Por Silvana de Oliveira – Perita Judicial, Grafotécnica, Especialista em Provas Digitais e Investigação Forense.
Limites técnicos, riscos da prova digital e impactos na valoração probatória1
A recuperação de arquivos apagados tornou-se um dos pilares das investigações que envolvem dispositivos digitais. Com o avanço das técnicas forenses, dados que aparentemente teriam sido eliminados podem, em muitos casos, ser restaurados ou parcialmente reconstruídos. Esse cenário, embora amplie as possibilidades investigativas, também impõe riscos relevantes à interpretação da prova digital.
Antes de atribuir valor probatório a dados recuperados, é indispensável compreender como os sistemas de armazenamento funcionam, o que realmente ocorre quando um arquivo é excluído e quais são as limitações tecnológicas envolvidas. Sem esse conhecimento, a análise pode incorrer em vícios técnicos capazes de comprometer conclusões periciais e decisões judiciais.
O que realmente acontece quando um arquivo é deletado
Ao contrário do senso comum, a exclusão de um arquivo não implica sua eliminação imediata do dispositivo. Na maioria dos sistemas operacionais, o processo de “apagar” consiste em remover a referência lógica do arquivo e marcar o espaço ocupado como disponível para reutilização futura.
Essa estratégia é adotada para preservar o desempenho do sistema, já que a limpeza completa de cada bloco de dados demandaria tempo e recursos computacionais. Enquanto o espaço não for sobrescrito por novos dados, o conteúdo original permanece fisicamente armazenado e pode ser recuperado por ferramentas especializadas.
Por essa razão, uma fotografia ou documento excluído pode não aparecer mais para o usuário, mas ainda estar tecnicamente presente no dispositivo. A exclusão definitiva exige camadas adicionais de eliminação, que nem sempre são aplicadas pelo usuário comum.
Diferenças entre HDs e SSDs no processo de recuperação
A possibilidade de recuperação de dados está diretamente relacionada à tecnologia de armazenamento utilizada, sendo essencial distinguir entre discos rígidos tradicionais (HDs) e unidades de estado sólido (SSDs).
HDs mecânicos
Os HDs funcionam com pratos magnéticos e cabeças de leitura. Quando setores são marcados como livres, eles tendem a permanecer intactos por períodos prolongados. Isso resulta em:
- maior janela temporal para recuperação de arquivos;
- maior probabilidade de preservação de fragmentos antigos;
- possibilidade de encontrar dados de usuários anteriores ao atual.
Por esse motivo, a recuperação em HDs costuma ser mais ampla e tecnicamente viável.
SSDs e o comando Trim
Os SSDs utilizam memória flash e dependem de mecanismos internos para evitar desgaste prematuro das células. Para manter desempenho e longevidade, esses dispositivos empregam o comando Trim, que informa quais blocos foram liberados pelo sistema operacional.
Quando o Trim é executado, os blocos marcados tendem a ser limpos de forma definitiva. Na prática, isso significa que:
- arquivos apagados em SSDs frequentemente desaparecem de modo permanente;
- técnicas tradicionais de data carving tornam-se ineficazes.
Essa diferença tecnológica impacta diretamente a análise pericial e deve ser considerada na avaliação da força probatória de dados recuperados ou da ausência deles.
Data carving e recuperação em nível de sistema de arquivos
Do ponto de vista forense, há duas abordagens principais para recuperação de dados:
1. Data carving
O data carving busca fragmentos de arquivos diretamente nos setores físicos do dispositivo, independentemente da existência de registros no sistema de arquivos. A analogia é simples: trata-se de encontrar páginas soltas de um livro sem saber quem o escreveu, quando foi escrito ou a quem pertencia.
Esse método, embora útil em determinados contextos, apresenta riscos relevantes:
- ausência de metadados confiáveis;
- possibilidade de recuperação de fragmentos de usuários anteriores;
- reconstrução artificial de arquivos incompletos;
- dificuldade de estabelecer autoria e linha do tempo.
Por essas razões, o data carving exige extrema cautela interpretativa.
2. Recuperação em nível de sistema de arquivos
Quando os metadados ainda estão preservados, é possível recuperar arquivos com informações contextuais, tais como:
- datas de criação, modificação e acesso;
- caminho original no sistema;
- vinculação a perfis de usuário;
- registros de aplicativos utilizados e frequência de abertura.
Esses elementos permitem contextualização mais robusta e análise técnica consistente, desde que a extração seja completa, documentada e respeite a cadeia de custódia.
Sanitização de dados: quando a eliminação precisa ser definitiva
A sanitização de dados consiste em práticas destinadas à eliminação segura e irreversível das informações armazenadas. No contexto pericial, é relevante tanto para evitar contaminação por vestígios de casos anteriores quanto para explicar a ausência de dados em determinado exame.
Os métodos mais comuns incluem:
- sobrescrita completa do espaço de armazenamento;
- utilização de ferramentas específicas de limpeza segura.
Em ambientes corporativos, governamentais e industriais, a sanitização protege informações sensíveis. No âmbito penal, sua compreensão é fundamental para avaliar se a inexistência de vestígios decorre de comportamento doloso, de procedimento técnico legítimo ou do funcionamento normal do dispositivo.
Exemplos práticos
Exemplo A – Computador de segunda mão
Um HD mecânico reutilizado pode conter resíduos de arquivos antigos, mesmo após formatações anteriores. O data carving pode recuperar fotos ou documentos sem qualquer relação com o atual usuário, tornando temerária a atribuição automática de autoria.
Exemplo B – SSD com Trim ativado
Em notebooks modernos, arquivos apagados podem ser eliminados de forma definitiva pelo comando Trim. Nesse cenário, a ausência de dados não indica necessariamente que eles nunca existiram, mas pode ser consequência do comportamento padrão do dispositivo.
Além disso, existem métodos avançados de recuperação que exploram artefatos do sistema operacional, como arquivos de hibernação, temporários e memória volátil. Isso reforça a necessidade de cautela ao vender, descartar ou entregar um computador a terceiros.
A recuperação de dados é ferramenta valiosa nas investigações digitais, mas seus resultados dependem diretamente da tecnologia de armazenamento, do método de exclusão e da técnica forense empregada. HDs e SSDs apresentam comportamentos distintos, assim como o data carving e a recuperação em nível de sistema de arquivos produzem níveis muito diferentes de confiabilidade.
Compreender a dinâmica da exclusão, o papel do Trim e os processos de sanitização é condição indispensável para avaliar corretamente a presença ou a ausência de vestígios digitais. O trabalho pericial deve sempre se pautar pela contextualização técnica e pela cautela interpretativa.
Ignorar essas limitações é postura típica de atuação amadora, incompatível com as exigências mínimas do exercício profissional qualificado. Reconhecer os limites da prova digital é o primeiro passo. O segundo é buscar as competências necessárias para analisá-la com rigor técnico e responsabilidade jurídica.
- Fonte: https://www.conjur.com.br/2025-dez-12/como-recuperar-ou-apagar-dados-em-dispositivos-os-riscos-da-prova-digital/ ↩︎
Vimos que você gostou e quer compartilhar. Sem problemas, desde que cite o link da página. Lei de Direitos Autorais, (Lei 9610 de 19/02/1998), sua reprodução total ou parcial é proibida nos termos da Lei
