Questão de Criminalística — Cadeia de Custódia — CESPE / CEBRASPE 2025
Criminalística›Cadeia de Custódia
Código
ce214613
Banca
CESPE / CEBRASPE
Órgão
SEFAZ-RJ
Ano
2025
Nível
Superior
Cargo
Auditor Fiscal da Receita Estadual (3ª Categoria) - Conhecimentos Específicos I
Um analista forense coletou um arquivo de um servidor suspeito e calculou seu hash SHA-256 antes e após a transferência, tendo obtido o mesmo valor:hash original: a1b2c3d4e5f6...hash após transferência: a1b2c3d4e5f6...Ao abrir o arquivo, o analista verificou que parte do conteúdo estava corrompida, embora o tamanho do arquivo e os metadados permanecessem inalterados.Nessa situação hipotética, conforme os procedimentos forenses padrão, o referido analista deverá
Aignorar a corrupção, pois o hash comprova a autenticidade do arquivo.
Busar um algoritmo de hash diferente (como MD5) para verificar novamente o arquivo.
Cregistrar a inconsistência, coletar novamente o arquivo e verificar os hashes.
Ddescartar imediatamente a evidência, devido à corrupção verificada.
Econsiderar a evidência válida porque o hash não foi alterado.
Revelar gabarito e comentário▾
GabaritoC — registrar a inconsistência, coletar novamente o arquivo e verificar os hashes.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Cadeia de Custódia em Evidências Digitais
Gabarito: letra C. O hash SHA-256 idêntico comprova que o arquivo não foi alterado durante a transferência, mas não garante que o arquivo original já estava íntegro. A corrupção detectada ao abrir o arquivo indica possível falha na coleta ou no armazenamento original. Conforme os procedimentos forenses padrão, o analista deve registrar a inconsistência, coletar novamente o arquivo da fonte original e verificar novamente os hashes, preservando a cadeia de custódia e a confiabilidade da prova.
A questão testa o entendimento de que a função hash assegura a integridade entre duas versões (antes/depois), mas não valida o conteúdo original. A etapa de processamento (análise) pode revelar problemas que exigem retorno à coleta.
Etapa
Procedimento
Justificativa
1
Registrar a inconsistência
Documentar a anormalidade (corrupção parcial) é obrigatório para manter a cadeia de custódia
2
Coletar novamente o arquivo
Obter nova cópia da fonte original (servidor suspeito)
3
Verificar os hashes
Comparar SHA-256 da nova coleta com o hash original para garantir integridade
4
Analisar o novo arquivo
Confirmar se a corrupção persiste ou se era um erro na coleta anterior
Alternativa A — ❌ Incorreta
Ignorar a corrupção é inadequado, pois o hash apenas confirma que o arquivo não foi modificado durante o transporte — não atesta que o arquivo já estava íntegro quando coletado. A evidência pode estar comprometida desde a origem.
Alternativa B — ❌ Incorreta
Usar MD5 ou outro algoritmo não soluciona o problema. A corrupção observada não é detectada por hash; o algoritmo apenas verifica integridade entre duas instâncias. Além disso, MD5 é considerado criptograficamente fraco para forense.
Alternativa C — ✅ Correta ⟵ GABARITO
Registrar a inconsistência (documentar a anormalidade), coletar novamente o arquivo da fonte original e verificar os hashes é o procedimento correto. Isso mantém a cadeia de custódia, demonstra cuidado e permite que a evidência recolhida seja íntegra. A etapa de processamento pode exigir repetição da coleta.
Alternativa D — ❌ Incorreta
Descartar imediatamente a evidência é precipitado. A corrupção parcial não invalida todo o arquivo; pode haver dados aproveitáveis. O correto é documentar e tentar nova coleta.
Alternativa E — ❌ Incorreta
Considerar a evidência válida só porque o hash não mudou é o mesmo erro da alternativa A. O hash inalterado apenas confirma que a transferência foi fiel, não que o conteúdo original estava correto.
PEGA ESSA DICA!
Em forense computacional, o hash é ferramenta de verificação de integridade entre cópias, não de validação do conteúdo original. Sempre que houver suspeita de corrupção na abertura do arquivo, deve-se registrar, recolher novamente e re-verificar – nunca presumir que o hash resolve tudo.