Perícia em DVR após incêndio: cadeia de custódia e recuperação de imagens

Em um incêndio de grandes proporções, a reconstrução do que aconteceu nos minutos anteriores ao início das chamas pode ser determinante para seguradoras, empresas, advogados, peritos de engenharia, departamentos jurídicos e, eventualmente, para o próprio Poder Judiciário. Onde o fogo começou? O que aconteceu antes do primeiro foco visível? Havia pessoas no local? Determinado equipamento estava sendo utilizado? As câmeras registraram toda a sequência dos acontecimentos? Existe alguma interrupção entre as gravações? Os vídeos apresentados originalmente correspondem ao que realmente estava armazenado no sistema de CFTV? Ou perícia em DVR?

Em situações assim, um equipamento aparentemente comum pode passar a concentrar parte significativa da prova: o DVR — Digital Video Recorder — responsável pelo armazenamento das imagens das câmeras de segurança.

Foi justamente esse o contexto de uma perícia judicial conduzida para produção antecipada de prova. O objeto do trabalho consistia no exame técnico e na extração de dados de um equipamento DVR utilizado em estabelecimento atingido por incêndio. A análise precisava recuperar as gravações armazenadas no dispositivo, examinar sua integridade e esclarecer alegações relacionadas a possíveis cortes ou interrupções nos vídeos originalmente apresentados.

O caso tornou-se especialmente complexo porque a perícia não ocorreu imediatamente após o sinistro. O equipamento havia sido retirado de atividade depois do incêndio e, antes do exame judicial definitivo, o dispositivo de armazenamento havia passado por outros acessos e manipulações.

A tarefa, portanto, não era simplesmente apertar “play”.

Era necessário reconstruir tecnicamente a evidência.

Por que uma perícia em DVR é diferente de simplesmente exportar um vídeo?

Um dos erros mais comuns na utilização de imagens de CFTV como prova é acreditar que basta exportar alguns vídeos e apresentá-los em um processo.

Essa abordagem pode ser suficiente para visualizar determinado acontecimento, mas é muito diferente de uma extração forense de dados de DVR.

Quando uma parte recebe apenas arquivos selecionados, surgem perguntas inevitáveis: quem fez a exportação? Quais câmeras foram escolhidas? Qual intervalo foi retirado? Existiam outros arquivos entre aqueles apresentados? A gravação original era contínua ou orientada por detecção de movimento? O vídeo sofreu conversão? O formato original foi preservado? Houve algum processamento intermediário?

Em um litígio relevante, essas questões podem se tornar mais importantes do que o próprio conteúdo visual.

No caso analisado, a controvérsia surgiu justamente porque os vídeos inicialmente disponibilizados haviam levantado dúvidas sobre supostos “cortes” e “interrupções” na gravação. A perícia precisou voltar ao disco rígido do DVR, em vez de se limitar às compilações apresentadas anteriormente.

Essa diferença é fundamental.

A perícia não pergunta apenas “o que aparece no vídeo?”. Ela pergunta também como aquele vídeo foi produzido, onde estava armazenado, quais registros o acompanham e se o comportamento observado é compatível com o funcionamento normal do sistema.

O incêndio era apenas o começo da complexidade

O fato gerador da controvérsia foi um incêndio ocorrido no estabelecimento monitorado pelo DVR. Após o sinistro, o equipamento foi retirado de atividade, fazendo com que as gravações existentes até aquele período adquirissem especial relevância para a reconstrução dos acontecimentos.

É importante fazer uma distinção técnica: o exame posterior não encontrou danos físicos aparentes causados pelo incêndio nem no disco rígido nem no próprio gravador.

Isso não significa, contudo, que o trabalho fosse simples.

O verdadeiro problema estava no estado lógico e histórico da evidência.

Ao longo da análise, foram identificados elementos incompatíveis com a configuração habitual de um disco dedicado a DVR. Entre eles estava a existência de uma partição Microsoft, circunstância que indicava que o disco havia sido conectado ou submetido posteriormente a ambiente diferente daquele para o qual havia sido originalmente utilizado. A análise temporal conseguiu relacionar a criação dessa partição a uma intervenção realizada em junho de 2024.

Em outras palavras, a perícia não recebeu uma evidência idealizada, intocada desde o dia do sinistro.

Recebeu uma evidência que precisava ser compreendida apesar de uma trajetória tecnológica complexa.

É justamente nesses casos que a cadeia de custódia deixa de ser uma expressão abstrata e passa a ter relevância prática.

Cadeia de custódia não significa fingir que nada aconteceu com a evidência

Existe uma percepção equivocada de que cadeia de custódia só existe quando uma mídia permanece absolutamente intocada desde o momento do fato até a perícia.

Na prática, especialmente em disputas cíveis e empresariais, muitas vezes a atuação técnica começa quando o histórico já contém intervenções.

O dever do perito não é apagar esse passado. É identificá-lo, documentá-lo, delimitar seus efeitos e construir a análise a partir da realidade efetivamente encontrada.

Neste caso, a própria investigação do disco mostrou registros compatíveis com inserção de dados e criação de uma nova partição após a retirada do DVR do ambiente original. O laudo também identificou registros relacionados à inserção e à exclusão lógica de disco.

Isso tornou a abordagem metodológica ainda mais importante.

Em vez de presumir que o disco estava íntegro porque fisicamente parecia preservado, a análise passou a investigar:

• a estrutura de partições;
• o sistema de arquivos;
• registros temporais;
• logs do DVR;
• vestígios recuperáveis;
• comportamento histórico do equipamento;
• e as gravações existentes no suporte.

Essa é uma lição relevante para empresas e escritórios: integridade física e integridade lógica são conceitos diferentes.

Um disco pode não apresentar marcas de fogo, impacto ou deformação e, ainda assim, ter sofrido operações capazes de modificar sua estrutura lógica.

Preservar primeiro, analisar depois

Uma perícia em DVR envolvendo evidência digital sensível precisa reduzir ao máximo o risco de novas alterações provocadas pelo próprio exame.

Por essa razão, a metodologia empregada incluiu duplicação forense via hardware e o uso de ferramentas voltadas à criação de imagens forenses e à recuperação de arquivos e registros do sistema. Entre as soluções empregadas estavam ferramentas com funções distintas, permitindo que os resultados fossem analisados sob perspectivas complementares.

Esse princípio é especialmente importante quando se examina um disco de DVR.

Sistemas de videomonitoramento podem utilizar estruturas de arquivos proprietárias e formatos que não são tratados da mesma forma por sistemas operacionais convencionais. Uma conexão inadequada do disco a um computador comum pode, inclusive, criar estruturas estranhas ao ambiente original — exatamente o tipo de ocorrência que precisa ser identificada em exame forense. Por isso, a perícia não deve começar simplesmente “abrindo” o disco para ver o que existe nele.

Ela deve começar pela preservação.

Um disco de 4 TB, múltiplos sistemas de arquivos e um problema adicional

O DVR examinado possuía um disco rígido de 4 TB. Para avaliar sua estrutura e os dados existentes, foram empregadas diferentes ferramentas forenses, incluindo FTK Imager, The Sleuth Kit, PhotoRec, Recuva e DVR Examiner, além de software próprio para visualização dos arquivos de vídeo produzidos pelo equipamento.

O FTK Imager revelou duas estruturas de partição, incluindo uma partição Microsoft que não correspondia ao padrão esperado para aquele ambiente de gravação. A informação foi confirmada por análise adicional com o The Sleuth Kit, que identificou estrutura compatível com aquela encontrada pela ferramenta anterior.

A abordagem multiferramenta é importante justamente porque uma única solução dificilmente responde a todas as questões de uma perícia desse tipo.

Uma ferramenta pode revelar a estrutura do disco. Outra pode auxiliar na recuperação de registros mesmo quando o sistema de arquivos está comprometido. Outra é especializada nos formatos proprietários do DVR. Uma quarta pode contribuir para reconstruir operações realizadas posteriormente no suporte.

A robustez está na convergência entre os resultados.

Quando a própria ferramenta especializada acusa falha

Se o contexto já era tecnicamente delicado, havia ainda outro problema.

Ao submeter o disco à ferramenta especializada para DVRs, foi executada uma operação de varredura destinada a verificar suas condições e identificar os dados disponíveis. O procedimento apresentou falha.

A tela documentada no próprio laudo registrou o status “Failed” para o scan do disco. Esse é um ponto que merece destaque porque demonstra como trabalhos periciais reais são diferentes de exemplos de laboratório. O perito nem sempre recebe um dispositivo em condição perfeita. A ferramenta nem sempre conclui todas as etapas. O sistema de arquivos nem sempre está intacto. Os dados podem ter sido manipulados anteriormente. E, mesmo nessas circunstâncias, o trabalho precisa avançar sem comprometer ainda mais o suporte original.

A falha da varredura obrigou a adaptação da estratégia.

Em vez de depender da conclusão integral do scan, o exame prosseguiu por meio da funcionalidade de exportação dos arquivos de interesse, permitindo recuperar os registros do período necessário à investigação. Também foi produzido relatório completo dos clips existentes, possibilitando confrontar aquilo que estava efetivamente registrado no disco com os vídeos recuperados.

É aí que capacidade técnica faz diferença.

Uma ferramenta falhar não significa que a perícia falhou.

Significa que o método precisa saber lidar com a limitação encontrada.

Perícia em DVR: O objetivo é recuperar a fonte

Ao final da extração, foram disponibilizadas gravações diretamente provenientes do disco examinado, abrangendo o período relevante ao sinistro. Os arquivos foram preservados no formato proprietário original do equipamento, organizados por data e por canal de câmera.

Essa opção possui enorme relevância probatória.

Quando um vídeo é convertido para MP4, editado para facilitar sua visualização ou reunido em uma compilação, pode perder parte do contexto técnico que existia no sistema original.

Isso não significa que um MP4 seja automaticamente inválido.

Significa apenas que, quando a integridade passa a ser discutida, o melhor objeto de exame é, sempre que disponível, o material extraído diretamente da fonte.

Foi exatamente esse retorno à fonte que permitiu esclarecer a controvérsia.

O incêndio pôde ser reconstruído pelas próprias gravações

A recuperação das imagens permitiu reconstruir uma sequência temporal relevante na noite do incêndio.

As gravações mostravam momentos anteriores ao surgimento do fogo, a presença de pessoa portando equipamento capaz de produzir chama, o uso desse equipamento em determinado ponto do estabelecimento e, posteriormente, o surgimento do incêndio.

A análise identificou uma diferença temporal entre esses acontecimentos que, em uma leitura superficial, poderia levantar suspeita de ausência ou edição de imagens.

Mas essa era justamente a questão que precisava ser respondida tecnicamente.

O intervalo observável significava que alguém havia deliberadamente cortado o vídeo?

A resposta exigia ir além da imagem.

Nem toda lacuna de gravação significa adulteração

Esse é provavelmente o ponto mais importante do caso.

Sistemas de CFTV não necessariamente gravam de forma contínua, segundo a segundo, vinte e quatro horas por dia. Muitos DVRs são configurados para iniciar a gravação em resposta à detecção de movimento, interrompendo-a algum tempo depois de cessado o evento.

O equipamento examinado operava justamente com gravação associada à detecção de movimento. O exame registrou ainda que, após deixar de detectar movimento, o sistema poderia interromper a gravação após aproximadamente quatro segundos.

Isso muda completamente a interpretação da prova.

Uma ausência temporal entre dois clips pode ser compatível com o comportamento normal do equipamento.

Para confirmar essa hipótese, a perícia não analisou apenas as gravações do dia do incêndio. Também foram verificadas filmagens de dias anteriores, buscando compreender o padrão sistêmico de gravação do DVR.

O resultado foi relevante: o mesmo comportamento de gravação observado na noite do incêndio também aparecia em períodos anteriores ao sinistro. Assim, aquilo que inicialmente poderia ser interpretado como indício de corte mostrou-se compatível com o modo operacional do sistema.

Esse tipo de constatação demonstra exatamente por que uma perícia em vídeo não pode ser substituída pela simples visualização do arquivo.

O que parece ser uma edição pode ser uma característica do gravador.

Não foram identificados cortes nas gravações recuperadas

A perícia confrontou o relatório de clips existentes no disco com os vídeos efetivamente recuperados.

Esse confronto permitiu concluir que não foram identificados cortes ou deleção dos arquivos de vídeo analisados.

A mesma conclusão aparece nas respostas aos quesitos: não foram encontrados indícios de cortes, recortes ou inclusões no material recuperado pela perícia judicial.

O resultado é particularmente relevante porque a controvérsia havia surgido justamente a partir de vídeos anteriormente disponibilizados de forma compilada.

Ao voltar ao disco e extrair o material utilizando metodologia forense, tornou-se possível separar duas questões que até então estavam misturadas:
a existência de intervalos próprios do funcionamento do DVR e uma eventual adulteração deliberada das gravações.

São coisas completamente diferentes.

Condições extremas não autorizam conclusões frágeis

Esse caso reúne várias condições que poderiam inviabilizar uma análise superficial.

O equipamento estava relacionado a um estabelecimento que havia sofrido incêndio. O DVR havia sido retirado de operação depois do sinistro. Houve acessos posteriores ao equipamento. O disco apresentava uma partição estranha à estrutura normalmente esperada. Foram encontrados vestígios de manipulação posterior. A ferramenta especializada apresentou falha durante o scan. E, para completar, a discussão judicial envolvia justamente dúvidas sobre a integridade dos vídeos.

Ainda assim, foi possível chegar a um resultado.

Não por meio de uma única ferramenta ou de uma única informação, mas pela combinação entre preservação, análise estrutural do disco, recuperação de arquivos, leitura de logs, reconstrução temporal, exame do comportamento do DVR e confronto entre os registros existentes e os vídeos recuperados.

Essa é a essência de uma perícia de alta complexidade.

Perícia em DVR: O que esse caso ensina a seguradoras e grandes empresas

Em sinistros patrimoniais, as imagens de segurança podem ser fundamentais para a regulação.

Mas o modo como essas imagens são preservadas nas primeiras horas e nos primeiros dias após o evento pode determinar o valor que terão posteriormente.

Uma empresa que simplesmente retira o HD do DVR, conecta-o a um computador convencional e tenta copiar os arquivos pode produzir alterações indesejadas.

Uma equipe que exporta somente alguns clips pode eliminar o contexto necessário à avaliação da gravação.

Uma conversão de formato pode dificultar a análise posterior de metadados e características proprietárias.

Para seguradoras, varejistas, indústrias, administradoras de shopping centers, condomínios, operadores logísticos e demais organizações que possuem grandes ambientes monitorados, a mensagem é importante: diante de um evento grave, o DVR deve ser tratado como potencial fonte de prova digital. Não apenas como equipamento de segurança.

Quando procurar uma perícia em DVR?

A necessidade de perícia especializada surge especialmente quando há discussão sobre autenticidade ou integridade dos vídeos, suspeita de cortes, impossibilidade de exportação convencional, equipamento danificado ou retirado de ambiente de sinistro, falha no sistema de arquivos, necessidade de recuperar gravações antigas ou eliminadas, divergência entre horários, necessidade de reconstrução cronológica ou utilização das imagens em processo judicial, arbitral, securitário ou investigativo.

Também é recomendável buscar apoio especializado quando uma seguradora, empresa ou escritório recebe vídeos já exportados por terceiros e precisa verificar se aquele conjunto representa adequadamente a fonte original.

Quanto maior a relevância econômica ou jurídica do evento, maior deve ser o cuidado com a evidência.

A recuperação é apenas metade do trabalho

Outro aspecto importante é que o resultado de uma perícia desse tipo não se resume a “conseguimos recuperar os vídeos”.

A recuperação é apenas uma etapa.

O valor probatório decorre da capacidade de explicar:
como a mídia foi analisada; quais limitações foram encontradas; quais intervenções anteriores foram identificadas; quais ferramentas foram utilizadas; como os arquivos foram recuperados; qual era o padrão de funcionamento do equipamento; e por que determinada lacuna temporal não representa necessariamente uma edição.

Sem isso, existem arquivos.

Com isso, existe prova técnica.

Conclusão: quando a evidência sobrevive ao sinistro, a perícia em DVR precisa saber encontrá-la

Um incêndio pode destruir instalações, mercadorias, equipamentos e documentos. Mas, em determinados casos, parte da história do que aconteceu permanece armazenada silenciosamente em um disco rígido.

O desafio é conseguir recuperá-la com segurança.

No caso analisado, o DVR havia sido retirado de operação após o incêndio e seu disco já apresentava uma trajetória técnica complexa. Havia indícios de manipulação posterior, alteração da estrutura lógica do suporte e dificuldades de leitura suficientemente relevantes para que uma ferramenta especializada não conseguisse concluir sua varredura convencional.

Mesmo nessas condições, a perícia avançou.

Foram combinadas técnicas de preservação, análise de sistema de arquivos, recuperação de dados, interpretação de logs e extração específica para DVR. As gravações relevantes foram recuperadas diretamente do disco em seu formato proprietário. O material foi confrontado com o inventário de clips existente no próprio suporte e com o comportamento histórico de gravação do equipamento.

Ao final, foi possível reconstruir os eventos relevantes ao incêndio e, principalmente, esclarecer a principal dúvida técnica existente no processo: as lacunas observadas não representavam, por si mesmas, cortes ou adulterações das imagens; eram compatíveis com o padrão sistêmico de funcionamento do gravador, e não foram encontrados cortes ou deleções nos arquivos recuperados pela perícia.

Esse resultado sintetiza bem o papel da computação forense em situações adversas.

Não se trata apenas de operar uma ferramenta.

Trata-se de saber o que fazer quando a ferramenta falha, quando a evidência foi manipulada anteriormente, quando o sistema utiliza estruturas proprietárias e quando cada decisão técnica pode influenciar um litígio de alta relevância.

Em condições ideais, recuperar dados pode ser uma operação tecnológica.

Em condições extremas, transformar esses dados em prova confiável exige método, experiência e capacidade pericial.