Vestígio, evidência e prova digital: o que cada dado demonstra

Um arquivo encontrado em um celular ainda não é, por si só, uma prova. A diferença entre vestígio evidência e prova digital está no caminho percorrido pelo dado: localização, preservação, aquisição, exame, interpretação e eventual utilização no processo. Cada etapa responde a perguntas diferentes sobre origem, integridade, autenticidade, autoria, temporalidade e contexto.

Essa distinção é importante porque uma mensagem, captura de tela, fotografia, gravação, localização ou linha de log pode parecer conclusiva quando observada isoladamente. Na prática forense, porém, a existência do conteúdo não demonstra automaticamente quem o produziu, quando o fato ocorreu, se o arquivo é completo ou qual relação ele possui com a investigação. O valor do elemento depende da qualidade do percurso técnico e da fundamentação da conclusão.

Vestígio, evidência e prova digital são a mesma coisa?

Não necessariamente. Os termos podem variar conforme a norma técnica, a disciplina e o contexto processual, mas uma distinção operacional ajuda a organizar a análise:

• Vestígio digital: dado ou traço localizado em um dispositivo, mídia, sistema, aplicativo ou serviço, antes de sua relevância ser estabelecida.
• Evidência digital: dado preservado, examinado e relacionado de maneira fundamentada ao objeto da investigação.
• Prova digital: elemento digital utilizado no processo, sujeito ao contraditório, à avaliação jurídica e à análise conjunta com os demais elementos probatórios.

Essa estrutura não é uma taxonomia universal e imutável. Seu propósito é mostrar que localizar um arquivo não equivale a demonstrar um fato. A legislação processual penal brasileira utiliza o conceito de vestígio no contexto da cadeia de custódia, enquanto normas técnicas internacionais tratam de identificação, coleta, aquisição, preservação, análise e interpretação como atividades relacionadas, mas não idênticas.

A trajetória do dado digital até o processo

O fluxo pode ser representado assim:

dado localizado → preservação e aquisição → exame documentado → interpretação contextualizada → eventual utilização probatória

A cada transição, novas perguntas precisam ser respondidas. Um dado pode ser relevante, mas ter sido obtido por método pouco documentado. Pode estar íntegro desde a aquisição, mas não haver informação suficiente sobre sua origem histórica. Pode indicar uma atividade em determinado sistema, mas não permitir atribuir a ação a uma pessoa específica.

A auditoria da cadeia de custódia da prova digital ajuda a examinar justamente esse percurso: reconhecimento, registro, acondicionamento, transferência, armazenamento, acesso e preservação. O objetivo não é presumir que toda lacuna invalida o material, mas identificar o que foi feito, por quem, em qual momento e com quais controles.

O que muda entre localizar, preservar, adquirir e analisar

Localizar significa encontrar um arquivo, registro ou artefato. Um aplicativo pode exibir uma conversa; um sistema pode apresentar um log; um dispositivo pode conter uma fotografia recuperada. Nesse momento, ainda não se sabe necessariamente se o conteúdo é original, completo, contextualizado ou atribuído corretamente.

Preservar significa adotar medidas para manter o estado do material e documentar seu manuseio. Isso envolve controlar acesso, registrar transferências, evitar alterações desnecessárias e estabelecer uma referência para futuras verificações.

Adquirir é obter uma cópia ou conjunto de dados por determinado método. A aquisição lógica, a aquisição física, a extração de backup e a obtenção de dados diretamente de um provedor possuem alcances diferentes. O método escolhido influencia o que pode ser encontrado e o que permanece fora do exame.

Analisar é interpretar os artefatos dentro de uma pergunta definida. A análise pode envolver metadados, bancos de dados, logs, arquivos temporários, registros de chamadas, dados de localização, mensagens e correlação com outras fontes. Sem documentação de ferramenta, versão, parâmetros, fontes examinadas e limitações, a conclusão fica mais difícil de auditar.

As normas ISO/IEC 27037 sobre identificação, coleta, aquisição e preservação e ISO/IEC 27042 sobre análise e interpretação de evidências digitais são referências úteis para separar essas atividades e enfatizar continuidade, validade, repetibilidade, reprodutibilidade e escrutínio independente.

O que um arquivo, mensagem ou registro realmente demonstra

A resposta depende do artefato, da fonte e da pergunta formulada. Uma mensagem apresentada em um aplicativo pode demonstrar que determinado conteúdo foi exibido ou armazenado em uma determinada conta ou dispositivo no momento examinado. Isso não resolve, sozinho, quem digitou, quem controlava o aparelho, se houve encaminhamento, edição, sincronização ou qual era o contexto da conversa.

Uma captura de tela pode documentar uma aparência visual. Ela pode ser útil como ponto de partida, mas normalmente oferece menos informações do que os dados originários do aplicativo, do sistema ou do serviço. A análise deve perguntar se há material original, como a captura foi produzida, se o arquivo foi preservado e se existem registros independentes que confirmem seu conteúdo.

Um áudio ou vídeo exige separar a autenticidade do arquivo, a integridade da cópia, a análise do conteúdo representado e a atribuição de autoria. Uma imagem pode estar preservada sem alterações desde a aquisição e, ainda assim, não permitir concluir quando a cena ocorreu, quem aparece nela, onde foi registrada ou se a narrativa associada é verdadeira. A orientação técnica sobre autenticação de imagens da SWGDE reforça essa separação.

O mesmo raciocínio vale para outros exemplos:

• um registro de chamada pode indicar uma tentativa ou conexão registrada por determinado sistema, mas não necessariamente o conteúdo da comunicação ou a pessoa que utilizou o aparelho;
• um dado de geolocalização pode indicar uma posição estimada ou registrada por um serviço, mas precisa ser interpretado conforme precisão, método, horário e funcionamento da fonte;
• um log pode registrar uma operação em servidor, mas sua atribuição depende da arquitetura, das credenciais, dos controles de acesso e da correlação com outras informações;
• um arquivo recuperado pode revelar que determinados dados estavam presentes em uma estrutura examinada, sem demonstrar automaticamente quem os criou ou por que foram armazenados;
• uma mensagem ausente em uma extração não prova que jamais existiu, pois pode haver exclusão, criptografia, backup não examinado, retenção limitada, rotação de logs ou diferença de escopo.

Integridade, autenticidade, autoria e veracidade: perguntas diferentes

Esses conceitos são frequentemente tratados como se fossem equivalentes. Não são. Uma análise mais precisa pode ser organizada desta forma:

Na prática, a pergunta correta raramente é apenas “o arquivo é verdadeiro?”. É necessário especificar: verdadeiro em qual sentido? A cópia corresponde ao arquivo adquirido? O arquivo é originário daquela conta? O conteúdo foi produzido por quem se afirma? O horário representa criação, modificação, sincronização ou exportação? O evento retratado ocorreu como descrito?

Por que um hash não prova autoria nem veracidade

O hash é uma representação calculada a partir de determinado conteúdo. Quando uma cópia é registrada com seu hash e posteriormente recalculada, a correspondência pode demonstrar que aquela cópia permaneceu igual desde o momento documentado. Esse é um controle importante de integridade de arquivo digital.

Mas o hash não responde quem criou o arquivo, quem o enviou, qual era sua origem histórica ou se o conteúdo retrata fielmente a realidade. Também não demonstra que o arquivo original nunca foi substituído antes da aquisição. Por isso, o resultado precisa ser relacionado ao procedimento de coleta, à origem do material, aos registros de manuseio e às demais fontes.

A publicação do NIST sobre preservação de evidências digitais é uma referência para compreender a preservação, o armazenamento, as cópias e o registro de materiais recebidos de mídias, terceiros e provedores. A escolha do algoritmo também deve ser documentada. Orientações específicas sobre MD5 e SHA-1, como a posição técnica da SWGDE sobre esses algoritmos, ajudam a evitar que o hash seja apresentado como uma solução universal para todas as questões de autenticidade.

Metadados e timestamps não valem sozinhos como linha do tempo

Um horário exibido em um aplicativo pode ter sido gerado pelo sistema operacional, pelo aplicativo, por um servidor, por um banco de dados, por um provedor ou durante uma exportação. Essas camadas podem registrar eventos diferentes: criação, modificação, recebimento, sincronização, indexação, acesso ou processamento.

Também é necessário verificar o fuso horário, a conversão para UTC, a configuração do dispositivo, a sincronização automática e a forma como a ferramenta apresenta o valor. Dois registros com horários diferentes não demonstram necessariamente manipulação; a divergência pode decorrer de fontes distintas, relógios desalinhados, retenção, arredondamento ou falha de aquisição.

Para reconstruir uma cronologia, o examinador deve comparar o timestamp com outras fontes, como registros do dispositivo, logs de servidor, backups, registros de operadora e dados em nuvem. O guia do NIST sobre perícia em dispositivos móveis é uma referência para preservar, adquirir, examinar e analisar informações obtidas de celulares, sempre considerando o método e seus limites.

O método de extração define o alcance da conclusão

Uma extração não representa necessariamente todo o dispositivo, a conta ou o ecossistema digital. A aquisição lógica normalmente alcança estruturas e artefatos acessíveis pelo sistema ou pelos aplicativos. Métodos físicos ou de baixo nível podem alcançar estruturas adicionais, mas também dependem do aparelho, do sistema, da criptografia, da ferramenta, da versão e das condições de aquisição.

Além do celular, podem existir backups, contas em nuvem, dispositivos sincronizados, computadores vinculados, bancos de dados de aplicativos e logs mantidos por terceiros. A ausência de um desses materiais no conjunto examinado deve ser registrada como limitação de escopo, e não convertida automaticamente em inexistência do dado.

Na auditoria, é relevante saber:

• qual dispositivo, conta ou fonte foi examinada;
• qual método de aquisição foi utilizado;
• qual ferramenta e versão foram empregadas;
• quais parâmetros e autorizações estavam envolvidos;
• se foi entregue uma imagem, um relatório, um contêiner, um arquivo UFDR ou dados brutos;
• quais artefatos foram identificados e quais não foram recuperados;
• se o resultado pode ser reprocessado ou reproduzido por outro profissional.

As diferenças entre UFDR, imagem forense e dados brutos são relevantes porque o formato entregue pode limitar a revisão independente. Um relatório pronto pode ser útil, mas não oferece necessariamente o mesmo nível de auditabilidade que os materiais originários e os dados que permitam novo processamento.

Quando fontes digitais entram em conflito

Logs, registros de operadora, dados do dispositivo, backups e serviços em nuvem podem confirmar, limitar ou contradizer uma hipótese. O conflito não deve ser resolvido escolhendo automaticamente a fonte mais conveniente. Primeiro é preciso identificar o que cada registro realmente mede, quem o produz, como é armazenado e quais transformações sofreu.

Por exemplo, uma diferença entre o horário de um celular e o horário de um servidor pode estar relacionada a fuso ou sincronização. Uma ausência em um backup pode decorrer de política de retenção ou configuração da conta. Um registro de conexão pode associar uma atividade a determinado endereço ou período, sem identificar sozinho a pessoa que operou o dispositivo naquele instante.

A correlação de fontes aumenta a qualidade da reconstrução quando existe coerência entre registros independentes. Quando há divergência, ela não deve ser descartada nem apresentada imediatamente como manipulação. O resultado tecnicamente responsável é delimitar a inconsistência, formular hipóteses compatíveis com os dados e indicar quais materiais seriam necessários para diferenciá-las.

Falha técnica, limitação interpretativa e irregularidade jurídica

Esses problemas devem ser separados. Uma falha técnica pode envolver aquisição incompleta, ferramenta mal configurada, erro de interpretação de timestamp ou ausência de documentação. Uma limitação interpretativa ocorre quando o dado foi corretamente obtido, mas não sustenta a conclusão ampla que lhe foi atribuída — por exemplo, identificar uma conta sem demonstrar autoria pessoal. Já uma irregularidade jurídica depende das normas processuais aplicáveis, das circunstâncias da obtenção e da avaliação judicial do caso concreto.

A sequência adequada é:

1. identificar a constatação técnica;
2. explicar a limitação ou inconsistência;
3. avaliar o possível impacto sobre confiabilidade, completude ou alcance da conclusão;
4. examinar a consequência jurídica aplicável.

Assim, uma deficiência pode fundamentar quesitos, contraditório, pedido de esclarecimentos ou discussão sobre o peso probatório. Ela não produz automaticamente nulidade, inadmissibilidade ou desentranhamento. A cadeia de custódia, disciplinada no Código de Processo Penal, deve ser analisada com os registros efetivamente disponíveis, sem transformar qualquer lacuna em resultado jurídico automático.

Como a assistência técnica criminal pode auditar uma prova digital

Quando a conclusão depende de mensagens, arquivos, logs, extrações ou reconstruções de eventos, a Assistência Técnica Criminal pode examinar o caminho que levou do dado localizado à interpretação apresentada no processo. O foco não é garantir determinado resultado, mas testar se a conclusão é compatível com o material, o método e as limitações documentadas.

Entre as perguntas possíveis estão:

• O material originário foi disponibilizado ou apenas um relatório derivado?
• A cadeia de custódia registra posse, acesso, transferências e armazenamento?
• O método utilizado era adequado à pergunta formulada?
• A ferramenta, sua versão e seus parâmetros foram informados?
• O exame alcançou o dispositivo inteiro, uma conta específica, um backup ou apenas uma seleção de dados?
• Os hashes foram calculados em qual momento e sobre qual material?
• Os timestamps foram convertidos corretamente e confrontados com outras fontes?
• A identificação de conta, número ou aparelho foi tratada como se fosse prova de autoria?
• Existem dados ausentes, mensagens removidas, backups não examinados ou fontes em nuvem fora do escopo?
• Outro profissional consegue reproduzir ou auditar o resultado?

Essa análise pode resultar em quesitos, manifestação técnica, revisão de laudo ou contra perícia técnica em informática. Em situações nas quais é necessário organizar tecnicamente constatações, limitações e pontos de divergência, um parecer técnico em computação forense pode contribuir para comunicar o alcance real do material sem substituir a análise jurídica.

Perguntas frequentes

Print é prova digital ou apenas um vestígio que precisa ser analisado?

Um print pode ser um vestígio ou elemento documental relevante, mas sua existência não comprova sozinha o fato narrado. É necessário examinar origem, forma de obtenção, integridade, contexto, possibilidade de edição e eventual confirmação por dados originários ou fontes independentes.

Um hash prova quem criou ou enviou um arquivo?

Não. O hash ajuda a verificar a permanência de uma cópia desde o momento em que a soma foi registrada. Ele não estabelece autoria, intenção, origem histórica ou veracidade do conteúdo.

Um timestamp comprova exatamente quando o fato aconteceu?

Não necessariamente. O horário pode representar criação, modificação, recebimento, sincronização, exportação ou processamento. A interpretação exige conhecer a fonte, o fuso, a sincronização e a correlação com outros registros.

A ausência de uma mensagem na extração prova que ela nunca existiu?

Não. A ausência pode decorrer do método, do escopo, de exclusão, criptografia, backup não examinado, retenção limitada ou diferença entre fontes. O resultado deve ser apresentado como ausência no material examinado, não como prova automática de inexistência.

Identificar uma conta ou celular comprova que determinada pessoa produziu o conteúdo?

Não isoladamente. A conta, o número ou o dispositivo podem ser elementos de correlação, mas a atribuição depende de evidências complementares sobre controle, uso, credenciais, contexto e compatibilidade com outras fontes.

A expressão vestígio evidência e prova digital representa, portanto, uma jornada de qualificação, não três rótulos intercambiáveis. O ponto central da análise é demonstrar como o dado foi localizado, preservado, adquirido, examinado e relacionado ao fato investigado. Quanto mais ampla for a conclusão, maior deve ser a clareza sobre os artefatos, o método, a origem, as limitações e as inferências envolvidas. A força probatória não está apenas na presença do arquivo, mas na possibilidade de auditar o caminho que sustenta o que se afirma a partir dele.