Investigação Forense Digital: Guia Completo de Coleta de Evidências e Cadeia de Custódia

O que é investigação forense digital

Investigação forense digital (digital forensics) é o conjunto de procedimentos técnico-científicos voltados à identificação, coleta, aquisição, preservação, análise e apresentação de evidências digitais — de modo que sejam admissíveis em juízo e resistentes ao contraditório.

Engloba forense de computadores, dispositivos móveis, redes, nuvem, IoT, mídias sociais e criptoativos. O objetivo final é responder, com método auditável, perguntas como: o que aconteceu, quando, onde, como e — quando possível — quem foi o autor.

A diferença entre uma boa investigação e uma prova inútil em juízo está quase sempre no procedimento, não na ferramenta. Sem cadeia de custódia documentada e integridade demonstrável, o melhor achado técnico vira mera alegação.

ISO/IEC 27037: a norma de referência

A ISO/IEC 27037 ("Diretrizes para identificação, coleta, aquisição e preservação de evidência digital") é o padrão internacional adotado por peritos, polícias e tribunais. No Brasil, é referenciada em manuais da Polícia Federal e em decisões do STJ que tratam de prova digital.

A norma define quatro fases operacionais: (1) Identificação — reconhecer onde a evidência potencialmente reside; (2) Coleta — apreender o suporte físico ou lógico; (3) Aquisição — extrair os dados em formato preservável (imagem bit-a-bit, exportação assinada); (4) Preservação — manter integridade ao longo de toda a cadeia.

Para cada fase, a ISO 27037 exige: registro de quem manuseou, quando, com qual ferramenta e em qual versão; cálculo de hash criptográfico antes e depois de cada manipulação; e documentação de qualquer alteração (mesmo as inevitáveis, como o ato de ligar um celular apreendido).

Hash SHA-256: a impressão digital matemática da evidência

O hash SHA-256 (NIST FIPS 180-4) é uma função criptográfica que gera uma sequência de 64 caracteres a partir de qualquer arquivo. Qualquer alteração de 1 bit produz um hash completamente diferente — é matematicamente inviável forjar dois arquivos com o mesmo hash (resistência a colisão).

Na prática forense, o hash é calculado no instante da coleta e registrado em ata. Anos depois, o perito pode recalcular o hash do arquivo arquivado e comparar — se bater, prova-se que nada foi alterado. Se não bater, a evidência está contaminada.

Ferramentas modernas (Trace Hub incluso) automatizam o cálculo de SHA-256 e ancoram o hash em blockchain pública via OpenTimestamps (RFC 3161), criando um carimbo de tempo verificável por qualquer perito do mundo, sem depender da palavra de quem coletou.

Cadeia de custódia: o que é e por que ela quebra a prova

Cadeia de custódia é o histórico cronológico e ininterrupto de quem teve acesso à evidência, quando, por quê e o que fez com ela. No CPP brasileiro, a Lei 13.964/2019 (Pacote Anticrime) tornou explícita a obrigação de documentar cada elo (arts. 158-A a 158-F).

Uma cadeia de custódia íntegra precisa cobrir: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte. Qualquer lacuna ("a evidência ficou sob responsabilidade de X por 3 dias sem registro") é munição para impugnação.

A ruptura de custódia não invalida automaticamente a prova, mas reduz drasticamente seu peso probatório. Em casos sensíveis (criminal, improbidade, propriedade intelectual), uma cadeia frouxa costuma ser decisiva para a defesa.

Tipos de evidência digital e cuidados específicos

Computadores e HDs/SSDs: imagem forense bit-a-bit (dd, FTK Imager, EnCase) com write-blocker para evitar contaminação. Hash do disco original e da imagem devem coincidir.

Celulares: apreensão em modo avião ou Faraday bag para impedir wipe remoto. Aquisição lógica, file system ou física, conforme suporte e autorização judicial. Cellebrite, MSAB XRY e Magnet AXIOM são padrão de mercado.

Conversas (WhatsApp, Telegram, Signal): preferir export oficial do app + materialização com hash e ancoragem temporal. Prints isolados são frágeis e quase sempre impugnados.

Páginas web e redes sociais: capturar com ferramenta que registre URL, IP do servidor, headers HTTP, timestamp e screenshot — tudo selado em PDF assinado com hash.

E-mails: preservar cabeçalhos completos (Received, DKIM, SPF, ARC), não apenas o corpo. O cabeçalho é o que prova autenticidade e trajeto.

Criptoativos: rastrear movimentação on-chain com ferramentas de blockchain analytics; documentar endereços, transaction hashes e timestamps de bloco.

Erros que destroem uma investigação forense

1. Ligar ou manusear o dispositivo antes de clonar — altera timestamps, logs de boot e arquivos temporários.

2. Coletar prints sem hash nem testemunho — vira "ele disse, ela disse" e perde força probatória.

3. Misturar evidências em uma mesma mídia de transporte sem segregação lógica.

4. Usar ferramenta sem registrar versão — impede reprodutibilidade do exame por outro perito.

5. Deixar lacuna temporal na cadeia ("ficou na minha mesa por 2 dias") — abre flanco direto para alegação de adulteração.

6. Não preservar o original — toda análise deve ser feita sobre cópia íntegra, mantendo o suporte original lacrado.

Como o Trace Hub aplica a ISO 27037 na prática

O Trace Hub foi desenhado para entregar materialização de evidência digital em conformidade com a ISO/IEC 27037 e com a Lei 13.964/2019, sem exigir que o usuário monte a infraestrutura técnica.

Cada captura (link rastreado, conversa, página, mídia) gera automaticamente: hash SHA-256 do conteúdo, registro temporal ancorado em blockchain via OpenTimestamps, log encadeado por hash de cada etapa (Merkle chain) e PDF de cadeia de custódia formatado para juntada nos autos.

Para casos sensíveis (forense de mídia, triagem, validação de WhatsApp), há módulos com sign-off por duas pessoas, carimbo de tempo RFC 3161 (FreeTSA) e watermark forense — equivalente ao que peritos institucionais entregam, disponível para advogados, delegados e peritos autônomos.

Comece em www.trace-hub.com com 3 créditos gratuitos — sem cartão — e gere seu primeiro laudo em minutos.

Referências normativas e técnicas

ISO/IEC 27037:2012 — Guidelines for identification, collection, acquisition and preservation of digital evidence.

ISO/IEC 27041, 27042, 27043 — séries complementares sobre análise, interpretação e princípios de investigação.

NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response.

Lei 13.964/2019 (Pacote Anticrime) — arts. 158-A a 158-F do CPP, cadeia de custódia.

Lei 12.965/2014 (Marco Civil da Internet) — guarda de logs e prova digital.

RFC 3161 — Time-Stamp Protocol (TSP), base do carimbo de tempo qualificado.

NIST FIPS 180-4 — Secure Hash Standard (SHA-256).