Há dúvida sobre a integridade da prova digital do processo? Entre a apreensão de um dispositivo e aquilo que aparece no laudo existem etapas — coleta, preservação, extração, processamento e análise. Cada uma precisa deixar registro suficiente para que o percurso seja reconstruído e auditado tecnicamente. Quando esse registro falta, a pergunta deixa de ser retórica: passa a ser técnica, e tem resposta.
O que chega aos autos é um documento: um relatório de extração, um laudo, um conjunto de peças selecionadas. O que esse documento descreve, porém, é o resultado de uma sequência de operações materiais e técnicas anteriores a ele — que a peça final resume, mas não substitui.
O aparelho foi apreendido em algum lugar, em algum horário, por alguém. Foi acondicionado de alguma forma. Ficou guardado em algum lugar por algum tempo. Foi conectado a uma estação de extração, com alguma ferramenta, em alguma versão, sob alguma configuração. O arquivo resultante foi processado, indexado e consultado — e é o resultado dessas consultas que virou texto no laudo.
Os arts. 158-A a 158-F do Código de Processo Penal descrevem exatamente esse encadeamento: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte. A exigência de fundo é uma só, e é técnica antes de ser jurídica: o registro tem de permitir que um terceiro reconstrua o percurso e verifique cada elo por conta própria.
É esse percurso — e não a conclusão do laudo — que a análise de cadeia de custódia examina. A Cyberlex atua como assistência técnica à defesa nesse exame: lê a documentação existente, identifica o que ela permite verificar, o que ela apenas afirma e o que não é possível verificar com o material disponibilizado.
A Cyberlex não presume que houve quebra da cadeia de custódia. A análise verifica tecnicamente se existem elementos que sustentem essa conclusão.
A distinção não é formalidade de redação. Um aparelho pode ter sido legitimamente ligado depois de apreendido, inclusive pela própria perícia oficial. Uma lacuna na documentação pode ser falha de registro, e não de procedimento. Um evento com carimbo de tempo inesperado pode ter explicação técnica trivial.
O trabalho técnico está em separar três coisas que a leitura apressada confunde: aquilo que o material demonstra, aquilo que ele não permite verificar e aquilo que ele torna necessário perguntar. O que sai da análise é um parecer de assistência técnica com essa separação explícita e com as limitações declaradas — não uma afirmação de manipulação, nem uma tese jurídica pronta.
O uso processual do que for encontrado é decisão do advogado constituído, com autonomia técnica e independência. A Cyberlex produz o material técnico que sustenta essa decisão.
Oito frentes, conforme o material que existir nos autos.
A janela entre a apreensão e a extração é o trecho menos documentado do percurso — e o mais fácil de reconstruir depois, porque o aparelho registra sozinho o que acontece com ele. Desbloqueios, ligamentos, conexões e pareamentos ficam gravados com carimbo de tempo, constem ou não do termo de apreensão.
O exame confronta essa linha do tempo interna com as datas declaradas na documentação. O que o celular registrou antes do laudo detalha quais registros são esses e como requerer que venham aos autos.
O relatório de extração não é a extração. O arquivo .ufdr — ou o formato equivalente da ferramenta empregada — contém muito mais do que o relatório exibe, e é sobre ele que a verificação técnica se faz.
Interessam o tipo de aquisição realizada (lógica, sistema de arquivos, física), a versão da ferramenta, o perfil de decodificação e o que cada uma dessas escolhas deixa de fora por desenho. Extração parcial não é defeito; extração parcial descrita como integral é outra coisa.
O hash é o lacre da prova digital, e o seu valor está em poder ser recalculado por quem não o produziu. Verificam-se quais hashes foram calculados, sobre qual objeto, com qual algoritmo e em que ponto do percurso — e se o material disponibilizado permite refazer a conta.
Hash afirmado no documento, sem a cópia sobre a qual recalculá-lo, não é conferência. “O hash confere” — mas você conferiu? explica por que a distinção decide o peso do lacre.
Android e iOS mantêm registros de sistema que não dependem da colaboração de ninguém: inicializações, desbloqueios, conexões USB, pareamentos, instalação de aplicativos, alterações de configuração. Esses eventos permitem verificar se o aparelho permaneceu isolado no intervalo em que a documentação afirma que permaneceu.
A leitura é feita com linguagem de indício, não de conclusão: um evento indica que algo ocorreu no dispositivo, não quem o operou nem por quê. Como logs de sistema registram acesso posterior à apreensão percorre o mecanismo.
É a situação mais comum e a menos enfrentada: a defesa recebe o laudo em PDF, com trechos selecionados, e não a cópia forense sobre a qual ele foi produzido. Sem o material de origem, boa parte da verificação técnica simplesmente não pode ser feita — e isso é um resultado do exame, não um impedimento a ele.
A análise documenta com precisão o que foi entregue, o que faltou e qual verificação específica cada ausência impede. É esse levantamento que instrui o pedido de acesso ao material integral, quando for o caso.
Confronto item a item entre o que os dados sustentam e o que o texto do laudo afirma. Interessam as passagens em que a conclusão excede o método declarado: conta tratada como pessoa, arquivo presente no dispositivo tratado como arquivo aberto pelo usuário, evento de sistema tratado como ação humana.
Quando a peça juntada é uma captura de tela, o problema começa antes do laudo: prints de WhatsApp não são prova por si sós, e o que os tornaria robustos é justamente o procedimento técnico ausente na maioria dos autos.
A indexação decide o que a consulta encontra. Parâmetros de processamento — OCR, carving, filtros de hash conhecido, parsers de aplicativo — determinam quais itens entram no índice e quais permanecem invisíveis para quem consulta apenas o resultado.
Reprocessar o material com parâmetros documentados permite verificar se algo relevante ficou fora da leitura original. O que é o IPED e por que a qualidade da indexação importa explica a diferença entre extrair e indexar.
Leitura crítica das peças que documentam o percurso: termo de apreensão, auto de exibição, lacres e a sua numeração, guias de remessa, registros de entrada e saída do órgão, formulários de recebimento e a cadeia de assinaturas.
A pergunta é a do art. 158-B: cada elo tem responsável identificado, data e hora? A sequência fecha sem intervalos inexplicados? Elo sem registro não equivale a elo rompido — equivale a elo que ninguém consegue verificar, e a diferença entre as duas afirmações é o próprio objeto do trabalho.
Uma conversa curta para saber que material existe — laudo, relatório de extração, cópia forense, prints — e em que fase o processo está. O resultado é uma resposta objetiva sobre haver ou não o que examinar tecnicamente, e qual escopo isso exigiria.
Montagem da linha do tempo declarada nos autos, elo a elo, com responsável, data e hora de cada etapa documentada. É este passo que expõe os intervalos sem registro — e que separa o que a documentação afirma do que ela permite verificar.
Conferência de hashes sobre o material disponibilizado, leitura dos registros de sistema do dispositivo, exame dos parâmetros de extração e de indexação, e confronto dos dados com as conclusões do laudo. Cada achado é registrado com o seu grau de sustentação.
Documento para juntada, escrito para ser lido pelo juízo: o que foi verificado, com qual método, o que ficou demonstrado, o que não foi possível verificar e por quê. Limitações explícitas, sem afirmação que o material não sustente.
Se a integridade da prova digital do processo está em dúvida, o primeiro passo é técnico e é curto: saber qual material existe e o que ele permite verificar.
Falar com a CyberlexNão é necessário enviar informações sensíveis do processo no primeiro contato. Para dizer se há o que examinar, basta descrever que tipo de material existe — laudo, relatório de extração, cópia forense, prints — e em que fase o processo está. Nome de parte, número de processo e comarca não são necessários nessa etapa.
Escopo, prazo e valores do suporte técnico em prova digital estão em Para Advogados.