Usaram minha conta para cometer um crime virtual: quais provas ajudam a esclarecer a autoria?

Uma conta de e-mail, rede social, aplicativo de mensagens ou outro serviço digital pode ser utilizada por terceiro depois de invasão, obtenção indevida da senha, sequestro da conta ou comprometimento dos mecanismos de recuperação.

Quando essa conta passa a ser utilizada para aplicar golpes, enviar ameaças, divulgar conteúdo ilícito ou praticar outra conduta potencialmente criminosa, o titular pode acabar inicialmente associado aos fatos.

Nesse cenário, é importante compreender que ser titular da conta utilizada em um crime virtual não significa automaticamente ser o autor da conduta.

A investigação precisa reconstruir quem efetivamente controlava a conta no momento relevante, quais dispositivos foram utilizados, quando ocorreram os acessos e quais outros elementos técnicos ou circunstanciais confirmam ou afastam determinada hipótese de autoria.

A conta estar no meu nome prova que fui eu?

Não, isoladamente.

O cadastro da conta demonstra uma relação entre determinado usuário e aquele serviço, mas não necessariamente identifica quem estava controlando o acesso no momento da conduta investigada.

Uma conta pode ser utilizada por terceiro em situações como:

• senha comprometida;
• phishing;
• invasão;
• roubo de celular;
• SIM swap ou comprometimento da linha;
• acesso indevido a e-mail de recuperação;
• sessão que permaneceu autenticada em outro dispositivo;
• compartilhamento anterior de credenciais.

Por isso, a identificação da conta é normalmente apenas o início da análise de autoria.

Quais registros podem ajudar a demonstrar que houve acesso indevido?

As informações mais úteis costumam ser aquelas que permitem reconstruir o momento em que o controle da conta mudou.

Podem ser preservados:

• alertas de novo login;
• avisos de acesso por dispositivo desconhecido;
• e-mails de alteração de senha;
• mensagens sobre mudança de telefone ou e-mail;
• avisos de recuperação da conta;
• histórico de dispositivos conectados;
• sessões ativas;
• datas e horários dos acessos;
• notificações de autenticação em duas etapas;
• protocolos apresentados à plataforma.

Esses elementos podem ajudar a demonstrar quando ocorreu uma alteração relevante na segurança da conta.

O histórico de dispositivos é importante?

Pode ser muito importante.

Algumas plataformas permitem visualizar aparelhos ou sessões utilizados recentemente.

Quando essa informação estiver disponível, é recomendável registrar:

• tipo de dispositivo;
• data;
• horário;
• localização aproximada apresentada pelo serviço, quando houver;
• sessões desconhecidas;
• data de encerramento da sessão.

A localização indicada por uma plataforma não deve ser interpretada como localização física exata da pessoa sem análise técnica. Ainda assim, o registro pode integrar o conjunto de provas.

Devo apagar mensagens ou publicações feitas pelo invasor?

A segurança da conta deve ser priorizada, mas a prova também precisa ser preservada.

Quando for seguro fazê-lo, é recomendável registrar o conteúdo antes de sua exclusão.

Podem ser preservados:

• mensagens enviadas;
• publicações;
• pedidos de dinheiro;
• links;
• dados bancários utilizados;
• alterações realizadas no perfil;
• conversas com vítimas;
• horários.

Depois da documentação, devem ser adotadas as medidas necessárias para impedir a continuidade da utilização ilícita.

Prints são suficientes como prova?

Capturas de tela podem ser úteis, especialmente para preservar rapidamente um conteúdo que pode desaparecer.

Entretanto, provas digitais possuem características próprias e podem ser questionadas quanto à autenticidade ou integridade.

Por isso, quando possível, é recomendável conservar também:

• arquivos originais;
• conversas completas;
• exportações realizadas pela própria plataforma;
• e-mails originais;
• dispositivo em que a informação foi recebida;
• metadados disponíveis;
• registros técnicos associados.

Em investigações mais sensíveis, perícia técnica pode ser necessária para examinar a confiabilidade do material digital.

Devo manter o celular ou computador utilizado?

Se existir investigação criminal relevante sobre autoria, o dispositivo pode adquirir importância probatória.

É recomendável evitar apagar desnecessariamente históricos, restaurar aparelhos ou realizar alterações extensas antes de avaliar o impacto dessa medida sobre as provas.

Isso não significa manter uma conta vulnerável.

Senhas devem ser trocadas, sessões suspeitas devem ser encerradas e medidas essenciais de segurança precisam ser adotadas.

A preservação deve ser compatibilizada com a contenção do incidente.

Os protocolos de recuperação da conta ajudam?

Sim.

Uma tentativa de recuperação realizada antes de a pessoa saber que sua conta estava sendo investigada pode ser especialmente útil para reconstruir a cronologia.

Guarde:

• protocolos;
• e-mails enviados ao suporte;
• respostas recebidas;
• data do pedido;
• mensagens relatando invasão;
• confirmação de recuperação da conta.

Esses registros podem demonstrar que o titular já relatava perda de acesso ou comportamento suspeito em determinado período.

Avisar meus contatos pode gerar prova?

Pode contribuir para a cronologia.

Se, logo depois de identificar a invasão, o titular comunicou amigos, clientes ou familiares de que sua conta havia sido comprometida, essas mensagens podem ajudar a demonstrar quando a fraude foi percebida.

Também podem ser relevantes pessoas que receberam mensagens incompatíveis com o comportamento habitual do titular.

É importante preservar a conversa completa, com data e contexto.

O endereço IP pode ajudar a esclarecer quem utilizou a conta?

Pode ser uma peça importante da investigação.

Provedores de aplicações podem manter registros relacionados ao acesso, incluindo data, horário e endereço IP, nas hipóteses previstas pelo Marco Civil da Internet.

Esses registros podem posteriormente ser relacionados aos dados mantidos pelo provedor de conexão.

Entretanto, o endereço IP não deve ser interpretado isoladamente como identificação definitiva da pessoa que praticou o ato.

Autoria precisa ser analisada em conjunto com outros elementos técnicos e circunstanciais.

Por quanto tempo esses registros podem existir?

O Marco Civil estabelece prazos mínimos específicos de guarda para determinados registros.

Na provisão de conexão à internet, os registros de conexão devem ser mantidos, em regra, pelo prazo de um ano.

Determinados provedores profissionais de aplicações de internet devem manter seus registros de acesso a aplicações, em regra, por seis meses.

A legislação também permite, nas hipóteses previstas, requerimentos cautelares destinados à preservação por período superior.

Por isso, a demora pode dificultar a obtenção de determinados dados.

Posso pedir diretamente todos os registros à plataforma?

Nem todos.

O Marco Civil estabelece regras específicas de sigilo e de disponibilização dos registros.

O fornecimento de registros de conexão ou de acesso associados à identificação do usuário está sujeito aos procedimentos legais correspondentes.

Em processo judicial civil ou penal, o artigo 22 permite requerer judicialmente o fornecimento de registros quando o pedido apresentar:

• fundados indícios da ocorrência do ilícito;
• justificativa da utilidade dos registros;
• período a que eles se referem.

É importante indicar datas e horários exatos?

Sim.

Quanto mais precisa for a cronologia, maior a possibilidade de relacionar diferentes fontes de informação.

Por exemplo:

1. último acesso reconhecido pelo titular;
2. alerta de novo dispositivo;
3. alteração da senha;
4. primeira mensagem fraudulenta;
5. primeiro pagamento de uma vítima;
6. pedido de recuperação da conta;
7. bloqueio do perfil.

Essa linha do tempo pode orientar a busca por registros técnicos correspondentes.

Minha localização no momento do crime ajuda?

Pode integrar o conjunto probatório.

Se houver documentos legítimos demonstrando onde a pessoa estava, eles podem ser relevantes em determinadas situações.

Exemplos incluem:

• registros profissionais;
• documentos de viagem;
• imagens de câmeras;
• transações presenciais;
• testemunhas;
• outros registros objetivos.

Essas informações raramente devem ser analisadas isoladamente, mas podem corroborar ou enfraquecer determinada hipótese de autoria.

Devo registrar boletim de ocorrência da invasão?

Quando existe comprometimento da conta e utilização criminosa por terceiro, o registro pode ser importante para documentar os fatos.

O relato deve ser objetivo e indicar:

• quando o problema foi percebido;
• qual conta foi comprometida;
• quais alterações ocorreram;
• quais crimes aparentemente foram praticados por meio dela;
• quais providências já foram tomadas;
• quais provas estão disponíveis.

Não é recomendável atribuir autoria específica a alguém sem elementos concretos.

E se eu já estiver sendo investigado?

Nessa situação, a preservação da prova assume importância ainda maior.

É recomendável evitar alterações desnecessárias em dispositivos e arquivos potencialmente relevantes e organizar toda a cronologia do comprometimento.

Podem ser importantes:

• histórico de segurança;
• protocolos anteriores;
• dispositivos utilizados normalmente;
• alertas de acesso indevido;
• comunicações às plataformas;
• documentos capazes de contextualizar os horários investigados.

A estratégia deve considerar o estágio da investigação e as provas efetivamente existentes.

Perguntas frequentes

A conta estar cadastrada no meu CPF ou e-mail prova que fui eu?

Não isoladamente. A titularidade da conta e a autoria da conduta são questões diferentes e precisam ser relacionadas por outros elementos.

Um login desconhecido pode ajudar na defesa?

Pode ser relevante quando é possível relacioná-lo temporalmente aos fatos investigados e preservar adequadamente seus registros.

Devo apagar tudo o que o invasor publicou?

A contenção é importante, mas, quando for seguro, é recomendável preservar primeiro a prova do conteúdo e depois impedir sua continuidade.

O IP pode provar quem estava usando a conta?

O IP pode contribuir para a identificação da conexão utilizada, mas não deve ser confundido automaticamente com prova definitiva da pessoa que executou a ação.

É importante guardar o aparelho antigo?

Pode ser, especialmente quando existem discussões sobre sessões, dispositivos, mensagens ou autenticação que poderão exigir análise técnica.

Quanto mais cedo pedir os registros, melhor?

Sim. Alguns registros possuem prazos legais mínimos de guarda, e sua preservação tempestiva pode ser decisiva.

Conclusão

Quando uma conta é utilizada por terceiro para cometer um crime virtual, a autoria não deve ser definida exclusivamente pelo nome cadastrado no perfil.

Histórico de logins, dispositivos, alterações de senha, autenticação, protocolos de recuperação, mensagens, IPs e demais registros podem ajudar a reconstruir quem efetivamente controlava a conta.

Também é importante preservar arquivos originais e evitar alterações desnecessárias que comprometam a análise técnica posterior.

Quando necessário, registros mantidos por provedores podem ser objeto de preservação e requisição nos termos do Marco Civil da Internet.

Este conteúdo possui finalidade informativa e não substitui a análise da conta, dos dispositivos, dos registros técnicos e da investigação concreta.