Como a perícia extrai dados do celular: o que a defesa técnica precisa saber

Existem várias ferramentas de extração forense de celular além da mais conhecida, o Cellebrite (UFED para extração, Physical Analyzer para processamento). Oxygen Forensic, MSAB XRY, Magnet Axiom e o iLEAPP, ferramenta gratuita, também fazem esse trabalho. Nenhuma é superior às outras em todos os cenários, elas são complementares: o que uma não resolve, outra resolve.

O ponto técnico mais importante pra defesa, segundo o perito Joaquim Neto, é diferenciar extração de dados de relatório de extração. O relatório, documento gerado por ferramentas como Cellebrite Reader pra facilitar a leitura, não garante sozinho autenticidade, integridade e integralidade dos dados. Isso exige acesso à extração original (o arquivo bruto) e aos logs técnicos que a acompanham, como o arquivo com assinatura HMAC e as datas de início e fim da extração, que permitem validar se os dados são legítimos.

Isso muda o tipo de pedido que a defesa deve fazer. Não basta requerer o laudo pronto, é preciso requerer também a extração bruta e os logs técnicos, porque é neles que mora a possibilidade real de auditoria.

Quanto aos tipos de extração, cada um traz um nível de informação diferente. A extração manual (fotografar a tela do celular) não tem metadado nenhum, equivale a um print screen, e é a mais frágil. A extração lógica copia só o que está acessível no aplicativo. A extração downgrade, comum em casos envolvendo WhatsApp, volta o aplicativo pra uma versão mais antiga e menos protegida, pra copiar dados que a versão atual bloquearia. Já a extração física ou avançada, mais completa, vem perdendo força com a criptografia mais forte dos celulares recentes.

Num caso real atendido pelo perito, um advogado suspeitava que o celular do cliente tinha sido acessado antes mesmo da autorização de quebra de sigilo. A análise técnica montou uma linha do tempo cruzando três datas: a apreensão do celular, a autorização de quebra de sigilo pelo juízo e a extração de dados. O resultado: arquivos criados no dispositivo e uma alteração na data de modificação do banco de dados do WhatsApp, principal fonte de prova usada pela acusação, apareceram depois da apreensão e antes da autorização, sem nenhuma documentação que justificasse isso. A conclusão técnica: o celular foi acessado e manipulado antes da autorização de quebra de sigilo.

O caso mostra na prática o que defende o perito: metodologia documentada e uma linha do tempo cruzando datas valem mais do que confiar cegamente num relatório pronto. Pra quem atua na área criminal, o aprendizado é direto: sempre que uma extração de celular for base de prova, vale cruzar as datas de apreensão, autorização e extração com os metadados dos arquivos do dispositivo.