Exame técnico de conversas de WhatsApp, Telegram e outros aplicativos: autenticidade, integridade, autoria e mensagens apagadas, do print contestado à extração com hash.
Conversas de aplicativo decidem ações trabalhistas, disputas de família, casos criminais e eleitorais. E, na maioria dos autos, elas entram da forma mais frágil possível: uma captura de tela.
Um print é a fotografia de uma tela, não a conversa. Ele não carrega os registros internos do aplicativo, não permite conferir integridade e não demonstra de qual aparelho saiu. Tudo o que um print mostra pode ser reproduzido por quem souber montar a tela.
Em caso eleitoral real, examinado pelo laboratório, um candidato juntou aos autos PDFs com prints de supostas conversas de grupo. A perícia reproduziu integralmente as telas em minutos, com aparelhos comuns e sem qualquer ferramenta especial, e o laudo declarou a fraude: os próprios prints continham os vestígios da montagem.
É por isso que a pergunta certa não é "o print parece verdadeiro?", e sim "o que sustenta este print?". A resposta é técnica, e tem hierarquia.
A montagem demonstrada no caso eleitoral seguiu quatro passos ao alcance de qualquer usuário:
A mesma mecânica que permite a fraude deixa os vestígios que a denunciam:
Quando a fraude é evidente na própria montagem, o exame pode declará-la sem acesso ao aparelho de origem: foi o que ocorreu no caso eleitoral. Já para atestar que uma conversa é autêntica, o caminho inverso, o exame precisa da fonte: o aparelho, ou a extração forense dele.
Imagem do que a tela exibia em um instante. Reprodutível em minutos, sem metadados e sem integridade conferível. Pode ser aceito quando não impugnado; quando contestado, é o degrau mais frágil.
O recurso nativo de exportar conversa gera arquivo com o histórico e as mídias. Melhor que o print por trazer estrutura e continuidade, mas o arquivo é texto editável, sem hash e sem cadeia de custódia: documenta, não autentica.
Aquisição das bases de dados do aplicativo diretamente do aparelho, com ferramenta forense, hash SHA-256, mídia lacrada e cadeia de custódia documentada. É o degrau que carrega metadados, registros internos e mensagens apagadas remanescentes, e que resiste à impugnação.
A síntese: o print mostra, a exportação organiza, a extração demonstra. Quando a conversa é peça central do caso, subir de degrau antes da impugnação custa muito menos do que discutir a fragilidade depois dela.
O exame verifica se as mensagens constam das bases de dados do aplicativo no aparelho, com seus registros internos e identificadores: a diferença entre uma imagem de conversa e uma conversa demonstrada.
Hash calculado na aquisição e conferível a qualquer tempo, por qualquer das partes: se um bit mudar, o hash denuncia. É o critério objetivo de integridade da prova digital.
Vínculo entre mensagem, conta, número e dispositivo, somado ao contexto de uso do aparelho: quem estava por trás da conversa, sustentado por vestígios e não por aparência de tela.
Registros remanescentes de mensagens apagadas nas bases do aplicativo ou em áreas residuais do aparelho, quando recuperáveis: inclusive a demonstração de que algo foi apagado, e quando.
O exame também funciona como contraprova: diante de prints juntados pela parte contrária, o confronto com a extração do aparelho demonstra se aquela conversa existiu, se foi editada ou se nunca esteve lá.
A jurisprudência do STJ desenha uma régua dupla. De um lado, prints apresentados espontaneamente por particulares têm sido admitidos quando confirmados em juízo, sob contraditório, e sem indício de adulteração: a disciplina da cadeia de custódia dos arts. 158-A a 158-F do CPP dirige-se primariamente ao vestígio colhido pelo Estado.
De outro, o rigor cresce quando há método ausente ou contestação: no AgRg no HC 828.054/RN (5ª Turma, 2024), prints extraídos de celular apreendido sem ferramenta forense, sem hash e sem documentação foram considerados inadmissíveis.
A 6ª Turma também reafirmou a invalidade da prova obtida por espelhamento de conversas via WhatsApp Web, meio que permite ao terceiro enviar e apagar mensagens em nome do usuário; e, no HC 943.895/PR (5ª Turma, 2025), o acesso ao aparelho antes da perícia tornou as provas imprestáveis.
A leitura prática: a conversa pode entrar nos autos por vários caminhos, mas, no momento em que for impugnada, o desfecho passa a depender de demonstração técnica. A extração com hash, feita cedo, evita que o caso dependa dessa discussão.
Enquanto o exame não acontece, algumas condutas preservam o valor probatório, e outras o destroem:
Consulte também
Extração Forense de Celulares → Documentoscopia Digital → Forense Computacional → Laudos e Pareceres →
A base é São Paulo; o alcance é nacional. Conforme o caso, a coleta acontece no laboratório, em diligência no local (escritório, empresa, cartório ou fórum) ou por procedimento remoto assistido, com o mesmo rito de hash e cadeia de custódia documentada.
Aparelho em risco de apagamento remoto, prazo processual iminente ou evidência prestes a expirar: casos de preservação urgente têm triagem prioritária pelo WhatsApp comercial, inclusive fora do fluxo padrão de resposta.
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso