Messaggi cancellati: si possono recuperare?

Cancellato non vuol dire sparito

Le linee guida del NIST, l'istituto di standardizzazione degli Stati Uniti, sulla forensica dei dispositivi mobili (Special Publication 800-101, revisione 1, maggio 2014) definiscono il file cancellato come un file eliminato dal sistema operativo in senso logico, ma non necessariamente in senso fisico: la cancellazione non sempre esclude che si possano recuperare in tutto o in parte i dati originali. Per i messaggi il discorso è simile, perché le app li conservano in archivi interni, come si vede più sotto.

Prima ancora del telefono, però, conviene pensare agli altri luoghi in cui una conversazione può trovarsi:

• Il telefono dell'altra persona. Cancellare un messaggio dal proprio telefono non lo cancella, di per sé, da quello di chi lo ha inviato o ricevuto.
• I backup. Secondo la documentazione di Apple, il backup di iCloud scatta periodicamente delle istantanee dei dati del dispositivo che non sono già sincronizzati; comprende i messaggi (iMessage, SMS, MMS) se non è attiva la sincronizzazione dei Messaggi in iCloud, e comprende i dati delle app scaricate, incluse le app di messaggistica. Un backup fatto prima della cancellazione fotografa il telefono com'era in quel momento. Se il backup viene disattivato, i backup già salvati restano conservati per 180 giorni. Le linee guida del NIST ricordano anche i dati sincronizzati sul computer a cui il telefono è stato collegato.
• Gli elementi eliminati di recente. Su iPhone, dalla versione 16 di iOS, i messaggi e le conversazioni cancellati nell'app Messaggi si possono recuperare entro 30-40 giorni dalla cancellazione, secondo la documentazione di Apple.

Sui dati che restano presso i fornitori dei servizi vedi I dati di WhatsApp e delle app: che cosa resta e Cloud, backup e provider.

Che cosa può trovare un'estrazione forense

Le linee guida del NIST distinguono i metodi di estrazione per livelli, dal più semplice al più invasivo:

Dal documento del NIST si ricavano tre osservazioni che spiegano perché nessuno può promettere un risultato.

• La cifratura. Sui dispositivi in cui la protezione dei dati è attiva (il documento esamina gli iPhone dell'epoca), quando un file viene cancellato ne viene distrutta la chiave: il contenuto resta nello spazio libero in forma cifrata e in genere non è recuperabile. Molti dati si trovano però all'interno di archivi ancora in uso, come le tabelle dei database SQLite, dove si trova una parte importante dei dati dell'utente, e lì possono restare tracce.
• La memoria flash. Per come funziona la memoria dei telefoni, possono esistere più copie degli archivi che cambiano spesso, come database e registri.
• Il tempo e l'uso. I dati nuovi possono sovrascrivere quelli esistenti: per questo il NIST raccomanda di isolare il telefono dalle reti dopo il sequestro, così che il traffico in arrivo, per esempio nuovi SMS, non sovrascriva i dati esistenti.

Il documento è del 2014, e già allora avvertiva che i dispositivi cambiano di continuo. Il risultato dipende dal modello, dalla versione del sistema, dalla cifratura, da quanto tempo è passato, da quanto il telefono è stato usato dopo e dagli strumenti disponibili. Una stima attendibile richiede l'esame del dispositivo. Sulla cifratura dei telefoni vedi Il telefono è già criptato?

Come entrano nel processo penale

Il telefono sequestrato viene di regola copiato: per i dati informatici la copia deve essere fatta «mediante procedura che assicuri la conformità della copia all'originale e la sua immodificabilità» (art. 260, comma 2, c.p.p.), e la perquisizione di un sistema informatico richiede «misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l'alterazione» (art. 247, comma 1-bis). I messaggi recuperati sono una parte di questi dati. Per le chat valgono le stesse regole delle altre chat: vedi Le chat WhatsApp come prova nel processo penale e Le chat sono corrispondenza? Sulla copia vedi La copia forense del telefono.

Se i messaggi si trovano in un backup nel cloud, l'autorità giudiziaria può disporne il sequestro presso il fornitore del servizio. L'art. 254-bis c.p.p. consente che l'acquisizione avvenga mediante copia, con una procedura che assicuri la conformità dei dati acquisiti agli originali e la loro immodificabilità; in questo caso al fornitore è ordinato di conservare e proteggere gli originali. Per i fornitori stranieri vedi Cloud, backup e provider.

Il metodo di estrazione ha anche un peso giuridico. Quando un accertamento tecnico riguarda cose «il cui stato è soggetto a modificazione», il pubblico ministero deve avvisare senza ritardo la persona indagata, la persona offesa e i difensori del giorno, dell'ora e del luogo del conferimento dell'incarico e della facoltà di nominare consulenti tecnici; difensori e consulenti hanno diritto di assistere, di partecipare agli accertamenti e di formulare osservazioni e riserve (art. 360 c.p.p.). Le tecniche più invasive descritte dal NIST possono alterare il dispositivo o rendere impossibili altre estrazioni successive: per questo conta capire, caso per caso, se l'operazione si possa ripetere.

La difesa può far esaminare i dati da un proprio consulente. Fuori dei casi di perizia il giudice, a richiesta del difensore, può autorizzare il consulente di una parte privata a esaminare le cose sequestrate nel luogo in cui si trovano; prima dell'esercizio dell'azione penale l'autorizzazione è data dal pubblico ministero, e contro il rifiuto il difensore può fare opposizione al giudice (art. 233, comma 1-bis, c.p.p.). Vedi Il consulente della difesa e l'accesso ai dati.

E nel processo civile

Nel processo civile i messaggi recuperati si producono come le altre chat, cioè come riproduzioni informatiche (art. 2712 c.c.), e chi li subisce può disconoscerne la conformità. Il giudice, quando serve, può farsi assistere da un consulente tecnico (art. 61 c.p.c.). Vedi Le chat come prova nel processo civile.

Casi frequenti

• «Ho cancellato per errore la chat che mi serve.» Prima del telefono conviene considerare gli altri luoghi: il telefono della persona con cui scrivevi, un backup fatto prima della cancellazione, gli elementi eliminati di recente. Sul telefono, se e che cosa si possa recuperare lo può dire solo un tecnico che lo esamina.
• «Mi hanno sequestrato il telefono: troveranno anche i messaggi cancellati?» Dipende dal modello, dalla cifratura, dal tempo trascorso e dal metodo usato; non esiste una risposta valida per tutti. Le regole sul sequestro e sulla copia sono in Mi hanno sequestrato il telefono.
• «I messaggi recuperati possono essere usati?» Sì, come gli altri dati del dispositivo e con le stesse regole: la difesa può discutere sia il modo in cui sono stati acquisiti sia la loro affidabilità.
• «L'altra parte dice di aver recuperato vecchi messaggi.» Si possono chiedere il metodo usato, gli strumenti, i dati estratti e la documentazione della copia, e farli esaminare da un proprio consulente.

Fonti

NIST, Special Publication 800-101 Revision 1, Guidelines on Mobile Device Forensics (maggio 2014); Apple, documentazione di supporto Recover deleted text messages on your iPhone or iPad (pubblicata il 14 settembre 2026) e What does iCloud back up? (pubblicata il 1° maggio 2025); codice di procedura penale, artt. 233, 247, 254-bis, 260, 360 (testo vigente su normattiva.it); codice civile, art. 2712; codice di procedura civile, art. 61. Verificato il 23 settembre 2026.