In una copia forense di WhatsApp può capitare che l’orario riportato nel report tecnico sembri diverso da quello visualizzato nell’applicazione. In molti casi non si tratta di un errore, ma di una normale differenza tra timestamp UTC e ora locale del dispositivo.
Questo articolo spiega perché nelle acquisizioni forensi gli orari possono essere espressi in UTC, mentre WhatsApp e altre applicazioni mostrano spesso l’ora locale del telefono. La corretta interpretazione del fuso orario è essenziale prima di contestare una procedura tecnica.
Il problema: orari diversi tra WhatsApp e report forense
Durante l’analisi di una chat WhatsApp può accadere che nel report di acquisizione venga indicato un orario diverso rispetto a quello mostrato direttamente dall’applicazione.
Ad esempio:
- WhatsApp mostra: 20:32
- Il report tecnico riporta: 18:32 UTC
A prima vista potrebbe sembrare una discrepanza. In realtà, se l’acquisizione è stata eseguita in Italia durante il periodo dell’ora legale, questi due orari possono rappresentare lo stesso identico istante.
Che cosa significa UTC
UTC significa Coordinated Universal Time, cioè Tempo Coordinato Universale.
È uno standard internazionale utilizzato in ambito tecnico, informatico e forense per rappresentare il tempo in modo uniforme, senza dipendere dal fuso orario locale di un singolo paese.
Questo è importante perché i dati digitali possono provenire da:
- telefoni configurati in paesi diversi;
- server collocati in nazioni diverse;
- piattaforme online distribuite su più infrastrutture;
- log tecnici salvati con impostazioni temporali differenti;
- dispositivi che applicano automaticamente ora legale o ora solare.
L’uso dell’UTC consente di avere un riferimento temporale stabile e confrontabile.
UTC e ora italiana: l’esempio pratico
In Italia, durante il periodo dell’ora legale, il fuso orario è CEST, cioè UTC+2.
Questo significa che, nel periodo estivo:
- 18:32 UTC corrisponde a 20:32 ora italiana;
- 18:42 UTC corrisponde a 20:42 ora italiana;
- 19:00 UTC corrisponde a 21:00 ora italiana.
Quindi una differenza apparente di due ore non indica necessariamente un errore. Può semplicemente dipendere dal fatto che un sistema mostra il tempo in UTC e l’altro lo mostra nel fuso orario locale.
Perché WhatsApp mostra un orario e il report ne mostra un altro
WhatsApp, normalmente, mostra gli orari secondo il fuso orario locale del dispositivo utilizzato dall’utente.
Un report tecnico o una procedura di acquisizione forense, invece, può registrare la data e l’ora in UTC per rendere il dato più oggettivo e confrontabile.
Per questo motivo non bisogna confrontare gli orari in modo diretto senza prima verificare:
- il fuso orario usato dal report;
- il fuso orario del dispositivo;
- la presenza di ora legale o ora solare;
- il formato del timestamp;
- la data esatta dell’acquisizione.
Quando la differenza di orario non è un’anomalia
Una differenza tra orario locale e orario UTC non è, di per sé, un’anomalia.
Se il report indica chiaramente che la data di acquisizione è espressa in UTC, l’orario deve essere convertito nel fuso locale prima di confrontarlo con quello visibile nell’applicazione.
Ad esempio:
Data acquisizione: 2026-07-06T18:42:26 UTC
Nel mese di luglio, in Italia:
18:42:26 UTC + 2 ore = 20:42:26 ora italiana
In questo caso il dato tecnico e l’orario visualizzato sul dispositivo non sono in conflitto. Sono semplicemente espressi in due riferimenti temporali diversi.
Quando invece un orario può essere davvero problematico
Naturalmente non tutte le differenze di orario devono essere ignorate. In alcuni casi un’anomalia temporale può essere rilevante.
Può essere necessario approfondire quando:
- il dispositivo aveva data o ora errata;
- il fuso orario del telefono era configurato in modo sbagliato;
- i log provengono da sistemi diversi non sincronizzati;
- manca l’indicazione del fuso orario nel report;
- non è chiaro se l’orario sia locale, UTC o riferito a un server remoto;
- sono presenti più timestamp non coerenti tra loro.
Per questo motivo l’analisi forense non dovrebbe limitarsi a leggere l’orario visibile, ma deve interpretare correttamente il contesto tecnico in cui quel dato è stato generato.
Prima di contestare una copia forense bisogna capire il timestamp
Una differenza apparente tra l’orario mostrato da WhatsApp e quello riportato in una documentazione tecnica non dimostra automaticamente un errore nella procedura di acquisizione.
Prima di formulare contestazioni è necessario verificare se il report utilizza UTC, ora locale, ora del server o un altro riferimento temporale.
In molti casi la spiegazione è semplice: due orari diversi rappresentano lo stesso momento, ma sono espressi in fusi orari differenti.
Acquisizione forense di WhatsApp e valore probatorio
Quando una chat WhatsApp deve essere utilizzata in ambito legale, non è sufficiente produrre semplici screenshot o esportazioni informali.
È importante documentare correttamente:
- il dispositivo o l’ambiente di acquisizione;
- la chat o i messaggi oggetto di analisi;
- la data e l’ora dell’acquisizione;
- il formato temporale utilizzato;
- gli hash dei file prodotti;
- la relazione tecnica e la catena di custodia.
Per approfondire il tema della validità tecnica e probatoria delle conversazioni WhatsApp, è disponibile la pagina dedicata al servizio:
È importante ricordarsi che …
Un orario apparentemente diverso non è necessariamente un errore.
Nel contesto forense digitale, la domanda corretta non è solo “che ora vedo sullo schermo?”, ma:
in quale fuso orario è stato registrato quel timestamp?
Solo dopo questa verifica è possibile confrontare correttamente gli orari e valutare se esista davvero una discrepanza tecnica.
Informatica in Azienda è diretta dal Dott. Emanuel Celano
Ascolta i nostri articoli sulla sicurezza informatica mentre sei in macchina, click qui per i canali podcast:
Podcast sicurezza informatica : in macchina ascolta gli articoli di allerta pericoli informatici
⬇️CONDIVIDI QUESTO ARTICOLO CON I TUOI AMICI⬇️
(Scarica le nostre App ufficiali)
