Laboratório próprio que recupera dados de mídias com dano lógico, eletrônico ou físico e entrega, junto com os arquivos, a cadeia de custódia que os sustenta como prova em juízo.
O HD que caiu guardava os e-mails que demonstram a fraude. O celular quebrado contém as conversas decisivas do processo trabalhista. O servidor formatado tinha a contabilidade da empresa em litígio societário. Nesses cenários, o dado perdido não é um arquivo: é prova.
E quando o dado perdido é evidência, a forma de recuperá-lo decide se ele será aceito ou impugnado. A recuperação devolve o arquivo; só o método forense devolve o arquivo com a documentação que o sustenta diante da parte contrária.
O Superior Tribunal de Justiça vem consolidando a régua: prova digital sem hash, sem lacre e sem documentação de manuseio é prova vulnerável. No AgRg no HC 828.054/RN (5ª Turma, 2024) e no RHC 205.441/GO (6ª Turma, 2025), a ausência desses cuidados levou à inadmissibilidade e à nulidade.
A mesma lógica alcança o dado recuperado: um HD enviado a uma recuperadora comum volta com os arquivos, mas sem hash de aquisição, sem lacre e sem registro de quem tocou na mídia. A parte contrária impugna, e a prova cai.
A diferença não está apenas na ferramenta de recuperação: está em tudo o que acontece antes, durante e depois dela. O procedimento inclui, em todos os casos:
A recuperação forense exige ambiente e ferramental que não se improvisam. O laboratório reúne:
Abertura de mídias em ambiente de ar filtrado e controlado. Um prato magnético exposto a partículas comuns de poeira pode sofrer dano irreversível; fora desse ambiente, a abertura de um HD é um risco, não um procedimento.
Bancadas separadas para diagnóstico, intervenção física e aquisição, com hardware especializado capaz de ler discos instáveis e acessar o firmware das mídias.
Acervo de discos compatíveis para transplante de componentes: placas lógicas, motores e conjuntos de cabeças. Cada doador utilizado é identificado e registrado no relatório.
Duplicadores e bloqueadores de escrita para gerar a imagem bit a bit com hash, além de ferramentas de acesso a firmware para mídias que não respondem pelos meios convencionais.
Exclusão acidental ou intencional, formatação, corrupção do sistema de arquivos, ransomware e falha de firmware. A recuperação acontece sobre a imagem forense: a evidência de quando e como o dado foi apagado muitas vezes vale tanto quanto o próprio dado.
Placa lógica queimada por surto ou queda de energia, conectores danificados. Transplante de PCB com transferência de ROM e adaptação de firmware, com o componente doador documentado.
Cabeças de leitura colididas, motor travado, pratos comprometidos. Substituição do conjunto de cabeças com doador compatível, em cabine de fluxo laminar; a abertura fora desse ambiente contamina os pratos e pode tornar a perda irreversível.
Internos, externos e de notebook: falhas mecânicas, de firmware e setores defeituosos. Imagem com hardware especializado que lê discos instáveis sem forçá-los além do necessário.
Falha de controlador, acesso em modo técnico e chip-off. Com franqueza: em SSDs saudáveis, o comando TRIM apaga fisicamente as células pouco após a exclusão, e dados deletados frequentemente não retornam. Já SSDs com falha de controlador podem preservar dados que o TRIM não chegou a processar.
Leitura direta dos chips NAND (chip-off) e acesso a mídias monolíticas via pinout, quando o controlador deixa de responder.
Reconstrução de arranjos 0, 1, 5, 6 e 10, com imagem individual de cada membro antes de qualquer remontagem: nenhuma tentativa acontece sobre os discos originais.
Reparo do aparelho para viabilizar a extração forense, quando o conteúdo é o objeto da perícia: o dispositivo volta a responder para que a evidência seja adquirida com método.
Fitas e mídias óticas, sob consulta: relevantes em inventários, arquivos empresariais antigos e obrigações de guarda de longo prazo.
Situações reais, vistas com frequência em mídias que chegam ao laboratório depois de passar por outras mãos:
A régua não é teórica. No AgRg no HC 828.054/RN (5ª Turma, 2024), prints feitos diretamente no celular apreendido, sem ferramenta de extração, sem hash e sem documentação, resultaram em prova inadmissível. No RHC 205.441/GO (6ª Turma, 2025), o aparelho sem lacre e sem registro de IMEI levou à nulidade. No HC 943.895/PR (5ª Turma, 2025), o acesso ao celular antes da perícia tornou as provas imprestáveis. O rigor que anula a prova mal manuseada é o mesmo que ameaça o dado recuperado sem método.
E-mails e arquivos apagados por ex-funcionário; o notebook devolvido vazio que precisa contar o que continha, quando foi esvaziado e por quem.
Concorrência desleal, desvio de clientela e sabotagem de dados; a apuração interna documentada desde o início, para o caso de virar ação judicial.
A mídia danificada que contém o vestígio do caso, recuperada com método defensável; assistência técnica de acusação ou defesa.
Acesso a documentos, contabilidade, criptoativos e fotos do falecido, com legitimidade comprovada e documentação que previne disputa entre herdeiros.
Demonstração técnica do conteúdo perdido em sinistros e disputas de cobertura, com relação de arquivos e relatório que sustenta o pleito.
A rotina de backup existia, mas o arquivo restaurado veio corrompido ou incompleto justamente quando o processo o exigia. A recuperação forense busca o dado na origem e o devolve com a documentação que sustenta seu uso como prova.
A síntese: a recuperação comum responde à pergunta "onde estão meus arquivos?". A recuperação forense responde também à pergunta seguinte: "como se prova que são eles?".
A honestidade técnica faz parte do método. Antes de qualquer contratação, vale saber:
Consulte também
Forense Computacional → Laudos e Pareceres → Laboratório Forense →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso