O WhatsApp armazena uma quantidade massiva de dados que se tornaram evidências digitais decisivas em tribunais brasileiros. Mas a linha entre uma prova válida e uma prova rejeitada é mais fina do que parece. O método de coleta pode invalidar meses de trabalho investigativo.

Este artigo apresenta a abordagem profissional que aplicamos em investigações, seguindo a Lei 13.964/2019 (Pacote Anticrime) e os padrões internacionais ISO 27037 para manuseio de evidências digitais.

O Que o WhatsApp Realmente Armazena

Muito além das mensagens visíveis, o WhatsApp mantém um banco de dados completo:

Dados Extraíveis:

Mensagens de texto e emojis
Chamadas de voz e vídeo (duração, horário, participantes)
Imagens e vídeos com metadados EXIF completos
Localizações compartilhadas com coordenadas GPS
Status de entrega e leitura (timestamps UTC)
Mensagens de áudio com duração e metadados

Diferença crucial: O WhatsApp não armazena "conversas excluídas" no servidor. O que recuperamos vem do dispositivo, backups locais ou sincronização na nuvem — nunca diretamente dos servidores do WhatsApp.

Plataforma de Extração: Escolhendo a Ferramenta Certa

Cenário Ferramenta Recomendada Por Que Usar
iPhone com backup iCloud Oxygen Forensic Detective Extrai de backups criptografados iCloud e iTunes
Android com backup local UFED Physical Analyzer Acesso profundo ao sistema de arquivos Android
Tablet ou dispositivo secundário XRY da MSAB Suporte amplo de dispositivos e preservação de hash
Análise rápida (triagem) WhatsApp Viewer Pro Visualização de backups sem equipamento especializado

Passo a Passo da Extração Forense

1. Preservação Inicial do Dispositivo

Antes de qualquer análise, o dispositivo deve ser isolado para evitar alterações:

  • Modo avião: Ativar imediatamente para impedir modificações remota
  • Não carregar: Bateria baixa é preferível a risco de atualização automática
  • Embalagem anti-estática: Proteção física do dispositivo

2. Criação da Imagem Forense

A cópia bit-a-bit (imagem forense) preserva TODOS os dados:

Hash original do dispositivo: SHA-256
Imagem criada: [nome].dd
Hash da imagem: SHA-256 (deve coincidir com original)

Se os hashes não coincidem, a cadeia de custódia foi comprometida.

3. Extração Específica do WhatsApp

Dois bancos de dados são fundamentais:

  • msgstore.db: Conversas, contatos, timestamps
  • wa.db: Lista de contatos do WhatsApp
  • chat.ini: Configurações de conversas

Caso Illustrativo: O Divórcio Contestado

Em um caso recente de divórcio litigioso, a parte alegava que mensagens comprometedoras haviam sido editadas. Nossa análise:

  1. Extraímos a imagem forense do celular da parte
  2. Comparamos o hash da evidência com o registro de cadeia de custódia
  3. Analisamos os metadados EXIF das imagens compartilhadas
  4. Verificamos a sequência temporal de mensagens

Resultado: As mensagens eram autênticas. A defesa não conseguiu contestar a integridade da prova pericial.

Cadeia de Custódia: O Que Torna a Prova Válida

O Marco Civil da Internet (Lei 12.965/2014) e o Código de Processo Civil estabelecem requisitos para admissibilidade de evidências digitais:

Elemento Descrição Técnica Documento Gerado
Identificação Descrição do dispositivo, marca, modelo, IMEI Termo de descrição do objeto
Preservação Hash SHA-256 antes e depois da análise Laudo de integridade da evidência
Metodologia Listagem das ferramentas e versões utilizadas Relatório técnico pericial
Transcrição Transcrição completa das mensagens relevantes Anexo ao laudo pericial

Quando o WhatsApp Pode Ser Rejeitado como Prova

Os principais motivos de rejeição judicial:

  • Coleta sem autorização judicial: Em casos que exigem ordem, a coleta própria pode ser illegal
  • Sem cadeia de custódia: Simples print da tela não tem validade forense
  • Hash divergente: Evidência alterada entre coleta e apresentação
  • Anonimato não comprovado: Não é possível provar quem enviou a mensagem

Precisa collecting evidências do WhatsApp?

Nossa equipe realiza coletas forenses com cadena de custódia completa. Entre em contato para entender como podemos ajudar.

Jardel Jardelino, perito judicial em computação forense e blockchain
Jardel Jardelino

Perito judicial em computação forense e blockchain, com mais de 20 anos de experiência. Credenciais ACFE, IACIS, HTCIA, APECOF, ABCRIPTO e SBC.

Sobre o perito LinkedIn

Ferramentas Utilizadas

Nesta perícia, utilizamos as seguintes ferramentas de classe mundial:

XRY (MSAB) Oxygen Forensic UFED (Cellebrite) WhatsApp Viewer Autopsy FTK Imager