Come capire se una registrazione audio è stata tagliata o manipolata

Capire se una registrazione audio è stata modificata è una domanda che nasce spesso in contesti molto diversi tra loro, da una semplice conversazione privata a un’intervista giornalistica, da una prova in ambito lavorativo a una verifica per un procedimento legale. La sensazione che qualcosa non torni può venire da un salto di volume improvviso, da una pausa strana, da una voce che sembra fuori sincrono rispetto al contesto. In questi casi la prima cosa da fare è separare l’impressione soggettiva dall’evidenza tecnica. Non esiste un pulsante che dica “modificato sì/no”, e nessun strumento di analisi automatica può stabilire da solo la verità legale o l’intenzione di chi ha manipolato un file. Quello che si può fare in modo affidabile è documentare l’impronta tecnica del file così com’è arrivato a te, confrontarla con eventuali versioni originali e registrare in modo verificabile quando e come è stata fatta questa analisi. Questa documentazione tecnica è fondamentale perché fornisce una base oggettiva su cui costruire ulteriori accertamenti, se necessari, con esperti di fonetica forense o periti. L’approccio corretto parte dall’estrazione dei metadati, dal calcolo delle impronte crittografiche e dalla registrazione di un timestamp che attesti l’esistenza del file in un determinato momento. Solo mettendo insieme questi elementi si ottiene una storia coerente del file, senza saltare alle conclusioni.

I file audio, soprattutto quelli più diffusi come MP3, WAV, FLAC, M4A e AAC, contengono al loro interno un insieme di informazioni che non sono il suono in sé, ma la descrizione tecnica di come quel suono è stato codificato e gestito. Parliamo di codec utilizzato, frequenza di campionamento, bitrate, numero di canali, software di encoding, data di creazione e di ultima modifica, presenza di tag ID3 o XMP, e in alcuni casi anche informazioni sul dispositivo di acquisizione. Quando un file viene ri-esportato, anche solo per normalizzare il volume o tagliare qualche secondo all’inizio, queste informazioni cambiano quasi sempre. Un MP3 creato direttamente da un’app di registrazione sul telefono avrà un set di metadati diverso rispetto allo stesso MP3 ri-salvato con un editor desktop. Anche la semplice rinominazione del file di solito non altera l’impronta interna, ma l’apertura e il salvataggio in un programma di editing sovrascrive il blocco dei metadati e aggiorna i timestamp del file system. Per questo motivo la prima verifica pratica è guardare la coerenza tra le informazioni dichiarate dal file e la storia che ti aspetti. Se ricevi una registrazione che dovrebbe provenire da un registratore portatile professionale e i metadati indicano un encoder consumer tipo “Lavf58.29.100” o un software di editing noto, è un segnale che richiede approfondimento. La stessa attenzione vale per le incongruenze temporali, come una data di creazione successiva alla data di invio o una data di modifica molto più recente rispetto al momento della presunta registrazione.

Il punto più solido della verifica tecnica è l’impronta crittografica. SHA-256, MD5 e CRC32 sono funzioni hash che generano una stringa univoca a partire dal contenuto del file. Anche una modifica di un singolo campione audio cambia completamente l’hash. Questo significa che se possiedi due copie della stessa registrazione e gli hash coincidono bit per bit, le due copie sono identiche dal punto di vista binario. Se gli hash differiscono, i file non sono identici, punto. Non si può sapere da un hash cosa è stato cambiato, solo che qualcosa è cambiato. È per questo che l’hash è uno strumento di integrità, non di diagnosi. Nella pratica forense si usa spesso la coppia hash più timestamp per creare una prova di esistenza: si calcola l’hash al momento del ricevimento e si documenta quando è stato calcolato. In questo modo, anche in assenza dell’originale, hai una fotografia tecnica certificata del file così come lo hai ricevuto.

Il confronto tra versioni è il caso d’uso più comune. Immagina di avere una nota vocale WhatsApp ricevuta e una copia salvata sul telefono del mittente. Caricando entrambe le versioni in un ambiente di analisi si possono estrarre i metadati completi e confrontare gli hash. Se gli hash sono diversi, le due versioni non sono identiche. A quel punto i metadati aiutano a capire perché: diversa codifica, diverso bitrate, presenza di un software di editing, timestamp di modifica diverso. Un altro scenario tipico è la catena di custodia di un’intervista registrata in campo. La registrazione originale dal registratore è in WAV a 48 kHz. La versione consegnata all’editore è in MP3 a 128 kbps. Qui l’hash sarà ovviamente diverso perché il formato è diverso, ma i metadati della sorgente, se correttamente documentati, dovrebbero indicare la provenienza e la data di conversione. La coerenza della storia è importante quanto la corrispondenza binaria. Per questo è utile avere un rapporto che raccolga in un unico documento tutti i dati estratti, così da evitare interpretazioni parziali.

FilesAudit supporta più di 200 formati audio, video, documento e archivio, e permette di estrarre in modo sistematico i metadati tecnici e di calcolare le impronte crittografiche in un unico passaggio. Caricando il file sulla piattaforma è possibile ottenere una vista dettagliata