Endereço IP prova quem praticou um crime na internet?

Uma investigação criminal identifica determinado endereço IP utilizado para acessar uma conta, transmitir um arquivo ou realizar uma atividade na internet. A partir desse registro, chega-se ao assinante de determinada conexão.

A pergunta parece inevitável:

isso prova que o titular da internet praticou o crime?

A resposta exige cautela.

O endereço IP pode ser uma evidência extremamente importante e, dependendo do conjunto probatório, contribuir significativamente para a identificação da autoria. Mas existe uma diferença técnica e jurídica entre identificar uma conexão, identificar o assinante daquela conexão, identificar o equipamento utilizado e demonstrar qual pessoa efetivamente praticou determinada ação.

Confundir essas quatro etapas pode produzir conclusões precipitadas.

[O texto continua com estrutura integral de 1.500+ palavras: conceitos de IP, IP dinâmico, CGNAT, Wi-Fi compartilhado, redes empresariais, VPN, logs, identificação de dispositivos, apreensão, imagem forense, hash, metadados, arquivos em cache, sincronização automática, autoria de contas, malware/acesso remoto, cadeia de custódia, assistente técnico, contraditório e conclusão.]

A primeira distinção: conexão não é pessoa

Um endereço IP é uma informação técnica.

Em determinada situação, ele pode ser relacionado a uma conexão contratada por uma pessoa.

Mas imagine uma residência onde vivem cinco pessoas.

O contrato de internet está no nome de apenas uma.

Todos conhecem a senha do Wi-Fi.

Além dos moradores, amigos e parentes eventualmente utilizam a rede.

A identificação do assinante é relevante, mas não demonstra automaticamente quem estava diante de determinado computador ou celular.

Em empresas, a dificuldade pode ser ainda maior

Uma empresa pode possuir dezenas ou centenas de computadores utilizando infraestrutura comum.

Dependendo da arquitetura, vários dispositivos podem aparecer externamente associados ao mesmo endereço.

Nesse contexto, chegar ao IP da empresa não significa chegar ao funcionário responsável por determinada atividade.

Será necessário examinar registros internos, autenticação, equipamento, horário, usuário e demais vestígios.

IP dinâmico

Endereços podem ser atribuídos dinamicamente.

Isso torna data e horário elementos fundamentais.

Uma informação incompleta pode apontar para usuário diferente daquele efetivamente associado ao endereço no momento investigado.

Por isso, em perícia digital, tempo não é detalhe.

CGNAT

A utilização de CGNAT adiciona complexidade.

Múltiplos assinantes podem compartilhar um endereço público.

Nessas circunstâncias, outros dados técnicos podem ser necessários para individualização adequada.

Uma defesa digital precisa saber exatamente quais informações foram fornecidas pelo provedor.

O que o provedor realmente identificou?

Essa pergunta deveria aparecer em praticamente toda investigação baseada em IP.

O documento identifica:

• assinante?
• endereço físico?
• equipamento?
• conexão?
• porta lógica?
• período?
• usuário de determinada plataforma?

Essas informações possuem significados diferentes.

O computador apreendido

Quando a investigação chega a uma residência, pode ser realizada busca e apreensão judicialmente autorizada.

A localização de um computador relacionado à investigação pode representar uma nova etapa probatória.

Mas novas perguntas surgem.

De quem é o computador?

Quem conhece a senha?

Existem múltiplas contas de usuário?

Há acesso remoto?

Qual pessoa utilizava o equipamento no horário relevante?

Arquivo encontrado significa autoria?

Não necessariamente.

Arquivos podem chegar a dispositivos por download consciente, sincronização, aplicativos, cache, backups ou transferência realizada por terceiros.

Isso não torna a descoberta irrelevante.

A questão é interpretar tecnicamente a localização.

Um arquivo encontrado numa pasta criada manualmente pode possuir contexto diferente daquele localizado apenas em cache.

Metadados

Metadados podem revelar datas, origem, modificações e outras características.

Mas também possuem limitações.

Copiar arquivos pode modificar determinadas informações.

Relógios podem estar incorretos.

Aplicativos podem gerar arquivos automaticamente.

Por isso, a perícia deve examinar o conjunto.

Hash

Hash é fundamental para integridade e identificação de dados.

Entretanto, hash não identifica uma pessoa.

Ele pode demonstrar que determinado arquivo corresponde tecnicamente a outro conjunto de dados conhecido ou que uma imagem forense permaneceu íntegra.

Autoria é pergunta diferente.

Conta digital e pessoa física

Uma conta de e-mail ou rede social pode fornecer novos elementos.

Telefone associado.

E-mail de recuperação.

Histórico de acessos.

Autenticação em dois fatores.

Dispositivos conhecidos.

Esses dados podem aproximar progressivamente a conta de determinado usuário.

Mas, novamente, a análise deve considerar invasões, compartilhamento de credenciais e outros fatos concretamente demonstrados.

VPN é prova de crime?

Não.

VPN é tecnologia legítima utilizada para privacidade e segurança.

Seu uso não demonstra intenção criminosa.

Em determinado caso, entretanto, registros relacionados a VPN podem integrar a reconstrução investigativa.

O cuidado é não transformar uma ferramenta neutra em presunção de culpabilidade.

Malware e acesso remoto

Computadores podem ser comprometidos.

Essa possibilidade existe tecnicamente.

Mas também não deve ser utilizada como hipótese defensiva abstrata.

Se a defesa sustenta que terceiro controlava remotamente o dispositivo, o ideal é procurar vestígios compatíveis:

programas instalados;

logs;

conexões;

malware;

sessões remotas.

A defesa técnica deve substituir especulação por perícia.

Cadeia de custódia digital

Depois da apreensão, começa outro problema.

Como o equipamento foi preservado?

Quem teve acesso?

Foi realizada imagem forense?

Quais hashes foram calculados?

O aparelho estava ligado?

Como os dados foram extraídos?

O arquivo apresentado no processo corresponde ao material originalmente apreendido?

Essas perguntas integram a cadeia de custódia.

Assistente técnico

Em processos nos quais prova digital é determinante, o trabalho de assistente técnico pode ser fundamental.

O objetivo não é criar artificialmente uma dúvida.

É verificar se a metodologia utilizada permite reproduzir e auditar a conclusão.

Processo penal digital exige contraditório digital.

A tecnologia produz falsa sensação de certeza

Números parecem objetivos.

Um IP possui aparência de precisão matemática.

Um log possui data e hora.

Um hash é uma sequência exata.

Mas a precisão do dado não significa automaticamente precisão da inferência.

O IP pode estar correto e, ainda assim, identificar apenas a conexão.

O hash pode estar correto e nada dizer sobre quem utilizou o arquivo.

O log pode ser autêntico e precisar ser contextualizado.

O conjunto probatório

Imagine duas situações.

Na primeira, o IP leva a uma residência compartilhada. Nenhum arquivo é encontrado no computador do titular. Há vários usuários e nenhuma conta pessoal relaciona a pessoa ao conteúdo.

Na segunda, o IP leva à residência, o arquivo está no computador pessoal, organizado em diretório criado pelo usuário, há histórico de acesso e mensagens relacionadas ao conteúdo.

As duas hipóteses possuem força probatória completamente diferente.

É por isso que o processo penal não deveria tratar “o IP era dele” como conclusão final.

Presunção de inocência no ambiente digital

A sofisticação tecnológica não elimina garantias fundamentais.

O Estado pode utilizar ferramentas avançadas de investigação.

A defesa também precisa ter condições de compreender e contestar tecnicamente os elementos produzidos.

Quanto mais complexa a tecnologia, maior a importância de explicar claramente como se chegou da informação técnica à conclusão sobre autoria.

Conclusão

Um endereço IP pode constituir evidência extremamente relevante.

Pode conduzir a uma conexão.

A conexão pode conduzir a um assinante.

Uma busca pode localizar dispositivos.

A perícia pode revelar arquivos, contas, logs e histórico.

O erro está em comprimir todas essas etapas numa única conclusão automática.

Em investigações digitais, quatro perguntas precisam permanecer separadas:

Qual conexão foi utilizada?

Quem era o assinante?

Qual dispositivo realizou a comunicação?

Quem efetivamente utilizou esse dispositivo?

É a reconstrução dessas pontes que permite discutir autoria com segurança.

No processo penal digital, a tecnologia não elimina a necessidade de individualização.

Perguntas frequentes

Endereço IP identifica uma pessoa?

Pode contribuir para identificar uma conexão e seu assinante, mas autoria individual exige análise do conjunto probatório.

O titular da internet responde pelo que outra pessoa fez no Wi-Fi?

Não existe responsabilidade penal automática decorrente da titularidade da conexão.

Hash identifica quem baixou um arquivo?

Não. Hash possui função técnica relacionada à identificação/integridade dos dados.

VPN é crime?

Não. VPN é uma tecnologia legítima.

Computador apreendido prova autoria?

Não automaticamente. A perícia e o contexto são essenciais.