Os cinco padrões que quebram a prova
Os cinco padrões que quebram a prova
A prova quase sempre existe. O que falta não é tecnologia, é tempo — e vontade de quem paga a conta de investigar até o fim.
Depois de duas décadas atuando entre CTI, OSINT e perícia digital, aprendi que a maioria dos casos não é perdida por ausência de evidência. É perdida porque alguém decidiu que 40 horas de análise cabiam em 6, ou que um laudo de 3 páginas resolveria o que exigia 30. O resultado é um padrão recorrente: dossiês tecnicamente corretos e estrategicamente inúteis.
01
Um relatório pericial que devia documentar a cadeia completa de extração, hash e preservação frequentemente chega ao cliente reduzido a uma página de conclusões. Já vi processos em que o laudo final citava um hash SHA-256 do dispositivo original, mas nenhum hash intermediário das cópias forenses usadas na análise — o que, na prática, invalida qualquer pretensão de integridade demonstrável diante de um perito assistente da parte contrária. Não é erro técnico: é decisão de prazo. Comprimir 15 dias de trabalho em 3 não elimina a necessidade da cadeia, apenas a torna invisível até o momento em que ela é contestada em audiência.
02
O ponto mais frágil de qualquer investigação digital defensiva não é a coleta — é o intervalo entre a coleta e a análise. Chamo isso, para efeito didático, de "janela cega": o período em que o dispositivo ou o arquivo passa por mãos, sistemas ou backups sem registro formal de acesso. Em casos de fraude societária que analisei, bastou uma transferência de arquivo por WhatsApp entre dois colaboradores da própria empresa vítima — sem log, sem hash de verificação — para que a defesa da parte contrária levantasse dúvida razoável sobre toda a prova documental, mesmo com o conteúdo sendo autêntico. A prova não morreu por ser falsa. Morreu por não conseguir provar que continuava sendo a mesma.
03
Existe um padrão que reaparece com uma regularidade quase estatística nos casos de disputa societária e trabalhista que acompanho: uma das partes edita, recorta ou "organiza" printscreens, PDFs ou planilhas antes de entregá-los para análise, sem preservar o arquivo original. Chamo isso de "efeito curadoria" — a intenção nem sempre é fraudulenta, muitas vezes é apenas o impulso de "deixar mais claro para o advogado". Só que qualquer edição, mesmo de boa-fé, sem preservação do artefato original quebra a possibilidade de perícia retroativa. Em pelo menos três dos casos de background check que conduzi nos últimos meses, o material entregue pelo próprio contratante já vinha recortado — e isso obrigou a reconstrução via fontes abertas paralelas, dobrando o tempo de apuração.
04
Outro padrão comum: laudos que terminam em "não foi possível determinar com precisão" sem detalhar por quê. Essa frase, isolada, é tecnicamente honesta, mas operacionalmente vazia — não diz se a limitação foi de acesso, de tempo, de escopo contratado ou de degradação da evidência. Um relatório inconclusivo sem justificativa metodológica não protege ninguém; apenas transfere a dúvida para quem vai usá-lo em juízo ou em uma decisão de compliance. A diferença entre um laudo inconclusivo e um laudo honesto está em nomear exatamente qual elo faltou — arquivo, timestamp, testemunha, extração — e não apenas registrar que a conclusão não foi alcançada.
05
Por fim, um padrão que vejo com frequência crescente: extrações forenses que geram relatórios de centenas de páginas, mas cujos arquivos brutos (imagem forense, artefatos, banco de dados de aplicativos) não acompanham a entrega final. O cliente recebe a interpretação, não a matéria-prima. Isso é aceitável quando o objetivo é apenas informar — mas se torna um problema sério quando o relatório precisa resistir a uma perícia assistente da parte contrária, que exigirá acesso à imagem original, não ao PDF que a resume. Sem os arquivos completos, a análise vira afirmação de autoridade, não evidência reproduzível.
Nenhum desses cinco padrões — prazo comprimido, janela cega na cadeia de custódia, efeito curadoria, conclusão sem justificativa e entrega sem os brutos — exige tecnologia nova para ser corrigido. Exige decisão de quem contrata: pagar pelo tempo que a integridade probatória realmente consome, ou aceitar um relatório que parece completo até o momento em que for testado. A prova, na maioria dos casos que acompanhei, já estava lá. O que faltou foi alguém disposto a sustentar o custo de prová-la até o fim.
Comentários
Postar um comentário