Relatório de extração de celular (UFDR) pode estar incompleto? O que a defesa precisa verificar?

Uma extração de dados de celular chega ao processo em forma de relatório, organizado, visual, fácil de navegar. Isso significa que o conteúdo ali é a extração completa e íntegra do aparelho? Não necessariamente. E entender por que é uma verificação técnica que a defesa não deveria pular.

Quando um dispositivo passa por extração com ferramentas forenses, como as da Cellebrite, o processo pode gerar diferentes arquivos e registros relacionados à aquisição e ao processamento. O conjunto desses arquivos pode variar conforme o método utilizado, o fluxo de trabalho e a versão da ferramenta.

Esses arquivos e registros podem documentar informações técnicas relacionadas à aquisição, como identificação do dispositivo, data e hora, método empregado, configurações utilizadas, resultados e eventuais ocorrências durante o procedimento.

Ter acesso aos dados adquiridos e aos arquivos associados não significa, por si só, que a aquisição tenha recuperado tudo o que poderia ser obtido do dispositivo. Existem diferentes métodos e níveis de aquisição, com alcances que variam conforme o aparelho, sistema operacional, estado do dispositivo, versão da ferramenta e condições técnicas encontradas durante o procedimento.

Uma extração lógica, por exemplo, pode fornecer determinados dados acessíveis por interfaces e mecanismos disponibilizados pelo próprio sistema, enquanto uma aquisição de sistema de arquivos ou outros métodos de aquisição podem, em determinadas condições, possibilitar acesso a estruturas e dados adicionais. O alcance efetivo depende das características do dispositivo, do sistema operacional, de seu estado e das capacidades da ferramenta utilizada.

Portanto, não é tecnicamente adequado estabelecer uma hierarquia absoluta segundo a qual um determinado método será sempre mais completo que outro. O que precisa ser analisado é qual método foi utilizado, o que ele era capaz de adquirir naquele dispositivo e quais limitações foram registradas durante o procedimento.

Normas e boas práticas aplicáveis à computação forense orientam que o método de aquisição seja adequado ao dispositivo e ao objetivo do exame, com documentação das técnicas utilizadas e das limitações encontradas. Uma aquisição disponibilizada em seus arquivos de origem não deve ser confundida automaticamente com a totalidade dos dados existentes ou potencialmente recuperáveis no dispositivo.

Depois de adquirido, esse conteúdo é processado por uma ferramenta especializada, como o Physical Analyzer, que organiza os dados, gera linha do tempo e outras formas de apresentação, e pode também processar dados provenientes de outras fontes, inclusive determinados dados obtidos de serviços em nuvem, quando presentes e tecnicamente acessíveis.

A partir desse processamento é possível gerar um relatório, o arquivo UFDR, normalmente aberto no Cellebrite Reader, que é uma das formas utilizadas para apresentar os resultados de uma análise de maneira visual e facilitar sua consulta.

O problema é que, na geração desse relatório, podem ser selecionados conteúdos específicos. É possível, por exemplo, restringir determinados tipos de dados ou utilizar filtros para concentrar a apresentação em determinados períodos ou categorias.

E nem sempre esses critérios ficam evidentes para quem recebe apenas o relatório final. O relatório pode ser perfeitamente legível e organizado e, ainda assim, não representar todo o universo de dados adquirido ou todo o conteúdo efetivamente disponível no material de origem.

Outro ponto que precisa ser verificado são os registros da própria aquisição. Falhas, erros, itens não recuperados, aplicativos não suportados ou limitações identificadas pela ferramenta devem ser analisados e documentados, pois podem indicar que determinados dados não foram efetivamente adquiridos ou processados.

Também é necessário verificar se os resultados apresentados pelo software correspondem aos dados efetivamente existentes na aquisição. Essa validação pode envolver análise manual dos artefatos, comparação com outras ferramentas ou verificação diretamente no dispositivo, quando tecnicamente possível.

Existe ainda uma forma de verificar a consistência entre determinados arquivos e materiais quando houver valores de hash ou outros mecanismos de identificação registrados na documentação da aquisição e do processamento. A comparação deve ser feita somente quando os valores forem tecnicamente correspondentes e comparáveis. Em dispositivos móveis, diferenças entre hashes de aquisições distintas não significam, isoladamente, alteração indevida do conteúdo, pois o armazenamento pode sofrer alterações entre diferentes momentos de aquisição.

Para quem atua na defesa, o ponto prático é direto: receber apenas o relatório final pode ser insuficiente para avaliar a integralidade da aquisição e a correspondência entre os dados adquiridos e os conteúdos apresentados no relatório. Vale sempre perguntar qual foi o método de aquisição utilizado, qual era seu alcance técnico naquele dispositivo, quais limitações ou erros foram registrados, solicitar acesso aos dados adquiridos e aos registros técnicos disponíveis e verificar, quando possível, a correspondência entre o material adquirido e o relatório apresentado.