Perícia em sistemas legados: como recuperar e validar evidências digitais armazenadas em fitas magnéticas

Quando se fala em perícia digital, é comum imaginar smartphones, computadores atuais, serviços em nuvem ou plataformas corporativas modernas. No ambiente empresarial, entretanto, algumas das evidências mais relevantes para um litígio podem estar armazenadas em tecnologias utilizadas há quinze, vinte ou até mais anos.

Esse cenário é particularmente frequente em instituições financeiras, seguradoras, empresas de telecomunicações, grandes grupos econômicos e organizações que mantêm extensos históricos documentais e sistemas de backup de longa duração.

Uma operação societária realizada muitos anos atrás, uma decisão empresarial, um documento utilizado em determinado estudo econômico ou um registro produzido por antigo sistema corporativo pode adquirir relevância judicial muito tempo depois de sua criação. Quando isso acontece, surge um desafio que vai muito além da simples recuperação de um arquivo: é necessário demonstrar tecnicamente de onde aquela informação veio, como foi preservada, em que contexto estava armazenada e até que ponto pode ser considerada confiável. É justamente nesse espaço que atua a perícia em sistemas legados.

Em um trabalho pericial judicial recente, foi necessário examinar a contemporaneidade de um documento digital relacionado a fatos ocorridos quase duas décadas antes da perícia. A evidência original estava associada a backups históricos mantidos em fitas magnéticas, e uma restauração anterior havia sido realizada anos depois dos fatos. O novo exame precisava verificar se os resultados poderiam ser novamente obtidos a partir das mídias-fonte, com documentação suficiente para avaliar integridade, origem e contexto.

A metodologia, portanto, não poderia depender simplesmente da data exibida por uma cópia atual do documento. Foi necessário trabalhar com mídia física, documentação de custódia, sistemas de backup, catálogos, logs, metadados e diferentes ocorrências históricas do mesmo conteúdo. O próprio laudo estabeleceu que a análise não deveria se apoiar em um elemento isolado, mas na convergência entre múltiplas fontes técnicas.

Esse tipo de caso demonstra algo importante para empresas e departamentos jurídicos: dados antigos podem continuar produzindo prova de alto valor, desde que a recuperação seja conduzida com metodologia adequada.

O problema não é apenas encontrar o arquivo

Em Perícia em sistemas legados, recuperar uma informação é um problema diferente de procurar um documento em uma estação de trabalho atual. Ao longo dos anos, a infraestrutura tecnológica de uma grande organização muda várias vezes. Servidores são substituídos. Softwares recebem novas versões. Sistemas de armazenamento são migrados. Equipamentos deixam de ser fabricados. Bibliotecas de backup são modernizadas e políticas internas são alteradas. O dado histórico, porém, pode permanecer necessário.

Em ambientes que utilizaram fitas magnéticas como mecanismo de backup, por exemplo, a existência física da mídia é apenas o primeiro passo. É preciso que exista um ambiente capaz de interpretá-la corretamente, reconhecer sua estrutura de armazenamento, localizar os conjuntos de backup e reconstruir os arquivos de interesse.

No caso examinado, a mídia histórica pertencia à tecnologia LTO e dependia de uma biblioteca de fitas e de software específico de gerenciamento de backup. A perícia conseguiu relacionar o ambiente atual de restauração com aquele documentado em exame anterior, ainda que o software utilizado já estivesse em versão mais recente. Isso mostra por que a perícia em sistemas legados possui características próprias.

Não é suficiente perguntar: “o arquivo ainda existe?”.

É necessário perguntar: a infraestrutura atual consegue interpretar corretamente a mídia histórica? O catálogo ainda está disponível? A estrutura lógica pode ser reconstruída? Os resultados obtidos hoje são compatíveis com aqueles produzidos no passado?

Essas perguntas fazem a diferença entre simples recuperação de dados e produção de evidência tecnicamente defensável.

Cadeia de custódia também se aplica a backups empresariais antigos

Quando um documento digital é utilizado como prova, a discussão não pode começar apenas no momento em que ele é restaurado.

É necessário compreender a trajetória do suporte que armazenava a informação.

Em ambientes corporativos, as mídias de backup frequentemente permanecem durante anos sob responsabilidade de empresas terceirizadas especializadas em guarda documental e armazenamento físico. Isso cria uma camada adicional de análise: a cadeia de custódia da própria mídia.

No caso que serve de referência para este artigo, foram examinados registros relacionados ao armazenamento, movimentações internas, solicitações de retirada, transporte e disponibilização das fitas para as diligências. A documentação externa possuía uma função específica: reconstruir a trajetória física dos suportes apresentados para exame.

Entretanto, isso representa apenas uma parte da cadeia de custódia.

Uma fita pode estar perfeitamente identificada e armazenada durante anos, mas essa informação, isoladamente, não demonstra o conteúdo que existe dentro dela.

Por essa razão, a perícia diferenciou dois planos complementares.

O primeiro dizia respeito à cadeia física das mídias, relacionada à guarda, movimentação e disponibilização dos suportes.

O segundo correspondia à cadeia lógica dos dados restaurados, construída a partir da leitura das fitas, catalogação, restauração controlada, registros do sistema de backup, geração de hashes e preservação das cópias extraídas.

Essa distinção é muito valiosa para organizações que mantêm dados históricos.

Preservar a fita não basta.

Também é necessário preservar, sempre que possível, a capacidade de demonstrar como seu conteúdo foi acessado e quais procedimentos foram realizados sobre ele.

A primeira tentativa de leitura falhou — e isso fazia parte do desafio

Um dos pontos mais relevantes desse trabalho foi o fato de a primeira diligência presencial não ter alcançado a restauração integral pretendida.

A fita foi identificada e inserida no ambiente de leitura. O sistema chegou a reconhecer preliminarmente diretórios e arquivos, mas uma intercorrência técnica no dispositivo utilizado impediu o prosseguimento seguro da catalogação e da restauração.

Em uma análise superficial, alguém poderia interpretar esse episódio como fracasso da perícia.

Na realidade, ocorreu exatamente o contrário.

Em computação forense, principalmente quando se trabalha com tecnologia antiga, reconhecer uma limitação e interromper um procedimento que não oferece condições adequadas é parte do rigor metodológico.

Forçar a leitura, trabalhar apenas com fragmentos obtidos ou produzir uma conclusão baseada em material incompleto poderia comprometer toda a prova.

A decisão técnica foi documentar a falha e reconhecer que, sem acesso suficientemente estável ao conteúdo, não seria possível responder de forma segura às questões submetidas ao exame. O laudo registrou expressamente essa limitação e a necessidade de continuidade dos trabalhos.

Essa postura é importante porque evidencia uma diferença fundamental entre recuperação de dados e perícia judicial.

Na recuperação convencional, o objetivo principal pode ser simplesmente obter o máximo possível de informação.

Na perícia, além de recuperar, é necessário demonstrar como o resultado foi obtido e dentro de quais limites ele pode ser considerado confiável.

Quando a tecnologia impõe obstáculos, a estratégia pericial precisa mudar

Depois da primeira tentativa malsucedida, o exame não permaneceu limitado à mesma abordagem.

A perícia ampliou o universo de verificação e passou a considerar também outros conjuntos mensais de backup produzidos no mesmo ano.

Essa escolha foi metodologicamente importante.

Se determinado arquivo pudesse ser encontrado apenas em uma única fita, a análise continuaria muito dependente daquele suporte específico. Se, por outro lado, o mesmo conteúdo aparecesse em diferentes backups produzidos em momentos distintos, surgiria uma fonte adicional de confirmação.

Foram, então, obtidas mídias correspondentes a períodos posteriores para verificar se o documento também aparecia em outros ciclos de backup. O objetivo não era simplesmente aumentar o volume de material analisado. Era testar a consistência temporal do achado. A própria metodologia relacionou essa estratégia aos princípios de repetibilidade e reprodutibilidade. A comparação entre diferentes conjuntos permitiria verificar se o mesmo objeto digital aparecia de maneira consistente em múltiplas mídias. Esse é um conceito extremamente importante em perícia digital histórica.

Quanto mais independente for a confirmação de determinado achado, menor a dependência de uma única propriedade ou de um único suporte.

A segunda diligência conseguiu superar a limitação técnica

Na diligência subsequente, o trabalho pôde avançar.

Foram novamente documentadas as mídias, sua inserção no ambiente de backup, a utilização do software de restauração, a catalogação dos conjuntos e os procedimentos realizados para recuperar os arquivos selecionados. Dessa vez, o resultado foi bem-sucedido. O conteúdo de interesse pôde ser restaurado a partir de diferentes backups históricos. As operações foram concluídas pelo sistema sem indicação de arquivos corrompidos ou ignorados.

Esse ponto é especialmente relevante para compreender o valor de uma equipe especializada em sistemas legados. A primeira dificuldade não foi tratada como motivo para desistência, nem como autorização para reduzir o rigor da análise. Ela foi tratada como problema técnico a ser compreendido e superado dentro de condições controladas.

É exatamente esse tipo de cenário que grandes organizações podem enfrentar quando precisam produzir prova a partir de sistemas antigos. Equipamentos não respondem como esperado, formatos deixaram de ser utilizados e a própria infraestrutura necessária para acessar o conteúdo pode ter se tornado rara. Ainda assim, tecnologia legada não significa necessariamente informação perdida.

Perícia em sistemas legados não é recuperar documentos

Uma vez restaurado o conteúdo, surgia uma nova pergunta: como saber se as diferentes cópias correspondiam efetivamente ao mesmo objeto digital?

• O nome do arquivo não seria suficiente.
• A extensão não seria suficiente.
• A aparência visual também não seria suficiente.
• Arquivos distintos podem ter nomes idênticos e apresentar conteúdo aparentemente semelhante.

Por isso, a perícia utilizou técnicas de verificação de integridade sobre as cópias restauradas. Os documentos recuperados dos diferentes conjuntos de backup apresentaram o mesmo tamanho e valores hash coincidentes. Mais importante ainda: os resultados também foram compatíveis com os valores registrados em uma perícia anterior, realizada anos antes.

O resultado permitiu estabelecer diferentes pontos temporais de confirmação do mesmo conteúdo digital. O mesmo objeto estava presente em backups de diferentes meses do ano original e apresentava correspondência com a cópia examinada em procedimento realizado posteriormente. Isso é muito diferente de simplesmente afirmar que “um arquivo com aquele nome foi encontrado”.

A análise passou a demonstrar continuidade e estabilidade do conteúdo em diferentes pontos do tempo.

O contexto em que o arquivo aparece também é uma forma de evidência

Outro aspecto importante da perícia foi a análise do ambiente em que o documento estava armazenado.

O arquivo não apareceu sozinho dentro do backup.

A estrutura restaurada continha versões anteriores e outros documentos relacionados ao mesmo contexto de trabalho. A perícia conseguiu verificar que o material questionado integrava um conjunto documental mais amplo, coerente com o ambiente corporativo examinado.

Esse tipo de informação é relevante porque, em prova digital, contexto importa.

Um documento encontrado isoladamente possui uma força analítica diferente de um arquivo localizado dentro de estrutura histórica consistente, acompanhado por outros registros relacionados e novamente identificado em backups independentes.

Esse raciocínio é particularmente importante quando se discute eventual inserção posterior de conteúdo.

A análise não pergunta apenas se seria teoricamente possível alterar uma data de arquivo ou introduzir um documento em determinado ambiente. Ela procura por vestígios concretos que sustentem ou contrariem essa hipótese.

No caso examinado, a conclusão não foi construída sobre a confiança cega em uma propriedade temporal.

Ela decorreu do conjunto.

Perícia em sistemas legados e a correlação com os timestamps

Datas de criação, modificação e acesso são elementos importantes em computação forense, mas seu significado precisa ser interpretado dentro do contexto técnico correto.

Uma restauração de backup pode modificar determinadas propriedades externas.

Uma cópia entre sistemas de arquivos diferentes pode produzir novos registros.

Diferenças de fuso horário também podem alterar a forma como uma mesma informação temporal aparece em ferramentas distintas.

Além disso, determinados timestamps podem ser manipulados deliberadamente.

Por essas razões, uma perícia responsável não deveria afirmar a contemporaneidade de um documento histórico apenas porque sua propriedade “última modificação” apresenta determinada data.

A metodologia empregada neste caso fez exatamente o oposto.

Foram considerados conjuntamente mídia de origem, documentação de custódia, registros do sistema de backup, diferentes conjuntos de restauração, metadados internos e externos, arquivos relacionados e identidade do conteúdo.

Essa abordagem permitiu formular uma conclusão muito mais robusta do que aquela que seria obtida pela simples leitura de uma propriedade do arquivo.

A antiguidade dos dados não inviabiliza o material probatório

Outro aspecto particularmente relevante para sistemas antigos é que muitos documentos foram produzidos em épocas nas quais assinatura digital, carimbo de tempo e mecanismos atuais de preservação criptográfica ainda não eram incorporados às rotinas empresariais da mesma maneira que hoje.

Isso cria um desafio.

Como analisar tecnicamente um documento antigo que não recebeu, no momento de sua criação, uma assinatura digital ou um registro criptográfico contemporâneo?

A resposta não está em fingir que essa limitação não existe.

Ela precisa ser declarada.

O próprio laudo reconheceu que determinadas ausências representam limitações técnicas. Ao mesmo tempo, esclareceu que isso não torna automaticamente inúteis todos os demais elementos disponíveis. Documentos digitais sem assinatura histórica ainda podem ser examinados por meio da identificação da fonte, cadeia de custódia, restauração documentada, hashes atuais, catálogos, logs, metadados, estrutura de armazenamento, arquivos correlatos e reprodução dos procedimentos.

Para o ambiente B2B, essa é uma mensagem importante.

Grande parte dos arquivos históricos existentes nas empresas não foi criada pensando em uma futura perícia.

Ainda assim, esses registros podem apresentar valor probatório quando analisados por meio de uma metodologia capaz de trabalhar com diferentes fontes de corroboração.

O resultado não veio de um único dado, mas da convergência de evidências

Ao final dos trabalhos, foi possível reconstruir um conjunto técnico consistente.

A fita relacionada ao período original foi identificada e associada aos registros do sistema de backup. Existia documentação externa sobre sua custódia. O documento foi localizado diretamente dentro do conjunto histórico, acompanhado de arquivos relacionados. A restauração foi realizada a partir de diferentes backups, e as cópias apresentaram identidade binária entre si e correspondência com o exame anterior.

Também não foi identificado elemento técnico concreto indicativo de inserção posterior ou adulteração do conteúdo. As diferentes fontes temporais e contextuais convergiram para a conclusão de que o documento já integrava o ambiente corporativo no período analisado.

O resultado foi formulado com elevado grau de confiança técnica, sempre respeitando as limitações objetivas do material disponível.

Esse cuidado é fundamental.

Perícia de alta qualidade não se caracteriza por utilizar expressões absolutas quando os vestígios não permitem isso. Ao contrário, a credibilidade está justamente na capacidade de explicar qual é o grau de segurança alcançado e por quais elementos ele é sustentado.

O que instituições financeiras e grandes empresas podem aprender com esse tipo de caso

A principal lição é que a gestão de sistemas legados não deveria ser encarada apenas como problema de infraestrutura de TI.

Ela também é um tema de governança probatória.

Instituições financeiras, grandes empresas e organizações reguladas mantêm informações que podem se tornar relevantes muitos anos depois de sua produção. Operações societárias, decisões estratégicas, contratos, documentos financeiros, estudos internos, comunicações e registros de sistemas podem ressurgir em litígios judiciais, arbitragens, fiscalizações e investigações.

Preservar esses dados apenas fisicamente pode não ser suficiente.

Uma estratégia madura de retenção precisa considerar a possibilidade de futura recuperação e interpretação.

Isso significa pensar não somente na fita, no disco ou no arquivo, mas também na documentação do sistema de backup, nos catálogos, nas versões de software, nas políticas de retenção e, quando possível, em estratégias de migração que não destruam informações relevantes sobre origem e contexto.

Quando essas precauções não foram adotadas no passado, a perícia especializada pode ainda tentar reconstruir o ambiente probatório. Mas quanto melhor for a documentação histórica da organização, maiores serão as possibilidades de uma análise tecnicamente robusta.

Perícia em sistemas legados exige mais do que uma empresa de recuperação

Existe também uma distinção comercial importante.

Uma empresa pode ser extremamente competente em recuperar informações de mídia antiga e ainda assim não estar estruturada para produzir prova judicial.

O objetivo da perícia não termina quando o arquivo é aberto.

É necessário documentar o procedimento, preservar a fonte, separar material restaurado de cópias de trabalho, registrar limitações, controlar integridade, reconstruir cadeia de custódia e explicar ao destinatário do laudo por que determinado resultado possui ou não determinada força probatória.

A metodologia adotada no caso incluiu justamente preservação da evidência-fonte, restauração controlada em ambiente documentado, separação entre conjunto restaurado e material de trabalho, geração de hashes e registro dos atos relevantes à cadeia de custódia.

Essa diferença se torna decisiva quando a informação recuperada poderá ser questionada pela parte contrária, por auditor, regulador ou pelo próprio juízo.

Perícia em sistemas legados como serviço estratégico B2B

Para bancos, seguradoras, concessionárias, empresas de telecomunicações, grandes grupos empresariais e escritórios que atuam em contencioso complexo, a perícia em sistemas legados possui aplicação muito maior do que aparenta.

Ela pode ser necessária em discussões envolvendo documentos corporativos antigos, contratos históricos, operações societárias, auditorias, bases de dados descontinuadas, backups de sistemas substituídos, investigações internas, litígios tributários e diversas outras situações nas quais a prova relevante está vinculada a tecnologias que já deixaram de fazer parte da rotina empresarial.

Nesses casos, o desafio técnico é também estratégico.

Uma evidência inacessível pode significar dificuldade de defesa.

Um arquivo recuperado sem contexto pode ser facilmente questionado.

Um documento histórico sem cadeia de custódia pode perder força justamente quando mais importa.

É por isso que esse tipo de trabalho precisa combinar conhecimento técnico, metodologia forense e compreensão do ambiente jurídico em que o resultado será utilizado.

Conclusão: condições adversas exigem método, não improvisação

A perícia em sistemas legados é um dos exemplos mais claros de como a computação forense pode ser decisiva em litígios empresariais de alta complexidade.

No caso analisado, havia praticamente vinte anos de distância entre os fatos e a nova perícia. A informação dependia de fitas magnéticas e infraestrutura de backup legada. A primeira tentativa presencial não conseguiu concluir a restauração devido a uma intercorrência técnica. Foi necessário ampliar o conjunto de mídias, realizar nova diligência e reconstruir a prova por múltiplas fontes.

O resultado, entretanto, foi alcançado.

O documento pôde ser novamente restaurado diretamente das mídias históricas. Diferentes backups apresentaram o mesmo conteúdo. Os resultados foram compatíveis com exame realizado anos antes. A cadeia física das mídias foi confrontada com a cadeia lógica dos dados, e os metadados foram interpretados dentro de um conjunto muito mais amplo de vestígios.

É justamente aí que está o valor da perícia em sistemas legados.

Sistemas antigos não tornam automaticamente uma prova inacessível. Fitas magnéticas não significam evidência perdida. E uma primeira falha técnica não determina o fim de uma investigação.

Quando o trabalho é conduzido com metodologia, documentação, persistência técnica e respeito aos limites da evidência, é possível transformar registros produzidos há décadas em elementos novamente compreensíveis, rastreáveis e úteis para a decisão judicial ou corporativa.

Para grandes organizações, esse tipo de caso deixa uma mensagem importante: os dados históricos podem permanecer silenciosos durante muitos anos, mas, quando um litígio exige respostas, a capacidade de recuperá-los e demonstrar sua confiabilidade pode se tornar um ativo probatório de enorme valor.