Há uma diferença entre um evento que não aconteceu e um evento que a sua consulta não encontrou. As duas coisas produzem a mesma tela vazia. Distinguir uma da outra é, com frequência, a diferença entre uma análise que conclui e uma que apenas não procurou no lugar certo — e em matéria de prova digital, essa distinção pode decidir o peso de toda uma cadeia de custódia.
Este artigo trata de um problema técnico concreto e generalizável: o de eventos de sistema gravados em campos que as consultas convencionais não interrogam. Não é uma curiosidade de laboratório. É uma das razões pelas quais um dispositivo aparentemente "sem nada de interesse" pode, na verdade, conter o registro de tudo o que importa — inclusive sobre o que aconteceu com ele depois de apreendido.
O que uma extração realmente contém
Quando se pensa em extrair dados de um celular, pensa-se em conversas, fotos, contatos, histórico de navegação. É o que a análise de conteúdo examina, e é o que a maioria das perícias efetivamente olha. Mas uma extração carrega muito mais do que isso: ela contém uma camada inteira de telemetria interna do sistema operacional — eventos de energia, de acionamento de tela, de inicialização, de sincronização de rede, de falhas internas. Essa camada registra a vida do dispositivo como máquina, não como meio de comunicação.
Essa telemetria quase nunca é objeto de análise, por uma razão simples: ela não se lê folheando mensagens. Ela só aparece para quem sabe que existe e vai atrás dela com a consulta certa. E é justamente nela que mora a resposta para uma pergunta que a análise de conteúdo não faz — porque não é para isso que ela olha: o que aconteceu com o aparelho enquanto ele deveria estar inerte sob custódia?
O problema do campo de timestamp
Aqui está o ponto técnico central. A maioria dos artefatos de uma extração guarda sua marca temporal em um campo padronizado — o campo que as ferramentas de indexação interrogam por padrão quando você filtra ou ordena por data. Mas nem todo evento grava o tempo no mesmo lugar. Certos eventos de sistema, dependendo do fabricante e da forma como foram extraídos, registram o instante em campos próprios, distintos do campo padrão.
A consequência é grave e silenciosa. Uma consulta que filtra ou ordena pelo campo de data padrão simplesmente não enxerga esses registros — para a consulta, o campo está vazio, então o evento "não tem data" e cai fora de qualquer recorte temporal. Não há erro na tela. Não há aviso. Os eventos estão na base, mas para quem confia apenas no campo padrão, eles nunca aconteceram.
A lição que vale para qualquer prova digital: "ausência de registros" pode significar duas coisas radicalmente diferentes — que o evento não existe, ou que a consulta não o alcança. As duas produzem a mesma tela vazia. Quem assume a primeira sem descartar a segunda não concluiu uma análise; apenas parou cedo demais.
Por que isso não é detalhe, e sim método
A indexação de uma extração não é um ato neutro. Quando o material já chega processado — indexado por uma ferramenta, com parâmetros que alguém escolheu —, o recorte do que é "visível" já foi feito por aquela escolha. Se a indexação interrogou só o campo de data padrão, tudo que grava o tempo em outro lugar ficou fora do alcance, sem que isso apareça em lugar nenhum como omissão. A base parece completa. A consulta parece exaustiva. E ainda assim há eventos inteiros fora do recorte.
É por isso que reprocessar o mesmo material extraído, com parâmetros de indexação refinados e consultas que alcancem os campos alternativos, não é "fazer de novo o que já foi feito". É fazer uma pergunta que a primeira indexação não fez. O dado é o mesmo; o que muda é o que se consegue enxergar nele.
O que esse tipo de achado pode indicar — e o que não pode
Suponha que, ao interrogar os campos alternativos, apareça uma sequência de eventos de energia e de tela com datas posteriores à apreensão do aparelho. É um achado relevante: sugere que o dispositivo não permaneceu inerte durante a custódia. Mas aqui o rigor separa a análise utilizável da análise que desaba no contraditório. Vejamos com disciplina o que cada coisa significa.
Evento de tela ≠ operação humana
Uma tela que acende é um evento de sistema. Pode resultar de notificação, de rotina interna do sistema operacional, de conexão a um carregador, de manuseio incidental. Registrar que a tela acendeu em determinada data não é o mesmo que afirmar que alguém leu, digitou ou alterou conteúdo. O dado prova que houve um evento de energia ou de tela — nada além disso.
Aparelho com atividade ≠ aparelho adulterado
A existência de eventos pós-apreensão é uma anomalia de custódia que demanda explicação — não uma prova de manipulação dolosa. Um aparelho pode acender ao ser recarregado para a própria extração; pode processar notificações se não foi corretamente isolado; pode registrar eventos por procedimentos legítimos da perícia. O achado abre uma pergunta legítima sobre a cadeia de custódia. Não a responde sozinho.
O enquadramento correto: indício técnico, com incerteza declarada
A formulação que resiste ao contraditório é que os registros constituem indício técnico de que o aparelho não permaneceu inerte durante a custódia, o que demanda esclarecimento sobre o manuseio no período. "Provamos que adulteraram a prova" não resiste — e contamina todo o resto do trabalho técnico.
Este artigo trata de achabilidade: o evento existe, mas a consulta padrão não o alcança. A pergunta seguinte — supondo que os eventos apareçam, que janelas temporais eles abrem e o que requerer a partir delas — é o objeto de O que o celular registrou antes do laudo.
A dimensão técnica da cadeia de custódia
O Código de Processo Penal, depois da Lei 13.964/2019, trata a cadeia de custódia como uma sequência de elos que precisam ser documentados e preservados. Boa parte da discussão sobre isso se concentra no papel — nos formulários, nas assinaturas, nos termos de apreensão. Mas há uma dimensão que o papel não cobre: o próprio dispositivo registra parte da sua história de custódia.
Se o aparelho deveria estar isolado e desligado, mas seus eventos de sistema mostram atividade no período, há uma tensão entre o que a documentação afirma e o que a máquina registrou. Essa tensão é verificável tecnicamente — e é exatamente o tipo de verificação que uma análise de conteúdo convencional não produz, porque não olha para essa camada. O dispositivo pode confirmar o que o formulário diz. Pode também contradizê-lo.
Por que isso importa para a sua peça
Três coisas se aplicam a qualquer prova digital que você receba, independentemente do aparelho ou do caso.
Primeiro: uma extração contém muito mais do que a leitura de conteúdo revela. A camada de telemetria — energia, tela, boot, sincronização — quase nunca é examinada, e é onde mora a resposta sobre o que aconteceu com o aparelho fora das mãos do usuário. Saber que essa camada existe, e saber interrogá-la, é a diferença entre um aparelho "sem nada de interesse" e um aparelho que conta uma história sobre a própria custódia.
Segundo: "não há registros" exige verificação, não confiança. Antes de aceitar que algo não aconteceu, é preciso descartar a hipótese de que a consulta não o alcançou. Em prova digital, essas duas situações são indistinguíveis na superfície — e só uma análise que sabe onde os dados podem se esconder consegue separá-las.
Terceiro, e mais importante para a credibilidade da sua tese: o rigor na interpretação é o que torna o achado utilizável. Um indício técnico apresentado com a incerteza adequada é uma arma processual sólida. O mesmo indício inflado em acusação de fraude vira alvo fácil para a perícia adversa desmontar — e, com ele, cai a credibilidade de toda a sua argumentação técnica. A contenção não enfraquece o argumento. É o que o mantém de pé.
O diferencial: trabalhar o material que já existe. O IPED é um processador, não um extrator — ele trabalha sobre dados já extraídos. Isso significa que o mesmo arquivo de extração que já instrui o processo, e que já está nos autos, pode ser reprocessado de forma independente, com parâmetros de indexação refinados e consultas que alcancem os campos alternativos, recuperando o que uma análise convencional de conteúdo jamais alcançaria. Sem nova apreensão, sem nova extração — trabalhando sobre o que já existe.
É esse o trabalho da Cyberlex: pegar o material que já está nos autos, perguntar a ele de outra forma, e encontrar o que a primeira pergunta não alcançou — com cada afirmação rastreável de volta à fonte, e nenhuma palavra além do que o dado autoriza.
Ex-delegado de Polícia, com 20 anos de serviço público. Fundador da Cyberlex, atua como assistente técnico da defesa em prova digital e forense de dispositivos móveis.
Material técnico-educativo, sem referência a caso, processo, comarca ou pessoa determinada. A Cyberlex produz documentos técnicos de assistência ao advogado e ao cliente — parecer de assistência técnica, nota técnica e análise —, com linguagem de indício técnico e limitações explícitas, e não emite laudo pericial oficial nem exerce advocacia. Anomalias de custódia são sinalizadas com linguagem de incerteza, jamais asseridas como manipulação provada.