Em muitos casos dá para recuperar o que foi apagado de um celular, de um computador ou de uma conta, mostrar de onde partiu um acesso e identificar quem escreveu uma mensagem: é esse o trabalho da análise forense digital. O que faz o resultado valer como prova é o método: uma cópia exata do aparelho feita sem alterar o original, o registro de cada passo dado com ela e a autorização de quem é dono do dispositivo ou uma ordem judicial.
Ninguém sério promete recuperar tudo. O que volta depende do tempo que passou, do aparelho e do quanto foi gravado por cima do dado apagado. Abaixo você vê quando a perícia é indicada, como ela é feita e o que precisa acontecer para a prova ser aceita.
Quando a perícia digital é indicada
Ela serve quando existe uma pergunta que só o aparelho ou a conta podem responder. As situações mais comuns:
- Crime cibernético. Fraude bancária, invasão de conta e roubo de dados.
- Caso conjugal e familiar. Traição que deixou rastro digital e situações de alienação parental.
- Fraude e conflito na empresa. Espionagem industrial, vazamento de informação e uso indevido de sistema.
- Recuperação de dado apagado. Mensagens, fotos e arquivos que sumiram.
- Identificação de autoria. E-mail, mensagem anônima ou publicação falsa cuja origem você precisa conhecer.
Se a sua dúvida está concentrada num telefone, a investigação de celular trata do aparelho de perto. Quando o problema está numa caixa de correio, a investigação de e-mails cuida de mensagens e remetentes. Golpes e ataques pela internet são o assunto da investigação cibernética, e o panorama do trabalho em ambiente digital está em investigação digital.
Como funciona a perícia, em três etapas
Quem conduz o caso é a investigadora Rubi Pais, que tem mais de dez anos de experiência em investigação. Ela faz o trabalho de detetive forense do começo ao fim: acompanha cada etapa e é com ela que você conversa. A perícia técnica em si é executada por uma equipe técnica que trabalha com ela, com estrutura de laboratório.
1. Aquisição e preservação. O primeiro passo é a imagem forense do dispositivo: uma cópia completa, feita com software específico, que permite trabalhar sem tocar no original. Tudo fica registrado na cadeia de custódia, o documento que mostra quem teve acesso à prova, quando e como, para que ninguém possa alegar depois que ela foi alterada.
2. Análise técnica. Sobre a cópia, a equipe examina as transferências feitas, os registros de quem acessou o quê, as páginas visitadas, os arquivos escondidos e as conversas que alguém apagou, além das técnicas usadas para ocultar informação. Os metadados são os dados que o próprio arquivo guarda sobre si: data de criação e de edição, autor, equipamento e localização. O rastreamento de endereço IP ajuda a mostrar de onde partiu um acesso. A investigação de malware entra quando há suspeita de programa malicioso no aparelho. As ferramentas são softwares conhecidos de perícia: Autopsy, EnCase, FTK, Oxygen Forensics e Wireshark.
Parte do trabalho também acontece em fontes abertas, o que se chama OSINT: cruzar informação pública de perfis e redes para encontrar padrões, contradições e perfis que pertencem à mesma pessoa.
3. Relatório técnico forense. O resultado é um relatório com as evidências encontradas, a explicação técnica de como foram obtidas e a cronologia dos fatos. Ele serve a um processo, a uma investigação interna ou a uma decisão que você precisa tomar.
O que dá para recuperar em cada tipo de aparelho
Um dado apagado não desaparece na hora. Ele só se perde de vez quando alguma coisa nova é gravada por cima do espaço que ocupava. Por isso o que volta muda de uma mídia para outra:
- HD e SSD. Parte do conteúdo pode ser recuperada mesmo depois de uma formatação.
- Pen drive e cartão de memória. Costumam devolver fragmentos dos arquivos.
- Smartphone e tablet. Arquivos, histórico de localização e as redes Wi-Fi a que o aparelho se conectou.
- Servidor e banco de dados. Os logs, que são os registros automáticos do que aconteceu no sistema, e os backups.
Primeiro cuidado: deixe o aparelho como está
Se você está pensando em pedir uma perícia, o cuidado mais importante é também o mais simples: não grave nada novo no aparelho. Cada arquivo novo pode ocupar justamente o espaço onde estava o que foi apagado, e o que é gravado por cima não volta mais. Deixe o aparelho como está até conversar sobre o caso.
O que a lei exige e o que não é feito
A perícia digital é legal no Brasil quando respeita o Marco Civil da Internet e a Lei Geral de Proteção de Dados (LGPD). Para a prova valer, o dado precisa ter sido obtido com autorização do dono do dispositivo ou por ordem judicial.
Fora dessas condições não há perícia: entrar em aparelho ou conta sem consentimento vai contra essas regras e invalida a prova. Por isso não é feito aqui, e você deve desconfiar de quem oferece.
O que a Rubi oferece é perícia técnica particular; perito judicial é quem o juiz nomeia dentro de um processo.
Quanto custa uma perícia digital
Como referência publicada, a diária de investigação fica entre R$ 550 e R$ 950. A perícia técnica do aparelho é um trabalho à parte, orçado depois da primeira conversa, com o caso já conhecido. Como esses valores se formam está explicado em quanto custa um detetive particular.
O primeiro passo é uma conversa reservada pelo WhatsApp com a Rubi, para ela entender o que está no aparelho e dizer com franqueza se a perícia faz sentido para o seu caso.
Perguntas frequentes
A análise forense digital vale na Justiça?
Vale quando o método é respeitado: imagem forense feita sem alterar o original, cadeia de custódia documentada e dado obtido com autorização do dono do dispositivo ou por ordem judicial. Nessas condições, o relatório pode ser usado em processo judicial ou administrativo.
Dá para recuperar mensagem apagada?
Em muitos casos, sim. Depende do tempo que passou, do dispositivo e do quanto foi gravado por cima da mensagem. Por isso ninguém consegue dizer o que volta antes de examinar o aparelho.
A perícia invade a privacidade de alguém?
Não. O trabalho só usa dado obtido com autorização de quem é dono do dispositivo ou por ordem judicial, dentro do Marco Civil da Internet e da LGPD. Acesso a aparelho ou conta de outra pessoa sem essa autorização não é feito.
Serve para empresa?
Sim. Espionagem industrial, vazamento de informação e uso indevido de sistema estão entre os casos em que a perícia é indicada, e o relatório pode servir a uma investigação interna ou a um processo.
Por onde eu começo?
Pelo cuidado com o aparelho: não grave nada novo nele. Com o aparelho preservado, o caso é contado à Rubi, que conduz a conversa inicial e o orçamento da perícia. O sigilo vale desde esse primeiro contato: nenhum caso ou cliente é confirmado a terceiros. Se a sua dúvida não for digital, em serviços de investigação você encontra as outras frentes de trabalho da Rubi.
—