Uma perícia em celular não consiste apenas em abrir aplicativos e procurar informações. O trabalho técnico precisa ser planejado para preservar os vestígios disponíveis, documentar os procedimentos e responder a uma questão técnica claramente definida.
Por que uma perícia em celular precisa seguir etapas?
Dispositivos móveis concentram mensagens, fotografias, documentos, contas, aplicativos, registros de uso, bancos de dados e informações sincronizadas com serviços externos. Ao mesmo tempo, são sistemas dinâmicos: continuam executando processos, recebendo notificações, atualizando aplicações e modificando dados.
Por isso, a atuação técnica precisa reduzir alterações desnecessárias e registrar aquilo que foi feito. O NIST, em sua publicação sobre forense em dispositivos móveis, descreve procedimentos relacionados a validação, preservação, aquisição, exame, análise e relatório. Essa lógica é compatível com o fluxo utilizado em trabalhos periciais bem documentados.
1. Recebimento e identificação do aparelho
O primeiro passo é identificar corretamente o item submetido ao exame. Normalmente são registrados marca, modelo, número de série ou IMEI quando pertinente, estado físico, condição de bloqueio, nível de bateria, conectividade e acessórios recebidos.
Também é importante delimitar a finalidade. Uma pergunta como “há vestígios de determinada conta neste aparelho?” exige procedimentos diferentes de “quais mensagens existiam entre duas pessoas em determinado período?”. A coleta deve ser proporcional ao objeto.
2. Preservação dos vestígios
A preservação busca evitar alterações desnecessárias antes e durante a aquisição. Dependendo do cenário, isso pode envolver controle de conectividade, registro fotográfico, documentação de horário, estado do dispositivo e definição do método de acesso mais adequado.
Nem todo aparelho deve ser simplesmente desligado, colocado em modo avião ou manipulado da mesma maneira. A decisão depende do sistema, do estado de bloqueio, da disponibilidade de credenciais e do risco de perda de dados. Por isso, procedimentos genéricos podem ser inadequados.
3. Coleta ou aquisição dos dados
A aquisição pode assumir diferentes modalidades, conforme o dispositivo e as ferramentas disponíveis. Em alguns casos é possível obter uma cópia lógica; em outros, acesso ao sistema de arquivos, backup, exportação controlada ou coleta direcionada de determinados artefatos.
O objetivo não é necessariamente extrair “tudo”. Uma aquisição ampla pode ser desnecessária quando o objeto é específico e também pode aumentar a exposição de dados sem relação com a demanda. O método deve buscar equilíbrio entre alcance técnico, preservação e minimização.
4. Análise técnica
Depois da aquisição, os dados são examinados em ambiente de trabalho controlado. Dependendo do caso, podem ser avaliados bancos SQLite, registros de aplicativos, arquivos de mídia, caches, configurações, identificadores, históricos, metadados, datas, mensagens e relações temporais.
A análise não se limita a encontrar um registro. É necessário interpretar o significado daquele vestígio, verificar se existem elementos convergentes ou contraditórios e registrar as limitações. Um dado isolado pode não responder à pergunta pericial.
5. Integridade e rastreabilidade
Quando aplicável, arquivos e conjuntos de dados produzidos durante a coleta podem receber hashes criptográficos para permitir conferência de integridade. Também devem ser registrados ferramenta, versão, horário, caminho de origem e demais informações relevantes ao procedimento.
O hash não “prova” sozinho a autenticidade histórica do conteúdo. Ele serve para demonstrar que um conjunto de dados permanece idêntico a partir do momento em que foi calculado e documentado.
6. Relatório ou laudo técnico
O resultado precisa ser compreensível para quem não participou da análise. Um bom relatório descreve o objeto, os materiais recebidos, metodologia, procedimentos, achados, limitações e conclusão, separando claramente o que foi observado do que pode ser inferido tecnicamente.
Em contexto judicial, a redação deve permitir contraditório e auditoria. Em contexto particular ou empresarial, a mesma preocupação com clareza e rastreabilidade continua relevante.
O que fazer antes de entregar um celular para análise?
- evite apagar mensagens, arquivos ou aplicativos relacionados ao caso;
- não formate nem restaure o dispositivo;
- evite instalar ferramentas de “recuperação” antes da avaliação técnica;
- mantenha carregador e cabos disponíveis, quando necessários;
- documente fatos relevantes, como data aproximada do evento e contas de interesse;
- informe previamente se o aparelho possui bloqueio, criptografia ou danos.
Quanto menor a quantidade de alterações posteriores ao fato investigado, melhores tendem a ser as condições para avaliar os vestígios remanescentes.