Como recuperar ou apagar dados em dispositivos?

Por: Aury Lopes Jr.; Alexandre Morais da Rosa; Dellano Sousa Joaquim; Bartolomeu Ferreira Neto

A recuperação de arquivos apagados passou a ocupar papel central em investigações envolvendo computadores e dispositivos digitais. Com técnicas cada vez mais sofisticadas, peritos conseguem resgatar informações que, à primeira vista, pareciam ter sido eliminadas. Mas entender como esses processos funcionam é essencial para compreender os limites da perícia e o peso probatório desses vestígios.

Este tema ganha importância à medida que o armazenamento digital evolui e se diversifica. A seguir, explicamos de forma acessível o que realmente acontece quando um arquivo é deletado, como funcionam as tecnologias atuais e quais são os desafios enfrentados por quem atua na área.

O que acontece quando um arquivo é apagado?

Ao contrário do senso comum, deletar um arquivo não significa removê-lo definitivamente do dispositivo. Quando o usuário exclui um documento, foto ou vídeo, o sistema operacional apenas deixa de exibi-lo e marca aquele espaço como “livre” para um uso futuro.

O dado permanece ali até que seja sobrescrito por novas informações — o que pode levar segundos, dias ou até meses, dependendo do uso do equipamento. Isso explica por que investigações conseguem recuperar conteúdos aparentemente apagados: em muitos casos, eles ainda estão no disco, apenas não são mais visíveis ao usuário.

HD x SSD: por que o tipo de armazenamento muda tudo

A tecnologia utilizada pelo dispositivo determina o grau de recuperação possível.

HDs mecânicos, comuns em computadores mais antigos, tendem a preservar setores marcados como livres por longos períodos. Isso facilita a recuperação de arquivos completos e até de fragmentos antigos, inclusive de donos anteriores do equipamento. Por isso, HDs oferecem maior “janela temporal” para resgate de dados.

Já os SSDs, que utilizam memória flash, funcionam de maneira diferente. Para manter a performance, contam com o comando Trim, que informa ao dispositivo quais blocos foram liberados pelo sistema operacional. A partir daí, o próprio SSD limpa esses blocos de forma quase definitiva.

Na prática, isso significa que arquivos apagados em SSDs geralmente não podem ser recuperados. A ausência de vestígios em investigações com SSD, portanto, não indica necessariamente que nunca existiram — pode ser apenas um efeito natural da tecnologia.

Duas frentes da perícia digital: data carving e recuperação pelo sistema de arquivos

A atuação pericial se divide, principalmente, entre dois métodos de recuperação:

1. Data carving

O data carving busca fragmentos de dados diretamente nos setores do dispositivo, independentemente do sistema de arquivos. É como recolher páginas soltas, sem saber de que livro vieram.

Apesar de útil, esse processo envolve riscos:

> ausência de metadados confiáveis;

> possibilidade de recuperar dados de usuários antigos;

> dificuldade em reconstruir arquivos completos;

> impossibilidade de estabelecer autoria ou linha do tempo com precisão.

2. Recuperação pelo sistema de arquivos

Quando os metadados ainda estão preservados, é possível recuperar arquivos com contexto, como:

> datas de criação e modificação;

> caminho original dentro do dispositivo;

> associação ao usuário que criou/acessou o arquivo;

> registros de aplicativos utilizados para abri-lo.

Esse tipo de recuperação oferece maior confiabilidade, desde que bem documentado e tecnicamente executado.

Sanitização: quando a eliminação precisa ser definitiva

Para evitar contaminações em análises forenses — ou proteger dados sensíveis — a sanitização é empregada. São métodos de eliminação segura que podem incluir:

> sobrescrita completa do espaço de armazenamento;

> ferramentas especializadas de limpeza irreversível.

Ambientes corporativos, governamentais e industriais recorrem a essas práticas para impedir que informações confidenciais sejam recuperadas. Na perícia penal, a sanitização pode explicar a ausência de dados, indicando que o dispositivo foi limpo previamente.

Exemplos práticos

Computador de segunda mão:

Um HD já utilizado pode conter vestígios de arquivos antigos, mesmo após formatações. Recuperá-los não significa que o atual proprietário os produziu, o que exige cautela na interpretação.

Notebook com SSD e Trim ativado:
A exclusão tende a ser definitiva. Assim, não encontrar dados não prova que nunca existiram — pode ser apenas o funcionamento normal do dispositivo.

Além disso, peritos também utilizam artefatos complementares, como arquivos de hibernação, memória temporária e dados voláteis, que podem conter trechos de informações já removidas pelo usuário.

Conclusão

A recuperação de dados é uma ferramenta poderosa, mas precisa ser compreendida dentro dos limites de cada tecnologia. HDs e SSDs reagem de forma distinta ao processo de exclusão, o que influencia diretamente o que pode — ou não — ser encontrado pela perícia.

Enquanto o data carving pode trazer fragmentos sem contexto, a recuperação baseada em metadados permite análises mais completas. Para evitar interpretações equivocadas, é fundamental que operadores do direito entendam as limitações técnicas envolvidas.

Em um cenário cada vez mais digital, reconhecer essas nuances não é apenas recomendável — é indispensável para qualquer agente processual que atua com provas digitais.