Quando a suspeita está dentro da empresa, a prova precisa ser preservada antes que alguém perceba, e de um jeito que resista ao processo depois. A perícia separa o "fui hackeado" do "fui eu", com a mesma imparcialidade nos dois sentidos.
Surge a denúncia, e a empresa pede à TI que examine o computador do funcionário. A intenção é boa; o resultado, quase sempre, é prova contaminada. Ligar a máquina, abrir pastas e navegar pelo histórico cria e apaga vestígios. Depois, ninguém consegue separar o que o investigado fez do que a apuração interna fez. Um dos casos reais desta página mostra até onde isso pode ir.
A preservação certa segue outra ordem. A mídia original é copiada com bloqueio de escrita, que impede qualquer gravação nela. A análise acontece só na cópia, com hash e cadeia de custódia. Quando o caso pede, a coleta é acompanhada por tabelião para lavratura de ata notarial, e o papel do perito é dizer o que precisa ficar registrado para que o procedimento não seja questionado no futuro.
Quem aciona este núcleo costuma ser o compliance, o jurídico ou o conselho. A perícia não substitui a investigação deles: dá a ela prova técnica.
Na prática pericial, quem frauda a empresa por dentro costuma aparecer em um de três perfis. Entender qual é o caso orienta onde procurar os vestígios.
Percebe uma falha no processo ou no sistema e passa a explorá-la por conta própria, como o funcionário que, por meses, usa o acesso de suporte para alterar limites e emitir cartões. O vestígio está no uso repetido de uma função legítima, fora do padrão.
Aceita participar de uma fraude comandada por criminosos de fora, em troca de um percentual ou de um valor. Entrega como os sistemas funcionam, o melhor momento para agir e como contornar os controles, às vezes o próprio segundo fator de autenticação. Depois, costuma se apresentar como vítima.
Age por medo, depois de ameaças contra a própria integridade ou a da família. A perícia mostra o que foi feito, por quem e em que circunstâncias, e esse contexto pesa na decisão da empresa.
Há também quem copie dados confidenciais para entregar a um concorrente ou para guardar para si. E a perícia sempre testa a hipótese inversa. Em um caso, a tese de "máquina invadida" caiu diante do histórico do navegador, das ferramentas de desenvolvimento e do controle de versão do próprio investigado. Em outro, a instituição suspeitava de um insider, e a perícia mostrou que os acessos vieram de credenciais roubadas por phishing. O método também procura o vestígio forjado: rastro plantado para esconder o autor, seja ele externo ou interno.
Quando a suspeita alcança muitos equipamentos, periciar cada um a fundo é lento e, quase sempre, desnecessário. A triagem em lote começa pela preservação ampla de todos os equipamentos de interesse, com hash e cadeia de custódia. É a etapa que mais exige o perito em campo.
Com as cópias no laboratório, a análise percorre o conjunto em busca dos vestígios do fato investigado. Os equipamentos sem vestígio encerram no modo administrativo. Os positivos seguem para o exame aprofundado, no padrão de laudo judicial. Em um caso de mensagens ofensivas, dezenas de computadores passaram pela triagem, e só os positivos seguiram adiante.
O ganho é evitar perícias infrutíferas, que não ajudam o cliente a recuperar prejuízos, entender o incidente nem apurar a autoria.
A entrevista vem depois que a prova está preservada, nunca antes. Ela é conduzida por psicólogos forenses parceiros e por profissionais com longa experiência em análise comportamental e de microexpressões, e o roteiro parte do que o exame já mostrou.
O levantamento em fontes abertas sobre os envolvidos na apuração mapeia as relações entre pessoas e empresas, com registro da origem de cada informação e cadeia de custódia.
Não é compliance para certificação. A pergunta é outra: se um incidente acontecer amanhã, a empresa terá como investigá-lo? Os registros existem, são guardados pelo tempo necessário e identificam quem fez o quê? Onde a maturidade precisa melhorar, e em quê?
A diferença aparece quando falta. Em um caso de fraude, a empresa não guardava as portas lógicas das conexões, e a apuração parou em centenas de suspeitos, sem como apontar o autor. Em outro, o parecer concluiu que a autoria não era apurável por falta de registros e entregou um plano para que o ambiente passe a gerar os vestígios necessários.
A auditoria também examina estações e servidores. Já encontrou, por exemplo, números de cartão gravados em texto aberto nas estações de um setor, com notificação formal à empresa. Achados fortuitos, fora do objeto da auditoria, seguem a obrigação legal.
Em investigações anticorrupção, isso tem peso legal. Na aplicação de sanções, a Lei Anticorrupção considera a cooperação da empresa na apuração e a existência de mecanismos internos de integridade e auditoria (Lei 12.846/2013, art. 7º, VII e VIII). Uma investigação interna com prova íntegra é parte dessa resposta.
Desafio. Um colaborador acessava dados confidenciais de forma recorrente, usando um dispositivo pessoal. O aparelho era dele, e a empresa não podia periciá-lo.
Método. A análise do tráfego de rede demonstrou a exfiltração recorrente e embasou o pedido de liminar de busca e apreensão do dispositivo, que foi obtida.
Resultado. Na perícia judicial, ficou comprovado que os dados confidenciais estavam no dispositivo e que tinham sido entregues a um concorrente.
Desafio. O compliance recebeu denúncia de que um diretor acessava, no trabalho, conteúdo impróprio, contrário à política de ética da empresa. Ele foi afastado, e o computador foi para a área de tecnologia. Por dias, vários funcionários da TI examinaram a máquina original, até um deles encontrar os acessos. O diretor foi demitido por justa causa.
Método. Na ação trabalhista, a perícia reconstruiu a linha do tempo do equipamento e mostrou que os acessos foram feitos depois da entrega do computador à TI, durante a própria apuração interna.
Resultado. A justa causa foi revertida, e o caso se desdobrou em ação de indenização pelo dano à reputação do executivo. É o retrato do erro descrito no início desta página: a TI examina o original e contamina a prova.
Desafio. Numa indústria com venda restrita a clientes habilitados, alguns deles começaram a receber notas fiscais de produtos que nunca pediram nem receberam. Colaboradores lançavam vendas em nome de clientes habilitados, desviavam a entrega e revendiam os produtos fora do canal autorizado; depois pagavam as faturas para que a fraude passasse despercebida.
Método. A perícia seguiu o rastro digital e documental dos pedidos, das entregas e dos pagamentos até quem os havia lançado.
Resultado. Os envolvidos foram identificados e demitidos, e o caso se desdobrou em ação criminal.
Consulte também
Processos Trabalhistas → Perícia em LGPD, ANPD e Vazamento de Dados → Propriedade Intelectual, Segredo de Negócio e Concorrência Desleal → Perícia em Fraude Financeira e Meios de Pagamento → Antiforense e Evidência Destruída → Contraespionagem Digital → Segurança da Informação e Compliance → Método e Cadeia de Custódia →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso