O antivírus não achou nada: o computador ainda prova o acesso remoto na fraude bancária?

A pergunta que o processo vai fazer

Um empréstimo aparece contratado na sua conta. Ou uma transferência que você não fez. Você estava no computador, não lembra de ter clicado em nada estranho, o token do banco continua na sua gaveta. Registra a ocorrência, procura o banco, e a resposta é que a operação foi feita com as suas credenciais.

Quando o caso chega à Justiça, a discussão costuma se concentrar em um ponto de fato: a operação partiu de um terceiro, por acesso remoto ou programa malicioso, ou foi feita pelo próprio correntista? É sobre esse fato que se decide se houve falha do serviço ou culpa exclusiva do cliente. A tese jurídica é do advogado. A base de fato sai dos registros que o próprio computador mantém.

Por que o antivírus limpo não encerra a questão

O antivírus funciona como o porteiro que confere quem está no prédio agora e barra quem consta da lista de procurados. A perícia faz outra coisa: lê o livro da portaria e assiste às gravações, para saber quem entrou na semana passada, a que horas e por qual porta.

Há duas razões para o resultado negativo do antivírus dizer pouco:

1. Muitas fraudes usam programas legítimos. São os mesmos programas de acesso remoto usados por equipes de suporte técnico. O golpista convence a vítima a instalá-lo, ou o instala por outro meio, e passa a operar a máquina a distância. Para o antivírus, não há ameaça nenhuma ali.
2. O antivírus examina o presente. Um programa que já foi removido não é detectado. Mas a instalação, a execução e a remoção dele costumam ficar anotadas pelo sistema.

O próprio antivírus mantém um registro do que examinou, do que detectou e do que apagou. Esse registro entra no exame: ele mostra como estava a máquina logo depois dos fatos.

O que o computador guarda

Para funcionar, o sistema anota continuamente o que acontece nele. O usuário não escreve esse histórico e, em geral, nem sabe que ele existe. Entre os registros mais úteis:

• programas instalados e executados, com data e hora;
• arquivos baixados e o endereço de onde vieram;
• páginas acessadas no navegador;
• sessões de usuário abertas e encerradas;
• conexões de rede feitas por cada programa;
• programas que iniciam sozinhos quando a máquina liga;
• conforme a ferramenta de acesso remoto, cada sessão recebida, com duração e identificação da origem.

Com a data e a hora da operação contestada em mãos, o perito monta a linha do tempo do que ocorria no computador nos minutos anteriores e posteriores.

Os vestígios têm prazo de validade

Três relógios correm ao mesmo tempo, e nenhum espera a perícia judicial:

A perícia determinada pelo juiz pode acontecer meses depois da fraude. Quem espera por ela costuma chegar com o computador já sem memória do que importa.

O que não fazer até a cópia forense

• Deixe o computador desligado e fora da internet, ou use só o indispensável.
• Não formate, não restaure, não atualize e não rode programas de limpeza ou novas varreduras.
• Não desinstale nada e não apague histórico de navegador, downloads, lixeira ou e-mails.
• Não leve a máquina a uma assistência técnica.
• Guarde as mensagens e ligações do período no celular: SMS, aplicativos, chamadas e e-mails dos dias anteriores.

O que o exame responde

O trabalho é feito sobre uma cópia forense do disco, nunca sobre o equipamento original, que é devolvido ao dono. As respostas possíveis são estas:

1. O estado do equipamento: quando o sistema foi instalado e se houve limpeza ou restauração depois dos fatos.
2. Acesso remoto: se há ou houve programa desse tipo, quando foi instalado, usado e removido, e as sessões recebidas.
3. Programa malicioso: se há algo capaz de capturar dados, sobrepor telas ou controlar a máquina sem o usuário perceber.
4. A porta de entrada: de onde o programa veio (mensagem, página, arquivo, mídia conectada).
5. A atividade na hora dos fatos: o que estava aberto, rodando e conectado naquele momento.
6. As providências posteriores: o que o antivírus viu e removeu.
7. O confronto com os registros do banco: se o endereço IP e o dispositivo informados pelo banco batem com o computador examinado e com a sua conexão.

Um exame que pode dizer «não»

Um documento escrito para confirmar uma versão não resiste ao primeiro perito que o confronte. Por isso as perguntas são neutras: «há vestígio de acesso remoto?», e não «confirme que houve». Se a resposta for negativa, você saberá antes da outra parte. Se for positiva, ela virá com data, hora e origem, que é o que o juiz precisa para decidir.

Onde entra o perito

Este artigo explica o que procurar e por que não esperar. No caso concreto, o que conta é o detalhe: qual programa, em que minuto, vindo de onde, compatível ou não com o registro do banco. É o perito criminal responsável pelo caso que faz a cópia forense com cadeia de custódia, examina os registros, redige o parecer ou o laudo e, se o processo exigir, atua como assistente técnico diante do perito do juízo, indicando ao advogado quais registros pedir ao banco.

O melhor momento para chamá-lo é antes de mexer na máquina.