Hash garante que a prova digital não foi manipulada? Por que isso não basta na defesa criminal

Em palestra no XI Congresso Penal, o perito digital Joaquim Neto demonstrou, com casos reais, algo que boa parte da advocacia criminal ainda trata como garantia absoluta: o hash de um arquivo. A ideia de que "se tem hash, tá seguro" é, segundo ele, incompleta e perigosa pra quem trabalha com prova digital em processo penal.

O hash só garante a integridade do arquivo a partir do momento em que ele foi calculado pra frente, nunca pra trás. Se o conteúdo já tinha sido alterado antes desse cálculo, o hash não vai mostrar nada de errado, porque ele está apenas confirmando que o arquivo não mudou depois daquele ponto. Joaquim demonstrou isso na prática: alterou a data do próprio celular, gravou um vídeo com uma data manipulada e mostrou que nem o maior especialista do mundo em provas digitais seria capaz de identificar a fraude analisando só o conteúdo final. A manipulação não deixa rastro no arquivo, porque ela aconteceu no aparelho, antes da gravação.

O mesmo vale pro relatório de extração de dados de celular, conhecido como FDR (o formato de saída mais comum de ferramentas como as da Cellebrite). O FDR não é a extração completa, é um relatório, e quem opera a ferramenta pode escolher o que entra nele. Joaquim citou um caso em que o FDR apresentado tinha 60 GB, enquanto o arquivo bruto processado da extração tinha 120 GB. A metade do conteúdo simplesmente não foi incluída no relatório, e sem acesso à extração completa não há como saber o que ficou de fora, nem se era favorável à defesa.

Isso tem implicação direta na forma como a defesa deve atuar. Antes de discutir se uma prova é íntegra, o advogado criminalista precisa primeiro garantir a integralidade dos dados, ou seja, exigir acesso à extração completa, e não apenas ao relatório ou ao laudo que alguém preparou com base nela. Sem isso, qualquer análise pericial da defesa fica limitada ao que a outra parte decidiu mostrar.

O mesmo raciocínio se aplica à ata notarial. Joaquim foi direto: o tabelião não mente, mas ele documenta apenas o que vê. Se o conteúdo apresentado a ele já foi manipulado antes, a ata vai registrar fielmente uma versão fabricada, e sem a extração completa dos dados não há como auditar isso.

Um dos exemplos mais contundentes apresentados foi um caso real em que, após a apreensão de um celular, o dispositivo foi colocado em modo avião (ou seja, não preservado corretamente) e, posteriormente, houve acesso ao banco de dados do WhatsApp pra recuperação de conta, com código de verificação enviado após a apreensão. O banco de dados de mensagens, principal prova do caso, apresentava uma modificação registrada dias depois da apreensão, coincidindo com uma conexão Wi-Fi identificada como pertencente a uma delegacia. Sem acesso à extração completa, nenhuma dessas inconsistências teria sido detectada.

Pra advogado criminalista, a lição prática é clara: a discussão sobre cadeia de custódia só tem valor depois de garantida a integralidade dos dados. Exigir a extração completa, e não se contentar com relatórios curados ou atas notariais, é o primeiro passo pra qualquer contestação séria de prova digital.