Do registro ao exame técnico
No Brasil, o artigo 158-A do Código de Processo Penal define a cadeia de custódia como os procedimentos que documentam a história do vestígio e permitem rastrear posse e manuseio, do reconhecimento ao descarte. Essa trilha importa também quando o objeto de análise é digital. O original, com data histórica de 8 de abril de 2026 registrada no Atom, propõe justamente esclarecer a passagem entre dados e evidências. Esta revisão mantém o tema e consulta a legislação na sua versão atual.
- Rastreabilidade do dado: Histórico documentado que liga a origem do vestígio às intervenções e ao exame realizado.
Arquivos, registros de acesso e informações de aplicativos podem ser fontes de investigação. O NIST, em revisão científica de 2022, explica que técnicas digitais se apoiam em métodos da computação, mas a interpretação exige conhecer suas limitações. Nem todo vestígio será encontrado, e mudanças de versão podem alterar o significado dos registros. Por isso, a ausência de um dado não demonstra, por si só, que o acontecimento procurado nunca existiu.
A atualização desta matéria considera a edição 281 de Jurisprudência em Teses, do STJ, divulgada em 2026 depois da data histórica do original. A síntese destaca cadeia de custódia, auditabilidade e possibilidade de exame técnico independente; o hash pode integrar esse controle. Trata-se de uma compilação de entendimentos, com precedentes identificados, e não de uma decisão sobre qualquer caso do leitor. O alcance de cada conclusão continua dependente do material examinado.
Preservar, documentar e interpretar
A documentação dá ao exame um percurso que pode ser questionado e conferido. É preciso compreender de onde veio o material, quem o recebeu e quais intervenções ocorreram. Em notícia de 2 de maio de 2024, o STJ relatou um julgamento no qual a Quinta Turma rejeitou dados de celular obtidos sem procedimentos que assegurassem sua integridade. O problema alcançava a falta de registro das etapas e a impossibilidade de conferir a correspondência entre o que fora coletado e o que sustentara a condenação. O exemplo mostra por que apresentar um conteúdo legível não substitui explicar sua obtenção. A notícia descreve aquele processo; não estabelece que toda captura de tela seja inútil.
Um hash é um resumo calculado a partir dos dados. A comparação de valores pode apoiar a verificação de que uma cópia corresponde ao material de referência, como explica o guia NIST SP 800-86. Isso não identifica quem criou o conteúdo nem confirma que sua narrativa é verdadeira. Se o primeiro cálculo ocorreu após uma alteração, a comparação posterior pode apenas mostrar a estabilidade dessa versão. O valor precisa ser ligado ao arquivo, ao momento e ao procedimento documentados.
- Origem e percurso do dado: A documentação permite relacionar o material examinado à sua origem e ao seu manuseio.
- Integridade não é autoria: Conferir a estabilidade dos dados não demonstra, sozinho, quem praticou uma ação.
- Conclusões com seus limites: O laudo deve distinguir o registro observado da interpretação e das lacunas do exame.
Recuperar algo apagado também exige cautela. A revisão NIST IR 8354 informa que a recuperação de arquivos pode trazer material estranho ao conteúdo procurado. O exame precisa reconhecer o que foi efetivamente recuperado e o que é fragmentário. Duas análises podem localizar conjuntos diferentes de informações, conforme a forma de busca. Essa possibilidade corrige a ideia de que apagar sempre deixa rastros suficientes ou de que uma ferramenta recupera toda a história.
Uma cronologia exige ler os horários no contexto do sistema. O NIST SP 800-86 observa que marcas de tempo podem ser imprecisas ou afetadas pela cópia e pelo relógio utilizado. Um endereço IP também não equivale automaticamente a uma pessoa: o guia descreve problemas de atribuição em redes. Correlacionar registros pode fortalecer uma hipótese, mas o relatório precisa explicar o vínculo. Nome de conta, horário e dispositivo não devem ser reunidos como certeza de autoria sem análise.
A utilidade da forense digital está na possibilidade de tornar o caminho da análise compreensível. Para o leitor, três perguntas ajudam a avaliar uma explicação pública: qual material foi examinado, como sua obtenção foi documentada e até onde ele permite concluir? São critérios de leitura, não uma receita para coletar provas por conta própria. Um arquivo íntegro pode conter uma afirmação falsa; um registro correto pode ter sido interpretado fora de contexto. Ao separar o que foi observado do que foi inferido, a apuração preserva o espaço para contestação e para novas evidências. A matéria não decide responsabilidade de pessoas nem substitui perícia ou avaliação jurídica individual.
Veja Mais
- Evidências e limites da investigação por perícia digital
- Preservação e verificação de mensagens do WhatsApp na perícia digital
- O que a análise forense de imagens permite concluir
