Quem fez? Às vezes a resposta está no próprio arquivo; outras vezes, nos registros de um provedor, que só os entrega por ordem judicial. A perícia mostra qual caminho o caso permite e prepara cada um.
Quem está por trás de um perfil anônimo, de um e-mail falso ou de um acesso indevido? Há dois caminhos técnicos, e eles não se confundem.
No primeiro, o vestígio de autoria está no próprio material. Um documento digital guarda metadados: quem o criou, em que programa, em que computador, quando foi salvo e editado. Um e-mail guarda no cabeçalho os servidores por onde passou. Um sistema registra qual conta fez cada operação. A perícia lê esses vestígios e diz o que eles demonstram.
No segundo, o rastro sai do ambiente da vítima e termina num endereço IP. Quem usava aquela conexão, naquele instante, só o provedor sabe. Pelo Marco Civil da Internet, ele só é obrigado a entregar esses registros mediante ordem judicial (Lei 12.965/2014, art. 10, § 1º). É a quebra de sigilo telemático. Aqui a perícia fornece os elementos técnicos para que a autoridade policial, ou o advogado da empresa em juízo, peça os dados certos e identifique o titular da conexão usada na fraude.
Quando o material está disponível, a autoria começa por ele. O exame não aceita um campo isolado como prova. Metadado pode ser editado. Por isso cada vestígio é confrontado com outros, de fontes independentes, e a incoerência entre eles também é achado.
Textos, planilhas, PDFs e imagens registram autor, organização, programa, datas internas de criação e de edição e, às vezes, o nome do usuário e da máquina. A perícia extrai esses campos da cópia preservada e os compara com o sistema de arquivos e com outras versões do documento.
O cabeçalho mostra o caminho real da mensagem, os servidores de passagem e o horário de cada etapa. A assinatura digital do domínio remetente (DKIM), quando existe, indica se a mensagem saiu mesmo do servidor que diz ter saído.
Logs de aplicação, de VPN e de diretório mostram qual conta fez o quê, de qual endereço e em que horário. Cruzados com escalas e com o uso dos equipamentos, reduzem o universo de pessoas possíveis.
O endereço IP identifica uma conexão, não uma pessoa. Para chegar ao titular, é preciso pedir ao provedor certo os registros certos, do período certo. O Marco Civil exige que o requerimento ao juiz traga fundados indícios do ilícito, a justificativa da utilidade dos registros e o período a que eles se referem (Marco Civil, art. 22, parágrafo único). Os três pontos dependem de fundamentação técnica.
Adriano Vallim prepara essa fundamentação. O escritório de advocacia aplica na peça as informações que a perícia identificou. Quando o provedor responde, a perícia cruza os dados devolvidos com os eventos do caso.
Registros de acesso à aplicação, registros de conexão e dados cadastrais do assinante. Pedido vago volta incompleto. Pedido amplo demais é negado ou demora.
O provedor de aplicação (e-mail, rede social, plataforma) informa de qual IP veio o acesso. O provedor de conexão, identificado pelo registro do bloco de endereços, informa qual assinante usava aquele IP. Em regra são duas etapas, e a segunda depende da precisão da primeira.
Muitos provedores colocam centenas ou milhares de clientes atrás do mesmo IP público, cada um numa faixa de portas. Sem a porta lógica de origem, a operadora só consegue responder com a lista de todos que usavam aquele IP naquele momento.
Servidores costumam registrar em UTC (o horário universal, três horas à frente de Brasília), e operadoras respondem no horário de Brasília. Três horas mal convertidas apontam para outro assinante. A perícia também mede o desvio do relógio de cada sistema.
O provedor de conexão deve guardar os registros por um ano. O de aplicação, em regra, por seis meses (Marco Civil, arts. 13 e 15). A autoridade policial ou administrativa e o Ministério Público podem pedir que a guarda se estenda (Marco Civil, arts. 13, § 2º, e 15, § 2º). Pedido tardio pode encontrar o registro já descartado.
A vítima pode chegar à delegacia só com um boletim de ocorrência, ou com a autoria e a materialidade já demonstradas. O dossiê pericial para autoridades faz essa diferença. É uma notícia-crime com base técnica.
Nos crimes de ação pública, o Código de Processo Penal permite que qualquer pessoa provoque o Ministério Público com informações escritas sobre o fato, a autoria, o tempo, o lugar e os elementos de convicção (CPP, art. 27). O dossiê organiza exatamente isso:
O dossiê não substitui a investigação: qualificar os autores e pedir medidas cautelares cabe à autoridade. A perícia entrega o caminho técnico.
Uma empresa que ficou em terceiro lugar numa licitação pediu a anulação do certame. Juntou ao processo uma prova digital da suposta fraude.
A perícia demonstrou que essa prova tinha sido produzida com o navegador adulterado. Os metadados do material forjado indicavam quem o criou.
A fraude alegada não existia, e a autoria da prova falsa ficou demonstrada. A empresa vencedora pôde executar os serviços.
Uma empresa sofreu uma fraude por invasão de seus sistemas, e Adriano Vallim atuou como assistente técnico. Os acessos vieram de poucos endereços IP, e os registros da operadora mostraram que cada um era compartilhado por milhares de linhas móveis.
A perícia cruzou esses registros com o horário de cada evento do ataque e manteve só as linhas ativas naqueles IPs nos instantes certos.
Na fase final restaram cerca de 300 suspeitos. A empresa não guardava a porta lógica de origem dos acessos, e sem ela não houve como individualizar o autor. O caso mostra o valor da auditoria forense feita antes do incidente, descrita em Investigação Corporativa e Compliance: ela verifica se os registros da empresa permitirão apurar autoria.
Consulte também
Investigação Corporativa e Compliance → Antiforense e Evidência Destruída → Perícia em Fraude Financeira e Meios de Pagamento → Perícia em Nuvem, Identidade e DevOps → Documentoscopia Digital → Perícia Judicial e Extrajudicial → Direito Digital e Tecnologia →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso