Perícia digital: o dado vira prova

É a aplicação de método científico para identificar, preservar, analisar e documentar vestígios armazenados em meio digital, de forma que o resultado possa ser conferido por outro perito e usado como prova. Na prática, é o trabalho que transforma um arquivo, um registro de acesso ou o conteúdo de um celular em um laudo capaz de responder perguntas objetivas dentro de um processo.

Os termos costumam ser usados como sinônimos e, no dia a dia, se referem ao mesmo campo. Quando se quer marcar diferença, forense digital descreve o conjunto de técnicas de exame do vestígio, enquanto perícia digital enfatiza o trabalho conduzido por perito para produzir prova em um contexto judicial ou extrajudicial, com todas as formalidades que isso exige.

O perito judicial é nomeado pelo juízo e trabalha para o processo. O assistente técnico é contratado por uma das partes para acompanhar esse trabalho, formular quesitos, apontar falhas de método e apresentar parecer, concordante ou divergente. Se já existe perícia determinada nos autos, o que você contrata é assistência técnica. Se o objetivo é produzir prova própria, antes ou fora do processo, o caminho é a perícia extrajudicial.

Em muitos casos sim. Apagar um arquivo geralmente apenas marca o espaço como disponível, e enquanto ele não for sobrescrito o conteúdo continua lá, recuperável por técnicas de esculpimento de dados. O resultado depende do tempo decorrido, do uso do equipamento depois do apagamento e do tipo de armazenamento, já que discos SSD com TRIM ativo reduzem bastante essa janela.

Depende do modelo, da versão do sistema e do estado do aparelho. Com a senha disponível ou com o desbloqueio autorizado pelo titular, a extração costuma ser ampla. Sem a senha, as possibilidades variam caso a caso, e a avaliação de viabilidade é feita antes de qualquer contratação, sem promessa que a técnica não sustente.

Para exames completos sim, ao menos durante a aquisição, porque a análise precisa partir de uma cópia forense feita do próprio equipamento. Depois disso o trabalho segue sobre a imagem, e o original pode voltar ao uso. Em casos mais simples, a extração assistida no local ou por videoconferência resolve sem que o aparelho saia com você.

Serve como indício, e é melhor do que nada, mas sozinho é frágil porque não traz metadados nem permite verificação de integridade. O peso aparece quando a captura é acompanhada do arquivo original, do hash calculado na coleta, da cadeia de custódia documentada e, quando cabível, da ata notarial prevista no art. 384 do Código de Processo Civil.

Varia com o volume e o escopo. A aquisição de um celular pode levar horas, a de um servidor com vários discos leva dias, e a análise costuma consumir mais tempo do que a coleta. Casos objetivos, com poucos quesitos e um único dispositivo, tendem a ficar prontos em poucos dias úteis. O prazo é combinado por escrito na proposta, antes do início.

Depende do número de dispositivos, do volume de dados, da complexidade dos quesitos e da urgência. Examinar um notebook é diferente de reconstruir um incidente em ambiente corporativo com dezenas de máquinas e servidores. Após a consulta inicial, sem compromisso, enviamos proposta com escopo, prazo e valor fechados.

Tem. O Código de Processo Civil admite qualquer meio legítimo de prova no art. 369, e o parecer técnico produzido por profissional habilitado é apreciado livremente pelo juízo. O que determina o peso do documento não é quem pagou por ele, mas o método aplicado, a integridade demonstrada e a clareza com que as conclusões se sustentam nos dados examinados.

Pode, por dois caminhos. A perícia extrajudicial é contratada diretamente e produz parecer que instrui a petição inicial. E existe a produção antecipada de provas, prevista nos arts. 381 a 383 do Código de Processo Civil, útil quando há risco de a evidência desaparecer antes da ação, o que é comum em meio digital pela rotatividade de registros.

Apagar deixa rastro. Registros de sistema, artefatos de uso, entradas em bancos de dados internos e cópias em nuvem ou em backup frequentemente permitem demonstrar que arquivos existiram e foram removidos, às vezes com data e usuário. A constatação do apagamento, por si só, costuma ter peso relevante na discussão processual.

Analisamos, com a ressalva de que o arquivo exportado é um relato do aplicativo e não a base de dados original. Ele ajuda a organizar o caso, mas a força probatória maior vem do exame do aparelho, onde estão a base de mensagens, os metadados e os vestígios que permitem verificar se houve alteração.

Sim, e isso faz parte da qualidade do trabalho. O exame é delimitado pelo escopo contratado ou pelos quesitos deferidos, o acesso é restrito, o material fica sob sigilo e o laudo divulga apenas o que responde às perguntas formuladas. Dados pessoais alheios ao objeto da perícia não são expostos sem necessidade nem fundamento.

Serve, e é bastante comum. Aparece em discussões sobre jornada registrada em sistemas, uso de mensageiros fora do horário, justa causa por conduta em equipamentos da empresa, desvio de informação por ex-empregado e monitoramento corporativo, sempre com atenção aos limites legais da vigilância no ambiente de trabalho.

Depois do primeiro contato, orientamos o canal adequado ao tipo de material: envio por link seguro com registro de recebimento, entrega física da mídia com termo assinado ou coleta presencial quando o equipamento não pode sair do lugar. Em qualquer caminho, o hash é calculado na entrada e a cadeia de custódia começa nesse momento.

Sim, e essa costuma ser a fonte mais produtiva em casos empresariais. Trabalhamos com preservação de caixas postais, exame de cabeçalhos, identificação de regras de encaminhamento criadas por invasores, trilhas de auditoria de plataformas corporativas e histórico de versões de arquivos. Como muitos desses registros têm retenção curta e configurável, quanto antes a preservação for solicitada, mais material sobra.

Aqui é preciso cuidado. Acessar dispositivo alheio sem consentimento do titular ou sem autorização judicial pode configurar invasão de dispositivo informático, prevista no art. 154-A do Código Penal, e a prova obtida assim tende a ser considerada ilícita nos termos do art. 5º, LVI, da Constituição. No ambiente corporativo, o exame de equipamento da empresa depende de política interna clara e previamente comunicada. Só aceitamos trabalhos com base jurídica definida, e essa avaliação é feita antes de qualquer coleta.

O art. 156 do Código de Processo Civil determina que os peritos sejam escolhidos entre profissionais legalmente habilitados e órgãos técnicos inscritos em cadastro mantido pelo tribunal. Na prática, o que sustenta o trabalho é a combinação de formação técnica sólida, capacitação específica em computação forense, domínio das normas de tratamento do vestígio digital e experiência real em produzir documentos que resistem à impugnação.

O prazo é fixado pelo juiz, e o art. 477 do Código de Processo Civil determina que o laudo seja protocolado pelo menos vinte dias antes da audiência de instrução e julgamento. Depois disso as partes têm quinze dias para se manifestar, e os assistentes técnicos apresentam seus pareceres nesse mesmo prazo. Pedidos de esclarecimento e impugnações seguem o rito previsto no próprio artigo.

Atuamos. Em arbitragem, a prova técnica costuma ter peso ainda maior pela natureza especializada do procedimento. Em sindicâncias e processos administrativos disciplinares, o relatório técnico ajuda a sustentar a decisão e a reduzir o risco de anulação por fragilidade probatória. O rigor de método é o mesmo aplicado no judiciário.

Funciona, com uma característica que favorece o trabalho: transações em blockchain são públicas e permanentes, o que permite documentar o caminho dos valores entre carteiras com precisão. A limitação está na identificação de quem controla cada carteira, informação que normalmente depende das corretoras e, portanto, de ordem judicial. O laudo organiza o rastreamento de modo que o pedido possa ser feito com fundamento técnico.

É uma etapa preliminar em que se verifica, de forma rápida e não invasiva, se o material examinado contém indícios do que se procura, antes de partir para a análise completa. Em casos com muitos dispositivos, a triagem evita gastar horas de exame profundo em equipamentos irrelevantes e concentra o esforço onde a prova realmente está.

A ata notarial resolve bem quando o objetivo é registrar algo visível agora, como o conteúdo de um perfil, de uma página ou de uma publicação. Ela atesta o que o tabelião viu, mas não examina o arquivo por dentro. Quando a pergunta envolve autenticidade, autoria, data real, recuperação do que foi apagado ou integridade do conteúdo, aí é perícia. Nos casos mais robustos, os dois instrumentos se somam.