Orientação de Integridade Probatória
Diretrizes técnicas para coleta e preservação de evidência digital, cadeia de custódia (CPP 158-A a 158-F), hash, CFTV/DVR, mensageria e grafoscopia, sob a ISO/IEC 27037.
Delimitação de responsabilidade: a BYTEN opera como laboratório de análise digital e não realiza a coleta primária, a apreensão em campo nem a custódia física de dispositivos. A admissibilidade depende de como a prova foi fixada na origem, o que cabe ao profissional do caso.
Cadeia de custódia: a base legal
Desde a Lei nº 13.964/2019, a cadeia de custódia é disciplinada nos artigos 158-A a 158-F do Código de Processo Penal. O art. 158-A define o instituto como o conjunto de procedimentos que documenta a história cronológica do vestígio; o art. 158-B enumera dez etapas de rastreamento: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte.
| Etapa (Art. 158-B) | Definição Legal | Aplicação na Prova Digital | Verificação / Referência |
|---|---|---|---|
| I. Reconhecimento Agente de coleta ou profissional do caso | Ato de distinguir um elemento como de potencial interesse para a produção da prova pericial. | Identificação preliminar do arquivo digital, mídia ou documento e aferição dos requisitos de admissibilidade. | Verificador de Admissibilidade |
| II. Isolamento Agente de coleta | Ato de evitar que se altere o estado das coisas, isolando e preservando o ambiente imediato, mediato e relacionado aos vestígios e ao local de crime. | Contenção lógica ou radioelétrica do suporte na origem e uso de bloqueio de escrita antes da leitura. | Conceito: Write Blocker |
| III. Fixação Agente de coleta (perito responsável pelo atendimento) | Descrição detalhada do vestígio conforme se encontra no local de crime ou no corpo de delito, indispensável no laudo pericial do perito responsável pelo atendimento. | Registro de metadados de sessão, tráfego de rede (.HAR), carimbo de tempo UTC e cálculo de hash na captura, executados pelo próprio operador. | Preservação de Conteúdo Web |
| IV. Coleta Agente de coleta | Ato de recolher o vestígio que será submetido à análise pericial, respeitando suas características e natureza. | Extração nativa sem recompressão ou espelhamento bit a bit com geração imediata do resumo SHA-256. | Conferência posterior: Validador BYTENProof |
| V. Acondicionamento Agente de coleta | Embalagem individualizada de cada vestígio coletado, de acordo com suas características, com anotação da data, hora e nome de quem realizou a coleta e o acondicionamento. | Encapsulamento em contêiner probatório assinado (.bytenproof) ou pacote de retenção com manifesto de hashes, com registro de data, hora (UTC) e identificação de quem coletou e acondicionou. | Cofre de Retenção Legal |
| VI. Transporte Custodiante | Ato de transferir o vestígio de um local para outro em condições adequadas, de modo a garantir a manutenção de suas características originais e o controle de sua posse. | Transmissão ou juntada aos autos preservando a estrutura binária original, sem trânsito por mensageiros que recomprimam a mídia. | Conceito: Custódia Digital |
| VII. Recebimento Unidade receptora | Ato formal de transferência da posse do vestígio, documentado com, no mínimo, número de procedimento, origem, responsável pelo transporte, código de rastreamento, natureza do exame, tipo do vestígio, protocolo, assinatura e identificação de quem o recebeu. | Conferência matemática de mesmidade entre o hash SHA-256 de coleta e o hash do arquivo recebido nos autos. | Validador BYTENProof |
| VIII. Processamento Perito; assistente técnico no contraditório (CPP, art. 159, §§ 3º a 5º) | Exame pericial em si, com manipulação do vestígio segundo metodologia adequada às suas características, formalizado em laudo produzido por perito. | Execução determinística de exames laboratoriais (PDF, assinatura ICP-Brasil, áudio, vídeo, PIX e documentoscopia óptica). | Catálogo de Ferramentas Forenses |
| IX. Armazenamento Custodiante (central de custódia, CPP, art. 158-E) | Guarda, em condições adequadas, do material a ser processado, guardado para contraperícia, descartado ou transportado, com vinculação ao número do laudo correspondente. | Preservação da via original íntegra, vinculada ao número do laudo, para viabilizar a reexecução independente no contraditório diferido. | Conceito: Contraditório Diferido |
| X. Descarte Custodiante, com autorização judicial quando pertinente | Procedimento referente à liberação do vestígio, respeitando a legislação vigente e, quando pertinente, mediante autorização judicial. | Liberação somente após cessado o interesse probatório: no processo penal, a revisão criminal pode ser requerida a qualquer tempo (CPP, art. 622); no processo civil, observar o prazo da ação rescisória (CPC, art. 975). | Conceito: Arts. 158-A e 158-B do CPP |
CFTV e DVR stand-alone
Sistemas de CFTV gravam em codecs frequentemente proprietários. Refilmar o monitor ou repassar o vídeo por mensageria recomprime o material e apaga os metadados nativos. Recomenda-se a exportação nativa com cálculo imediato de hash, o registro da segmentação de rede (VLAN/IP) e da identificação física do equipamento, e a imagem bit a bit com bloqueador de escrita quando houver apreensão do disco.
Integridade por função de hash
A integridade é atestada por função de hash: a troca de um único bit altera todo o valor. Recomenda-se SHA-256 para novas aquisições; o SHA-1 teve colisão demonstrada em 2017 (SHAttered) e o MD5 não é adequado em contexto adversarial. Artefatos como o Amcache, no Windows, ajudam a reconstruir a execução de aplicativos.
Volatilidade na web e mensageria
Conteúdo em navegador pode ser alterado antes de um print, tornando a captura estática frágil. A coleta robusta arquiva o tráfego de rede (arquivo HAR) e os metadados da sessão, com hash e carimbo de tempo, em vez de depender apenas de uma foto de tela.
Documentoscopia e grafoscopia
A perícia documentoscópica busca anomalias estruturais e inconsistências temporais. O exame grafotécnico depende da qualidade do material de confronto: padrões contemporâneos (corpo de escrita, quando colhido em juízo) e históricos, digitalizados em scanner a no mínimo 600 DPI. Não há número de assinaturas fixado em lei.
Imagem e multimídia
PhotoDNA é hashing perceptual para comparar uma imagem com bases já conhecidas, e não prova de edição. A Análise de Nível de Erro (ELA) é triagem heurística com falsos positivos e não constitui, isoladamente, prova de adulteração. Comprimir o original em aplicativos degrada os metadados e limita o exame.
Base normativa e técnica
- CPP, arts. 158-A a 158-F: cadeia de custódia (Lei nº 13.964/2019).
- ABNT NBR ISO/IEC 27037: coleta e preservação de evidência digital.
- ISO/IEC 27041: idoneidade do método de investigação.
- ISO/IEC 27042: análise e interpretação da evidência.
- ISO/IEC 27043: princípios e processos de investigação.
Perguntas frequentes
A BYTEN realiza a coleta da prova no local?
Não. O escopo é a análise laboratorial e a extração de dados para fundamentar o Parecer Técnico. A coleta primária, a apreensão em campo e a custódia física do dispositivo são de responsabilidade do profissional que atua no caso.
Uma captura de tela (print) tem valor probatório?
Pode ser admitida, mas isoladamente é frágil, porque a tela pode ser manipulada antes do print e a imagem estática não preserva o tráfego de rede nem os metadados. A robustez aumenta com registro de hash, carimbo de tempo e preservação do tráfego (por exemplo, arquivo HAR).
Posso usar SHA-1 para atestar integridade?
Funciona para conferência, mas o SHA-1 teve colisão prática demonstrada em 2017 (ataque SHAttered). Para novas aquisições, recomenda-se SHA-256 ou função mais robusta. O MD5 não é adequado como garantia de integridade em cenário adversarial.
Gravar a tela do DVR com o celular serve como prova?
Reduz severamente o valor probatório: refilmar a tela ou repassar o vídeo por aplicativos de mensagem recomprime o material e destrói os metadados nativos. O caminho recomendado é a exportação nativa do equipamento com registro de hash, ou a clonagem bit a bit do disco quando a apreensão for necessária.
Existe número legal de assinaturas para o exame grafotécnico?
Não há número fixado em lei. A boa prática orienta reunir padrões contemporâneos e históricos suficientes para o cotejo, observando a evolução gráfica do punho. Quando colhido em juízo, esse material forma o chamado corpo de escrita.