O que o advogado precisa saber antes de contratar um perito forense computacional

A prova digital decide um número crescente de disputas. Quando o caso envolve mensagens, sistemas, registros de conexão ou dispositivos, a tese jurídica fica condicionada ao que o exame pericial consegue demonstrar. E a evidência digital tem uma característica que muda o cálculo do advogado: a volatilidade. Um post apagado, um registro expirado, um disco ligado sem bloqueio de escrita, e o que seria prova simplesmente deixa de existir.

Por isso a contratação do perito não é decisão operacional, a ser resolvida depois da petição. É decisão estratégica, tomada no primeiro contato com o caso, e com efeitos frequentemente irreversíveis: o erro cometido na coleta não se corrige no laudo, nem em grau de recurso.

Por que a escolha do perito muda o resultado

A criminalística distingue três conceitos que todo advogado exposto à prova digital precisa dominar: vestígio, evidência e indício. Vestígio é tudo o que existe no ambiente examinado: arquivos, logs, metadados, registros de sistema. Evidência é o vestígio coletado com método e analisado. Indício é a evidência que, verificada, mantém vínculo com o fato apurado. Processos já naufragaram porque essa cadeia foi ignorada: material bruto entrou nos autos como se fosse indício, sem coleta válida, e a prova não resistiu ao contraditório.

O detalhe técnico decide o caso. Em uma apuração de autoria examinada em perícia, o provedor de acesso respondeu ao ofício trocando o final do endereço IP: o registro correto terminava em 208, a resposta indicou 205. A diferença colocou no polo passivo de uma ação de 400 mil reais um trabalhador que nada tinha com o fato. O exame pericial identificou a troca. O mesmo vale para fuso horário: registros fornecidos em UTC e lidos como GMT-3 deslocam a conexão em horas e apontam o assinante errado. E em endereços IPv4 compartilhados, dezenas de usuários dividem o mesmo IP no mesmo instante; sem as portas lógicas e sem a exclusão de falsos positivos, a apuração alcança o titular errado da conexão. O perito que domina esses detalhes protege o cliente de acusar um inocente e de responder por isso.

O que verificar antes de contratar

Quatro pontos separam o perito qualificado do profissional de TI que também emite laudos. Primeiro, formação real na matéria: a forense computacional exige profundidade em tecnologia, base sólida em direito e compromisso com a deontologia forense. Verifique formação específica na área, docência, publicações e atuação em juízo, não apenas anos de experiência em infraestrutura ou suporte.

Segundo, método documentado: o procedimento deve ser escrito, repetível e verificável, com ferramentas forenses reconhecidas, não com o explorador de arquivos do sistema operacional. Terceiro, cadeia de custódia: a coleta correta usa duplicação forense bit a bit, bloqueadores de escrita e registro de cada interação com o material, porque copiar arquivos para um pendrive não é preservação, é contaminação. Quarto, laudos anteriores: peça exemplares anonimizados e avalie clareza, fundamentação e histórico de sustentação em contraditório.

Perguntas a fazer antes de fechar a contratação

• Qual é a formação específica em forense computacional, além da experiência em tecnologia?
• Que método e ferramentas serão empregados, e em que documento isso estará registrado?
• Como a cadeia de custódia será preservada: duplicação forense, hash, bloqueio de escrita, registro de acessos?
• Existem laudos anteriores anonimizados disponíveis para leitura?
• O trabalho já foi submetido a contraditório e sustentado perante o juízo?
• Como o exame trata falsos positivos e hipóteses alternativas de autoria?

As respostas importam menos pelo jargão e mais pela postura: o perito sério explica o método antes de falar em resultado. Desconfie de quem antecipa conclusão sem examinar o material.

Três erros que comprometem o caso antes da perícia

O primeiro é contratar tarde. Registros de conexão e de aplicação têm prazo legal de guarda, e provedores respondem com frequência que o dado não existe mais. Em um caso de ofensas graves publicadas em uma rede social, com ameaças que expunham endereço, rotina e veículo da vítima, a única providência tomada foi o print da tela. O autor apagou as publicações antes do início da ação, e não restou evidência técnica a examinar.

O segundo é deixar a coleta com a TI interna. Em um caso trabalhista, um executivo foi demitido por justa causa sob acusação de acessar conteúdo impróprio no computador da empresa. Para verificar a denúncia, a equipe de TI ligou a máquina, digitou os próprios termos de busca e clicou nos resultados. A perícia judicial identificou que as evidências haviam sido criadas pela própria equipe de TI depois da entrega do equipamento. Resultado: justa causa revertida, salários devidos e indenização. A TI interna resolve incidentes; não preserva prova.

O terceiro é aceitar print de tela como prova. O print pode ser editado e não carrega os metadados que vinculam conteúdo, origem e tempo. Serve como referência do que existiu, não como demonstração técnica. A preservação válida exige coleta com método, registro íntegro do conteúdo e valor de hash que permita verificar que nada foi alterado.

Quando o assistente técnico entra

Os mesmos critérios de escolha valem quando já existe perícia determinada nos autos ou laudo adverso produzido. Nessa fase, o perito atua como assistente técnico: formula quesitos a partir da análise real das evidências, acompanha o trabalho do perito do juízo e aponta falhas de método e de cadeia de custódia que fundamentam impugnação. O rendimento máximo, porém, está na fase anterior à ação, quando a análise técnica ainda orienta o que deve e o que não deve entrar nos autos. Essa atuação está detalhada na página para advogados.

O custo de errar

Errar na escolha custa mais do que honorários. Custa a prova que deixou de existir, a ação perdida por falta de suporte técnico, a condenação por apontar a pessoa errada, a justa causa revertida com indenização. O caminho seguro cabe em uma frase: envolver o perito antes de mover o processo, exigir método documentado e recusar coleta improvisada. Para avaliar um caso concreto, o núcleo de forense computacional realiza consulta inicial de viabilidade sem custo.