Esta síntese reúne todas as perguntas e respostas sobre informática forense destinadas a advogados e defensores em processos penais na LanCologne — desde a fase de investigação, passando pela fase intermédia e pelo julgamento, até ao recurso, à revisão, ao reexame do processo e à verificação técnica das peritagens. Clique numa categoria para ver as perguntas correspondentes.
Processo preliminar e acusação
- De que forma uma auditoria forense informática independente e abrangente pode apoiar a estratégia de defesa perante uma acusação?
- De que forma é que uma perícia informática, após a notificação da acusação, pode apoiar a defesa na fase preliminar do processo?
- Como é que a defesa pode preparar, do ponto de vista técnico, as objeções digitais contra a abertura do julgamento?
- Como é que se podem preparar tecnicamente as medidas de instrução complementares individuais antes da decisão de abertura do processo?
- Como se pode verificar se a acusação apresenta um resultado digital mais detalhado do que o processo de investigação?
- Como é que se pode rever a atribuição digital de uma pessoa antes da decisão de abertura?
- Como é que a defesa pode verificar se o período em que o crime digital terá sido cometido, tal como alegado na acusação, é tecnicamente correto?
- Como é que se pode verificar, antes do julgamento, se um suposto desenrolar dos factos digitais apresenta contradições internas?
- Como se pode verificar se uma prova digital se relaciona, de facto, com a acusação concreta?
- Como é que a defesa pode identificar cadeias de provas digitais incompletas após a apresentação da acusação?
- Como é que se pode investigar de forma independente o computador de um cliente antes de ser apresentada uma acusação?
- Como é que um parecer pericial oficial pode ser submetido a uma revisão técnica no âmbito de um processo provisório?
- Como se pode avaliar objetivamente a ausência de comprovação técnica num processo provisório?
- Como é que a defesa pode verificar se os dados digitais exculpatórios continuam disponíveis após a apresentação da acusação?
- Como é que a defesa pode solicitar que se analisem os resultados técnicos apresentados como álibi antes da decisão de abertura do processo?
- Como é possível verificar se a comunicação digital foi incluída na acusação na íntegra ou de forma seletiva?
- Como é que a defesa pode verificar se as mensagens apagadas foram interpretadas corretamente no processo preliminar?
- Como é que se pode verificar tecnicamente uma alegada fuga de dados antes da decisão de abertura do processo?
- Como é que a defesa pode verificar se um acesso remoto pode ter influenciado o processo digital em causa?
- Como é que se pode investigar a possibilidade de um software malicioso ser a causa alternativa de um ato digital objeto de acusação?
- Como pode a defesa elaborar um questionário técnico para a recolha de provas complementares na fase intermédia do processo?
- Como se pode estruturar um parecer de informática forense da defesa para o processo preliminar?
- Como é que a defesa pode apresentar as conclusões técnicas de forma a que um tribunal, mesmo sem conhecimentos especializados em TI, as consiga compreender?
- Como pode a defesa, após uma decisão de abertura do processo, estruturar a preparação forense informática para a audiência principal?
Julgamento
- Como se pode preparar um dossiê de defesa forense informática como base técnica para a audiência principal?
- Como é que a defesa pode preparar-se, do ponto de vista da informática forense, para a recolha de provas digitais na audiência principal?
- Como é que se destacam, de forma compreensível para o julgamento, os limites metodológicos de um relatório pericial de informática forense?
- Como é que a defesa pode demonstrar uma contradição técnica entre o parecer pericial e os dados primários na audiência principal?
- Como é que se pode analisar, na audiência principal, uma interpretação errada ou pouco clara de um perito relativamente a um período de tempo?
- Como é que se pode questionar, do ponto de vista técnico, uma alegada atribuição de identidade feita por um perito?
- Como pode a defesa verificar se um perito excluiu de forma suficiente causas técnicas alternativas?
- Como é que as imagens de prova digitais, as tabelas e as capturas de ecrã podem ser corretamente integradas, do ponto de vista técnico, no julgamento?
- Como é que uma cronologia digital pode ser apresentada de forma compreensível e verificada no julgamento?
- Como é que a defesa pode solicitar uma análise técnica para verificar eventuais contradições entre o depoimento de uma testemunha e os vestígios digitais?
- Como se pode verificar se várias pistas digitais são, de facto, independentes umas das outras?
- Como é que a defesa pode explicar, de forma técnica, um resultado negativo digital na audiência principal?
- De que forma pode um perito em informática forense da defesa prestar apoio técnico durante a audiência principal, sem assumir o papel do advogado de defesa ou do perito judicial?
- Como é que se pode preparar, com precisão técnica, um pedido de produção de provas que tenha por objeto um elemento digital?
- Como pode a defesa reagir de forma profissional às novas provas digitais apresentadas durante o julgamento?
- Como pode a defesa verificar se um termo técnico mencionado na audiência principal comprova, de facto, o acontecimento alegado?
- Como pode a defesa verificar se uma demonstração de software forense no julgamento reflete integralmente os resultados da análise subjacente?
- Como é que a defesa pode reagir de forma imediata e especializada após a recolha de uma única prova digital?
- Como pode um advogado de defesa preparar, do ponto de vista técnico, uma declaração nos termos do artigo 257.º do Código de Processo Penal relativa a um relatório de peritagem informática?
- Como se pode verificar se um conteúdo eletrónico lido em audiência corresponde, do ponto de vista técnico, ao original?
- Como é que a defesa pode preparar e verificar tecnicamente os documentos eletrónicos no âmbito do procedimento de consulta autónoma?
- Como é que se pode verificar tecnicamente uma exportação eletrónica de mensagens de chat antes da sua utilização na audiência principal?
- Como pode a defesa verificar se uma pesquisa apresentada na audiência principal é reproduzível?
- Como pode a defesa verificar se uma visualização filtrada na audiência principal oculta resultados contrários relevantes?
- Como é que se pode explicar um resultado técnico proveniente de um software forense sem depender do fabricante?
- Como pode a defesa lidar com um erro de análise sintática que só se torna evidente pela primeira vez na audiência principal?
- Como se pode verificar se uma fonte de prova digital ainda contém os mesmos dados durante a audiência principal que no momento em que foi guardada?
- Como é que a defesa pode verificar se um ficheiro de prova digital está completo ou se é apenas um fragmento?
- Como é que a defesa pode solicitar que um alegado resultado anti-forense seja analisado no julgamento?
- Como é que a defesa pode verificar se uma deteção de VPN, proxy ou Tor está efetivamente relacionada com a atividade de que se acusa o arguido?
- Como é que a defesa pode verificar se, na audiência principal, um endereço IP está a ser atribuído de forma excessiva a uma pessoa?
- De que forma pode uma matriz final de provas forenses informáticas apoiar a defesa no final do julgamento?
- Como é que a defesa pode reestruturar as provas digitais para uma audiência principal de recurso?
Recurso, revisão e vias de recurso
- De que forma uma perícia informática pode contribuir para a preparação de um recurso em processos penais de natureza técnica?
- Como é que um resultado digital que não ficou claro em primeira instância pode ser reexaminado num recurso?
- Como é que a defesa pode solicitar uma análise técnica de novas provas digitais num recurso?
- Como é que a defesa pode preparar questões técnicas para um perito na audiência principal do recurso?
- De que forma uma auditoria forense informática pode apoiar a preparação de uma revisão, sem substituir o aconselhamento jurídico?
- Como é que a defesa pode distinguir claramente os factos técnicos das questões jurídicas no âmbito do recurso de revisão?
- Como é que se pode documentar com precisão uma questão técnica para um advogado de recurso?
- Como se pode verificar se um resultado digital é descrito de forma diferente na sentença, nos documentos da sessão e nos pareceres?
- Como é que a defesa pode providenciar a preparação de uma eventual lacuna na documentação técnica para efeitos da apreciação do recurso?
Processo de reabertura
- Como é que a defesa pode verificar se um elemento de prova digital descoberto posteriormente é, de facto, novo?
- Como é que uma prova digital recém-descoberta pode ser preservada forensicamente após a decisão ter transitado em julgado?
- Como é que a defesa pode verificar se novos conhecimentos sobre software ou analisadores sintáticos alteram um relatório digital anterior?
- Como é que um dispositivo ou um arquivo de dados, cuja encriptação só foi posteriormente descodificada, pode ser tecnicamente classificado como um caso encerrado?
- Como é que um backup restaurado posteriormente pode ser analisado como uma possível nova prova em contrário?
- Como é que a defesa pode solicitar uma avaliação técnica de novos dados da nuvem ou do prestador de serviços após a conclusão do processo?
- Como se pode verificar se um novo resultado digital refuta efetivamente um resultado-chave anterior?
- Como é que a defesa pode mandar fazer uma análise técnica preliminar de uma eventual decisão de reabertura do processo, sem lhe atribuir demasiada importância?
Análise e verificação cruzada do relatório pericial
- Como pode a defesa esclarecer as contradições técnicas entre vários pareceres periciais ou relatórios de investigação?
- Como é que uma versão alternativa do que aconteceu, apresentada em formato digital, pode ser analisada do ponto de vista técnico de forma a que não se trate apenas de uma mera possibilidade?
- Como pode um advogado de defesa preparar tecnicamente o interrogatório de um perito em informática forense?
- Que perguntas devem ser feitas a um perito quando o seu parecer se baseia predominantemente em relatórios forenses automatizados?
- Como pode a defesa verificar se um perito respondeu efetivamente à questão probatória concreta?
- É possível, do ponto de vista técnico, demonstrar, com base num e-mail, que o cliente não foi o verdadeiro remetente?
- Como é que a defesa pode verificar se a base de dados utilizada pelo perito está completa?
- De que forma pode a defesa preparar-se, do ponto de vista técnico, para determinar se a audição de mais um perito poderia ser objetivamente justificada?
- Como pode a defesa avaliar se uma prova digital existente é tecnicamente adequada para a obtenção de mais provas?
- Como é que a defesa pode quantificar ou descrever de forma compreensível a incerteza técnica num relatório pericial?
- Como é que um parecer forense informático pode ser atualizado após a recolha de provas?
- De que forma é que uma avaliação forense informática independente e abrangente apoia a defesa criminal na recolha de provas digitais complexas?
- Como é que a defesa pode verificar se um relatório forense de PDF foi alterado ou abreviado em relação à análise original?
- Será que uma linha temporal digital pode refutar, do ponto de vista técnico, uma versão dos factos apresentada?
- Como é que a defesa pode verificar se diferentes programas de análise forense interpretam de forma diferente os mesmos resultados digitais?
- Como é que a defesa pode verificar se os dados digitais recolhidos posteriormente são comparáveis a uma imagem forense anterior?
- Como é que a defesa pode avaliar as contradições técnicas entre um dispositivo original e a respetiva extração forense?
- Como é que a defesa pode verificar se um registo apagado foi, de facto, apagado intencionalmente?
- Como é que a defesa pode verificar se a encriptação está a ser interpretada de forma exagerada como um comportamento incriminatório?
- Como é que os fusos horários e os relógios dos aparelhos com erros são tidos em conta nos resultados que exoneram o suspeito?
- Como pode a defesa reagir a uma alteração dos factos técnicos durante o julgamento?
- Como pode um advogado de defesa solicitar uma segunda análise técnica de um relatório pericial já elaborado?
- Como é que os dados do WAL e do diário do SQLite são classificados numa auditoria de segurança?
- Como é que se pode proceder à análise técnica de um relatório forense informático elaborado pelas autoridades, após a consulta do processo?
- Como é que a defesa consegue perceber se a extração de dados de um smartphone ou computador está incompleta?
- Como é que um relatório de segurança ou de extração é interpretado do ponto de vista da defesa?
- Como é que a defesa pode verificar se foram excluídos dados relevantes durante a análise, por meio de filtros?
- Como é que os termos de pesquisa e os resultados de palavras-chave são analisados a partir de um relatório forense oficial?
- Como é que os resultados do analisador são verificados em relação aos dados brutos subjacentes?
- Como é que a defesa pode verificar se foram deixadas de fora fontes de dados relevantes na análise realizada pelas autoridades?
- Como se distingue entre um relatório de investigação e um relatório técnico preliminar?
- Como é que se pode verificar de forma independente uma cronologia apresentada pelas autoridades?
- Como se verifica se as mensagens de chat foram retiradas do seu contexto técnico no relatório de investigação?
- Como é que se analisa tecnicamente a atribuição de uma conta ou de uma pessoa por parte das autoridades?
- Como é que os dados locais dos dispositivos e os dados na nuvem são sincronizados no processo de investigação?
- Como é que os dados de localização provenientes de diferentes fontes são verificados no processo de investigação?
- Como é que os dados de IP e dos fornecedores de serviços são analisados do ponto de vista técnico no processo de investigação?
- Como é que os metadados de fotografias e vídeos de um processo de investigação são validados de forma independente?
- Como se verifica o histórico de versões e a evolução de um documento constante do processo de investigação?
- Como é que os dados eliminados e recuperados são verificados num relatório oficial?
- Como é que os resultados relativos ao SQLite, ao WAL e ao diário são validados a partir de uma análise realizada pelas autoridades?
- Como é que os fusos horários e as conversões horárias são verificados num parecer oficial?
- Como é que a defesa identifica mensagens de erro técnico ou lacunas na análise contida no processo de investigação?
- Como é que as conclusões fundamentais do processo de investigação são validadas de forma independente?
- Como é que a defesa pode identificar vestígios digitais exculpatórios que não tenham sido abordados no relatório de investigação?
- Como é que a LanCologne pode elaborar um questionário técnico para a defesa penal futura?
- Como é que a defesa pode solicitar que se verifique se um relatório de investigação apresenta conclusões técnicas de forma demasiado categórica?
- Como se pode verificar se as explicações técnicas alternativas foram devidamente tidas em conta no processo de investigação?
- Como é que a defesa pode verificar se os ficheiros de áudio ou vídeo foram recodificados ou editados?
- Como é que um parecer pericial de informática forense da defesa é estruturado do ponto de vista técnico?
- Como se documenta um parecer pericial privado elaborado pela defesa de forma a que, posteriormente, seja possível a sua verificação técnica?
- Como é que uma conclusão contrária da defesa pode ser apresentada de forma objetiva ao Ministério Público ou à autoridade de investigação?
Registos técnicos do sistema, equipamentos e integridade dos dados
- Como é que as contas empresariais e os registos de domínios são avaliados do ponto de vista da defesa penal?
- Será que uma tarefa ou automatização programada pode explicar uma suposta ação do utilizador?
- Será que um serviço em segundo plano pode explicar um acesso a ficheiros que parece suspeito?
- É possível atribuir com segurança um trabalho de impressão ao cliente?
- Que valor probatório tem a ligação de um suporte de dados externo sem que se tenha comprovado a existência de um processo de cópia?
- Uma máquina virtual pode atribuir uma atividade que sobrecarrega o sistema a outro contexto do sistema?
- Como é que os contentores encriptados ou as áreas de dados inacessíveis são classificados para garantir uma avaliação justa?
- Que importância tem a formatação ou a reinstalação para a defesa?
- Até que ponto os ficheiros recuperados ou fragmentados constituem provas contra o cliente?
- As informações fornecidas pelo operador ou pela outra extremidade da ligação podem corrigir uma avaliação de equipamento local?
- Do ponto de vista do Defensor, como é que se distingue entre vários dispositivos que utilizam a mesma conta?
- Qual é a relevância dos eventos MFA e dos tokens de sessão para a questão da identidade?
- Como é que a falta de registos ou as lacunas nos registos são avaliadas do ponto de vista da defesa?
- Como é que, do ponto de vista da defesa, se pode pôr em causa a integridade de uma prova digital autenticada pelas autoridades?
- Após a consulta do processo, como pode o advogado de defesa verificar quais as provas digitais que foram efetivamente analisadas?
- Como se verifica se uma imagem forense pertence efetivamente ao suporte de dados apreendido?
- Como é que a defesa pode solicitar uma verificação técnica dos valores hash e das informações de integridade constantes do processo de investigação?
- Como é que os dados de ligação e de comunicação podem ser verificados quanto a contradições técnicas?
Processo de investigação e antes da acusação
- Será que uma investigação forense informática realizada numa fase precoce, já durante a fase de instrução, pode revelar factos exculpatórios?
- Como pode um advogado de defesa garantir que as provas digitais exculpatórias, que correm o risco de se perder, sejam preservadas atempadamente?
- É possível verificar tecnicamente a declaração do cliente antes de este prestar depoimento?
- Uma atividade digital pode ser associada pessoalmente ao cliente ou apenas a um dispositivo ou conta?
- Como é que os computadores ou smartphones partilhados são avaliados do ponto de vista da defesa penal?
- Pode uma conta comprometida constituir uma explicação alternativa para a acusação?
- Pode um acesso remoto justificar uma ação atribuída ao cliente?
- Pode um software malicioso constituir uma explicação técnica alternativa para uma acusação penal?
- Como é que se pode examinar atempadamente o smartphone do cliente de forma a exonerá-lo de suspeitas?
- Pode um histórico de conversas desculpar o cliente ou relativizar uma acusação?
- Pode o histórico do navegador ou de pesquisa refutar uma acusação ou contextualizá-la de outra forma?
- Como é que os dados de localização podem ser analisados como um possível fator de alívio?
- De que forma é que as cópias de segurança podem revelar estados anteriores em benefício da defesa?
- Como é que os dados apagados são avaliados do ponto de vista da defesa penal?
- Por que razão pode ser útil contar com o acompanhamento forense informático independente numa defesa penal, desde a fase de investigação até ao final do julgamento?
- Em que circunstâncias a ausência de um artefacto digital pode exonerar o cliente?
- É possível, do ponto de vista da defesa, verificar uma alegada fuga de dados através de USB?
- Como é que se pode apresentar um relatório de absolvição com fundamento técnico antes mesmo da conclusão das investigações?
Outras questões
- Como é que uma prova em contrário digital, cuja existência só se tornou conhecida tardiamente, pode ser verificada tecnicamente a curto prazo?
- Como é que a defesa pode apresentar os principais resultados digitais para a alegação final de forma tecnicamente sólida?
- Como pode a defesa evitar que as possibilidades técnicas sejam tratadas como factos comprovados na fase final da produção de provas?
- Como pode a defesa, após a prolação da sentença, verificar se um elemento digital decisivo foi reproduzido na sentença de forma tecnicamente correta?
- Como pode um advogado de defesa solicitar uma análise técnica das contradições técnicas presentes na fundamentação escrita da sentença?
- Como se pode verificar se uma sequência temporal digital assumida na sentença é tecnicamente possível?
- Como se pode verificar se a atribuição de dispositivos, contas ou pessoas, tal como estabelecida na sentença, tem fundamento técnico?
- Será que a sincronização na nuvem pode explicar de outra forma uma suposta ação do utilizador?
- Como é que a defesa pode verificar se uma possibilidade técnica foi tratada no acórdão como um processo estabelecido?
- De que forma uma cronologia completa do caso em termos de informática forense pode apoiar a defesa ao longo de várias instâncias?
- Qual é o valor probatório de um endereço IP do ponto de vista da defesa penal?
- A utilização de uma VPN ou de um proxy pode alterar a atribuição de uma atividade na Internet?
- Como é que uma captura de ecrã pode ser verificada de forma independente enquanto prova incriminatória?
- Como é que a autenticidade de uma gravação áudio pode ser verificada tecnicamente do ponto de vista da defesa penal?
- Como é que as fotografias ou os vídeos podem ser classificados tecnicamente como provas incriminatórias?
- A história da criação de um documento digital pode influenciar a acusação?
- Como é que se pode verificar uma alegada alteração posterior a um ficheiro PDF ou a um documento?
- É possível determinar se um ficheiro foi realmente descarregado da Internet?
- É possível distinguir um acesso através de uma partilha de rede de uma transferência de ficheiros local?
- É possível, do ponto de vista da defesa, verificar um alegado upload para uma nuvem privada?
- Como se verifica se um relatório oficial transforma, de forma errada, vários indícios interligados em várias provas independentes?
- Como é que a defesa pode verificar se um resultado incriminatório se baseia apenas num único artefacto?
- Como se verifica se os ficheiros incriminatórios estavam efetivamente acessíveis ao cliente?
- Como se pode verificar se um conteúdo indesejável chegou automaticamente ao dispositivo?
- Como se verifica se um ficheiro encontrado provém de uma cópia de segurança ou da utilização ativa?
- Como é que a defesa pode verificar se os ficheiros de miniaturas ou de cache foram interpretados de forma exagerada?
- Como são avaliados os índices de pesquisa do processo de investigação do ponto de vista da defesa?
- Como se pode verificar se um ficheiro foi apenas aberto automaticamente ou se foi processado por um programa?
- Como é que a defesa pode verificar se vários utilizadores estiveram ativos em simultâneo no mesmo sistema?
- De que forma é que o início de sessão automático e a recuperação automática da sessão são tidos em conta no processo de investigação?
- Como é possível verificar se um software foi efetivamente executado e não apenas instalado?
- Como é que a defesa pode verificar se um software que entretanto foi desinstalado era, de facto, relevante?
- Como é que os direitos administrativos e a sua utilização efetiva são avaliados do ponto de vista da defesa?
- Como se pode verificar se a movimentação de um ficheiro foi erroneamente interpretada como um processo de cópia?
- Como é que a defesa pode verificar se um ficheiro foi apenas renomeado?
- Como é que os carimbos de data e hora dos ficheiros são interpretados corretamente após a cópia, a deslocação ou a restauração?
- Como é que a defesa pode verificar se as versões na nuvem apresentam uma versão mais antiga ou diferente do documento?
- Como se pode verificar se uma captura de ecrã provém de outra fonte ou de outro dispositivo?