Perito Criminal Ciencia Da Computação

O trabalho real do perito criminal computacional

A maioria das pessoas acha que perito criminal em ciência da computação é aquele cara que digita comandos no terminal e vê arquivos azuis caindo na tela como em filme. A realidade é mais parecida com alguém passando três dias abrindo logs de sistema pra descobrir que um arquivo foi deletado num horário em que o servidor tava desligado. O trabalho é 80% paciência, 15% googlar erros que nunca apareceram em nenhum manual, e 5% realmente encontrar algo útil. Quando você entra num caso de perícia computacional criminal, o primeiro passo nunca é rodar ferramenta nenhuma. É entender o que aconteceu. Se o investigador te mandar uma pen drive e disser "achamos isso na casa do suspeito", você tem que perguntar quantas vezes ela foi usada, em quantos computadores, se foi formatada, se tem indicadores de cópias. A falta dessa pergunta simples já estragou mais perícia do que eu gostaria de admitir.

perito criminal ciencia da computação: o que realmente se faz

A perícia computacional criminal envolve análise forense de dispositivos eletrônicos, recuperação de dados apagados, exame de metadados, identificação de ferramentas de anonimização e construção de linha do tempo dos fatos digitais. O laudo precisa ser reproduzível. Se outro perito olhar o mesmo material e chegar a conclusão diferente, seu trabalho tá questionável. Por isso o cuidado com a cadeia de custódia não é burocracia, é a coisa mais importante do processo. Um detalhe que ninguém ensina na faculdade: a maioria dos dispositivos que você recebe já foi manipulada antes de chegar nas suas mãos. Telefone celular conectado numa rede Wi-Fi alheia durante a apreensão, computador ligando automaticamente e sincronizando com a nuvem, smart TV que continua gravando logs mesmo desligada da tomada. Isso acontece o tempo inteiro. Eu tive um caso em que o celular do investigado foi deixado numa viatura por quatro horas com a tela desbloqueada, e o sistema sincronizou duas novas pastas de mensagens com o Google. Quando eu fiz a extração forense, precissei mapear exatamente o que era prévio e o que era pós-apreensão. O juiz pediu explicação por escrito no laudo.

Ferramentas que funcionam de verdade

Autopsy é gratuito, open source e boa para começar. Ele lê imagens E01 e AFF4, extrai hashes, mostra arquivos ocultos e gera um relatório básico. Não é a ferramenta mais rápida do mercado, mas pra casose ela resolve. O problema é que ela não lida bem com dispositivos Android modernos criptografados. Se o telefone tá bloqueado por senha e você não tem a senha, o Autopsy não vai abrir nada além dos metadados da imagem bruta. Para extração lógica de Android, o SMS Backup+ funciona em cenários limitados onde você consegue acesso físico ao aparelho desbloqueado. Pra extração forense completa, o setor público costuma usar o Cellebrite UFED. É caro, muito caro, e exige certificação. Um laboratório privado pequeno raramente consegue manter a licença ativa. O resultado prático é que muitos peritos acabam relying em combinação de ferramentas gratuitas com extração parcial, e isso limita o escopo do laudo.

Windows. Aqui o cenário é diferente. O Registry, os artefatos de navegação, o prefetch, os eventos do Event Log. O Velociraptor é excelente pra coleta remota em larga escala, mas num caso criminal isolado o mais comum é fazer imageamento com WriteBlocker e analisar offline. O Volatility Frame é o sucessor do Volatility 2 pra análise de memória RAM. Se o computador foi apreendido ligador, capturar o dump de memória antes de desligar pode revelar processos maliciosos que não deixaram rastro em disco. Eu já vi um caso onde o malware se apagou completamente do HD mas permanecia visível no dump de memória. A diferença foi que o investigador pensou em capturar a RAM antes de desligar a máquina. Na maioria das vezes, não pensam.

O erro mais comum que eu vejo

Pessoas começam a analizar arquivos sem antes calcular e registrar os hashes SHA-256 de tudo. Se você abrir um arquivo suspeitíssimo num computador qualquer pra dar uma olhada rápida e depois precisa levá-lo como prova, já contaminou a cadeia de custódia. O hash pré-análise é obrigatório. Faz sentido. Outro erro frequente é confiar cegamente no que ferramentas de recuperação mostram. O Recuva, o TestDisk, o próprio módulo de recover do Autopsy podem retornar arquivos corrompidos ou fragmentados que parecem válidos mas têm dados alterados. A verificação por hash do arquivo original versus o recuperado é essencial. Quando não dá pra comparar porque o original foi sobrescrito, aí o trabalho fica mais complicado e o laudo precisa deixar claro essa limitação.

Um caso real que ensina algo

Num processo de tráfico, a defesa alegou que as mensagens apreendidas no celular do réu tinham sido plantadas. O argumento era que os timestamps dos arquivos do WhatsApp não batiam com a linha do tempo dos registros de torre de operadora. Eu precisei examinar o banco de dados do WhatsApp, que é um SQLite com tabelas específicas. O problema é que a versão do banco mudou entre as atualizações do app. O que funcionava pro WhatsApp da versão 2.21 não funcionava pra versão 2.23. Eu passei uma tarde inteira mapeando as colunas corretas de cada versão usando o schema oficial que a própria empresa disponibiliza em repositórios públicos. O resultado foi que os timestamps estavam corretos, mas havia uma discrepancia de fuso horário em três mensagens porque o telefone tinha sido configurado como internacional durante uma viagem. A defesa caiu nessa argumentação. O laudo levou duas páginas explicando o fenômeno.

Limitações que ninguém gosta de ouvir

Perícia computacional criminal tem pontos cegos reais. Criptografia de ponta a ponta em apps como Signal e WhatsApp impede a recuperação de conteúdo mesmo com acesso físico ao dispositivo, a menos que você consiga a senha ou use exploits de zero-day que não estão disponíveis comercialmente de forma legal. A justiça brasileira tem discutido isso há anos e ainda não resolvede forma consistente. Dispositivos IoT são outro problema. Câmeras de segurança, assistentes de voz, smart speakers. Eles coletam dados o tempo inteiro, mas os fabricantes frequentemente oferecem poucos mecanismos de exportação forense. Eu tive um caso em que o smart speaker do imóvel apreendido tinha gravações de áudio que podiam ser relevantes, mas o fabricante só disponibilizava um backup dos dados por conta do usuário através de uma interface web que exigia login ativo. Sem acesso às credenciais da conta, era impossível obter o material. O juiz determinou que a polícia tentasse obter via carta rogatória, o que levou seis meses. Os dados já tinham sido sobrescritos pelo sistema de rotação automática do fabricante quando finalmente conseguimos acesso.

Cloud forensics também é limitado pela jurisdição. Dados storageados nos servidores de empresas americanas como Google, Microsoft e Amazon exigem cooperação internacional. O MLAT (Mutual Legal Assistance Treaty) é o caminho formal, mas o prazo médio de resposta no Brasil gira em torno de oito a dezoito meses. Quando o caso é urgente, essa informação pode ser irrelevante porque já passou do prazo de utilidade probatória.

Como construir um laudo que resiste

Um laudo de perícia computacional precisa ter três coisas básicas: metodologia descrita passo a passo, ferramentas utilizadas com versões exatas, e resultados organizados de forma que qualquer pessoa consiga reproduzir. Não adianta colocar prints bonitos sem explicar o contexto. Juízes não são especialistas, mas advogados de defesa são. Eles vão encontrar cada ambiguidade no seu laudo. Sempre inclua uma seção de limitações. Se você não conseguiu acessar certos dados, escreva o motivo. Se algum arquivo estava corrompido, registre. Se o dispositivo tinha criptografia ativa e você não conseguiu quebrar, documente. Isso não fraqueja seu trabalho, pelo contrário, mostra transparência e evita que a prova seja derrubada por omissão.

perito criminal ciencia da computação: caminhos práticos pra quem quer seguir

Se você quer atuar na área, comece estudando Linux na prática. A maioria das ferramentas forenses roda em distribuições como Kalili ou SIFT Workstation. Aprenda SQL porque bancos de dados são onipresentes em dispositivos móveis. Leia o NIST SP 800-86, que é o guia federal dos Estados Unidos sobre forense computacional, mesmo que não seja legislação brasileira, os conceitos são universais. Cursos reconhecidos pela ABNT e pela Polícia Federal existem, mas a formação prática vem de casos reais, mesmo que começando como assistente. A certificação mais citada no mercado brasileiro é a do CRECISPS, mas ela foca mais em infraestrutura corporativa do que em perícia criminal propriamente dita. Para atuação forense, cursos específicos de análise de mídia digital e extração forense de dispositivos móveis fazem mais diferença no dia a dia. O tempo que você passa estudando teoria sem praticar com imagens reais não se converte em competência operacional. Faça labs. Baixe imagens de máquinas de treinamento forense, pratique com o Autopsy, tente extrair dados de APKs antigos, entenda como o Android armazena caches de navegador. A curva de aprendizado é longa, mas cada problema que você resolve manualmente fixa mais do que qualquer curso teórico.