A pergunta "estou sendo vigiado?" chega da pessoa que desconfia do próprio celular e da empresa que achou um aparelho estranho na rede. A perícia troca a suspeita por um exame, e o exame por um laudo.
Quem desconfia de espionagem quer acabar com ela na hora. Apaga o aplicativo estranho, restaura o celular, arranca o aparelho achado atrás do armário. Cada uma dessas ações encerra a vigilância e apaga a prova de quem a instalou.
A contraespionagem digital inverte a ordem: primeiro preserva, depois examina, por último remove. O exame segue o método da forense computacional: cópia, hash e cadeia de custódia. O laudo diz se há vigilância, como ela funciona, desde quando e, quando os vestígios permitem, quem está do outro lado.
O núcleo atende empresas e, com ressalvas, pessoas físicas. São três frentes: programa espião, varredura de escutas e rastreadores, e aparelho implantado na rede corporativa.
Programa espião (stalkerware) é o aplicativo instalado sem o conhecimento do dono para copiar mensagens, gravar chamadas, ligar o microfone ou informar a localização. Quem instala costuma ser alguém próximo: cônjuge, ex-companheiro, sócio. Em empresas, a suspeita recai sobre aparelhos de executivos quando informação estratégica vaza.
O exame procura aplicativos ocultos ou disfarçados, permissões de acessibilidade e de administração, perfis de configuração e certificados instalados. O laudo registra quando cada item entrou e o que permitia fazer.
Nem toda espionagem precisa de programa. Uma sessão do WhatsApp aberta em outro computador, uma regra de encaminhamento no e-mail, o backup na nuvem acessado com senha conhecida ou a localização compartilhada fazem o mesmo trabalho. O exame confere os dispositivos ligados a cada conta.
O aparelho fica ligado numa caixa de Faraday, um invólucro que bloqueia qualquer sinal de rádio, com internet simulada pelo laboratório, e a perícia observa por dias cada conexão que ele tenta fazer. Assim se flagra o programa que envia dados a um servidor de comando, mesmo quando ele não aparece na lista de aplicativos.
Instalação, contas usadas, dados enviados e destino viram uma linha do tempo datada. Quando o rastro leva a um servidor ou a uma conta, o laudo indica quais registros pedir aos provedores para chegar ao responsável.
Contramedidas de vigilância técnica (TSCM, na sigla em inglês) é a varredura de um ambiente atrás de escutas, câmeras e rastreadores. O laboratório tem equipamento de detecção de sinais de radiofrequência e de localização de rastreadores Bluetooth, como AirTag e SmartTag. A varredura alcança escritórios, salas de reunião, residências e veículos.
A detecção de radiofrequência encontra o aparelho que transmite: escuta com chip de celular, câmera que envia imagem por Wi-Fi, transmissor escondido em objeto do dia a dia.
Rastreadores do tamanho de uma moeda, escondidos no carro, na bolsa ou na mala, informam por onde a pessoa anda. A busca localiza o rastreador pelo sinal que ele emite.
A varredura encontra; a perícia explica. O aparelho achado é preservado e examinado: o que captou, para onde enviava, com qual chip ou conta e desde quando. O mesmo perito responde pelas duas etapas.
Um gravador que só armazena não transmite, e a detecção de radiofrequência não o capta. Por isso a inspeção física faz parte da varredura, e o relatório declara o que foi varrido e com que alcance.
Um minicomputador escondido atrás de uma impressora, ligado à rede interna e com modem celular próprio, abre uma porta que o firewall não vê. Achado o aparelho, três perguntas importam: o que ele fez, o que ele viu e quem o colocou lá.
A perícia copia o armazenamento do aparelho e reconstrói a atividade: varreduras na rede, credenciais usadas, pastas acessadas, dados copiados. Examina o chip (os números que identificam o cartão e a linha, ICCID e IMSI, mais mensagens e agenda), as redes Wi-Fi que o aparelho guardava e as chaves de acesso remoto. São vestígios que ajudam a apontar quem preparou o aparelho.
O erro mais comum acontece na primeira hora: a TI desconecta o aparelho, leva para a mesa e liga para "ver o que é". Isso altera dados e destrói vestígios físicos. Ao achar um aparelho estranho, fotografe no lugar, restrinja o acesso ao local e acione a perícia. Desligar ou isolar é decisão técnica. O termo de custódia sai em até 24 horas.
Empresas pedem o exame dos próprios aparelhos e ambientes. Pessoas físicas também são atendidas, com triagem antes da proposta. A triagem verifica se os aparelhos são de quem pede, se a pessoa poderá entregar as senhas e o que ela espera do laudo. Sem senha, o exame ainda é possível, com alcance menor e limite declarado no laudo. Parte das suspeitas não se confirma, e a triagem diz isso com franqueza.
O laboratório não examina aparelho de terceiros sem autorização deles ou ordem judicial, não invade contas e não monitora pessoas.
As condutas que o exame revela costumam ter nome na lei: invasão de dispositivo informático (Código Penal, art. 154-A), perseguição reiterada que invade a privacidade (art. 147-A), vigilância constante como forma de violência psicológica contra a mulher (Lei 11.340/2006, art. 7º, II) e escuta ambiental sem autorização judicial (Lei 9.296/1996, art. 10). O laudo descreve o fato técnico; a qualificação jurídica fica com o advogado e o juízo.
Uma pessoa suspeitava de programa espião e de escuta ambiente em seus celulares e computadores. Ela não entregou as senhas, o que impedia a extração completa.
A perícia fez a análise dinâmica: os aparelhos ficaram ligados numa caixa de Faraday, com internet simulada, de cinco a dez dias, para flagrar qualquer conexão com um servidor de comando.
O laudo registrou o que a observação mostrou e declarou, em capítulo próprio, o limite imposto pela falta das senhas.
Uma empresa achou um minicomputador ligado à sua rede interna, com modem 4G próprio e sistema operacional voltado a testes de invasão.
A perícia mostrou que o aparelho tinha varrido mais de mil máquinas e acessado pastas compartilhadas com uma credencial de rede. As chaves de acesso remoto e as redes Wi-Fi configuradas no aparelho, somadas à perícia do chip, foram usadas para apontar a autoria.
O laudo também registrou o que se perdeu: a TI tinha manuseado o aparelho, e a coleta de impressões digitais ficou impossível.
Uma executiva percebe que alguém sabe por onde ela andou. A varredura do carro acha um rastreador Bluetooth sob o banco. A perícia registra o local e a forma de instalação, preserva o aparelho e documenta o número de série, base para pedir ao fabricante, pelas vias legais, os dados da conta vinculada.
Consulte também
Extração Forense de Celulares → Forense Computacional e Investigação Digital → Autoria Digital e Quebra de Sigilo Telemático → Investigação Corporativa e Compliance → Família e Sucessões → Para Você →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso