Informática forense · Tribunais
É possível determinar quem utilizou um computador ou um smartphone?
A pergunta „Quem utilizou o dispositivo?“ é uma das questões probatórias mais frequentes e, ao mesmo tempo, mais complexas da informática forense. Uma conta de utilizador registada não constitui, por si só, prova de que a pessoa cujo nome figura na conta estava efetivamente sentada diante do dispositivo. O mesmo se aplica a um smartphone que pertença a uma pessoa, mas que possa ter sido utilizado por terceiros.
Por isso, não é possível estabelecer uma atribuição fiável com base num único artefacto. Resulta — se é que resulta — de uma cadeia de vestígios compatíveis entre si: início de sessão, estado do dispositivo, perfil do utilizador, dados de comunicação, atividades relacionadas com ficheiros, contas locais ou na nuvem, eventualmente indicações biométricas ou específicas do dispositivo e a correlação temporal com outros acontecimentos.
A nossa tarefa não é transformar uma conta de utilizador numa pessoa, mas sim explicar ao tribunal quais as atribuições que são tecnicamente comprovadas, prováveis, apenas possíveis ou não comprováveis.
A verdadeira questão probatória
Que tipo de informações pode conter uma atribuição de utilizador?
Dependendo do dispositivo e da questão em causa, podem ser relevantes eventos de início de sessão, contas de utilizador, dados de sessão, associações de dispositivos, contas de aplicações, registos de comunicação, referências de localização ou de rede e atividades no sistema de ficheiros. O que é decisivo é a correlação.
Um exemplo: um início de sessão no Windows às 10h02, um documento aberto às 10h05 e uma mensagem enviada imediatamente a seguir a partir de uma conta registada no mesmo perfil podem, em conjunto, ser mais reveladores do que qualquer um desses elementos isoladamente. No entanto, é necessário verificar se processos automatizados, acesso remoto ou utilização por terceiros podem ser considerados como explicações alternativas.
Onde se situa o limite da afirmação
Os artefactos técnicos associam-se frequentemente, numa primeira fase, a uma conta, a uma sessão ou a um dispositivo – e não necessariamente à pessoa singular por trás deles. Esta distinção deve permanecer clara no relatório pericial.
Porquê o LanCologne?
No caso de mandados judiciais, para nós não é determinante qual o programa de análise que apresenta um resultado positivo em primeiro lugar. O que é determinante é se a questão probatória pode ser respondida com base em critérios técnicos e se essa resposta resiste a uma verificação independente.
Trabalhamos sem preconceitos quanto aos resultados, documentamos a origem dos achados decisivos e analisamos explicações técnicas alternativas. A análise propriamente dita é, em princípio, realizada com base numa cópia forense ou num conjunto de dados registado de forma a garantir a validade probatória. Os originais não são examinados diretamente, salvo se tal for estritamente necessário. Nos casos em que sejam tecnicamente necessárias intervenções em tempo real, as alterações que daí possam advir são expressamente documentadas.
Os resultados decisivos são verificados, dependendo da questão em causa, através de um segundo método adequado do ponto de vista técnico ou diretamente com base nos dados brutos subjacentes. As ferramentas utilizadas para o efeito dependem das provas e da questão em causa. O que é determinante é a adequação, o reconhecimento técnico e a transparência do método — e não o nome de um produto.
O nosso relatório distingue entre os factos constatados, a avaliação técnica e a incerteza remanescente. A ausência de provas é fundamentada com o mesmo rigor que a existência de provas.
É assim que trabalhamos no caso de mandados judiciais
A nossa forma de trabalhar – desde o pedido judicial até à resposta
Em primeiro lugar, verificamos se a questão se enquadra na nossa área de especialização, quais são os factos em que o tribunal se baseia e se o conteúdo ou o âmbito do mandato são claros. Caso existam dúvidas, o tribunal providencia o esclarecimento necessário. Tal está em conformidade com os artigos 404.º-A e 407.º-A do Código de Processo Civil (ZPO).
As possíveis razões que possam suscitar dúvidas quanto à imparcialidade são analisadas antes do início da instrução e, se for caso disso, comunicadas ao tribunal.
Os dispositivos, suportes de dados, cópias de segurança e ficheiros disponibilizados são identificados e documentados. O estado em que se encontram na altura da investigação é registado.
Na medida do tecnicamente possível, é criada uma cópia forense ou uma imagem forense. Os valores hash e outras verificações de integridade servem para uma identificação inequívoca. O original é conservado para verificações posteriores.
Determinamos quais os indícios que corroborariam o facto alegado, quais os resultados contraditórios que são possíveis e quais as explicações técnicas alternativas que devem ser analisadas.
Só são analisados os artefactos que tenham valor probatório para a questão em apreço. Os resultados obtidos automaticamente não são aceites sem verificação prévia.
As conclusões relevantes para a tomada de decisão são — sempre que necessário — verificadas através de um segundo método reconhecido, de uma outra perspetiva técnica ou diretamente com base nos dados brutos.
Analisamos expressamente o que não pode ser deduzido a partir dos dados. São indicados os dados em falta, a eventual eliminação, as limitações técnicas, as extrações incompletas ou os vestígios contraditórios.
A conclusão final decorre dos resultados documentados. Não será formulada de forma mais enfática do que os dados permitirem.
O texto principal é compreensível mesmo para quem não é especialista em informática forense. O anexo técnico contém as informações de que um perito independente em informática forense necessita para uma revisão técnica ou um contra-parecer.
Quadro jurídico
Artigos 403.º, 404.º-A, 407.º-A e 411.º do Código de Processo Civil (ZPO); artigo 286.º do ZPO para a apreciação final do juiz. Em processos penais, artigos 72.º e seguintes do Código de Processo Penal (StPO).
O perito fornece a base factual especializada. A apreciação jurídica e a avaliação final das provas continuam a ser da competência do tribunal.
Perguntas frequentes
LanCologne – Informática forense para tribunais
Precisa de uma análise técnica independente para uma questão probatória judicial? A LanCologne analisa vestígios digitais de forma objetiva, transparente e reproduzível. Documentamos tanto os resultados positivos como a ausência de provas e as limitações técnicas, de forma a que a conclusão seja compreensível para o tribunal e possa ser verificada tecnicamente por um perito forense de TI independente.
Relacionado com este tema
- É possível comprovar tecnicamente uma entrada concreta do utilizador?
- É possível distinguir o envio efetivo de uma mensagem da mera existência da mesma na conta?
- É possível distinguir entre uma conta de utilizador local, uma conta de domínio e uma conta na nuvem?
- É possível reconstituir uma mudança de utilizador ou uma sessão de utilizador paralela?