Outro trabalho interessante na inteligência militar que talvez desconheças: investigador de média digital.

Na linha da frente das operações, equipas especializadas analisam telemóveis queimados e pens USB enegrecidas para extrair a única pista que realmente importa. Este trabalho depende de paciência, perícia e de um laboratório capaz de se deslocar com a mesma rapidez de um pelotão.

O que faz realmente um investigador de suportes digitais

Os investigadores de suportes digitais trabalham dentro de um laboratório projetável, preparado para a desordem da guerra. Imagine uma garagem de alta tecnologia dentro de um contentor: estações de retrabalho, write-blockers, invólucros Faraday e portáteis cheios de adaptadores. Em algumas unidades europeias, este “laboratório projetável” acompanha o centro de investigação cibernética e liga-se diretamente aos ciclos de decisão. Um telemóvel deixado num banco pode transformar-se num mapa. Um pequeno chip de memória pode alterar por completo a perceção de uma ameaça.

Dispositivos danificados continuam a guardar rotas, contactos, imagens em cache e registos de rádio que podem redirecionar uma patrulha em poucas horas.

O seu terreno de caça: tudo o que armazena memória

Trabalham em tudo o que guarda bits. Cartões microSD, SIM, SSD, controladores de voo de drones, dashcams, telemóveis básicos baratos, Androids modernos. A maioria chega dobrada, perfurada ou impregnada de fumo. Os botões de energia já não respondem. Os ecrãs estão estilhaçados. Ainda assim, a memória muitas vezes sobrevive por baixo dos danos.

As equipas começam por estabilizar a prova. Secam, limpam e isolam. Impedem que os rádios “telefonem para casa”. Fazem a imagem antes de tocar em mais alguma coisa. O objetivo é simples: obter uma cópia bit a bit perfeita e trabalhar depois sobre o clone.

Da recuperação às pistas

Recuperar dados, por si só, não ajuda uma patrulha. Os investigadores passam rapidamente para a triagem. Extraem geotags de fotografias. Reconstroem cronologias de chamadas e conversas. Analisam registos Wi‑Fi que podem sugerir casas seguras. Recuperam caches de aplicações que revelam corredores de deslocação, pontos de entrega de dinheiro ou locais de encontro.

Artefacto	O que revela	Ação típica
Fotografia com geotag	Última localização e hora conhecidas do dispositivo	Ajustar a rota de vigilância
Registo de associação Wi‑Fi	Locais frequentados e aliases de rede	Identificar pontos seguros para observar
Metadados de chat	Relações e ritmo operacional	Reconstruir a estrutura do grupo
Cache de GPS	Padrões de trânsito entre checkpoints	Planear janelas de interceção
Registos de chamadas VoIP	Facilitadores transfronteiriços	Acionar equipas de ligação

Quando o dispositivo mal se consegue ler

Alguns trabalhos começam ao nível do silício. Se um telemóvel estiver destruído, os técnicos recorrem a chip-off: removem o encapsulamento de memória, limpam as esferas e leem o dump em bruto. Se os pads ainda existirem, utilizam ISP ou JTAG para extrair dados sem dessoldar. Reconstroem partições danificadas, conseguem recuperar formatos exóticos e contornam cadeias de arranque instáveis. Não é hacking de filme. É eletrónica metódica e cirurgia ao sistema de ficheiros.

A persistência vale mais do que o brilho. Muitas vezes, o avanço surge depois de horas a reconstruir manualmente um único cabeçalho de partição.

O conhecimento conta. EXT4, F2FS e APFS comportam-se de forma diferente após uma perda abrupta de energia. Os write-ahead logs de SQLite podem esconder fragmentos de conversa não apagados. As miniaturas permanecem mesmo quando as galerias desaparecem. As sandboxes das aplicações deixam pistas através de notificações, cópias de segurança ou pastas temporárias. Um único journal esquecido pode iluminar toda uma rede de rotas.

Ferramentas do ofício

• Estação de retrabalho, placa térmica, microscópio e bom fluxo para chip-off.
• Write-blockers, sacos Faraday e alimentação limpa para um manuseamento seguro.
• Suites forenses para aquisição de imagem e carving, além de scripts Python personalizados para casos limite.
• Ferramentas de timeline para fundir chats, chamadas, registos de torres celulares e trajetos GPS.
• Racks portáteis e caixas blindadas para manter o laboratório móvel em condições duras.

Vida em ritmo operacional

O ritmo dita tudo. Quando uma unidade entrega um dispositivo, o relógio começa a contar. A cadeia de custódia é registada em segundos. Inicia-se uma imagem rápida. Os analistas procuram ganhos imediatos: uma localização fixada, um número recorrente, um carimbo temporal de trânsito que coincide com imagens de drone. O briefing da manhã seguinte precisa de respostas, não de teoria.

A equipa trabalha em conjunto com células de informações, guerra eletrónica e targeting. Passam pistas como campos estruturados, não como capturas de ecrã soltas. Atribuem níveis de confiança e assinalam a fragilidade dos artefactos, porque existem dados falsificados. Mantêm fluxos de trabalho em silêncio rádio prontos a usar, já que um dispositivo ligado pode denunciar uma posição.

A pequena pista que muda uma missão

A maioria dos dumps parece puro ruído. Dezenas de gigabytes. Duplicados. Lixo de aplicações. Depois aparece uma única linha: uma entrada de .log com um SSID Wi‑Fi junto a um armazém abandonado. Ou um fragmento de mensagem que só sobrevive numa cache. Ou uma fotografia tirada por engano, com metade de um sinal de trânsito visível. Esse pequeno detalhe pode alterar o plano de uma patrulha, confirmar um informador ou reduzir uma busca a um único quarteirão.

Um pequeno rasto pode valer mais do que 50 gigabytes de ruído quando o tempo é curto e as equipas estão em movimento.

Competências, percursos e formação

Este ofício junta eletrónica, software e sentido de terreno. Muitos recrutas chegam com bases em ciência informática ou engenharia eletrotécnica. Outros vêm de sinais, telecomunicações ou perícia policial. O traço comum é a curiosidade e a resistência.

• Sistemas de ficheiros e funcionamento interno do armazenamento: como os dados persistem após falhas e limpezas.
• Comportamento de sistemas operativos móveis: layouts de partições Android, backups iOS, sandboxes de aplicações.
• Scripting: carving de artefactos em casos difíceis, normalização de timestamps desorganizados.
• Destreza de hardware: calor controlado, mãos firmes e respeito por pads frágeis.
• Disciplina operacional: tratamento da prova, classificação e relato rápido.

O Mês Europeu da Cibersegurança, apoiado pela ENISA, mostra frequentemente este tipo de trabalho. O público vê o ciberespaço como palavras-passe e phishing, mas o ciber na linha da frente também significa chips de memória, placas queimadas e triagem rápida que evita que patrulhas tomem decisões erradas.

Ângulos extra que alargam a perspetiva

Termos-chave a conhecer

• Chip-off: dessoldar o encapsulamento de memória para ler dados brutos quando a placa está morta.
• ISP/JTAG: ligação a pontos de teste para extrair uma imagem completa sem remover os chips.
• DFIR: digital forensics and incident response, a disciplina mais ampla por trás destes processos.

Uma curta simulação de campo

Cenário: chega a um laboratório avançado um Android queimado. A placa está rachada; a porta USB desapareceu. A equipa isola o risco RF e depois recorre a ISP na eMMC. Um dump parcial revela caches do WhatsApp, um histórico de localização com um vazio de quatro dias e um registo Wi‑Fi com “RiverGarage‑Guest”. Esse SSID coincide com o mapa de rota logística de uma pequena unidade. Uma patrulha desloca o seu posto de observação 600 metros, e nessa noite um comboio entra no campo de visão.

Riscos, compromissos e trabalho relacionado

• Riscos: contaminar a prova, interpretar mal artefactos falsificados e confiar em dados de uma única fonte.
• Compromissos: velocidade versus profundidade; por vezes, uma triagem rápida vale mais do que uma imagem perfeita.
• Trabalho relacionado: perícia a drones, extração de sistemas de infoentretenimento de veículos e análise de telemetria rádio alimentam muitas vezes o mesmo quadro.
• Vantagem: um laboratório avançado encurta o ciclo entre pista e ação, poupando tempo e, por vezes, vidas.

Para quem tem curiosidade sobre percursos de entrada, o melhor ponto de partida é a reparação básica de hardware e a perícia a sistemas de ficheiros. Vale a pena praticar carving de restos SQLite, análise de backups móveis e construção de timelines a partir de registos mistos. Depois, junta-se o manuseamento seguro de placas danificadas. É um ofício que recompensa mentes pacientes, que gostam de puzzles, briefings rápidos e da satisfação de encontrar o único artefacto que muda o plano de amanhã.