Relatórios, PDFs e arquivos derivados podem ser produzidos legitimamente por ferramentas forenses — mas não podem ser confundidos com arquivos originalmente armazenados no dispositivo
Em uma investigação envolvendo prova digital, uma pergunta aparentemente simples pode mudar completamente a interpretação do caso:
Esse arquivo realmente existia no celular ou foi criado somente durante a análise pericial?
A diferença é decisiva.
Softwares forenses podem extrair bancos de dados, mensagens, imagens, registros de aplicativos e metadados. Durante o processamento, essas ferramentas também podem gerar novos arquivos, como relatórios em PDF, páginas HTML, planilhas, imagens convertidas, miniaturas e documentos destinados a facilitar a visualização das informações.
A criação desses arquivos durante a análise não significa, por si só, que houve fraude ou manipulação.
O problema surge quando um arquivo produzido posteriormente é apresentado no processo como se tivesse sido encontrado pronto e acabado dentro do aparelho.
O arquivo exibido pode não ser o arquivo original
Imagine que um celular contenha registros armazenados em um banco de dados interno de aplicativo.
A ferramenta forense interpreta esses registros e gera um relatório em PDF contendo nomes, datas, mensagens ou outros dados. O PDF não existia originalmente no celular. Ele foi criado pela ferramenta, no computador utilizado para a análise, a partir de informações que supostamente estavam no dispositivo.
Nesse cenário, existem três elementos diferentes:
- os dados originalmente armazenados no celular;
- a extração forense realizada sobre o aparelho;
- o arquivo derivado criado para apresentar ou organizar os dados extraídos.
Confundir esses elementos pode levar à falsa impressão de que o PDF, a imagem ou o documento estava armazenado daquela forma no telefone.
As diretrizes do NIST tratam a perícia em dispositivos móveis como um processo que envolve preservação, aquisição, exame, análise e apresentação dos dados. Essas etapas não são equivalentes: a informação adquirida do dispositivo precisa ser diferenciada dos produtos posteriormente gerados durante o exame e o relatório.
Arquivo original e arquivo derivado não são a mesma coisa
Um arquivo original ou nativo é aquele que estava armazenado no dispositivo, em determinado caminho, partição, aplicativo ou sistema de arquivos.
Esse arquivo pode possuir:
- nome;
- extensão;
- caminho de armazenamento;
- tamanho;
- hash;
- datas associadas;
- identificadores internos;
- vínculo com determinado aplicativo ou usuário.
Já um arquivo derivado é produzido durante a análise.
Pode ser, por exemplo:
- um PDF criado pelo software pericial;
- uma imagem convertida para outro formato;
- uma planilha exportada;
- um relatório HTML;
- uma captura de tela feita pelo examinador;
- um documento reunindo informações provenientes de diferentes registros;
- uma representação visual de dados armazenados em banco SQLite, XML ou JSON.
O arquivo derivado pode ser útil e tecnicamente legítimo. Contudo, seu valor probatório depende da demonstração de como ele foi produzido e de sua correspondência com os dados de origem.
Não basta afirmar que o documento “veio do celular”.
É necessário demonstrar de qual dado ele veio, onde esse dado estava, qual ferramenta o interpretou e quais operações foram realizadas até a criação do arquivo apresentado.
A data de criação pode revelar a verdadeira origem do documento
Um dos primeiros sinais de que o arquivo não era nativo do aparelho pode estar nos próprios metadados.
Se o telefone foi apreendido em determinada data, mas o documento possui data de criação posterior, coincidente com a realização da perícia, isso pode indicar que o arquivo foi gerado durante o processamento.
Essa constatação não prova automaticamente uma irregularidade. Um relatório pericial naturalmente será criado depois da apreensão.
Entretanto, exige que o documento seja corretamente identificado como:
arquivo derivado ou relatório gerado durante a análise
e não como:
arquivo encontrado no celular.
Também é necessário verificar qual data está sendo examinada. Sistemas digitais podem registrar datas de criação, modificação, acesso, sincronização, exportação e processamento. Cada uma possui significado técnico próprio e não deve ser interpretada isoladamente.
O problema não é criar o arquivo. É ocultar sua procedência
A atividade pericial frequentemente exige a geração de materiais derivados para tornar os dados compreensíveis.
O risco aparece quando não há documentação suficiente para reconstruir o caminho percorrido entre o aparelho apreendido e o documento juntado ao processo.
As boas práticas do SWGDE recomendam documentação contemporânea da coleta e da cadeia de custódia, incluindo a identificação do dispositivo, as datas, as pessoas responsáveis e as alterações causadas pela interação com o aparelho. O documento também destaca que todas as mudanças decorrentes da manipulação do dispositivo devem ser registradas.
Portanto, se uma ferramenta, um script ou uma intervenção humana criou um novo arquivo, essa operação deve ser tecnicamente rastreável.
A análise precisa permitir responder:
- Qual era o dado de origem?
- Em que local ele estava armazenado?
- Qual método de extração foi utilizado?
- Qual ferramenta e versão realizaram o processamento?
- O arquivo foi criado automaticamente ou manualmente?
- Houve conversão, edição, seleção ou reorganização de conteúdo?
- O documento reúne dados provenientes de fontes diferentes?
- Existem logs que registram a operação?
- O procedimento pode ser repetido por outro especialista?
Sem essas respostas, a defesa recebe apenas o resultado final, sem condições reais de auditar sua formação.
Um PDF não prova sozinho que o conteúdo estava no celular
Um PDF é, essencialmente, uma forma de apresentação.
Ele pode ter sido gerado a partir de dados legítimos, mas também pode conter:
- seleção parcial de informações;
- supressão de contexto;
- reorganização cronológica;
- conversão de fuso horário;
- interpretação automática da ferramenta;
- associação incorreta entre registros;
- dados provenientes de backups ou serviços em nuvem;
- informações inseridas durante a própria análise.
Por isso, a simples juntada do PDF não demonstra integralmente sua origem, autenticidade ou correspondência com o conteúdo original.
A questão central não é somente saber se o documento parece verdadeiro.
A questão é saber se existe uma trilha técnica capaz de ligar o documento apresentado ao vestígio digital original.
Cadeia de custódia também alcança o processamento da prova
O artigo 158-A do Código de Processo Penal define cadeia de custódia como o conjunto de procedimentos destinados a manter e documentar a história cronológica do vestígio, permitindo rastrear sua posse e seu manuseio.
A legislação inclui o processamento entre as etapas da cadeia de custódia. Isso significa que as operações realizadas depois da coleta também precisam ser documentadas, especialmente quando produzem novos arquivos ou representações da evidência.
O Superior Tribunal de Justiça já reconheceu que a falta de metodologia e de documentação capazes de garantir a idoneidade e a integridade de dados extraídos de celular pode comprometer a admissibilidade da prova digital.
Em entendimento divulgado em 2026, o STJ também destacou que a integridade e a auditabilidade da prova digital dependem da preservação da cadeia de custódia e da possibilidade de exame técnico independente, podendo envolver o uso de hash em observância ao princípio da mesmidade.
O princípio da mesmidade
O princípio da mesmidade exige que seja possível demonstrar que a evidência examinada e apresentada no processo corresponde ao vestígio originalmente coletado.
Quando um arquivo é criado durante a análise, a mesmidade não é demonstrada apenas pelo hash do arquivo novo.
O hash comprova que aquele arquivo derivado não foi alterado depois de sua geração. Ele não prova, isoladamente, que o documento existia anteriormente no celular.
Para estabelecer a ligação com o dispositivo, é necessário preservar e disponibilizar:
- os hashes da extração original;
- o pacote ou imagem forense;
- os arquivos e bancos de dados de origem;
- os logs de processamento;
- a versão da ferramenta;
- os parâmetros utilizados;
- o hash do arquivo derivado;
- a explicação técnica sobre como ele foi produzido.
A pergunta não deve ser apenas:
“O hash do PDF está correto?”
A pergunta mais importante é:
“Como esse PDF foi produzido e qual elemento da extração original comprova seu conteúdo?”
O que a defesa deve verificar
Quando houver suspeita de que determinado documento foi criado durante a análise, a defesa técnica deve buscar o material anterior à geração do arquivo.
Entre os elementos relevantes estão a extração integral, os contêineres forenses, os relatórios de aquisição, os logs das ferramentas, os arquivos de origem, as bases de dados, os caminhos internos, os identificadores dos registros, os horários e fusos adotados e os respectivos hashes.
Também deve ser esclarecido se o documento foi:
- extraído diretamente;
- reconstruído;
- convertido;
- exportado;
- renderizado;
- compilado;
- produzido manualmente;
- gerado automaticamente pela ferramenta.
Esses termos não são sinônimos.
“Extraído” sugere que o arquivo já existia no dispositivo.
“Gerado” ou “exportado” indica que um novo arquivo foi produzido a partir de determinados dados.
Essa diferença precisa constar de forma transparente no laudo.
Conclusão
Um arquivo criado durante a análise não é automaticamente falso ou imprestável.
Mas também não pode ser tratado como se fosse, necessariamente, um arquivo originalmente armazenado no celular.
A validade de um documento derivado depende da transparência do procedimento, da preservação dos dados de origem e da possibilidade de reprodução e auditoria independente.
Na prova digital, não basta examinar o conteúdo que aparece na tela.
É preciso reconstruir sua procedência.
Quando o arquivo não estava no celular, a perícia precisa demonstrar exatamente quando, como, por quem e a partir de quais dados ele foi criado.
Sem essa rastreabilidade, o processo pode estar avaliando não o vestígio original, mas apenas uma representação produzida durante a investigação.