Evidências digitais podem ser copiadas, transferidas, convertidas, processadas e armazenadas em diferentes ambientes. Essa facilidade torna indispensável documentar o percurso dos elementos desde sua identificação até o exame e a apresentação dos resultados.
A cadeia de custódia procura responder perguntas fundamentais:
- Qual elemento foi identificado?
- Onde e em quais condições ele foi encontrado?
- Quem realizou a coleta?
- Qual procedimento foi utilizado?
- Para onde o material foi transferido?
- Quem teve acesso?
- Quais exames foram realizados?
- Houve alguma alteração?
- Onde o elemento permaneceu armazenado?
- A versão examinada corresponde àquela que foi originalmente preservada?
Sem essa documentação, pode ser difícil avaliar a origem, a integridade e a relação entre o material examinado e o fato discutido.
O que é cadeia de custódia?
Cadeia de custódia é o conjunto de procedimentos e registros utilizados para documentar a história cronológica de um elemento potencialmente relevante, incluindo sua identificação, coleta, transferência, exame, armazenamento e destinação.
No processo penal brasileiro, o artigo 158-A do Código de Processo Penal define cadeia de custódia como o conjunto de procedimentos destinados a manter e documentar a história cronológica do vestígio, rastreando sua posse e seu manuseio desde o reconhecimento até o descarte. O artigo 158-B apresenta etapas como reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte (Código de Processo Penal — Planalto).
Este artigo concentra-se nos aspectos técnico-forenses da rastreabilidade de evidências digitais. A aplicação jurídica das regras, assim como os efeitos processuais de eventuais falhas, deve ser avaliada pelos profissionais legalmente habilitados conforme o contexto de cada caso.
Por que a rastreabilidade é importante?
Um arquivo digital pode ser reproduzido sem que a cópia apresente diferença perceptível em relação ao conteúdo original. Também pode ser alterado de maneira que a modificação não seja visualmente evidente.
Além disso, ações comuns podem modificar dados e metadados:
- ligar ou desligar um dispositivo;
- abrir um arquivo;
- iniciar um aplicativo;
- copiar;
- mover;
- exportar;
- converter;
- compactar;
- sincronizar;
- encaminhar por aplicativo;
- atualizar o sistema;
- instalar uma ferramenta.
A cadeia de custódia não impede necessariamente todas as alterações. Sua função é permitir compreender:
- quais ações ocorreram;
- quando ocorreram;
- por quem foram realizadas;
- por qual motivo;
- com quais ferramentas;
- sobre qual versão do elemento;
- quais efeitos foram identificados.
Rastreabilidade não significa afirmar que nenhuma mudança ocorreu. Significa documentar o percurso para que as condições do exame possam ser avaliadas.
O início da cadeia: reconhecimento e preservação
A cadeia de custódia começa quando determinado elemento é reconhecido como potencialmente relevante.
No ambiente digital, esse elemento pode ser:
- computador;
- dispositivo móvel;
- mídia de armazenamento;
- servidor;
- arquivo;
- mensagem;
- banco de dados;
- registro de sistema;
- conta;
- serviço em nuvem;
- equipamento conectado;
- conjunto de documentos;
- imagem ou gravação;
- ambiente virtual;
- cópia de segurança.
A partir do reconhecimento, é necessário considerar quais ações podem preservar ou alterar as informações.
Uma decisão aparentemente simples, como desligar o equipamento, pode preservar determinados dados e eliminar outros que existiam apenas enquanto o sistema estava em funcionamento.
Por isso, não existe uma orientação universal para todas as situações. A medida adequada depende da natureza do ambiente, do estado encontrado, dos riscos existentes e das questões que poderão precisar ser examinadas.
Identificação e individualização
O elemento precisa ser distinguido dos demais.
A identificação pode considerar:
- fabricante;
- modelo;
- número de série;
- características físicas;
- capacidade;
- cor;
- etiquetas;
- localização;
- conta;
- endereço;
- nome de arquivo;
- tamanho;
- caminho;
- identificadores do sistema;
- valores de hash;
- fotografias;
- códigos internos de controle.
Descrições genéricas como “um celular”, “um computador” ou “uma cópia dos arquivos” podem ser insuficientes quando existem materiais semelhantes.
A individualização ajuda a relacionar cada procedimento ao elemento correto.
Registro das condições iniciais
Antes da coleta, pode ser necessário registrar as condições em que o elemento foi encontrado.
Conforme a situação, podem ser relevantes:
- equipamento ligado ou desligado;
- tela apresentada;
- aplicativos ativos;
- conexões;
- dispositivos conectados;
- data e horário exibidos;
- localização;
- estado físico;
- presença de lacres;
- contas abertas;
- mensagens ou alertas;
- funcionamento do ambiente;
- pessoas presentes;
- riscos de alteração ou perda.
Fotografias, vídeos, anotações e registros técnicos podem ajudar a documentar essas condições.
A finalidade não é produzir uma quantidade excessiva de imagens, mas preservar informações que poderão ser importantes para compreender o estado inicial.
Coleta e aquisição
Na evidência digital, a coleta pode envolver tanto objetos físicos quanto dados.
Coleta de objetos
Pode incluir equipamentos, mídias, dispositivos, cartões e componentes.
Nesse caso, é necessário considerar:
- identificação;
- estado físico;
- conexões;
- acessórios;
- acondicionamento;
- proteção contra danos;
- controle de posse;
- armazenamento.
Aquisição de dados
Pode incluir a obtenção de arquivos, registros, bancos de dados, mensagens, imagens de armazenamento ou informações mantidas em serviços.
O procedimento pode variar conforme:
- sistema;
- dispositivo;
- volume;
- estado do equipamento;
- disponibilidade;
- permissões;
- criptografia;
- ambiente em nuvem;
- finalidade do exame;
- risco de alteração.
A simples cópia de arquivos visíveis pode não preservar dados excluídos, estruturas do sistema, metadados ou informações mantidas fora do diretório selecionado.
O método precisa ser compatível com a questão técnica.
Coleta com o sistema em funcionamento
Em algumas situações, pode ser necessário obter informações enquanto o sistema permanece ativo.
Podem existir dados voláteis relacionados a:
- processos;
- conexões;
- sessões;
- memória;
- usuários autenticados;
- volumes acessíveis;
- chaves temporárias;
- serviços;
- estado das aplicações.
Essas informações podem desaparecer quando o equipamento é desligado.
Entretanto, qualquer interação com o sistema em funcionamento produz algum efeito. A coleta pode criar registros, alterar tempos de acesso, consumir recursos e modificar o estado do ambiente.
Por isso, os procedimentos precisam ser justificados e documentados.
Coleta com o sistema desligado
Quando o equipamento está desligado ou depois de sua preservação, determinados procedimentos podem reduzir a interação com o sistema original.
Ainda assim, é necessário considerar:
- características do armazenamento;
- criptografia;
- integridade física;
- interfaces;
- proteção contra escrita;
- método de aquisição;
- capacidade;
- erros de leitura;
- setores inacessíveis;
- ferramentas utilizadas.
O procedimento escolhido e suas limitações precisam constar da documentação técnica.
Acondicionamento e lacres
Objetos físicos devem ser acondicionados de forma compatível com suas características.
O acondicionamento pode procurar proteger contra:
- impacto;
- umidade;
- calor;
- descarga eletrostática;
- perda de componentes;
- acesso não autorizado;
- alteração acidental;
- mistura com outros materiais.
Lacres e identificadores podem ajudar a controlar aberturas, transferências e acessos.
O lacre físico não assegura a integridade lógica dos dados existentes no dispositivo. Da mesma forma, um valor digital de integridade não substitui o controle sobre o objeto físico.
Esses mecanismos desempenham funções complementares.
Transferência e recebimento
Toda transferência de posse ou responsabilidade deve ser documentada.
O registro pode incluir:
- identificação do elemento;
- origem;
- destino;
- data e horário;
- pessoa que entregou;
- pessoa que recebeu;
- finalidade;
- condição do lacre;
- estado do material;
- código de rastreamento;
- observações;
- novo local de armazenamento.
O recebimento não deve ser tratado apenas como movimentação administrativa. É uma oportunidade para verificar se a identificação e as condições correspondem aos registros anteriores.
Divergências devem ser documentadas.
Elemento preservado e cópia de trabalho
Em exames digitais, é comum preservar uma versão de referência e realizar as análises sobre cópias de trabalho.
Essa separação pode reduzir intervenções repetidas sobre o elemento inicialmente coletado.
A documentação deve permitir relacionar:
- fonte original;
- aquisição;
- versão preservada;
- cópias produzidas;
- valores de integridade;
- destino de cada cópia;
- profissionais que as utilizaram;
- exames realizados;
- resultados produzidos.
O termo “original” precisa ser utilizado com cuidado no ambiente digital.
Um arquivo pode existir simultaneamente em vários locais. Em muitos casos, o aspecto mais relevante não é encontrar um único “original”, mas documentar qual fonte foi utilizada, como os dados foram obtidos e se a versão examinada corresponde àquela preservada.
Valores de hash
Um hash é um valor calculado a partir de determinado conteúdo digital.
Algoritmos de hash são projetados para produzir resultados diferentes quando o conteúdo é modificado, ainda que a mudança seja pequena.
Valores de hash podem ajudar a:
- registrar o estado de um arquivo ou conjunto de dados;
- comparar cópias;
- verificar transferências;
- identificar alterações posteriores;
- relacionar versões;
- controlar materiais de trabalho.
Se a fonte preservada e a cópia apresentarem o mesmo valor calculado pelo mesmo algoritmo, isso pode indicar correspondência entre os conteúdos considerados pelo cálculo.
O que o hash não demonstra?
O hash não responde, sozinho, a todas as questões da cadeia de custódia.
Ele não demonstra automaticamente:
- quem produziu o conteúdo;
- quando foi originalmente criado;
- de qual sistema veio;
- se já havia sido alterado antes da coleta;
- se todos os elementos relevantes foram incluídos;
- quem teve acesso;
- como a aquisição foi realizada;
- se o método foi adequado;
- se as informações estão completas;
- se o conteúdo é verdadeiro.
O hash verifica determinada relação de integridade entre conteúdos. Ele não substitui a documentação da origem, da coleta, da posse e do manuseio.
Qual elemento foi submetido ao cálculo?
Também é importante identificar exatamente aquilo sobre o qual o hash foi calculado.
O valor pode corresponder a:
- um arquivo;
- uma imagem de armazenamento;
- uma pasta processada por ferramenta;
- um arquivo compactado;
- uma exportação;
- um conjunto de dados;
- um relatório;
- uma cópia transformada.
Valores diferentes podem resultar não de alteração indevida, mas de objetos técnicos distintos.
Por exemplo, um arquivo compactado e seu conteúdo descompactado normalmente não possuem o mesmo hash, embora estejam relacionados.
A documentação deve indicar o objeto, o algoritmo e o momento do cálculo.
Controle de acesso
A cadeia de custódia deve permitir identificar quem teve acesso aos elementos preservados.
O controle pode incluir:
- autorização;
- identificação do profissional;
- data e horário;
- finalidade;
- elemento acessado;
- procedimento realizado;
- cópia utilizada;
- saída e devolução;
- registros do sistema;
- alterações observadas.
O acesso deve ser compatível com as responsabilidades de cada profissional e com a necessidade do trabalho.
A existência de controle técnico não elimina a necessidade de registros claros e compreensíveis.
Armazenamento
Evidências digitais precisam ser mantidas em condições que reduzam riscos de:
- perda;
- alteração;
- corrupção;
- falha de equipamento;
- acesso não autorizado;
- substituição;
- exclusão;
- degradação;
- confusão entre versões.
A estratégia pode considerar:
- redundância;
- controle de acesso;
- verificação periódica;
- criptografia;
- cópias de segurança;
- registro de movimentações;
- separação entre referência e trabalho;
- identificação de mídias;
- proteção física;
- política de retenção.
Nenhum meio de armazenamento é absolutamente infalível. A preservação precisa considerar falhas técnicas e procedimentos de recuperação.
Evidências em nuvem
Dados mantidos em nuvem apresentam desafios específicos porque a organização ou o perito pode não controlar diretamente a infraestrutura.
A obtenção pode depender de:
- ferramentas de exportação;
- interfaces;
- permissões;
- fornecedor;
- plano contratado;
- políticas de retenção;
- registros disponíveis;
- formato fornecido;
- funcionamento do serviço.
Uma exportação pode reorganizar arquivos, converter formatos ou omitir informações existentes na plataforma.
A cadeia de custódia pode precisar registrar:
- conta utilizada;
- nível de acesso;
- data e horário;
- ferramenta;
- parâmetros;
- escopo;
- arquivos produzidos;
- mensagens apresentadas;
- limitações da exportação;
- valores de integridade;
- documentação do fornecedor.
Informações fornecidas por terceiros
Fornecedores, prestadores e outras organizações podem disponibilizar registros ou documentos.
Nesses casos, pode ser relevante conhecer:
- quem realizou a extração;
- de qual sistema;
- com quais parâmetros;
- qual período;
- qual formato;
- se houve filtragem;
- se a exportação é completa;
- quais transformações ocorreram;
- como o material foi transmitido;
- quais verificações podem ser realizadas.
A expressão “fornecido pelo sistema” pode ser insuficiente quando o procedimento de obtenção não está documentado.
Alterações inevitáveis
Nem toda alteração representa falha ou manipulação indevida.
Alguns exames exigem:
- descompactar arquivos;
- converter formatos;
- montar imagens;
- indexar conteúdo;
- gerar miniaturas;
- extrair bancos de dados;
- criar arquivos temporários;
- executar ferramentas;
- produzir relatórios.
Essas operações podem criar novos elementos ou modificar cópias de trabalho.
O ponto central é preservar a referência adequada e documentar:
- qual versão foi utilizada;
- qual procedimento foi executado;
- qual ferramenta;
- qual resultado;
- quais arquivos foram produzidos;
- quais alterações eram esperadas;
- quais limitações foram encontradas.
Ferramentas e versões
Ferramentas diferentes podem apresentar resultados distintos conforme:
- algoritmo;
- configuração;
- versão;
- formato;
- suporte ao sistema;
- parâmetros;
- tratamento de erros;
- interpretação de estruturas.
A documentação pode incluir:
- nome da ferramenta;
- versão;
- módulos;
- parâmetros;
- ambiente;
- data do exame;
- validações realizadas;
- mensagens de erro;
- limitações conhecidas.
Informar apenas que foi utilizada uma “ferramenta forense” não explica o procedimento.
Documentação do exame
A cadeia de custódia não termina quando o elemento chega ao laboratório.
Durante o processamento, pode ser necessário registrar:
- data e horário;
- responsável;
- material utilizado;
- condição do lacre;
- cópia de trabalho;
- ferramenta;
- versão;
- parâmetros;
- arquivos gerados;
- valores de integridade;
- falhas;
- decisões técnicas;
- transferências;
- armazenamento posterior.
A documentação deve permitir compreender e, quando tecnicamente possível, revisar o percurso do exame.
Lacunas na cadeia de custódia
Uma lacuna ocorre quando determinada etapa, acesso, transferência ou procedimento não está adequadamente documentado.
Ela pode gerar perguntas como:
- Onde o elemento permaneceu?
- Quem teve acesso?
- Qual versão foi examinada?
- Houve transformação?
- A cópia corresponde à fonte?
- O lacre foi rompido?
- Qual ferramenta foi utilizada?
- Como o material foi transferido?
A existência de uma lacuna não permite, por si só, concluir que houve alteração. Também não deve ser ignorada.
Do ponto de vista técnico, é necessário avaliar:
- natureza da lacuna;
- duração;
- etapa afetada;
- controles adicionais;
- consistência dos elementos;
- valores de integridade;
- registros independentes;
- impacto sobre as conclusões.
Os efeitos jurídicos pertencem à avaliação dos profissionais do Direito.
Cadeia de custódia não é sinônimo de autenticidade
Uma cadeia bem documentada ajuda a demonstrar o percurso do elemento depois de sua identificação.
Ela não assegura automaticamente:
- autoria;
- veracidade;
- origem anterior;
- completude;
- ausência de modificação antes da coleta;
- correção do sistema que produziu os dados.
Essas questões podem exigir exames próprios.
A cadeia de custódia documenta a história conhecida do elemento dentro do processo de preservação e análise.
Erros frequentes
Alguns erros recorrentes são:
- calcular um hash e considerar encerrada a cadeia de custódia;
- não identificar claramente a fonte;
- deixar de registrar condições iniciais;
- manipular o único exemplar;
- trabalhar diretamente sobre a referência preservada;
- produzir cópias sem relacioná-las à fonte;
- não documentar transferências;
- utilizar descrições genéricas;
- converter arquivos sem manter a versão recebida;
- não registrar ferramentas e parâmetros;
- misturar materiais de casos ou fontes diferentes;
- omitir falhas e alterações inevitáveis;
- deixar de controlar acessos;
- presumir que dados fornecidos por terceiros são completos;
- não registrar diferenças entre valores de integridade;
- utilizar “original” sem explicar seu significado técnico.
Essas falhas podem dificultar a compreensão e a revisão do trabalho.
Perguntas úteis para avaliar a rastreabilidade
Ao examinar a cadeia de custódia de uma evidência digital, é útil perguntar:
- O elemento está claramente identificado?
- Onde e em quais condições foi encontrado?
- Quem o reconheceu como potencialmente relevante?
- Quais providências de preservação foram adotadas?
- Quem realizou a coleta?
- Qual método foi utilizado?
- As condições iniciais foram documentadas?
- Como o elemento foi acondicionado?
- Quais transferências ocorreram?
- Quem entregou e quem recebeu?
- Onde permaneceu armazenado?
- Quem teve acesso?
- Existe uma versão de referência preservada?
- Como as cópias de trabalho foram produzidas?
- Quais valores de integridade foram calculados?
- Sobre quais objetos esses valores foram calculados?
- Quais ferramentas e versões foram utilizadas?
- Houve conversão, extração ou processamento?
- As alterações esperadas foram documentadas?
- Existem lacunas?
- Há registros independentes que auxiliem na verificação?
- Quais limitações permanecem?
Essas perguntas ajudam a avaliar se o percurso técnico pode ser compreendido.
Quando pode ser necessária avaliação especializada?
Uma avaliação técnico-forense pode ser pertinente quando:
- a origem do material é questionada;
- existem versões divergentes;
- os registros de transferência estão incompletos;
- não está claro qual elemento foi examinado;
- há diferença entre valores de hash;
- dados foram fornecidos por terceiros;
- ocorreram conversões ou exportações;
- o ambiente em nuvem limita a coleta;
- o único exemplar foi manipulado;
- ferramentas produziram resultados diferentes;
- existem lacunas;
- a integridade precisa ser examinada;
- a documentação não permite reproduzir o percurso.
O especialista deve avaliar o significado técnico das condições encontradas e o impacto sobre as conclusões possíveis.
Conclusão
A cadeia de custódia digital é o conjunto de procedimentos e registros utilizados para documentar o percurso de uma evidência desde sua identificação até o exame, armazenamento, transferência e destinação.
Ela não se resume a um formulário, lacre ou valor de hash.
Uma rastreabilidade adequada envolve:
- identificação;
- preservação;
- registro das condições iniciais;
- coleta;
- controle de posse;
- separação entre referência e cópias;
- controle de acesso;
- documentação dos exames;
- armazenamento;
- registro das transformações.
O objetivo é permitir que outras pessoas compreendam qual elemento foi examinado, de onde veio, como foi preservado e quais procedimentos foram realizados.
A cadeia de custódia não demonstra automaticamente autoria, autenticidade ou veracidade. Ela oferece as condições para avaliar o percurso conhecido da evidência e a relação entre o material preservado e os resultados apresentados.
A interpretação jurídica das regras aplicáveis e dos efeitos de eventuais falhas deve ser realizada pelos profissionais legalmente habilitados.
A IBPTECH atua exclusivamente no domínio técnico-científico. Não presta, por meio deste portal, serviços de advocacia, aconselhamento jurídico ou representação processual.
Este é um site temático do HUB IBPTECH.