Arquivos, fotografias, documentos, mensagens e registros eletrônicos podem conter informações que não aparecem diretamente em seu conteúdo visível. Essas informações são geralmente chamadas de metadados.
Metadados podem indicar datas, formatos, aplicativos, equipamentos, usuários, localização, histórico de processamento e outras características relacionadas à produção ou ao armazenamento de um elemento digital.
Porém, sua interpretação exige cuidado. Um campo com o nome de uma pessoa não demonstra automaticamente autoria. Uma data registrada no arquivo pode não corresponder ao momento em que o conteúdo foi originalmente produzido. A ausência de determinado metadado também não significa necessariamente que a informação nunca tenha existido.
Metadados podem contribuir significativamente para um exame técnico, mas precisam ser compreendidos dentro do contexto do sistema que os produziu.
O que são metadados?
Metadados são informações utilizadas para descrever, organizar, identificar ou administrar outros dados.
Eles podem estar:
- incorporados ao próprio arquivo;
- armazenados pelo sistema operacional;
- mantidos em bancos de dados;
- registrados por aplicativos;
- associados a mensagens;
- preservados em plataformas digitais;
- distribuídos entre diferentes sistemas;
- registrados em estruturas de arquivos;
- mantidos por serviços em nuvem;
- vinculados a equipamentos ou dispositivos.
Um mesmo elemento pode possuir diferentes conjuntos de metadados.
Uma fotografia, por exemplo, pode conter informações internas produzidas pela câmera. O sistema operacional também pode registrar datas relacionadas ao arquivo. Um aplicativo de edição pode acrescentar outros campos, e uma plataforma de compartilhamento pode criar uma nova versão com características diferentes.
Não existe, portanto, um único conjunto universal de metadados.
Metadados de arquivos
Sistemas de arquivos normalmente mantêm informações para organizar e administrar arquivos e diretórios.
Entre elas podem estar:
- nome;
- extensão;
- tamanho;
- localização;
- datas registradas pelo sistema;
- proprietário;
- permissões;
- identificadores;
- atributos;
- relacionamentos com diretórios;
- informações sobre exclusão;
- registros de acesso.
O significado exato depende do sistema de arquivos, do sistema operacional e das operações realizadas.
Uma data de criação, por exemplo, pode representar:
- criação original do conteúdo;
- criação daquele arquivo específico;
- cópia para um novo ambiente;
- extração de um arquivo compactado;
- restauração;
- sincronização;
- criação de uma nova versão.
Por isso, a denominação apresentada pela interface não deve ser interpretada sem conhecimento de como o sistema preenche e atualiza o campo.
Metadados de documentos
Documentos produzidos por editores de texto, planilhas, apresentações e outros programas podem conter informações como:
- autor cadastrado;
- empresa;
- aplicativo utilizado;
- versão do programa;
- data de criação;
- data de modificação;
- tempo de edição;
- número de revisões;
- modelo utilizado;
- comentários;
- propriedades personalizadas;
- histórico interno;
- nomes de usuários;
- caminhos ou referências.
Esses campos podem auxiliar na compreensão do percurso do documento, mas possuem limitações.
O nome registrado como autor pode resultar da configuração do aplicativo ou do perfil instalado no equipamento. Ele pode permanecer inalterado mesmo quando outras pessoas trabalham no arquivo.
Da mesma forma, o número de revisões pode aumentar por ações automáticas e não representar necessariamente alterações relevantes de conteúdo.
Os metadados precisam ser comparados com a estrutura do documento, seu histórico, os sistemas de origem e outras informações disponíveis.
Fotografias e dados EXIF
Fotografias digitais podem conter metadados conhecidos como EXIF e informações mantidas por outros padrões.
Dependendo do equipamento e das configurações, podem ser registrados:
- fabricante e modelo da câmera;
- data e horário;
- orientação;
- resolução;
- configurações de exposição;
- distância focal;
- uso de flash;
- programa utilizado;
- número de série;
- localização;
- miniaturas;
- características do processamento.
Esses dados podem contribuir para compreender como a imagem foi produzida. Entretanto, não estão presentes em todas as fotografias e podem ser removidos ou modificados.
Aplicativos de mensagens e redes sociais frequentemente criam novas versões da imagem, com compressão e remoção de metadados.
A presença de determinada informação também não assegura, isoladamente, que ela seja correta. A data pode depender do relógio configurado no equipamento, e a localização pode depender das condições e permissões do dispositivo.
Metadados de áudio e vídeo
Arquivos de áudio e vídeo podem conter informações sobre:
- formato;
- duração;
- resolução;
- taxa de quadros;
- codecs;
- canais;
- frequência de amostragem;
- equipamento;
- aplicativo;
- data;
- localização;
- processo de codificação;
- miniaturas;
- trilhas;
- histórico de processamento.
Esses dados podem ajudar a identificar conversões, edições e características técnicas.
Entretanto, uma conversão comum pode criar novos metadados e eliminar os anteriores. Um arquivo exportado por programa de edição pode refletir a data da exportação, e não a data da gravação original.
A análise do conteúdo e da estrutura do arquivo pode ser necessária para complementar aquilo que os metadados indicam.
Metadados de mensagens eletrônicas
Mensagens eletrônicas podem possuir dados associados ao envio, recebimento, roteamento, participantes e sistemas envolvidos.
Em e-mails, podem existir informações como:
- remetente indicado;
- destinatários;
- data declarada;
- servidores percorridos;
- identificadores;
- respostas;
- referências;
- aplicativo utilizado;
- resultados de autenticação;
- anexos;
- endereços de rede;
- informações de encaminhamento.
Nem todos esses campos possuem a mesma origem ou confiabilidade. Alguns podem ser declarados pelo aplicativo, enquanto outros são acrescentados pelos servidores durante o percurso.
Em aplicativos de comunicação, parte dos metadados pode permanecer no banco de dados do dispositivo ou nos sistemas do fornecedor, sem aparecer na tela.
Uma captura de tela normalmente preserva apenas as informações visíveis da mensagem, deixando de registrar grande parte desses elementos.
Datas e horários
Datas são alguns dos metadados mais utilizados e também estão entre os mais frequentemente interpretados de maneira inadequada.
Um mesmo elemento pode possuir diversas referências temporais:
- criação;
- modificação;
- acesso;
- envio;
- recebimento;
- sincronização;
- upload;
- download;
- exportação;
- cópia;
- instalação;
- processamento;
- publicação.
Esses horários podem ser registrados:
- conforme o relógio do dispositivo;
- conforme o servidor;
- em horário universal;
- com ou sem indicação de fuso;
- conforme a configuração do usuário;
- em formatos diferentes;
- com níveis distintos de precisão.
Para construir uma sequência temporal, pode ser necessário converter fusos, verificar configurações e comparar registros de diferentes fontes.
A simples ordenação das datas exibidas na interface pode produzir uma cronologia incorreta.
O nome registrado não determina autoria
Campos como “autor”, “proprietário”, “usuário” ou “criador” precisam ser interpretados de acordo com sua origem técnica.
Um nome pode resultar:
- da configuração do aplicativo;
- do perfil do sistema operacional;
- da conta utilizada;
- de um modelo de documento;
- de uma instalação anterior;
- de informação preenchida manualmente;
- de credencial compartilhada;
- de processo automatizado.
O campo pode relacionar o documento a determinado ambiente ou conta, mas não necessariamente demonstra quem produziu o conteúdo.
Para examinar autoria, podem ser necessárias outras fontes:
- registros de acesso;
- dispositivos;
- histórico de versões;
- comunicações;
- credenciais;
- padrões de uso;
- sistemas corporativos;
- elementos comparativos;
- informações independentes.
Metadados podem contribuir para a atribuição, mas raramente devem ser interpretados isoladamente como identificação pessoal definitiva.
Localização geográfica
Determinados arquivos e dispositivos podem registrar coordenadas ou outras informações de localização.
Esses dados podem ter origem em:
- sistema de posicionamento;
- redes sem fio;
- antenas;
- configurações do equipamento;
- informações inseridas por aplicativo;
- histórico de localização;
- dados mantidos por plataformas.
A localização registrada pode indicar a posição estimada do dispositivo ou associada ao arquivo. Ela não demonstra automaticamente que determinada pessoa estava presente.
Também podem existir diferenças de precisão, erros, ausência de sinal, configurações desativadas ou informações acrescentadas posteriormente.
A interpretação exige conhecer a origem, o método e a precisão do dado.
Metadados podem ser alterados?
Sim. Metadados podem ser modificados intencionalmente ou como resultado de procedimentos comuns.
Entre as ações capazes de produzir alterações estão:
- copiar;
- mover;
- renomear;
- editar;
- converter;
- imprimir;
- digitalizar;
- exportar;
- compactar;
- descompactar;
- enviar por aplicativo;
- publicar em plataforma;
- sincronizar;
- restaurar;
- realizar cópia de segurança.
Algumas operações alteram apenas os registros externos do sistema. Outras criam um novo arquivo e eliminam parte das informações anteriores.
Isso não significa que todo arquivo copiado ou convertido perde sua utilidade. Significa que as transformações precisam ser conhecidas para que seus efeitos possam ser avaliados.
A ausência de metadados significa manipulação?
Não necessariamente.
Metadados podem estar ausentes porque:
- o equipamento não os produziu;
- a configuração estava desativada;
- o formato não utiliza aquele campo;
- o aplicativo removeu informações;
- a plataforma criou uma nova versão;
- o arquivo foi convertido;
- a informação estava armazenada fora do arquivo;
- o sistema não manteve o registro;
- houve perda durante o compartilhamento;
- o material é uma reprodução.
A ausência pode limitar o exame, mas não deve ser automaticamente apresentada como indício de fraude ou manipulação.
Da mesma forma, a presença de metadados não assegura que estejam corretos ou completos.
Metadados e integridade
Metadados podem contribuir para examinar a integridade e o histórico de determinado elemento, mas não constituem uma garantia isolada.
Uma divergência entre datas, formatos ou aplicativos pode indicar a necessidade de investigação adicional. Entretanto, pode também resultar de procedimento legítimo de cópia, atualização, conversão ou migração.
A análise deve considerar:
- comportamento esperado do sistema;
- sequência de operações;
- versões disponíveis;
- forma de preservação;
- registros externos;
- possíveis processos automáticos;
- coerência com outras fontes.
Um campo isolado raramente deve ser utilizado para sustentar uma conclusão ampla.
Extração não é interpretação
Ferramentas podem extrair milhares de campos de um arquivo ou dispositivo. A quantidade de informações produzidas não assegura que seu significado tenha sido corretamente compreendido.
A interpretação exige responder:
- qual sistema produziu o campo?
- em que momento ele é atualizado?
- qual formato foi utilizado?
- o valor está em qual fuso horário?
- o campo pode ser alterado pelo usuário?
- a informação sobrevive a cópias e conversões?
- há documentação sobre seu comportamento?
- existem registros que confirmem o valor?
- qual é a relação entre o campo e a questão examinada?
Uma listagem automática de metadados não substitui a análise técnica.
Preservação dos metadados
A preservação inadequada pode modificar ou eliminar justamente as informações que seriam úteis ao exame.
Entre os cuidados possíveis estão:
- manter o arquivo original recebido;
- registrar sua origem;
- evitar conversões desnecessárias;
- não trabalhar diretamente sobre a única cópia;
- documentar transferências;
- preservar o ambiente de origem, quando relevante;
- registrar datas e condições da coleta;
- utilizar procedimentos compatíveis com o sistema;
- manter informações relacionadas;
- evitar intervenções sem avaliação de seus efeitos.
O método adequado dependerá do objeto, do ambiente e das questões formuladas.
Salvar novamente, imprimir ou encaminhar o arquivo pode produzir uma nova versão. Quando possível, a análise deve considerar o elemento preservado mais próximo da fonte original.
A importância da correlação
Metadados se tornam mais informativos quando são comparados com outras fontes.
Uma sequência temporal pode ser examinada por meio da correlação entre:
- arquivos;
- mensagens;
- registros de acesso;
- bancos de dados;
- dispositivos;
- servidores;
- documentos;
- imagens;
- sistemas de controle;
- registros de terceiros.
A convergência entre fontes independentes pode sustentar determinada interpretação. Divergências também precisam ser registradas e explicadas.
Correlação não significa que todos os registros devam apresentar exatamente o mesmo horário ou formato. Sistemas diferentes podem registrar eventos de maneiras distintas.
O trabalho técnico precisa verificar se essas diferenças são esperadas ou se indicam uma inconsistência relevante.
Erros frequentes na interpretação
Alguns erros recorrentes são:
- tratar “data de criação” como momento original do conteúdo;
- atribuir autoria com base apenas no nome do campo “autor”;
- interpretar ausência de metadados como prova de manipulação;
- ignorar fusos horários;
- comparar datas registradas por sistemas diferentes sem conversão;
- desconsiderar cópias e conversões;
- concluir que uma imagem não foi editada apenas porque contém EXIF;
- considerar a localização do dispositivo como presença confirmada de uma pessoa;
- analisar campos isoladamente;
- confundir metadados do arquivo com dados mantidos pelo sistema;
- ignorar que plataformas podem remover ou recriar informações.
Esses erros podem transformar um dado técnico limitado em uma conclusão que ele não sustenta.
Perguntas úteis para a análise
Ao avaliar metadados, é útil perguntar:
- Qual sistema, dispositivo ou aplicativo produziu a informação?
- Onde o metadado está armazenado?
- Quando esse campo é criado ou atualizado?
- Ele pode ser alterado pelo usuário?
- Houve cópia, conversão ou compartilhamento?
- O arquivo examinado é o original ou uma reprodução?
- Quais fusos horários estão envolvidos?
- Existem outras fontes que confirmem o dado?
- A ausência do campo é esperada nesse formato?
- O nome registrado identifica uma conta, um equipamento ou uma pessoa?
- A informação está completa?
- Existem hipóteses alternativas para o valor encontrado?
- Quais limitações impedem conclusões mais amplas?
Essas perguntas ajudam a interpretar os campos dentro de seu contexto técnico.
Quando pode ser necessária avaliação especializada?
Uma avaliação técnico-forense pode ser apropriada quando:
- datas são relevantes para a sequência dos fatos;
- existem versões divergentes;
- a autoria é questionada;
- há suspeita de alteração;
- o arquivo passou por diferentes sistemas;
- informações de localização são relevantes;
- dados precisam ser correlacionados;
- o formato possui estrutura complexa;
- a origem do elemento é controvertida;
- metadados foram removidos ou modificados;
- ferramentas apresentam resultados contraditórios;
- a interpretação depende do funcionamento de determinado sistema.
O especialista deve avaliar o significado, a confiabilidade e as limitações de cada informação.
Conclusão
Metadados podem revelar características importantes sobre arquivos, documentos, imagens, mensagens, sistemas e dispositivos.
Eles podem contribuir para compreender:
- origem;
- sequência temporal;
- processamento;
- versões;
- aplicativos;
- equipamentos;
- contas;
- localização;
- relações entre diferentes elementos.
Entretanto, metadados não devem ser interpretados como respostas automáticas.
Uma data não explica necessariamente quando o conteúdo foi originalmente criado. Um nome de usuário não determina sozinho a autoria. Uma coordenada não comprova a presença de determinada pessoa. A ausência de um campo não demonstra necessariamente manipulação.
O valor técnico dos metadados depende da compreensão do sistema que os produziu, da preservação dos elementos e da correlação com outras fontes.
A conclusão deve permanecer proporcional àquilo que os dados efetivamente permitem demonstrar.
A IBPTECH atua exclusivamente no domínio técnico-científico. Não presta, por meio deste portal, serviços de advocacia, aconselhamento jurídico ou representação processual.
Este é um site temático do HUB IBPTECH.