O procedimento forense denominado carving, que consiste em algoritmos de reconstrução de arquivos com base na recuperação de fragmentos e reconhecimento de conteúdos típicos, é oferecido em muitas ferramentas forenses. Sobre esse procedimento, o analista forense deve considerar que:
- A)a opção de carving deve ser empregada quando disponível na ferramenta de recuperação de dados, já que garante a recuperação de todos os dados que o usuário do dispositivo tenha apagado, incidental ou propositadamente, permitindo relacioná-los diretamente a ele;
Errada, porque o carving não garante recuperar todos os dados apagados nem permite relacioná-los diretamente ao usuário sem análise contextual e outros elementos de prova.
- B)o procedimento de carving deve ser utilizado com critério, pois há o risco de se recuperarem dados de usos anteriores de um dispositivo de armazenamento, sem relação com o usuário ou os fatos sob investigação, podendo ser desaconselhável em algumas situações;
Certa, porque o carving pode recuperar vestígios antigos ou não relacionados ao caso, exigindo cautela na interpretação pericial.
- C)uma das vantagens do uso de carving é que os algoritmos de reconhecimento seguem um padrão, garantindo o mesmo resultado, independentemente da ferramenta ou versão utilizadas;
Errada, pois os algoritmos e resultados podem variar conforme ferramenta, versão, parâmetros e estado do dispositivo.
- D)dados recuperados por carving são interessantes para subsidiar uma investigação, mas não têm valor forense real, devido à variabilidade de resultados (a depender da ferramenta ou versão utilizada), além de não recuperarem metadados como nomes dos arquivos ou datas de acesso;
Errada, porque dados recuperados por carving podem ter valor forense, embora muitas vezes percam metadados e exijam corroboração por outras fontes.
- E)na maioria dos casos, ele não é de grande utilidade, pois recupera apenas fragmentos de arquivos removidos pelo usuário, não sendo útil no caso de uma formatação lógica do dispositivo, ainda que recente.
Errada, porque o carving pode ser útil inclusive após formatação lógica, desde que os dados ainda não tenham sido sobrescritos.
Gabarito: B
Carving é uma técnica de recuperação de dados baseada em procurar assinaturas de arquivos e reconstruir seu conteúdo a partir dos fragmentos encontrados no dispositivo. Ele é muito útil quando a estrutura original do sistema de arquivos foi danificada, apagada ou parcialmente sobrescrita, mas isso não transforma a recuperação em uma prova automática de autoria ou de vínculo com o usuário. Em outras palavras, achar um arquivo não significa, por si só, provar quem o criou ou usou. O ponto central é que o carving pode trazer também vestígios de usos anteriores do dispositivo, inclusive de outros usuários, de instalações antigas e até de conteúdos já removidos em momentos diferentes. Por isso, o analista precisa interpretar esses achados com cautela, cruzando com metadados, linha do tempo, logs e contexto da apreensão. Sem esse cuidado, o resultado pode até parecer brilhante, mas enganar bonito. É exatamente isso que a alternativa B descreve: o procedimento deve ser usado com critério, porque pode recuperar dados sem relação com os fatos investigados ou com o usuário atual. Em perícia digital, a utilidade do achado não dispensa a análise de contexto e de confiabilidade da evidência. O valor forense existe, mas ele depende da interpretação técnica e da cadeia de custódia, não de uma fé cega na ferramenta. As demais alternativas exageram ou subestimam o carving. Ele não garante recuperar tudo, não produz sempre o mesmo resultado em qualquer ferramenta e pode sim ser útil até após formatação lógica, dependendo da sobrescrição e do estado do disco. Então, quando a FGV coloca uma resposta que fala em cautela e possibilidade de vestígios sem relação direta com o fato, acerte o passo: é a cara do raciocínio pericial correto.