Entenda quando solicitar perícia forense digital, como preservar dispositivos e registros e de que forma coordenar TI, jurídico e autoridades.
O que é perícia forense digital e por que ela importa em empresas
A perícia forense digital é o conjunto de métodos usados para identificar, coletar, preservar, examinar e apresentar dados eletrônicos com rastreabilidade. Em uma investigação empresarial, ela pode esclarecer quem acessou determinado sistema, quando uma transferência foi autorizada, se um arquivo foi alterado ou como ocorreu a extração de informações.
O trabalho não se limita a localizar mensagens em um computador. Ele pode envolver computadores corporativos, celulares, servidores, serviços de armazenamento, sistemas de gestão, plataformas de pagamento, registros de acesso, correio eletrônico, aplicações em nuvem e dispositivos de segurança.
Uma investigação sobre fraude eletrônica, por exemplo, pode depender da correlação entre o horário de login, o endereço de rede, o histórico de autenticação multifator, a alteração de dados bancários e a aprovação interna do pagamento. Isoladamente, cada registro oferece uma parte da história. Em conjunto, eles podem confirmar ou afastar hipóteses relevantes.
A perícia também pode proteger a empresa contra conclusões precipitadas. Um acesso realizado com as credenciais de um diretor não prova, por si só, que ele executou a operação. É preciso verificar se houve compartilhamento de senha, comprometimento da conta, acesso remoto, uso de equipamento autorizado ou adulteração posterior dos registros.
No Brasil, a preservação precisa considerar tanto a utilidade investigativa quanto as regras de proteção de dados. A Lei Geral de Proteção de Dados Pessoais exige avaliação da finalidade, necessidade, segurança e acesso às informações tratadas, especialmente quando a apuração envolve empregados, clientes ou terceiros.
Quando solicitar perícia forense digital em uma investigação empresarial
O momento adequado costuma ser assim que surge uma hipótese concreta de incidente, fraude ou manipulação de informação. Esperar a conclusão da apuração interna pode permitir que arquivos sejam apagados, sistemas sobrescrevam registros antigos ou dispositivos sejam alterados por procedimentos bem-intencionados.
Um dos sinais mais relevantes é a divergência entre a narrativa apresentada e os registros disponíveis. Horários incompatíveis, acessos de localidades improváveis, alterações em arquivos sem justificativa, criação repentina de usuários privilegiados e exclusão de mensagens merecem avaliação antes que a empresa forme uma conclusão definitiva.
A perícia é especialmente útil quando há suspeita de vazamento de dados, desvio de valores, fraude em pagamentos, invasão de dispositivo, uso indevido de credenciais, sabotagem, extorsão digital ou adulteração de documentos eletrônicos. Também pode ser necessária quando uma pessoa investigada precisa demonstrar que não tinha controle sobre a conta ou o equipamento relacionado ao fato.
Em empresas reguladas, a decisão deve envolver a preservação de registros que podem ser exigidos por auditoria, órgão regulador, seguradora, autoridade policial ou juízo. O Marco Civil da Internet trata, entre outros pontos, da guarda e do fornecimento de registros de conexão e de acesso a aplicações, observadas as condições legais.
A urgência aumenta quando o sistema tem retenção curta. Alguns serviços mantêm registros detalhados por poucos dias, enquanto outros conservam apenas eventos resumidos. Uma ordem interna de preservação, acompanhada de orientação ao provedor ou à equipe responsável, pode ser decisiva para evitar a perda de dados relevantes.
A decisão também deve considerar a possibilidade de investigação criminal paralela. O conteúdo entregue em uma apuração corporativa pode ser interpretado fora do contexto original, por isso a coleta deve ser planejada com participação jurídica antes de entrevistas, desligamentos ou compartilhamentos amplos.
Perícia interna ou especialista externo: como escolher o caminho adequado
A equipe interna de tecnologia costuma ser a primeira a identificar o incidente e conhece a arquitetura da empresa, os responsáveis pelos sistemas e os fluxos de autorização. Ela é indispensável para conter o risco, bloquear acessos, preservar registros e manter a operação funcionando.
Por outro lado, a equipe que administra o sistema pode estar envolvida nos fatos, ser testemunha potencial ou não dispor de independência suficiente para apresentar uma conclusão contestável. Também pode faltar experiência na aquisição de dados sem alteração, na documentação de procedimentos e na elaboração de um relatório compreensível para autoridades e magistrados.
A perícia externa não substitui a TI interna. O modelo mais seguro costuma separar funções: a tecnologia corporativa contém o incidente e fornece contexto; o especialista em investigação digital define a metodologia de coleta, registra os procedimentos, calcula valores de integridade e analisa os vestígios; o jurídico delimita o objetivo, o escopo e os riscos de cada medida.
O relatório deve indicar quais fontes foram examinadas, quem teve contato com os dispositivos, quais ferramentas foram usadas, quais limitações existiram e como os resultados foram obtidos. Conclusões categóricas sem explicar a base de dados podem perder força quando questionadas pela defesa, pelo Ministério Público ou pelo juízo.
Para definir o escopo, pergunte: qual fato precisa ser esclarecido, quais sistemas podem conter a resposta, qual período deve ser analisado, quem pode acessar os dados e quais informações são irrelevantes ou excessivas? Um escopo bem delimitado reduz exposição de dados pessoais e evita uma busca indiscriminada.
A equipe jurídica também deve avaliar se a apuração poderá resultar em medidas cíveis, trabalhistas, administrativas e criminais ao mesmo tempo. Uma entrevista útil para uma sindicância pode criar contradições em um inquérito, enquanto uma divulgação prematura pode comprometer a reputação de pessoas que ainda não foram ouvidas.
Como preservar provas digitais: fluxo prático em sete etapas
- Acione um grupo restrito de resposta: Defina representantes do jurídico, da segurança da informação, da tecnologia e da gestão responsável pelo incidente. Registre quem autorizou cada medida e evite circular detalhes em grupos amplos ou canais sem controle de acesso.
- Delimite a hipótese e o período: Escreva, em linguagem objetiva, o que se pretende verificar, quais pessoas ou sistemas estão relacionados e qual intervalo de tempo será analisado. A delimitação reduz coleta excessiva e orienta a busca por evidências defensivas e incriminadoras.
- Emita uma ordem de preservação: Solicite que áreas e fornecedores não apaguem, sobrescrevam ou alterem dados relacionados ao fato. A comunicação deve indicar sistemas, contas, dispositivos e datas, além de prever a confirmação do cumprimento.
- Isole sem destruir: Quando necessário, retire o dispositivo da rede, bloqueie uma conta ou limite acessos, mas não desligue equipamentos de forma automática. A memória volátil, sessões abertas e conexões ativas podem conter informações que desaparecem com o desligamento.
- Faça a aquisição com rastreabilidade: Sempre que possível, preserve uma cópia forense ou exportação controlada, mantendo o original intacto. Registre data, horário, equipamento, responsável, método utilizado e identificadores de integridade, como funções de resumo criptográfico.
- Documente a cadeia de custódia: Anote cada transferência, armazenamento, acesso e análise do item. No processo penal brasileiro, os arts. 158-A a 158-F do Código de Processo Penal disciplinam a cadeia de custódia, conforme o texto legal disponibilizado pelo Planalto.
- Preserve a apresentação futura: Organize o material original, as cópias de trabalho, os relatórios, as telas, os registros de auditoria e as explicações metodológicas. Se a prova for apresentada em inquérito, ação penal ou processo no PJe, o conjunto precisa ser compreensível e verificável, não apenas volumoso.
Cadeia de custódia e validade das provas digitais
Cadeia de custódia é o registro do percurso do vestígio desde o reconhecimento até o descarte ou a apresentação. Ela responde a perguntas simples, mas decisivas: de onde veio o arquivo, quem o coletou, onde ficou guardado, quem o acessou e se o conteúdo permaneceu íntegro.
Uma captura de tela pode ser útil para orientar uma apuração, mas raramente deve ser tratada como o único elemento disponível. O ideal é preservar também a fonte original, como a mensagem exportada, o cabeçalho do e-mail, o registro do sistema, o dispositivo ou a resposta formal do provedor.
O cálculo de uma função de resumo criptográfico, conhecido como hash, ajuda a demonstrar que determinado arquivo não foi alterado entre dois momentos. Ele não prova que o conteúdo é verdadeiro nem identifica automaticamente o autor, mas oferece uma camada de verificação da integridade do arquivo analisado.
Mensagens de aplicativos exigem cuidado adicional. Exportações podem excluir metadados, anexos, mensagens apagadas ou informações sobre o dispositivo de origem. Por isso, a coleta deve registrar o aparelho, o número ou conta vinculada, o horário, a versão relevante do aplicativo e as condições em que o conteúdo foi obtido.
Registros de nuvem e plataformas terceirizadas devem ser solicitados com precisão. Indique a conta, o intervalo temporal, os tipos de evento e a necessidade de preservar dados antes de eventual pedido formal de fornecimento. A empresa também deve impedir que usuários com acesso administrativo alterem os registros durante a apuração.
A preservação não transforma automaticamente qualquer dado em prova válida. A admissibilidade será examinada conforme o caso concreto, considerando origem, integridade, legalidade da obtenção, pertinência e possibilidade de contraditório. Por isso, a documentação do método é tão relevante quanto o arquivo final.
Como coordenar jurídico, TI e autoridades sem comprometer a apuração
- Defina uma matriz de responsabilidades: o jurídico aprova o objetivo e o compartilhamento; a TI identifica sistemas e aplica contenção; o especialista realiza a coleta e a análise; a direção decide medidas empresariais dentro dos limites recomendados.
- Separe preservação de análise. Primeiro, mantenha os dados em condição estável; depois, examine cópias de trabalho. Essa separação reduz o risco de uma investigação modificar justamente o material que pretendia avaliar.
- Use canais reservados para decisões sensíveis, com controle de participantes, autenticação e registro das orientações relevantes. O guia sobre comunicação segura para executivos sob investigação ajuda a organizar essa frente sem misturar conversas operacionais e estratégia jurídica.
- Prepare uma linha do tempo com fatos confirmados, hipóteses ainda abertas, fontes consultadas e lacunas. Evite registrar conclusões como certezas antes da análise, especialmente quando a apuração envolve sócios, diretores ou empregados em posições de confiança.
- Ao comunicar autoridades, avalie previamente o conteúdo, a forma e o momento. A entrega de documentos sem contexto pode gerar interpretações equivocadas, expor dados de terceiros ou comprometer diligências que ainda precisam ser realizadas.
- Preserve também elementos favoráveis à pessoa ou à empresa investigada. Logs que mostram ausência de acesso, aprovações regulares, alertas ignorados por terceiros ou incompatibilidade de horários podem ser tão relevantes quanto evidências de irregularidade.
- Coordene a dimensão criminal com demandas cíveis, regulatórias e contratuais. A mesma planilha ou mensagem pode ter efeitos diferentes em uma cobrança de ativos, em uma disputa societária e em um inquérito policial.
Erros comuns na perícia forense digital e a importância de agir no inquérito
Um erro frequente é pedir ao empregado suspeito que entregue o próprio celular ou computador sem definir procedimento, escopo e documentação. A medida pode gerar questionamentos sobre voluntariedade, privacidade, integridade e seleção dos dados examinados.
Outro problema ocorre quando a empresa reinstala sistemas, restaura cópias de segurança ou troca equipamentos antes de preservar os vestígios. A intenção de normalizar a operação é compreensível, mas a ação pode eliminar dados que não serão recuperados depois.
Também é arriscado compartilhar uma planilha de investigação em múltiplos e-mails, manter cópias sem controle ou enviar arquivos sensíveis por canais inadequados. Além da exposição de dados, esse comportamento dificulta saber qual versão foi analisada e por quem.
A atuação precoce não significa acusar alguém rapidamente. Significa preservar opções, compreender os fatos e decidir com base em registros confiáveis antes de prestar esclarecimentos, entregar documentos ou adotar medidas irreversíveis.
O checklist estratégico de preservação probatória no inquérito policial pode ser usado para organizar documentos, registros, testemunhas e diligências defensivas. Já o conteúdo sobre diligências em inquérito policial para sócios e diretores ajuda a compreender como a investigação pode evoluir e quais decisões exigem coordenação.
A experiência da Cicotti está voltada à análise de riscos penais empresariais, à atuação em investigações e à coordenação entre preservação probatória e estratégia jurídica. Em situações que envolvem fraude eletrônica ou vazamento, essa integração permite considerar simultaneamente a proteção da empresa, dos executivos e dos dados de terceiros.
Documentação que costuma fortalecer uma investigação digital
- Mapa dos sistemas e responsáveis: Liste aplicações, servidores, provedores, contas, dispositivos e administradores relacionados ao fato. Identifique também quem pode extrair registros e quem deve autorizar o acesso.
- Linha do tempo verificável: Associe cada evento a uma fonte, como log, e-mail, nota fiscal, autorização bancária ou registro de atendimento. Diferencie horários locais, fuso utilizado pelo sistema e horário de verão quando isso puder alterar a interpretação.
- Inventário dos vestígios: Atribua identificadores aos dispositivos, arquivos e exportações. Para cada item, registre origem, data de coleta, pessoa responsável, local de armazenamento, hash quando aplicável e finalidade da análise.
- Relatório de limitações: Indique sistemas indisponíveis, registros expirados, dispositivos não localizados, contas sem acesso e dados que não puderam ser validados. Reconhecer limites aumenta a clareza e evita conclusões além do que os dados permitem.
- Pacote para eventual apresentação: Separe arquivos originais, cópias de trabalho, relatórios, metodologia, autorizações, comunicações de preservação e explicação dos termos usados. O material deve permitir que outra pessoa compreenda o caminho percorrido.
Como transformar vestígios digitais em decisões jurídicas mais seguras
A prova digital só cumpre sua função quando responde a uma pergunta jurídica concreta. Não basta acumular gigabytes de mensagens e logs: é preciso saber se o objetivo é identificar autoria, afastar participação, demonstrar ausência de dolo, quantificar prejuízo, localizar ativos ou esclarecer a responsabilidade de cada área.
Em investigações envolvendo diretoria, conselho ou sócios, a análise deve considerar as atribuições formais, as aprovações efetivamente realizadas e o conhecimento disponível em cada momento. Um registro de acesso pode indicar presença no sistema, mas não necessariamente domínio sobre a operação ou ciência da irregularidade.
A Cicotti trabalha com atendimento direto pelos sócios, avaliação de cenários e proteção das informações relacionadas a investigações, inquéritos e ações penais. A abordagem pode envolver a leitura jurídica do relatório, a definição de diligências, a preparação de esclarecimentos e a integração com profissionais de investigação digital.
O objetivo de uma apuração responsável é reduzir incertezas sem antecipar conclusões. Para a empresa, isso pode significar corrigir controles, recuperar ativos e preservar sua posição institucional. Para a pessoa investigada, pode significar demonstrar a ausência de vínculo, contestar uma narrativa incompleta ou assegurar que elementos favoráveis não sejam ignorados.
Se já existe inquérito, requisição de documentos ou notícia de crime, o tempo deve ser tratado como fator de preservação. A orientação adequada antes da coleta e do compartilhamento pode evitar perda de evidências, contradições desnecessárias e exposição indevida de informações.
Perguntas Frequentes
O que faz um perito forense digital em uma investigação corporativa?
O perito identifica fontes de dados, preserva dispositivos e registros, realiza a coleta conforme um método documentado e examina os vestígios em cópias de trabalho. Ele pode correlacionar logs, mensagens, arquivos, acessos e eventos de segurança para reconstruir uma sequência provável. Também deve explicar a metodologia, os limites da análise e a integridade do material examinado. A conclusão precisa distinguir fato observado, inferência e hipótese ainda não confirmada.
Quais sinais indicam que uma empresa precisa de perícia forense digital?
Divergências de horário, acessos fora do padrão, alteração ou exclusão de logs, transferências não reconhecidas, criação de usuários privilegiados e vazamento de documentos são sinais relevantes. A necessidade também pode surgir quando há versões conflitantes sobre uma aprovação, um pagamento ou o envio de determinada mensagem. Quanto mais cedo os indícios forem identificados, maior tende a ser a disponibilidade de registros. A perícia deve ser considerada antes de formatar dispositivos, restaurar sistemas ou iniciar entrevistas abrangentes.
A captura de tela de uma mensagem serve como prova em um inquérito?
Uma captura de tela pode servir como elemento inicial de apuração, mas seu peso depende da origem, integridade, contexto e possibilidade de confirmação. Ela pode não mostrar metadados, mensagens anteriores, anexos ou informações sobre o aparelho utilizado. Sempre que possível, preserve também a fonte original, a exportação completa e os dados relacionados ao dispositivo ou à plataforma. A validade será avaliada conforme as circunstâncias concretas da obtenção e da apresentação.
Como preservar provas digitais sem violar a privacidade de empregados?
Comece delimitando a finalidade, o período e os sistemas relacionados ao fato, evitando uma busca indiscriminada por informações pessoais. Restrinja o acesso ao grupo necessário, registre as autorizações e use cópias de trabalho para a análise. Também avalie a base jurídica aplicável, as políticas internas, os contratos e as regras de proteção de dados. Em situações com possível repercussão criminal, a definição do escopo deve ser coordenada com orientação jurídica antes da coleta.
Qual é a diferença entre a perícia interna de TI e a perícia externa?
A TI interna possui conhecimento sobre a arquitetura, os usuários e os processos da empresa, sendo essencial para conter o incidente e localizar fontes. O especialista externo pode oferecer independência, metodologia de aquisição e experiência na documentação de vestígios para uma disputa ou investigação. Uma opção não elimina a outra: a divisão de responsabilidades costuma produzir uma apuração mais organizada. A escolha deve considerar o possível envolvimento de pessoas internas, a complexidade dos sistemas e a necessidade de apresentação perante autoridades.
Como garantir a cadeia de custódia de um celular apreendido ou entregue voluntariamente?
Registre a identificação do aparelho, o estado em que foi recebido, a data, o horário, o responsável e as condições de armazenamento. Evite explorar o conteúdo diretamente no dispositivo original e documente qualquer transferência, cópia ou acesso posterior. Dependendo do caso, a aquisição deve ser feita por método que preserve o conteúdo e permita verificar sua integridade. A cadeia de custódia não depende apenas de um formulário, mas da coerência de todo o percurso do vestígio.
A empresa deve entregar imediatamente todos os arquivos à autoridade policial?
A entrega deve ser avaliada conforme a origem do pedido, seu alcance, a urgência e a relação dos arquivos com os fatos investigados. O fornecimento sem triagem pode expor dados de terceiros, informações estratégicas ou materiais sem pertinência, além de dificultar a compreensão do conjunto. Antes de compartilhar, organize a documentação, preserve os originais e avalie a necessidade de acompanhar o material com explicações de contexto. Isso não impede a cooperação legítima, mas ajuda a evitar decisões impulsivas.
Por que a perícia deve começar antes do oferecimento da denúncia?
A fase de investigação é o período em que registros podem desaparecer, testemunhas podem mudar de disponibilidade e narrativas podem se consolidar sem contraponto. Preservar elementos favoráveis desde o início permite avaliar diligências, esclarecer inconsistências e decidir como responder às autoridades. Esperar a ação penal pode reduzir as opções probatórias e tornar mais difícil recuperar dados antigos. A atuação antecipada não significa adotar uma versão definitiva, mas manter condições para que a análise seja completa.
