Um caso que ganhou grande repercussão nacional nas últimas semanas, envolvendo a perícia no celular de Daniel Vorcaro no âmbito do Caso Master, trouxe para o centro do debate um problema que peritos forenses conhecem bem: uma extração mal documentada pode colocar em dúvida toda uma linha de investigação, independente do que os dados realmente mostrem.
Segundo reportagens, a defesa contratou um assistente técnico que, ao analisar o material entregue pela perícia oficial, identificou centenas de arquivos com data de modificação posterior à apreensão do aparelho, além de apontar que o auto de apreensão não descrevia detalhes básicos do celular, como marca, número de série e IMEI, e que a versão do software de extração usado não foi informada. Com base nisso, a defesa pediu ao STF a anulação das provas obtidas pelo celular, alegando que a ausência do arquivo bruto da extração impede a verificação da integridade dos dados.
É importante dizer: o próprio relatório da defesa, segundo o noticiado, não afirma que houve adulteração deliberada, nem identifica quem teria operado o aparelho. O que ele aponta são inconsistências que, na ausência de documentação completa, não podem ser explicadas. E é exatamente esse o ponto que vale a pena entender em detalhe, porque ilustra, de forma bastante concreta, por que cada etapa de uma perícia em celular existe.
Os três níveis de extração forense em celulares
Nem toda extração de celular é igual. Existem três níveis principais, em ordem crescente de profundidade:
- Extração lógica: coleta os dados que o próprio sistema operacional do aparelho disponibiliza, como contatos, mensagens visíveis e fotos na galeria. É o nível mais rápido, mas também o mais limitado.
- Extração de sistema de arquivos: acessa a estrutura de pastas do dispositivo com mais profundidade, incluindo alguns bancos de dados internos de aplicativos e arquivos que não aparecem na interface normal do celular.
- Extração física: copia bit a bit toda a memória do aparelho, incluindo espaços não alocados, onde podem estar arquivos apagados ou fragmentos de dados que o sistema operacional não lista mais. É o nível mais completo, e normalmente o exigido quando o material pode se tornar prova em um processo.
Ferramentas como Cellebrite, GrayKey e outras soluções forenses comerciais são usadas justamente para viabilizar extrações físicas em aparelhos modernos, que vêm com criptografia e proteções cada vez mais robustas.
Por que o arquivo bruto (raw) importa mais do que o relatório final
Um erro que aparece com frequência, inclusive no caso citado acima, é entregar apenas um relatório processado e filtrado, sem o arquivo bruto completo da extração.
O arquivo bruto é a cópia integral de tudo que a ferramenta extraiu do aparelho, sem qualquer seleção ou interpretação. É esse arquivo que permite que outro perito, contratado pela outra parte do processo, refaça a análise de forma independente e confirme (ou conteste) as conclusões do primeiro laudo.
Quando só o relatório final é compartilhado, a outra parte fica sem meios técnicos de verificar se aquele relatório reflete fielmente os dados originais. Isso fere o princípio do contraditório e da ampla defesa, e no Brasil tem respaldo direto na Súmula 14 do STF, que garante ao advogado acesso aos elementos de prova já documentados nos autos.
Cadeia de custódia: o que precisa estar documentado desde a apreensão
Cadeia de custódia é o registro contínuo de tudo que acontece com uma evidência, desde o momento em que ela é apreendida até sua apresentação final em juízo. Para um celular, isso inclui, no mínimo:
- Identificação completa do aparelho: marca, modelo, número de série e IMEI.
- Estado físico no momento da apreensão: se estava ligado ou desligado, danos visíveis, e fotos do aparelho antes de qualquer manuseio.
- Data, hora e responsável pela apreensão e por cada etapa posterior de manuseio.
- Ferramenta e versão do software usados na extração, para que seja possível verificar depois se aquela versão tinha alguma limitação ou bug conhecido.
- Hash criptográfico da extração, um código que comprova que a cópia analisada é idêntica, bit a bit, ao que foi extraído do aparelho original.
A ausência de qualquer um desses pontos já é motivo suficiente para a defesa questionar se o material analisado corresponde mesmo ao aparelho apreendido, e foi exatamente essa a linha de argumentação usada no caso que gerou essa repercussão: o auto de apreensão não trazia as informações básicas do celular.
Datas inconsistentes não provam adulteração sozinhas, mas expõem a falta de documentação
Um ponto técnico importante, e que costuma gerar confusão fora do meio pericial: encontrar arquivos com data de modificação posterior à apreensão não prova, por si só, que houve manipulação deliberada dos dados.
Existem explicações técnicas legítimas para isso, como:
- Sincronização automática com a nuvem, que pode atualizar metadados de arquivos mesmo com o aparelho sob custódia, se ainda tiver conectividade.
- Conversão de formato durante a extração, como fotos em HEIC sendo convertidas para JPEG pela própria ferramenta forense, o que gera uma nova data de criação para o arquivo convertido, sem que o conteúdo tenha sido alterado.
- Atualização de metadados pelo próprio processo de extração, dependendo de como a ferramenta interage com o sistema de arquivos do aparelho.
O problema não é a inconsistência existir, é a impossibilidade de explicá-la tecnicamente quando faltam os dados brutos e a documentação completa do processo. Uma perícia bem conduzida, com cadeia de custódia e hash verificados desde o início, permite investigar e esclarecer esse tipo de achado. Uma perícia mal documentada deixa a dúvida sem resposta, e a dúvida, num processo judicial, tende a favorecer quem a levanta.
Checklist de uma extração forense de celular bem feita
- [ ] O aparelho foi fotografado e teve marca, modelo, IMEI e número de série registrados antes de qualquer manuseio?
- [ ] O estado do aparelho (ligado, desligado, danificado) foi documentado no momento da apreensão?
- [ ] A ferramenta e a versão do software de extração usados foram registradas?
- [ ] Foi gerado e documentado o hash criptográfico da extração?
- [ ] O arquivo bruto completo da extração foi preservado e está disponível para contraperícia, não só um relatório filtrado?
- [ ] Cada pessoa que teve acesso ao aparelho ou aos dados extraídos está registrada, com data e finalidade?
Se qualquer uma dessas respostas for "não", a perícia tem uma fragilidade real que pode ser explorada para contestar a prova, independente do que os dados efetivamente mostrem.
Perguntas frequentes
O que é extração física, lógica e de sistema de arquivos em perícia de celular? São os três níveis de profundidade de uma extração forense. A lógica coleta dados acessíveis pelo sistema operacional. A de sistema de arquivos acessa a estrutura de pastas, incluindo alguns dados ocultos. A física copia bit a bit toda a memória do aparelho, incluindo espaço não alocado, sendo o nível mais completo.
Por que é importante preservar o arquivo bruto (raw) da extração, e não só um relatório filtrado? O arquivo bruto permite que outro perito verifique de forma independente se o relatório final reflete fielmente os dados originais. Sem ele, não há como confirmar a integridade da extração, o que pode ser usado para contestar a prova inteira.
O que precisa constar no auto de apreensão de um celular para a cadeia de custódia ser válida? No mínimo marca, modelo, número de série e IMEI, estado físico do aparelho, se estava ligado ou desligado, data e hora da apreensão, e identificação de quem realizou o procedimento.
Arquivos com data de modificação após a apreensão do aparelho provam que houve adulteração? Não necessariamente. Pode haver explicações técnicas legítimas, como sincronização de nuvem ou conversão de formato de arquivo durante a extração. O problema real é a falta de documentação e de dados brutos que permitiriam esclarecer essas datas tecnicamente.
Sua empresa ou escritório precisa de uma perícia forense em celular ou computador conduzida com cadeia de custódia completa, documentação rigorosa e dados brutos preservados desde o primeiro contato? A GraySeg conduz extrações forenses seguindo esse padrão. Fale com a gente.