alla cancellazione, allora sì: il messaggio è lì, basta aprirlo per leggerlo.

Sembra la soluzione magica, ma c’è un problema serio.

Ed è qui che la questione diventa giuridicamente delicatissima.
Un file di backup di un database è, alla fine, un file. Tipicamente un dump SQL, cioè un lungo elenco di istruzioni di testo. Si apre con un editor di testo qualsiasi. E si modifica con la stessa facilità.

Niente impedisce, tecnicamente, al gestore del forum (o a chiunque abbia accesso al server) di:

• Aggiungere post mai scritti, attribuendoli a un utente qualsiasi.
• Eliminare post realmente esistiti.
• Modificare il testo di post per renderli più (o meno) compromettenti.
• Cambiare date, ID utente, sezioni di pubblicazione.

E la modifica, fatta bene, è praticamente invisibile: quando si riapre il file modificato, non c’è alcuna “spia” che dice “questo backup è stato manomesso”. A meno che — ed è il punto cruciale — al momento della creazione del backup non sia stata generata una firma digitale o un hash crittografico del file, conservato in modo sicuro e indipendente (per esempio, depositato presso un terzo, certificato con marca temporale, etc…).
Cose che, vi assicuro, nessun forum amatoriale di seduzione fa. E che di solito non fanno nemmeno le piattaforme commerciali medie.
È una pratica che si trova in ambienti enterprise regolamentati: sanità, banche, telco. Non in un forum gestito da una S.r.l. italiana.

Risultato: anche se domani saltasse fuori un backup del 2015 con i 66 post mancanti di “Andreas”, in sede dibattimentale la difesa avrebbe gioco facile a sollevare il dubbio sull’integrità di quel file. Non perché sia stato modificato: ma perché non è dimostrabile che non sia stato modificato, ed è la procura a doverlo dimostrare. La validità probatoria di un dato del genere è tutta da costruire — con perizie, testimonianze del gestore, ricostruzione della catena di custodia — e resta comunque fragile.

Le altre fonti residue (quelle che spesso si dimenticano)

Detto tutto questo, c’è una verità un po’ meno nota: anche se un messaggio è stato hard-cancellato, possono sopravvivere copie indirette in posti che non dipendono dal database del forum. Ed è qui che, paradossalmente, gli inquirenti hanno le possibilità migliori.

• Citazioni in messaggi di altri utenti. È il caso più tipico. Sui forum, quando si risponde a un post, spesso lo si “quota”: il testo originale viene incollato dentro la risposta. Se l’utente A scrive una frase compromettente e l’utente B gli risponde citandola, anche se A cancella il proprio post, la frase resta dentro il messaggio di B. È esattamente uno dei motivi per cui chi cerca di ripulire la propria storia online quasi sempre fallisce: i contenuti rimbalzano.

• Web Archive (archive.org) e altri crawler. Le pagine pubbliche dei forum vengono spesso indicizzate dai crawler. Se la pagina con il messaggio incriminato era visibile senza login ed è stata “fotografata” da Wayback Machine prima della cancellazione, lì rimane per sempre — e in quel caso parliamo di una fonte terza, indipendente, datata, di valore probatorio molto più solido di un backup interno. Il limite: i forum che richiedono iscrizione per essere consultati di solito non vengono indicizzati.

• Screenshot e copie fatte da altri utenti. Banalissimi, ma esistono. E possono essere prodotti come prove — con tutti i caveat del caso, perché anche uno screenshot si fabbrica in cinque minuti con Photoshop.

• Cache di motori di ricerca. Storicamente Google teneva una “copia cache” delle pagine che indicizzava. Oggi questa funzionalità è stata in gran parte smantellata, ma per pagine vecchie può ancora capitare di trovarne traccia in archivi specializzati.

Un caso a parte: il modello “cancellazione a pagamento”

Tutto il discorso fatto finora vale per i forum standard, dove l’utente può cancellare i propri post liberamente o, in alcuni casi, non può proprio farlo. Il forum Italian Seduction Club però funzionava in modo abbastanza singolare, e merita un capitolo a parte perché tocca direttamente il caso Garlasco — e perché solleva questioni giuridiche molto più ampie.

Fino all’estate 2016, su quel forum non era proprio possibile cancellare i propri messaggi: una volta scritto, un post restava lì. Poi l’amministratore — secondo la ricostruzione di MOW Magazine, l’unica testata ad aver lavorato direttamente sulla fonte primaria — pubblicò un annuncio che introduceva una novità: la cancellazione era ora possibile, ma a pagamento, 10 euro a post. Quella stessa comunicazione ricevette pochissimi like, sette in totale: uno di questi era di “Andrea S.”. È il genere di dettaglio che, in OSINT, si chiama behavioral signal: il segnale di un interesse specifico per la nuova funzionalità appena introdotta.

Per “Andrea S.”, che aveva accumulato 3.428 post, cancellare tutto avrebbe richiesto un esborso di circa 34.280 euro. È in larga parte la ragione per cui la sua storia digitale è arrivata fino a noi: la pulizia integrale era economicamente proibitiva. Una pulizia mirata su un piccolo numero di post compromettenti, però, sarebbe stata alla portata di chiunque: dei 3.428 post a contatore, solo 3.362 risultano oggi visitabili. Ne mancano 66. Possono essere in sezioni riservate del forum (ne esiste una chiamata Predator, accessibile solo agli utenti di livello “elite”), oppure possono essere stati fatti rimuovere a pagamento, per un costo complessivo di 660 euro. Una cifra accessibile.

Su questo modello commerciale, però, c’è da fare una nota giuridica importante.

Il GDPR, articolo 17 — il famoso “diritto all’oblio” — prevede che ogni utente possa chiedere la cancellazione dei propri dati personali al titolare del trattamento, gratuitamente, e con tempistiche stabilite per legge. Il forum è gestito da una società lettone-italiana, pienamente soggetta al Regolamento europeo. Quindi il “servizio commerciale” da 10 euro a post non era affatto l’unica strada per rimuovere i propri contenuti: una semplice PEC ben formulata avrebbe avuto, sulla carta, lo stesso effetto, gratis.

C’è però una differenza non da poco, e qui il discorso scivola dal diritto alla strategia. Una richiesta GDPR via PEC lascia una traccia documentale: una mail certificata, datata, indirizzata a un soggetto giuridico identificabile, che il titolare del trattamento è obbligato a conservare nei propri registri per anni. Il pagamento di 10 euro a post, invece, è un’operazione di mercato sostanzialmente anonima: paghi, il post sparisce, e all’esterno non resta documentazione né del fatto che hai cancellato qualcosa, né di che cosa hai cancellato.

Per chi volesse semplicemente esercitare un proprio diritto, dunque, la strada economicamente sensata sarebbe stata la PEC. Per chi volesse far sparire qualcosa di specifico senza che restasse documentato il fatto stesso di averlo voluto far sparire, la strada giusta era il pagamento. Sul piano investigativo, è una distinzione che pesa: una richiesta GDPR genera una prova di volontà (cosa è stato chiesto, quando, da chi); un pagamento commerciale, no.

Insomma, il modello del forum non era progettato per garantire i diritti degli utenti. Era progettato per monetizzare il bisogno di sparire in silenzio. Cosa che, peraltro, in caso di un’eventuale segnalazione al Garante per la Protezione dei Dati Personali, potrebbe non essere proprio una passeggiata difensiva per il titolare del trattamento.

Conclusioni

• Un messaggio cancellato fisicamente da un forum, in condizioni normali, non è recuperabile. Né dal gestore, né dall’autorità giudiziaria, né da consulenti tecnici esterni, indipendentemente da quante puntate di CSI si siano viste.
• L’unica eccezione realistica sono i backup precedenti la cancellazione, ma la loro validità probatoria è tutt’altro che scontata, perché un file di backup è facilmente modificabile e — a meno di firme digitali certificate al momento della creazione, cosa rara — non è possibile dimostrare a posteriori che non lo sia stato.
• Le fonti più affidabili, quando esistono, sono quelle indirette e indipendenti dal forum: citazioni dentro post di altri utenti, archivi pubblici come Wayback Machine, eventuali copie locali. Sono spesso la vera fonte da cui i giornalisti, e poi gli inquirenti, riescono a ricostruire ciò che qualcuno ha cercato di far sparire.
• Nel caso specifico di Garlasco, la situazione è quasi paradossale: la stragrande maggioranza dei messaggi di “Andreas” — oltre 3.300 — non è mai stata cancellata, perché farlo costava troppo. Quindi gli inquirenti hanno avuto vita facile: il materiale era ed è ancora pubblicamente accessibile sul forum (a chi è iscritto). I 66 post che mancano all’appello, se davvero sono stati cancellati, sono con ogni probabilità persi — salvo, appunto, qualche eco in citazioni altrui o in cache pubbliche.