Celulares e computadores registram quase tudo o que fazemos — mas transformar esses registros em prova válida exige método: preservação, aquisição verificável e análise reproduzível. Esta página explica como isso é feito.
A regra de ouro da forense digital é preservar o dado antes de analisá-lo — mas o como preservar depende da mídia. Em discos e pendrives, é possível gerar uma imagem bit a bit sem tocar no original, usando um bloqueador de escrita. Em celulares, isso não se aplica: a extração exige comunicação ativa com o aparelho, e o próprio procedimento (habilitar depuração, instalar um agente, acessar o bootloader) altera o dispositivo. Nesse caso, a preservação é feita por isolamento de rede e pela documentação rigorosa de cada passo. Em qualquer cenário, o material adquirido é selado por hash criptográfico, de modo que qualquer pessoa possa conferir, a qualquer tempo, que a cópia examinada corresponde ao que foi coletado — é isso que torna a prova reproduzível e confiável para o processo.
Coleta os dados "vivos" que o sistema entrega: contatos, mensagens, mídias, registros de aplicativos. Mais rápida, porém não alcança área não alocada nem, em regra, itens apagados.
Copia a estrutura de arquivos completa, incluindo bancos de dados de aplicativos (WhatsApp, Telegram), logs de sistema e arquivos ocultos — camada onde vive a maior parte dos artefatos relevantes.
Imagem bit a bit da memória, incluindo espaço não alocado — onde residem dados apagados recuperáveis. Nem todo dispositivo moderno permite (criptografia de hardware), e o laudo deve declarar o nível alcançado.
Extração e análise com ferramentas forenses (Cellebrite/UFED, IPED, Avilla Forensics): mensagens, chamadas, localização, mídias, aplicativos e artefatos de uso.
Aquisição de HDs, SSDs e pendrives; análise de sistema de arquivos, registro do Windows, histórico de navegação, dispositivos USB conectados e execução de programas.
Correlação cronológica de milhares de eventos do sistema e dos aplicativos para reconstruir o que aconteceu, quando e em que ordem — frequentemente o coração do laudo.
Recuperação de arquivos e mensagens excluídos a partir de área não alocada e de bancos de dados, com indicação técnica do grau de confiabilidade de cada item recuperado.
Reexame de extrações já produzidas nos autos (UFDR e relatórios oficiais): verificação de integridade, completude, filtros aplicados e conclusões extraídas.
Descreva o dispositivo ou envie o relatório de extração existente. A avaliação preliminar não gera compromisso.
