Prova digital

Cadeia de custódia de prova digital em fraude bancária

O que o CPP exige, as dez etapas traduzidas para o digital, por que hash sozinho não resolve e onde os casos caem. Com o que o STJ vem decidindo.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 27 de outubro de 2026

Cadeia de custódia costuma ser tratada como formalidade de perito. Não é. É o que separa um conjunto de arquivos de uma prova que o juízo consegue usar, e a diferença entre as duas coisas tem decidido processo no Superior Tribunal de Justiça.

Este texto trata de fraude bancária, onde o vestígio quase nunca é físico: é log, é extração de aparelho, é conversa em aplicativo, é registro de acesso guardado por uma instituição que tem prazo de retenção próprio.

O que o CPP passou a exigir

A Lei nº 13.964/2019, o pacote anticrime, inseriu no Código de Processo Penal o artigo 158-A e seguintes. O 158-A define cadeia de custódia como o conjunto de todos os procedimentos utilizados para manter e documentar a história cronológica do vestígio coletado, a fim de rastrear sua posse e manuseio a partir do reconhecimento até o descarte.

Duas consequências que costumam passar batido.

A cadeia começa no reconhecimento, não na perícia. O início se dá com a preservação do local ou com o procedimento em que se detecta a existência de vestígio, e o agente público que reconhece um elemento de potencial interesse fica responsável pela preservação dele. Quando o perito recebe o material, metade da história já aconteceu.

O texto foi escrito pensando em vestígio físico. Fala em isolamento, acondicionamento, transporte e lacre. Aplicar isso a um arquivo exige tradução, e é nessa tradução que a maioria dos problemas nasce.

As dez etapas, traduzidas

O rastreamento previsto no CPP passa por reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte. Em fraude bancária, isso vira o seguinte:

A etapa que mais se perde em fraude bancária é o isolamento, e ela se perde por um motivo específico: log tem prazo de retenção. Se a requisição não chega a tempo, o registro é expurgado pela rotina normal da instituição, sem que ninguém tenha agido de má-fé. Depois disso não existe perícia que recupere.

Por isso a primeira providência técnica de um caso quase nunca é examinar, é congelar: pedir a preservação do que existe antes de discutir o mérito de qualquer coisa.

O que o STJ vem decidindo

A formulação que resume a posição do tribunal está no voto que prevaleceu no HC 653.515:

Com a mais respeitosa vênia àqueles que defendem a tese de que a violação da cadeia de custódia implica, de plano e por si só, a inadmissibilidade ou a nulidade da prova […], parece-me mais adequada aquela posição que sustenta que as irregularidades constantes da cadeia de custódia devem ser sopesadas pelo magistrado com todos os elementos produzidos na instrução, a fim de aferir se a prova é confiável.

Lendo a sequência inteira, a linha fica evidente. A regra da não nulidade automática continua, mas o padrão de exigência técnica subiu bastante, e a prova digital passou a ser tratada com desconfiança quando não vem acompanhada da documentação do caminho que percorreu.

O caso de 2023 merece parágrafo próprio, e é o mais parecido com o nosso assunto

Ele tramita em segredo de justiça, e é por isso que não tem número público. Mas os fatos foram divulgados pelo próprio STJ e são desconfortavelmente próximos do que este site trata: o acusado era apontado como integrante de organização criminosa que praticava furtos eletrônicos contra instituições financeiras.

E o detalhe que faz esse julgado valer mais que os outros para quem atua na área: segundo o relator, antes mesmo de ser periciado pela polícia, o conteúdo extraído dos equipamentos foi analisado pela própria instituição financeira vítima. Não havia documentação sobre os métodos de acondicionamento nem sobre a extração dos dados.

Guarde isso, porque é o modo mais comum de a prova se perder em caso de fraude bancária. A instituição lesada tem equipe técnica, tem pressa e tem interesse legítimo em entender o que houve. Só que examinar antes da perícia, sem registro, é exatamente o que derruba o material depois.

Quando o argumento da quebra não pega

Vale conhecer o outro lado da jurisprudência, porque quem só decora os casos favoráveis sustenta tese que não se segura. O mesmo tribunal tem uma série de decisões em que a alegação de quebra não prosperou:

• AREsp 1.847.296, Quinta Turma, rel. min. Reynaldo Soares da Fonseca. Divergência entre o número de itens do auto de infração e o do auto de apreensão não invalidou a condenação, porque havia prova suficiente da materialidade. Nulidade no processo penal exige comprovação de prejuízo efetivo.
• REsp 1.825.022, Sexta Turma, rel. min. Sebastião Reis Júnior. No tribunal do júri, irregularidade na guarda de provas deve ser apontada antes da pronúncia, sob pena de preclusão, nos termos do art. 571, I do CPP. No caso, arma e projéteis haviam sumido, e ainda assim a preclusão obstou a nulidade.
• HC 739.866, Quinta Turma, rel. min. Reynaldo Soares da Fonseca. Não cabe discutir quebra por inobservância de regras que não existiam à época do crime, anteriores à Lei 13.964/2019.
• HC 574.103, Sexta Turma, rel. min. Nefi Cordeiro. Ofício conciso sobre exame de DNA, sem indicação do número do pacote, não basta para configurar quebra.
• RHC 104.176, Sexta Turma, rel. min. Rogerio Schietti Cruz. Alegação de quebra que exige exame aprofundado de prova não cabe em habeas corpus. O campo para dirimir dúvida é o juízo da causa, sob contraditório.

A lição prática desses cinco é uma só, e ela é impopular: não basta apontar a falha, é preciso demonstrar o prejuízo, no momento certo e na via certa. Quem alega quebra sem mostrar o que concretamente ficou comprometido costuma ouvir que a prova segue de pé.

Hash não é mágica

Esse é o mal-entendido mais caro que existe nessa matéria.

Hash é uma função que gera um código a partir do conteúdo de um arquivo. Se um único bit muda, o código muda. Ele serve para demonstrar que a cópia continua idêntica ao que era no momento em que o hash foi calculado.

O que ele não faz: dizer que o conteúdo original é autêntico, dizer de onde ele veio, dizer quem o manipulou antes, e dizer se já estava adulterado quando o cálculo aconteceu.

Foi exatamente isso que o STJ apontou. Hash sem documentação do percurso é hash de um arquivo de origem desconhecida. E o momento do cálculo importa: hash gerado depois de o material já ter passado por três mãos comprova a integridade a partir da terceira mão, não antes dela.

Na prática, hash resolve uma pergunta e apenas uma: continua o mesmo desde então? Todas as outras perguntas se respondem com registro.

Print de tela

Print serve para localizar, orientar e ilustrar. Como prova isolada, vale pouco, e a jurisprudência recente tornou isso explícito.

O problema não é jurídico, é técnico. Print não carrega metadado, não traz origem, não registra a sessão, e qualquer pessoa edita um em minutos com ferramenta que já vem instalada. E quando a captura vem de ambiente espelhado, some até a garantia de que o conteúdo não foi alterado do outro lado.

O que melhora um print, quando ele é o único recurso disponível:

• Capturar a tela inteira, com barra de status visível, mostrando horário e identificação do aplicativo
• Não recortar, não redimensionar, não reenviar por aplicativo que recomprime a imagem
• Gerar hash do arquivo e registrar data e hora do cálculo
• Preservar o dispositivo de origem, para que a extração completa seja possível depois
• Ata notarial, quando o valor da causa justifica

O que não melhora: print de print, foto da tela de outro aparelho, e imagem encaminhada por aplicativo de mensagem antes de ser preservada.

Onde os casos caem

Em ordem de frequência, pela experiência de quem lê laudo com atenção:

1. Horário sem fuso declarado. Log em UTC, aparelho em horário local, testemunha falando em horário de Brasília. Três relógios, nenhuma conversão explícita, e a linha do tempo desmonta no contraditório.
2. Hash ausente ou tardio. Calculado depois do manuseio, ou não calculado.
3. Cópia de cópia. O material chega ao exame já reprocessado, sem que ninguém saiba o que aconteceu no caminho.
4. Extração feita pelo interessado. A parte extrai o próprio aparelho, com a própria ferramenta, e apresenta o resultado. Tecnicamente pode estar correto, mas o ônus de demonstrar integridade fica pesado.
5. Delimitação inexistente. Requisição genérica de “todos os registros”, que a instituição responde com um recorte que ela mesma escolheu.
6. Log expurgado. Ninguém pediu preservação a tempo.
7. Ausência de descrição do método. Laudo que diz o resultado e não diz como chegou nele.

A norma técnica

A referência para o tratamento de evidência digital é a ABNT NBR ISO/IEC 27037, que trata de diretrizes para identificação, coleta, aquisição e preservação de evidência digital.

Vale entender os quatro verbos, porque eles não são sinônimos:

• Identificação é reconhecer que algo tem potencial de ser evidência.
• Coleta é retirar a evidência do ambiente com o menor impacto possível.
• Aquisição é criar uma cópia fiel.
• Preservação é garantir que original e cópia permaneçam íntegros, protegidos contra alteração, perda e acesso indevido.

Laudo que cita a norma no cabeçalho e descreve procedimento incompatível com ela é uma das coisas mais fáceis de impugnar que existem.

O assistente técnico, e quando entra

O erro mais comum é chamar o assistente técnico depois do laudo, para reagir.

Os três momentos em que a entrada muda o resultado, em ordem de valor:

Antes da coleta. É quando ainda dá para preservar o que está prestes a sumir, delimitar corretamente o que se pede e evitar que a própria produção da prova nasça viciada. É o momento mais barato e o mais ignorado.

Na formulação de quesitos. Quesito mal feito produz laudo que não responde nada, e não existe recurso contra pergunta que não foi feita.

Durante o exame. Acompanhar a extração é diferente de ler o relatório dela.

Quesitos que costumam faltar

A lista abaixo é específica: trata da integridade e da procedência do material examinado, que é o assunto deste texto. Para o método de formular quesitos, com os eixos do caso bancário e os defeitos que anulam a pergunta, veja quesitos para perícia em fraude bancária.

Uma lista curta, para quem vai formular:

• Qual o fuso horário de cada fonte de dado examinada, e como foi feita a conversão para uma base comum?
• Em que momento o hash de cada item foi calculado, e por quem, e qual o valor?
• Qual o caminho percorrido pelo material desde a apreensão ou requisição até o exame, com datas e responsáveis?
• Qual ferramenta foi usada, em qual versão, e ela é reconhecida para esse tipo de aquisição?
• A aquisição foi física, lógica ou de sistema de arquivos, e o que essa escolha deixou de fora?
• Existe registro de acesso remoto ao dispositivo no período, e de qual origem?
• O dado apresentado é o bruto ou um relatório gerado pela ferramenta? Se for relatório, o bruto está disponível?
• Houve alteração de estado do dispositivo entre a apreensão e o exame, como ligar, desbloquear ou conectar à rede?
• Quais registros existiam e não foram preservados, e por quê?

A última é a mais desconfortável e a mais útil. Prova que não existe mais também é informação, e o motivo de ela não existir costuma explicar bastante sobre o caso.

Em caso de conta usada por terceiro, há um quesito que decide sozinho: de quais dispositivos e endereços partiram os acessos no período, e eles são compatíveis com a rotina do titular? Essa pergunta separa quem cedeu de quem foi usado, e ela só se responde com registro preservado.

Para ver como esse tipo de prova decide responsabilidade em golpe bancário, o panorama das decisões do STJ mostra que o critério aplicado hoje é de fato técnico. E para quem ainda está na hora zero, o que fazer nas primeiras 48 horas trata do que dá para salvar antes de qualquer discussão. E quando o laudo do outro lado chegar, como ler um laudo pericial mostra em que ordem examinar o que veio.