Smartphones, tablets e equipamentos de navegação podem concentrar informações relevantes para investigações corporativas, controvérsias e processos administrativos, arbitrais ou judiciais.
Esses dispositivos podem conter mensagens, arquivos, imagens, registros de aplicativos, dados de localização, conexões, históricos de utilização e outros elementos capazes de auxiliar na reconstrução de eventos. Sua análise, entretanto, exige procedimentos adequados às características do equipamento, do sistema operacional e das fontes de dados examinadas.
A perícia em dispositivos móveis não consiste simplesmente em acessar o aparelho e visualizar seu conteúdo. É necessário preservar as informações disponíveis, documentar os procedimentos realizados e avaliar tecnicamente o alcance e as limitações dos resultados.
Quando a perícia em dispositivos móveis pode ser necessária
O exame pode ser empregado em situações como:
- investigação de comunicações relacionadas a uma controvérsia;
- análise de mensagens, imagens, vídeos e documentos armazenados no dispositivo;
- apuração de acessos ou utilização não autorizada;
- verificação de registros de localização e deslocamento;
- reconstrução cronológica de determinados eventos;
- análise de aplicativos e respectivos dados;
- identificação de arquivos existentes, alterados ou excluídos;
- exame de registros de conexão e sincronização;
- controvérsias sobre autoria, origem, integridade ou contexto de informações digitais;
- apoio técnico em processos envolvendo dispositivos apreendidos, apresentados ou disponibilizados para exame.
As possibilidades de análise dependem do modelo do equipamento, do sistema operacional, de suas configurações, do estado em que foi recebido e das autorizações aplicáveis ao trabalho.
Por que os dispositivos móveis exigem tratamento especializado
Dispositivos móveis apresentam características distintas dos computadores convencionais. Sistemas operacionais, mecanismos de proteção, estruturas de armazenamento e formas de sincronização variam entre fabricantes, modelos e versões.
Além disso, um mesmo aparelho pode reunir informações provenientes de diversas fontes:
- memória interna;
- cartões de armazenamento;
- aplicativos;
- contas vinculadas;
- serviços em nuvem;
- redes móveis e Wi-Fi;
- sensores de localização e movimento;
- dispositivos conectados;
- cópias de segurança.
Parte das informações pode estar armazenada no próprio equipamento, enquanto outra parte pode existir apenas em contas, servidores ou serviços externos. A análise do aparelho, portanto, não significa necessariamente que todo o conteúdo associado ao usuário estará disponível no dispositivo.
Preservação inicial do dispositivo
O estado em que o equipamento é encontrado ou disponibilizado pode influenciar os dados que poderão ser examinados.
Ações aparentemente simples — ligar, desligar, desbloquear, conectar a uma rede, remover componentes ou abrir aplicativos — podem alterar registros, acionar sincronizações ou modificar informações relevantes.
Por isso, recomenda-se evitar a manipulação desnecessária do dispositivo antes da orientação técnica. As medidas de preservação devem ser definidas conforme as condições concretas, considerando fatores como:
- equipamento ligado ou desligado;
- dispositivo bloqueado ou desbloqueado;
- estado da bateria;
- conexão com redes;
- possibilidade de sincronização ou comando remoto;
- utilização de criptografia;
- existência de cartões ou componentes removíveis;
- risco de perda de dados voláteis.
Não existe uma única conduta adequada para todos os aparelhos. A decisão entre manter o equipamento ligado, isolá-lo de redes ou desligá-lo deve considerar os riscos específicos da situação.
Etapas do exame pericial
Recebimento e documentação
O dispositivo deve ser identificado e seu estado inicial documentado. Conforme o caso, podem ser registrados modelo, número de série, componentes, condições físicas, estado de funcionamento, conexões e demais características observáveis.
Também devem ser documentados o responsável pela entrega, a data de recebimento e as transferências de custódia relacionadas ao equipamento.
Preservação
São adotadas medidas destinadas a reduzir o risco de alteração, exclusão ou perda dos dados. Essas medidas devem ser compatíveis com o estado do dispositivo e com a finalidade do exame.
Aquisição dos dados
A aquisição busca obter os dados acessíveis por meio de procedimento tecnicamente adequado. Conforme o equipamento e as condições existentes, podem ser utilizadas diferentes modalidades de obtenção, como aquisição manual, lógica, do sistema de arquivos ou física.
Essas modalidades não produzem necessariamente o mesmo conjunto de informações. A técnica escolhida deve ser compatível com o dispositivo, com as permissões disponíveis e com as questões que precisam ser respondidas.
Verificação de integridade
Quando aplicável, são empregados mecanismos destinados a verificar a integridade dos dados adquiridos, acompanhados do registro das ferramentas, parâmetros e procedimentos utilizados.
Valores de hash criptográfico podem auxiliar nessa verificação, mas devem ser interpretados dentro do conjunto de procedimentos de preservação e documentação da evidência.
Exame e análise
Os dados obtidos são examinados de acordo com o objeto pericial e os quesitos formulados. A análise pode envolver mensagens, arquivos, aplicativos, registros de eventos, metadados, informações de localização e relações cronológicas entre diferentes elementos.
Relatório, laudo ou parecer técnico
Os procedimentos, resultados e limitações relevantes devem ser apresentados de maneira compreensível e tecnicamente fundamentada.
Em processos judiciais, o trabalho poderá resultar no laudo do perito nomeado pelo juízo ou no parecer do assistente técnico indicado pela parte, conforme a função exercida pelo profissional.
Tipos de informação que podem ser encontrados
Dependendo do equipamento e da aquisição realizada, o exame pode alcançar:
- contatos e agendas;
- registros de chamadas;
- mensagens e comunicações;
- fotografias, vídeos e gravações;
- documentos e arquivos;
- dados e registros de aplicativos;
- histórico de navegação;
- conexões de rede;
- informações sobre contas configuradas;
- datas, horários e outros metadados;
- registros de localização;
- dados de sincronização;
- arquivos temporários ou excluídos;
- informações técnicas sobre o uso do aparelho.
A existência de determinada categoria de informação não significa que ela estará disponível em todos os dispositivos. Configurações, atualizações, criptografia, utilização do aparelho e passagem do tempo podem afetar a disponibilidade dos dados.
Dados excluídos e dispositivos criptografados
A recuperação de dados excluídos não pode ser garantida previamente.
Informações apagadas podem ter sido sobrescritas, eliminadas por mecanismos internos do sistema ou tornadas inacessíveis por criptografia. Em dispositivos modernos, medidas de segurança integradas ao hardware e ao sistema operacional podem limitar significativamente determinados métodos de aquisição.
Da mesma forma, a existência de um dispositivo criptografado não significa que seu conteúdo poderá ser recuperado ou acessado. A viabilidade do exame dependerá das condições técnicas e das permissões disponíveis.
Essas limitações devem ser avaliadas antes da definição do escopo e claramente registradas nas conclusões do trabalho.
Análise de dados de localização
Smartphones, tablets e equipamentos GPS podem conter informações relacionadas a localização e deslocamento, como:
- coordenadas geográficas;
- rotas e trajetos;
- pontos de interesse;
- registros de navegação;
- datas e horários;
- metadados de fotografias;
- informações mantidas por aplicativos;
- conexões com redes ou dispositivos próximos.
Esses dados devem ser interpretados com cautela. Uma informação de localização pode resultar de diferentes tecnologias, apresentar margens de precisão variáveis ou refletir uma sincronização realizada em momento distinto do evento investigado.
A presença do aparelho em determinado local também não demonstra, isoladamente, quem o portava ou utilizava. Conclusões dessa natureza dependem da análise conjunta das demais evidências.
A NIST SP 800-101 Rev. 1
A NIST Special Publication 800-101 Rev. 1 apresenta orientações sobre perícia em dispositivos móveis e aborda preservação, aquisição, exame, análise e comunicação dos resultados.
Publicada em 2014, ela permanece listada pelo NIST como publicação final relacionada ao seu projeto de perícia móvel. Por tratar de uma área sujeita a rápidas mudanças tecnológicas, deve ser utilizada como referência metodológica, em conjunto com a avaliação das tecnologias atuais, das características específicas do dispositivo e das exigências jurídicas aplicáveis.
A publicação não determina a utilização de uma ferramenta ou técnica única. O método deve ser escolhido e justificado conforme o equipamento, as condições de acesso e a finalidade do exame.
Relação com a ISO/IEC 27037
A ISO/IEC 27037 também contempla dispositivos móveis e sistemas de navegação entre as possíveis fontes de evidência digital.
Suas diretrizes para identificação, coleta, aquisição e preservação ajudam a estruturar o tratamento técnico do equipamento, especialmente quanto à documentação, à integridade e à cadeia de custódia.
Assim como ocorre com outras referências internacionais, sua utilização deve ser compatibilizada com a legislação e as regras processuais aplicáveis no Brasil.
Atuação do assistente técnico
Em processos envolvendo dispositivos móveis, o assistente técnico pode apoiar a parte e seus assessores jurídicos em atividades como:
- análise inicial das questões técnicas;
- formulação de quesitos;
- avaliação das condições de preservação do dispositivo;
- acompanhamento da aquisição e dos exames;
- verificação dos métodos e ferramentas empregados;
- análise dos registros de integridade;
- avaliação das conclusões do laudo pericial;
- elaboração de parecer técnico;
- apresentação de quesitos de esclarecimento.
A atuação técnica deve permanecer vinculada ao objeto da controvérsia e às evidências efetivamente disponíveis, evitando conclusões que ultrapassem o alcance dos dados examinados.
Atuação da IBPTECH
A IBPTECH — IBP Instituto Brasileiro de Peritos presta assistência técnica e realiza exames relacionados a smartphones, tablets, equipamentos GPS e outras fontes de evidência digital, conforme o escopo e as condições de cada trabalho.
Conheça a área especializada em Cibernética Forense
Solicitação de proposta técnica
Para iniciar o contato, não é necessário encaminhar o dispositivo, documentos, credenciais, dados confidenciais ou detalhes do caso. Basta indicar Perícia em Dispositivos Móveis como área de interesse.
As condições apropriadas para preservação, apresentação e tratamento das informações poderão ser definidas posteriormente.
Solicitar proposta técnica