Quando um sistema registra determinada atividade, é comum que a operação apareça associada a um nome de usuário, endereço eletrônico, dispositivo, sessão ou endereço de rede.
Esses elementos podem contribuir para identificar a origem técnica de um evento. Entretanto, não demonstram automaticamente qual pessoa executou a ação.
Uma conta pode ser compartilhada. Uma credencial pode ser comprometida. Um dispositivo pode possuir vários usuários. Uma sessão pode permanecer ativa, e processos automáticos podem realizar operações sem intervenção humana direta.
Por isso, a atribuição digital exige distinguir recursos técnicos de identidades pessoais e correlacionar diferentes fontes antes de apresentar uma conclusão.
O que é atribuição digital?
Atribuição digital é o processo de relacionar uma atividade registrada em ambiente tecnológico a determinada origem.
Essa origem pode ser:
- uma conta;
- uma credencial;
- uma sessão;
- um dispositivo;
- um endereço de rede;
- uma aplicação;
- um processo automático;
- uma organização;
- uma pessoa.
Cada nível exige elementos diferentes.
Demonstrar que uma conta foi utilizada não equivale necessariamente a demonstrar quem a utilizou. Da mesma forma, relacionar um evento a um dispositivo não significa automaticamente identificar a pessoa que estava diante dele.
A análise deve indicar claramente até onde os elementos permitem chegar.
Conta não é pessoa
Uma conta é uma identidade criada e administrada por determinado sistema.
Ela pode estar associada a:
- nome;
- endereço eletrônico;
- identificador;
- perfil;
- permissões;
- grupo;
- departamento;
- organização;
- histórico de atividades.
O sistema pode registrar que uma operação foi executada pela conta “usuario01”. Isso significa que a aplicação relacionou o evento àquela identidade técnica.
Não significa necessariamente que a pessoa cadastrada como titular tenha realizado pessoalmente a operação.
A conta pode ter sido:
- compartilhada;
- utilizada em dispositivo comum;
- acessada por terceiro;
- comprometida;
- mantida ativa depois de mudança de função;
- configurada em vários equipamentos;
- utilizada por rotina automatizada;
- operada por administrador;
- vinculada incorretamente.
O registro da conta é um ponto inicial para a atribuição, e não sua conclusão automática.
O papel das credenciais
Credenciais são recursos utilizados para demonstrar ao sistema que determinado acesso está autorizado.
Podem incluir:
- senha;
- chave criptográfica;
- certificado;
- código temporário;
- cartão;
- token;
- mecanismo biométrico;
- combinação de diferentes fatores.
Quando uma autenticação é bem-sucedida, o sistema normalmente registra que as credenciais apresentadas foram aceitas.
Isso não demonstra necessariamente:
- quem inseriu a senha;
- quem possuía o dispositivo;
- como o código foi obtido;
- se a credencial estava armazenada;
- se a sessão já estava autenticada;
- se houve acesso remoto;
- se o recurso foi compartilhado;
- se a conta estava comprometida.
O registro técnico indica a aceitação da autenticação conforme as regras do sistema. A identificação pessoal pode depender de outros elementos.
Credenciais compartilhadas
O compartilhamento pode ocorrer de forma formal ou informal.
Exemplos incluem:
- contas de equipe;
- credenciais administrativas;
- equipamentos de uso coletivo;
- senhas conhecidas por várias pessoas;
- acessos mantidos por prestadores;
- contas genéricas;
- sistemas antigos sem identificação individual;
- credenciais armazenadas em navegadores ou aplicações.
Em ambientes compartilhados, o nome exibido no registro pode identificar a conta utilizada, mas não diferenciar os possíveis operadores.
A ausência de individualização reduz a capacidade de atribuição pessoal, mesmo quando o evento está claramente registrado.
Dispositivo não é pessoa
Computadores, celulares, tablets e outros equipamentos podem ser relacionados a atividades por meio de:
- identificadores;
- registros de conexão;
- endereço de rede;
- certificados;
- contas vinculadas;
- características do equipamento;
- aplicativos instalados;
- histórico local.
Entretanto, um dispositivo pode ser:
- compartilhado;
- emprestado;
- deixado desbloqueado;
- acessado remotamente;
- utilizado com diferentes contas;
- controlado por aplicação;
- perdido ou subtraído;
- administrado por terceiros;
- operado por diferentes pessoas ao longo do tempo.
Demonstrar que determinado equipamento participou da atividade é diferente de demonstrar quem o operava naquele momento.
Acesso remoto
Um dispositivo pode executar operações iniciadas a partir de outro ambiente.
Isso pode ocorrer por meio de:
- ferramentas de administração;
- acesso remoto corporativo;
- sessões virtuais;
- automações;
- serviços em nuvem;
- sincronização;
- gerenciamento centralizado;
- integrações entre sistemas.
Nessas situações, o equipamento que registra a ação pode não ser o local físico de onde a pessoa iniciou a operação.
A análise pode precisar considerar:
- origem da sessão;
- ferramenta utilizada;
- registros de autenticação;
- equipamentos intermediários;
- horários;
- contas;
- permissões;
- controles da organização.
O que um endereço IP pode indicar?
Um endereço IP pode contribuir para identificar a origem ou o destino técnico de uma comunicação.
Porém, seu significado depende da arquitetura da rede e do momento examinado.
Um mesmo endereço pode ser:
- utilizado por diferentes dispositivos;
- compartilhado por uma organização;
- atribuído dinamicamente;
- utilizado por rede doméstica;
- associado a equipamento intermediário;
- apresentado por serviço de acesso remoto;
- utilizado por infraestrutura em nuvem;
- relacionado a conexão móvel;
- traduzido entre redes internas e externas.
O endereço registrado pode identificar um ponto de conexão, provedor ou ambiente. Ele não identifica automaticamente uma pessoa.
Para compreender seu significado, podem ser necessários:
- data e horário precisos;
- fuso;
- registros de atribuição;
- portas;
- dados do provedor;
- registros internos;
- equipamento de origem;
- identificadores de sessão;
- outras fontes independentes.
Redes compartilhadas
Em uma organização, residência, hotel, estabelecimento ou rede pública, várias pessoas e dispositivos podem utilizar a mesma conexão externa.
O sistema remoto pode registrar somente o endereço compartilhado, sem distinguir o equipamento interno responsável.
Em alguns ambientes, informações adicionais permitem realizar essa diferenciação. Em outros, esses registros podem não existir ou não estar mais disponíveis.
A identificação da conexão é, portanto, apenas uma etapa possível da análise.
Sessões e autenticação persistente
Depois de uma autenticação, sistemas podem criar uma sessão para manter o acesso ativo.
Essa sessão pode permanecer válida:
- por determinado período;
- enquanto o aplicativo estiver aberto;
- até o encerramento manual;
- até a revogação;
- durante sincronizações;
- em vários dispositivos;
- mesmo depois de mudança de rede.
Assim, uma operação pode ser realizada sem nova inserção de senha.
O registro pode demonstrar que uma sessão autenticada executou a ação, mas não necessariamente quem iniciou ou continuou utilizando aquela sessão.
Para compreender o evento, pode ser relevante examinar:
- criação da sessão;
- renovações;
- dispositivo;
- endereço de origem;
- encerramento;
- mudanças de credencial;
- eventos anteriores e posteriores.
Tokens e autorizações armazenadas
Aplicações e integrações podem utilizar tokens para autorizar operações sem solicitar novamente as credenciais do usuário.
Esses recursos podem ser usados por:
- aplicativos;
- serviços;
- integrações;
- dispositivos;
- rotinas automatizadas;
- aplicações conectadas.
Uma operação associada à conta pode ter sido realizada por software previamente autorizado.
A análise precisa diferenciar o acesso interativo de uma pessoa da atividade executada por aplicação ou serviço.
Autenticação multifator
A autenticação multifator utiliza mais de um elemento para verificar o acesso.
Ela pode combinar:
- conhecimento, como uma senha;
- posse, como dispositivo ou token;
- características biométricas;
- contexto da operação.
Esse mecanismo pode aumentar a segurança e acrescentar informações relevantes à análise.
Entretanto, uma autenticação multifator bem-sucedida não demonstra automaticamente quem executou toda a atividade posterior.
Podem existir situações envolvendo:
- sessão já autenticada;
- dispositivo compartilhado;
- confirmação indevida;
- credencial armazenada;
- recuperação de conta;
- processo automatizado;
- alteração de método;
- administração por terceiro.
O registro do segundo fator deve ser interpretado junto com os demais eventos.
Biometria e identificação pessoal
Mecanismos biométricos podem utilizar impressão digital, face, voz ou outras características para permitir acesso.
O resultado registrado pelo dispositivo pode indicar que o mecanismo aceitou a autenticação conforme seus parâmetros.
A interpretação depende de fatores como:
- tipo de biometria;
- configuração;
- precisão;
- possibilidade de métodos alternativos;
- registros disponíveis;
- usuário cadastrado;
- funcionamento do equipamento;
- contexto da operação.
Também é necessário distinguir o desbloqueio do dispositivo da autoria de todas as ações realizadas durante a sessão subsequente.
Contas comprometidas
Uma conta pode ser utilizada por pessoa diferente de seu titular quando suas credenciais ou sessões são comprometidas.
Possíveis sinais técnicos podem incluir:
- acessos em horários incomuns;
- novos dispositivos;
- origens diferentes;
- alterações de credenciais;
- mudanças de configuração;
- criação de regras;
- atividades incompatíveis com o histórico;
- sessões simultâneas;
- métodos de recuperação;
- alertas de segurança.
Nenhum sinal isolado demonstra necessariamente comprometimento. A atividade pode possuir explicação legítima.
A análise deve considerar o conjunto dos registros e hipóteses alternativas.
Contas de serviço e processos automáticos
Sistemas utilizam contas destinadas a aplicações, integrações e rotinas.
Essas contas podem executar:
- transferências;
- consultas;
- atualizações;
- cópias;
- exclusões;
- sincronizações;
- geração de relatórios;
- comunicação entre sistemas;
- manutenção.
Uma operação registrada sob determinada conta pode ser consequência de tarefa programada ou integração.
Antes de atribuir a ação a uma pessoa, é necessário verificar:
- finalidade da conta;
- processos autorizados;
- horários programados;
- sistemas que utilizam a credencial;
- registros da aplicação;
- alterações na configuração;
- intervenção administrativa.
Localização do dispositivo e presença da pessoa
Dados de localização podem ajudar a relacionar um dispositivo a determinada área.
Eles podem ter origem em:
- sistema de posicionamento;
- redes sem fio;
- antenas;
- endereço de rede;
- controle de acesso;
- aplicativos;
- plataformas;
- histórico mantido pelo equipamento.
A localização técnica apresenta limitações de precisão e contexto.
Mesmo quando o dispositivo é localizado, isso não demonstra automaticamente que seu titular estava com ele. O equipamento pode ter sido deixado, emprestado, transportado ou utilizado por terceiro.
A presença da pessoa deve ser avaliada separadamente, com outras fontes quando disponíveis.
Controle físico de acesso
Registros de entrada, cartões, catracas, portarias e câmeras podem contribuir para relacionar pessoas a locais.
Esses registros também possuem limitações.
Um cartão pode ser compartilhado. Uma entrada pode não corresponder à permanência durante todo o período. Determinados acessos podem não ser registrados, e as câmeras podem possuir cobertura parcial.
A utilidade está na correlação com os eventos tecnológicos, respeitando as limitações de cada fonte.
Correlação entre fontes
A atribuição se torna mais consistente quando diferentes fontes independentes convergem.
Podem ser correlacionados:
- logs de autenticação;
- registros de aplicação;
- dispositivo;
- endereço de rede;
- sessões;
- controles de acesso;
- localização;
- mensagens;
- documentos;
- gravações;
- registros de rede;
- horários;
- padrões de atividade.
Por exemplo, uma operação pode estar associada a:
- autenticação em determinada conta;
- sessão criada em um dispositivo;
- conexão proveniente de uma rede;
- entrada física registrada no local;
- atividade compatível em outra aplicação;
- comunicação relacionada ao evento.
Essa convergência pode ampliar a compreensão. Ainda assim, a conclusão deve indicar as hipóteses alternativas que não puderam ser excluídas.
Padrões de comportamento
Sistemas podem identificar características recorrentes de utilização, como:
- horários;
- localização;
- dispositivos;
- forma de navegação;
- sequência de operações;
- frequência;
- vocabulário;
- preferências;
- interação com aplicações.
A compatibilidade com um padrão pode contribuir para uma hipótese de atribuição.
Entretanto, padrões podem mudar, ser imitados ou refletir hábitos compartilhados. Também podem ser influenciados por processos automáticos.
Análise comportamental não deve ser apresentada isoladamente como identificação definitiva.
Diferentes níveis de conclusão
Os elementos podem sustentar conclusões em níveis distintos.
Pode ser possível determinar que:
- o sistema registrou uma operação;
- uma conta foi associada ao evento;
- determinada credencial foi aceita;
- uma sessão executou a ação;
- um dispositivo esteve relacionado;
- uma conexão teve origem em determinado ambiente;
- várias fontes convergem para a mesma hipótese;
- não existem elementos suficientes para identificar a pessoa;
- hipóteses alternativas não puderam ser excluídas.
A linguagem precisa refletir o nível efetivamente alcançado.
Expressões como “associado”, “compatível”, “registrado” e “relacionado” não devem ser substituídas por “identificado” quando a evidência não permite essa conclusão.
Atribuição técnica e interpretação jurídica
A análise técnico-forense pode examinar contas, dispositivos, registros, sessões, conexões e demais elementos relacionados ao evento.
A qualificação jurídica dos fatos, a avaliação de responsabilidade e a análise de intenção pertencem aos profissionais legalmente habilitados.
O especialista deve evitar conclusões jurídicas e limitar-se ao que os elementos científicos e tecnológicos permitem constatar.
Erros frequentes na atribuição
Alguns erros recorrentes são:
- tratar o titular da conta como autor automático de toda atividade;
- identificar uma pessoa apenas pelo endereço IP;
- ignorar dispositivos compartilhados;
- desconsiderar acessos remotos;
- confundir autenticação com presença física;
- ignorar sessões persistentes;
- atribuir processos automáticos a ações humanas;
- tratar localização do dispositivo como localização confirmada da pessoa;
- desconsiderar comprometimento de conta;
- ignorar contas administrativas ou de serviço;
- utilizar um único registro;
- não avaliar hipóteses alternativas;
- atribuir intenção com base apenas em logs;
- apresentar compatibilidade como identificação conclusiva.
Esses erros transformam uma relação técnica limitada em afirmação mais ampla do que os elementos sustentam.
Perguntas úteis para a análise
Ao avaliar a atribuição de uma atividade digital, é útil perguntar:
- O registro identifica uma conta, credencial, sessão, dispositivo ou pessoa?
- A conta era individual ou compartilhada?
- Quais métodos de autenticação foram utilizados?
- A sessão já estava ativa?
- O dispositivo possuía outros usuários?
- Existia possibilidade de acesso remoto?
- O evento pode ter sido produzido automaticamente?
- Qual é o significado do endereço IP?
- A rede era compartilhada?
- O horário foi corretamente interpretado?
- Existem registros do dispositivo?
- Há controles físicos de acesso?
- Existem dados de localização?
- A conta apresentava sinais de comprometimento?
- Quais fontes independentes convergem?
- Existem registros divergentes?
- Quais hipóteses alternativas permanecem possíveis?
- Qual é o nível exato de conclusão sustentado?
Essas perguntas ajudam a separar a identificação de recursos técnicos da identificação pessoal.
Quando pode ser necessária avaliação especializada?
Uma avaliação técnico-forense pode ser pertinente quando:
- a autoria de uma operação é questionada;
- contas ou equipamentos eram compartilhados;
- existe suspeita de comprometimento;
- diferentes sistemas precisam ser correlacionados;
- sessões persistentes estavam ativas;
- aplicações executavam processos automáticos;
- endereços de rede são relevantes;
- registros de localização precisam ser interpretados;
- controles digitais e físicos precisam ser comparados;
- existem versões conflitantes;
- a conclusão depende de dados distribuídos;
- hipóteses alternativas precisam ser examinadas.
O especialista deve avaliar quais relações podem ser tecnicamente estabelecidas e quais limitações impedem uma atribuição mais específica.
Conclusão
Ambientes tecnológicos registram contas, credenciais, sessões, dispositivos, conexões e processos. Esses elementos podem contribuir para compreender a origem de uma atividade, mas não devem ser automaticamente tratados como identificação pessoal.
Uma conta não é uma pessoa. Uma credencial aceita não revela necessariamente quem a apresentou. Um dispositivo pode possuir vários usuários. Um endereço IP pode ser compartilhado. Uma sessão pode permanecer ativa, e processos automáticos podem executar operações.
A atribuição digital exige correlação entre fontes, análise de hipóteses alternativas e linguagem proporcional ao nível de certeza alcançado.
Em algumas situações, os elementos permitem relacionar uma atividade apenas a uma conta ou dispositivo. Em outras, diferentes fontes podem convergir para uma hipótese mais específica. Também existem casos em que a identificação pessoal não é tecnicamente possível.
Reconhecer esses limites é parte essencial de uma análise técnico-forense responsável.
A IBPTECH atua exclusivamente no domínio técnico-científico. Não presta, por meio deste portal, serviços de advocacia, aconselhamento jurídico ou representação processual.
Este é um site temático do HUB IBPTECH.