Extração e análise de smartphones e tablets Android e iOS: mensagens, aplicativos, localização, mídias e conteúdo apagado, adquiridos com método que preserva o valor probatório e protege todas as partes.
Conversas, fotos, deslocamentos, transações, contatos: nenhum outro objeto concentra tanto vestígio quanto um smartphone. Por isso ele decide processos criminais, trabalhistas, de família e investigações corporativas.
Mas o mesmo aparelho que guarda a prova a destrói com facilidade: cada desbloqueio altera registros, cada sincronização sobrescreve dados, e um comando remoto pode apagar tudo. A forma de acesso ao celular decide se o conteúdo vira prova ou passivo.
O Superior Tribunal de Justiça vem cobrando método: no HC 943.895/PR (5ª Turma, 2025), o acesso ao celular antes da perícia tornou as provas imprestáveis; no AgRg no HC 828.054/RN (5ª Turma, 2024), prints feitos diretamente no aparelho, sem ferramenta de extração e sem hash, resultaram em prova inadmissível.
A extração forense existe exatamente para isso: adquirir o conteúdo do aparelho de forma documentada, verificável e repetível, nos termos da ABNT NBR ISO/IEC 27037 e dos arts. 158-A a 158-F do CPP.
Aquisição dos dados ativos por meio das interfaces do sistema: contatos, chamadas, mensagens, mídias e dados de aplicativos acessíveis. É a via mais rápida e menos invasiva; em regra, não alcança conteúdo apagado.
Acesso às partições e à estrutura interna de arquivos do aparelho, incluindo bancos de dados de aplicativos e seus registros internos: é onde costumam aparecer mensagens excluídas ainda presentes nas bases, configurações e artefatos de uso.
Cópia bit a bit da memória do dispositivo, incluindo áreas não alocadas: a maior profundidade possível e a maior chance de recuperar conteúdo apagado. A viabilidade depende de marca, modelo, versão do sistema e estado da criptografia.
A escolha do método não é preferência: é ditada pelo aparelho, pela versão do sistema e pelo objetivo do exame. O laudo registra qual extração foi realizada, com qual ferramenta e versão, e o que cada escolha alcança e deixa de alcançar, para que o método possa ser conferido por qualquer das partes.
O alcance real depende do aparelho e do método viável, mas o repertório típico inclui:
WhatsApp, Telegram, Instagram, SMS e outros: mensagens, grupos, mídias trocadas e registros internos dos aplicativos, lidos diretamente das bases de dados do aparelho.
Mensagens, fotos e vídeos apagados que permanecem em áreas não alocadas ou em registros residuais das bases de dados. Mesmo recuperações parciais frequentemente bastam para demonstrar que o conteúdo existiu.
Data, hora, aparelho de origem e, quando habilitada, coordenada GPS gravada no arquivo (EXIF): a foto deixa de ser só imagem e passa a ser evento datado e localizado.
Registros de GPS, redes Wi-Fi conhecidas e dados de aplicativos que gravam posição: a triagem por geolocalização frequentemente é o primeiro filtro de um caso com múltiplos aparelhos.
Chamadas, contatos, calendário, histórico de navegação, instalação e remoção de aplicativos: os artefatos que reconstroem a rotina digital do usuário.
Contas cadastradas, e-mails, padrões de uso e datas de configuração: o exame verifica se o aparelho entregue é mesmo o do investigado, inclusive quando alguém tenta apresentar outro celular como seu.
O dado extraído é bruto; a análise é o que o transforma em resposta. Duas construções sustentam a maioria das conclusões:
Com a senha fornecida pelo titular ou por quem detém legitimidade, a extração é o caminho natural. Sem a senha, a viabilidade de acesso depende de marca, modelo, versão do sistema e estado do aparelho, e é avaliada caso a caso, sem promessa prévia: há cenários viáveis e há cenários em que a criptografia prevalece. A avaliação declara o cenário antes de qualquer contratação.
Aparelho quebrado não é aparelho perdido: tela morta, conector danificado ou placa com defeito frequentemente escondem memória intacta. Nesses casos, o laboratório de recuperação repara o dispositivo até que a extração forense se torne possível, com cada intervenção documentada. O tema tem página própria: Recuperação Forense de Dados →
A maior parte das provas que se perdem em celulares se perde antes do exame. As regras que preservam o valor probatório:
Ao final da extração, os dados são gravados em mídia de destino finalizada como somente leitura, com hash calculado no fechamento e lacre numerado. A partir desse ponto, qualquer inserção, alteração ou remoção de conteúdo se torna tecnicamente detectável: o hash deixaria de conferir.
Esse desenho protege as duas pontas do processo. Quem acusa recebe uma evidência que resiste à alegação de manipulação; quem é investigado recebe a segurança de que nada pode ser acrescentado ao seu aparelho depois da coleta. A perícia bem feita não é instrumento de uma parte: é o terreno neutro em que o dado fala por si.
Produção de prova de defesa ou acusação e revisão técnica de extrações oficiais: a experiência de quem treinou operadores da ferramenta usada pelas forças de segurança serve também para conferir o que foi feito nos autos.
Justa causa, assédio, concorrência desleal e uso indevido de equipamento: mensagens e registros do aparelho corporativo ou pessoal, colhidos dentro dos limites legais.
Divórcio, guarda e alienação parental: conversas e mídias preservadas com método, sempre a partir de acesso legítimo ao aparelho examinado.
Investigações internas, desligamentos sensíveis, suspeita de vazamento ou fraude: o aparelho corporativo examinado com rito que suporta a eventual judicialização.
Estelionato, ameaça, invasão de contas: preservação do próprio aparelho da vítima como prova, antes que atualizações e uso cotidiano apaguem os vestígios.
Acompanhamento de extração determinada em juízo, formulação de quesitos e parecer sobre laudo alheio: o olhar técnico da parte dentro do processo.
Consulte também
Perícia em WhatsApp e Conversas → Recuperação Forense de Dados → Forense Computacional → Laudos e Pareceres →
A base é São Paulo; o alcance é nacional. Conforme o caso, a coleta acontece no laboratório, em diligência no local (escritório, empresa, cartório ou fórum) ou por procedimento remoto assistido, com o mesmo rito de hash e cadeia de custódia documentada.
Aparelho em risco de apagamento remoto, prazo processual iminente ou evidência prestes a expirar: casos de preservação urgente têm triagem prioritária pelo WhatsApp comercial, inclusive fora do fluxo padrão de resposta.
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso