Na investigação criminal, atua-se diferente da investigação tradicional, a evidência digital costuma estar espalhada: celular, servidores de aplicativos, um pouco nos registros dos provedores de internet e bancos de dados financeiros ou plataformas online. Logo, o trabalho da perícia cibernética não se resume a encontrar um dado técnico isolado, como um IP (Protocolo de Internet) ou um arquivo. O verdadeiro desafio é reconstruir o que aconteceu, conectando registros dispersos para formar uma linha do tempo coerente e juridicamente compreensível. Na prova digital, o valor não está no fragmento, mas no conjunto. Considerando a importância do cruzamento de dados na investigação digital, assinale a alternativa correta:

A questão destaca que, na investigação digital, a evidência costuma estar dispersa (celular, servidores de aplicativos, logs de provedores, dados financeiros etc.) e que o objetivo da perícia não é achar um dado isolado (como um IP), mas reconstruir o que aconteceu por meio de uma linha do tempo coerente e tecnicamente/juridicamente sustentável.

Analisando as alternativas:

• a) Incorreta. A correlação (cruzamento) de dados não compromete a neutralidade por si só; ela é um procedimento metodológico típico de investigações (inclusive científicas), desde que feito com critérios, documentação e respeito à cadeia de custódia. Interpretar evidências é parte do trabalho pericial, desde que fundamentado.

• b) Incorreta. A correlação de dados não serve apenas para provar materialidade (que algo ocorreu); ela também ajuda a atribuir autoria, ao vincular contas, dispositivos, padrões de acesso, horários, geolocalização, transações, registros de autenticação, entre outros.

• c) Incorreta. O uso de múltiplas bases de dados não é “sempre ilegal”; a legalidade depende de base legal e, quando necessário, de autorização judicial e observância de limites e procedimentos.

• d) Correta. Resume exatamente a ideia central do enunciado: cruzar fontes diferentes permite reconstruir eventos, estabelecer vínculos entre ações, dispositivos e pessoas e fortalecer a robustez (solidez) probatória ao invés de depender de um único fragmento.

• e) Incorreta. Um IP isolado normalmente não identifica de forma definitiva o autor: pode haver NAT/CGNAT, VPN, proxies, redes públicas, uso por terceiros, compartilhamento de conexão, comprometimento de máquinas, além da necessidade de correlacionar com outros registros (logs, horários, autenticações, dispositivos etc.).

Alternativa correta: (d).