Resumo: O levantamento de sigilo de peças relacionadas ao caso Master, em setembro de 2026, trouxe de volta uma questão recorrente da prova digital: como verificar a integridade de dados extraídos de dispositivos móveis sem confundir publicidade processual com validação pericial. A partir dos arts. 158-A a 158-F do CPP, de julgados recentes do STJ e de referências técnicas do National Institute of Standards and Technology (NIST), órgão técnico federal dos Estados Unidos que publica padrões e guias amplamente utilizados em segurança e forense digital, e de normas técnicas internacionais da família ISO/IEC 27037-27042, o texto discute cadeia de custódia, formas de aquisição e o alcance da função hash. O ponto central é uma assimetria de visibilidade técnica: provas de grande repercussão podem produzir efeitos processuais e públicos sem que, nos atos de publicidade, esteja claro onde se encontra a documentação que permite verificar sua integridade. Como resposta possível, propõe-se um protocolo mínimo de verificabilidade forense que preserve o contraditório sem expor técnicas investigativas sensíveis.

Palavras-chave: Cadeia de custódia. Prova digital. Forense digital. Forense de dispositivos móveis. Investigação cibernética. Função hash. Criptoativos. Lavagem de capitais. Crimes financeiros. Processo penal.

1. Introdução

Em 1º de setembro de 2026, o Supremo Tribunal Federal determinou o levantamento do sigilo da Petição 16.662, de relatoria do ministro André Mendonça, vinculada a desdobramentos do caso Master. O próprio STF já havia informado, meses antes, a existência de informações e mensagens obtidas a partir de aparelhos celulares de Daniel Vorcaro. Nos dias seguintes, foi autuada a Petição 16.704 para instruir questões relativas à admissibilidade e à regularidade do procedimento antes de eventual apreciação colegiada. Na data de fechamento deste artigo, o procedimento permanecia em instrução; a própria Presidência registrou que as providências adotadas não antecipavam juízo sobre admissibilidade, regularidade ou mérito.

O episódio interessa aqui por uma razão bem mais restrita do que o conteúdo das mensagens ou as pessoas nelas citadas. Quando dados extraídos de um dispositivo móvel passam a integrar os autos — e, às vezes, alcançam grande repercussão pública —, é preciso saber o que permite ligar o material apresentado ao vestígio efetivamente obtido e preservado pela investigação.

Nada disso permite afirmar que houve falha no caso concreto. Uma decisão de levantamento de sigilo não se confunde com o laudo pericial, e o fato de o ato público não detalhar a metodologia não significa que ela inexista ou não esteja documentada em outro ponto dos autos. A pergunta é mais simples: o processo permite reconstruir, de forma verificável, o caminho entre o dispositivo apreendido e o artefato digital levado à valoração judicial?

O CPP já disciplina a cadeia de custódia, e o STJ vem tornando mais concretas as exigências de confiabilidade da prova digital. O que ainda falta não é um regime próprio para casos de maior repercussão, mas um padrão de verificabilidade técnica que acompanhe a prova quando ela passa a produzir efeitos no processo e fora dele.

2. O padrão construído pelo STJ para a prova digital

Os arts. 158-A a 158-F do CPP tratam a cadeia de custódia como o conjunto de procedimentos destinado a manter e documentar a história cronológica do vestígio e a rastrear sua posse e manuseio, do reconhecimento ao descarte. No ambiente digital, essa exigência ganha densidade própria: o dado é facilmente copiável, transformável e descontextualizável, de modo que a confiabilidade depende não apenas do conteúdo exibido, mas da documentação do percurso que levou da fonte ao artefato apresentado em juízo.

No AgRg no HC 828.054/RN, julgado em abril de 2024, a Quinta Turma do STJ declarou inadmissíveis provas decorrentes de extração de dados de celular quando faltaram procedimentos aptos a assegurar idoneidade e integridade. O Informativo 811 destaca a necessidade de documentação das fases de obtenção da prova digital e de métodos que permitam aferir a higidez do caminho percorrido.

Em fevereiro de 2026, a Sexta Turma voltou ao tema no AgRg no HC 1.014.212/ES. O acórdão exige perícia quando houver dúvida razoável sobre a integridade e a autenticidade da prova digital, de modo a confirmar a fidedignidade do material e preservar o contraditório. A falta de certificação por hash teve peso naquele caso, mas não autoriza a regra automática “sem hash, prova inválida”. O problema é saber se, diante de uma impugnação substancial, ainda existe base objetiva para demonstrar a correspondência entre a fonte e o material apresentado.

Pouco depois, no AREsp 3.126.435/MT, a Quinta Turma atribuiu à acusação o ônus de demonstrar a integridade e a autenticidade da prova digital e tratou a cadeia de custódia como condição de confiabilidade. No caso concreto, capturas produzidas sem perícia no dispositivo de origem e sem documentação técnica foram consideradas frágeis demais para sustentar, sozinhas, a condenação.

Há, porém, um contraponto importante. No AgRg no HC 1.085.352/RS, a Quinta Turma deixou claro que a quebra da cadeia de custódia não produz nulidade automática: é preciso examinar se houve comprometimento efetivo da mesmidade — a correspondência entre o vestígio coletado e o material apresentado em juízo — e da confiabilidade. Quando a documentação é tão deficiente que já não permite controlar origem, preservação e transformação do vestígio, o STJ rejeita a simples presunção de higidez. A consequência processual depende da gravidade da falha e do peso daquela prova no caso.

3. O que a técnica precisa documentar

3.1. Aquisição não é uma operação única

Na forense de dispositivos móveis (mobile forensics), a aquisição é a obtenção tecnicamente controlada dos dados de um aparelho para exame posterior. Por isso, dizer apenas que “o celular foi extraído” informa pouco. O NIST separa validação, preservação, aquisição, exame, análise e relato dos resultados. A SP 800-101 Rev. 1. é de 2014, portanto não serve como catálogo das capacidades atuais das ferramentas ou das proteções dos aparelhos mais recentes. Continua útil, porém, para organizar as etapas do trabalho pericial.

Três categorias ajudam a entender o alcance da aquisição, embora a nomenclatura varie conforme a ferramenta, o sistema operacional e o estado do aparelho.

A aquisição lógica obtém dados disponibilizados pelas interfaces do sistema, por mecanismos de backup, sincronização ou interfaces de programação do sistema (APIs). Em regra, oferece visão mais limitada do armazenamento e menor acesso a dados eliminados e a áreas não alocadas.

A aquisição de sistema de arquivos busca reproduzir a estrutura de diretórios, bancos de dados de aplicativos, caches, metadados e outros artefatos acessíveis no nível do sistema de arquivos. Dependendo das permissões obtidas e do estado de desbloqueio do aparelho, pode alcançar conteúdo que uma aquisição lógica convencional não expõe.

A aquisição física, em sentido clássico, procura obter uma representação em baixo nível do armazenamento. Historicamente, esse método podia alcançar espaço não alocado, fragmentos e outros vestígios invisíveis ao sistema. Nos smartphones atuais, a situação é menos linear. Criptografia, chaves ligadas ao hardware e ao estado de desbloqueio podem tornar uma cópia física bruta inacessível ou cifrada. A própria arquitetura de segurança ajuda a explicar essa dificuldade: a Apple documenta o papel do Secure Enclave, coprocessador de segurança destinado à proteção de chaves e operações sensíveis; no Android, o Trusted Execution Environment (TEE), ou ambiente de execução confiável, e o Keystore/KeyMint, mecanismos de criação e proteção de chaves criptográficas, oferecem controles de acesso em ambiente seguro.

Na prática, “física” não é sinônimo automático de “melhor”, assim como uma aquisição lógica não é, por definição, pobre. A escolha depende da finalidade pericial, do dispositivo, do estado em que ele foi apreendido e das limitações conhecidas. A ISO/IEC 27041:2015 é compatível com esse raciocínio ao tratar da adequação e da validação dos métodos de investigação.

3.2. O que o hash certifica — e o que não certifica

Funções hash criptográficas, como as da família SHA-2 padronizada pelo NIST, produzem resumos de tamanho fixo a partir de determinado conteúdo. O valor pode ser recalculado em momentos distintos para verificar se o objeto digital permaneceu inalterado desde o instante em que aquele hash foi produzido.

É importante não pedir ao hash mais do que ele pode oferecer. Ele não é assinatura digital, não identifica autoria e não demonstra, por si só, que a aquisição foi feita corretamente. Sua função é mais estreita: permitir a comparação do mesmo objeto digital em momentos diferentes.

Também importa saber sobre o que o hash foi calculado. Se recaiu sobre uma imagem forense, um banco de dados, uma exportação ou um arquivo isolado, a verificação alcança aquele objeto — não todo o caminho percorrido desde a fonte original. A integridade, por isso, não cabe em um único campo do laudo; depende do conjunto da documentação. A ISO/IEC 27037:2012 trata de identificação, coleta, aquisição e preservação de evidência digital. Já a ISO/IEC 27042:2015 aborda análise e interpretação com atenção à continuidade, validade, reprodutibilidade, repetibilidade e ao registro necessário para escrutínio independente. Essas normas não têm força cogente no processo penal brasileiro, mas ajudam a dar conteúdo técnico a exigências que, no plano jurídico, já existem.

4. O caso de referência: publicidade não é validação probatória

O levantamento de sigilo da Pet 16.662 tornou públicas peças de um procedimento de elevada repercussão. Isso não equivale a uma decisão sobre admissibilidade, autenticidade ou valor probatório de cada artefato digital ali mencionado.

Aqui convém separar três planos que muitas vezes acabam misturados: publicidade processual, cadeia de custódia e valoração da prova. Um despacho pode tornar uma peça acessível sem reproduzir a metodologia do laudo; a falta desses detalhes no ato público, por si só, nada diz sobre a existência da documentação pericial nos autos.

Seria precipitado concluir, a partir daí, que o STF dispense requisitos aplicáveis às demais instâncias. O CPP não cria cadeias de custódia diferentes conforme o foro. O que aparece, para quem observa o processo de fora, é outra coisa: o material pode ganhar enorme repercussão sem que o ato mais visível diga qual foi o método de aquisição, quais controles de integridade foram usados, quais limitações foram registradas ou onde está a documentação técnica.

O Tema 977 ajuda a enxergar essa diferença. Ao tratar do acesso a dados de celular encontrado fortuitamente e de aparelho apreendido nos termos do art. 6º do CPP ou em flagrante, o STF cuidou da licitude do acesso. Não fixou um protocolo completo sobre a integridade técnica da aquisição posterior. São perguntas distintas: primeiro, se o conteúdo pode ser acessado; depois, como demonstrar que o dado levado ao processo é confiável.

Assine a nossa newsletter! Seja o primeiro a receber nossas novidades exclusivas e recentes diretamente em sua caixa de entrada.

Inscrever

5. A assimetria de visibilidade técnica

Em casos de grande repercussão, a prova digital pode produzir efeitos investigativos, processuais e públicos em ritmos diferentes. O controle técnico pode existir nos autos e, ainda assim, permanecer invisível no ato que desencadeia sua repercussão social.

A proposta é mais modesta do que fazer cada decisão reproduzir um laudo ou transformar o levantamento de sigilo em juízo prévio de validade. Quando material digital sensível se torna público, deveria ser possível ao menos identificar que há documentação sobre sua procedência e integridade e saber como ela pode ser localizada ou acessada sob controle processual.

Há, evidentemente, um limite de cibersegurança. Exploits, credenciais, mecanismos de bypass, vulnerabilidades e parâmetros operacionais não precisam ser expostos se a divulgação facilitar evasão forense ou comprometer outras investigações. O que interessa é a rastreabilidade processual: identificar, em nível suficiente, a classe de aquisição, os controles de integridade, o responsável técnico, os marcos temporais e as limitações conhecidas, mantendo sob sigilo o que for realmente sensível.

Esse é o ponto de equilíbrio entre contraditório, confiabilidade e segurança operacional.

6. O mesmo problema metodológico em criptoativos e lavagem de capitais

Criptoativos entram nesta discussão por uma razão metodológica. Na perícia de um celular, é preciso demonstrar como o artefato apresentado se liga ao aparelho apreendido e ao processo de aquisição. Em investigações com ativos virtuais, o percurso costuma ser outro: parte-se da transação, passa-se por endereços e entidades e tenta-se chegar a uma pessoa ou beneficiário. Em ambos os casos, a força da conclusão depende de ser possível reconstruir esse caminho.

Essa diferença entre integridade do dado e atribuição a uma pessoa fica especialmente clara em investigações financeiras com ativos virtuais.

O NISTIR 8202, relatório técnico do NIST dedicado à tecnologia blockchain, descreve blockchains como registros digitais distribuídos, resistentes à adulteração e capazes de evidenciá-la. Em blockchains públicas, o histórico on-chain pode ser verificado sem depender da custódia estatal de um único dispositivo. Isso não resolve o problema probatório; apenas muda seu foco. A dificuldade costuma estar em ligar um endereço, uma chave, uma conta em prestadora de serviços ou um conjunto de transações a uma pessoa ou estrutura econômica determinada.

Essa atribuição pode resultar do cruzamento entre dados de clientes, registros de acesso, endereços IP, identificadores de dispositivos, dados bancários, informações de exchanges, análise de grafo transacional, artefatos encontrados em dispositivos apreendidos e outros elementos off-chain — externos ao registro da blockchain. O Grupo de Ação Financeira (FATF/GAFI), organismo internacional que estabelece padrões de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, reconhece, em sua orientação sobre ativos virtuais e prestadores de serviços de ativos virtuais (VASPs, na sigla em inglês), a relevância de endereços de carteiras, hashes de transações, identificadores de dispositivos e dados de rede para análise de risco e investigação.

A apreensão de um celular pode, nesse contexto, funcionar como ponte entre o mundo on-chain e a identidade investigada: aplicativo de carteira, histórico de acesso, arquivos de configuração, registros de exchange, tokens de autenticação ou material relacionado a chaves podem reforçar a atribuição. Mesmo assim, encontrar um endereço ou uma chave em um dispositivo não equivale automaticamente a provar titularidade jurídica, domínio econômico ou beneficiário final. Carteiras podem ser compartilhadas, estruturadas com múltiplas assinaturas (multisig), mantidas sob custódia de terceiros ou integradas a estruturas empresariais mais complexas.

O recorte é particularmente relevante para lavagem de capitais. A Lei 14.478/2022 inclui, entre as diretrizes da prestação de serviços de ativos virtuais, a prevenção à lavagem de dinheiro e ao financiamento do terrorismo em alinhamento com padrões internacionais; o Decreto 11.563/2023 atribuiu ao Banco Central competência para regular, autorizar e supervisionar prestadoras de serviços de ativos virtuais, e a Resolução BCB 520/2025 passou a disciplinar sua constituição e funcionamento.

No plano internacional, o FATF vem alertando para lacunas de implementação e supervisão de VASPs, inclusive prestadores offshore. Em março de 2026, relatório específico mostrou como lacunas na supervisão de VASPs offshore podem ser exploradas para fraude em larga escala e lavagem de dinheiro; em julho de 2026, nova atualização apontou riscos crescentes envolvendo stablecoins, transações peer-to-peer, carteiras não hospedadas e VASPs offshore.

Em uma investigação transnacional, “seguir a blockchain” é só parte do trabalho. Também é preciso documentar como se passou da transação ao sujeito e deixar claro o que é inferência analítica, o que é evidência técnica e o que efetivamente sustenta a atribuição.

7. Proposta: protocolo mínimo de verificabilidade forense

É nesse ponto que proponho um protocolo mínimo de verificabilidade forense. A ideia não cria um requisito legal novo; apenas traduz, para a rotina técnica, exigências que o CPP já impõe à documentação e ao controle do vestígio digital.

Dependendo do caso, esse registro poderia indicar:

1. identificação do dispositivo e do estado relevante em que foi recebido;

2. data, horário e responsável pela preservação e pela aquisição;

3. classe de aquisição empregada e ferramenta utilizada, com versão quando pertinente;

4. controles de integridade aplicados e o objeto sobre o qual foram calculados;

5. cadeia de transferências, armazenamento e acessos ao material;

6. escopo da extração e critérios de seleção ou exportação;

7. limitações técnicas conhecidas;

8. quando tecnicamente viável, existência de validação ou condições de reprodução por terceiro tecnicamente habilitado.

Nem todos esses elementos serão pertinentes em todo caso ou precisam ser públicos. A documentação necessária ao controle, porém, deve estar incorporada aos autos ou identificada de modo que possa ser acessada pelas partes e pelo juízo, observadas as restrições legais e técnicas aplicáveis. Quando conteúdo digital sensível for tornado público por decisão judicial, pode ser útil que o ato indique, de modo sumário, a existência da documentação forense e dos controles de integridade, sem revelar técnicas operacionais cuja divulgação prejudique investigações futuras.

NIST e ISO, evidentemente, não viram fontes jurídicas autônomas por causa disso. Servem como referências técnicas para tornar mais concretas exigências já presentes no CPP — identificação, preservação, rastreabilidade e controle — sem substituir o juízo sobre admissibilidade ou valor da prova.

8. Conclusão

O caso Master oferece um exemplo atual, mas a questão é muito mais ampla. A prova digital está cada vez mais presente em investigações de corrupção, organizações criminosas, lavagem de capitais, fraudes financeiras, crimes cibernéticos e delitos comuns. Quanto mais central se torna, menos sustentável é tratá-la como simples reprodução de tela cujo valor decorre da autoridade de quem a apresenta.

Há, hoje, peças suficientes para esse avanço. O STJ vem exigindo documentação capaz de permitir controle sobre integridade, autenticidade e percurso probatório; os arts. 158-A a 158-F do CPP fornecem a base normativa; NIST e ISO ajudam a organizar a parte técnica. O passo que falta é fazer isso funcionar de maneira previsível na prática. O protocolo proposto aqui pretende contribuir justamente nesse ponto.

Em casos de alta repercussão, a prova pode chegar ao espaço público antes que sua metodologia seja compreensível fora do núcleo técnico do processo. Isso não justifica presumir irregularidade, muito menos expor técnicas sensíveis. Justifica, sim, exigir rastreabilidade suficiente para que a confiança se apoie em documentação objetiva.

A mesma lógica vale para investigações de criptoativos e lavagem de capitais: seja para provar que um arquivo permaneceu íntegro, seja para atribuir uma carteira ou fluxo financeiro a determinada pessoa, a força probatória nasce da possibilidade de reconstruir o caminho metodológico. Em forense digital, confiança institucional é importante; verificabilidade é melhor.