Questão de Segurança da Informação — Computação Forense — CESPE / CEBRASPE 2025

Computação Forense: recuperação de dados em dispositivos móveis

✅ CERTO. A análise de arquivos temporários, caches e histórico de navegação pode, de fato, revelar informações relevantes mesmo após a exclusão intencional pelo usuário, pois a exclusão lógica não apaga fisicamente os dados do dispositivo — eles permanecem em áreas não alocadas ou em setores apagados, passíveis de recuperação por técnicas de computação forense. Esse é um princípio fundamental da disciplina, que envolve identificar, preservar, recuperar, analisar e apresentar informações digitais.

A computação forense é o ramo da ciência forense digital que lida com evidências encontradas em computadores e mídias de armazenamento digital. Seu objetivo é examinar a mídia digital de maneira forense, com o propósito de identificar, preservar, recuperar, analisar e apresentar fatos e opiniões sobre a informação digital. Diferentemente da simples recuperação de dados, a computação forense segue diretrizes e práticas adicionais para criar uma trilha de auditoria legal, garantindo que as evidências sejam autênticas, confiáveis e admissíveis em juízo.

Quando um usuário exclui um arquivo, o sistema operacional geralmente apenas remove a referência a ele no sistema de arquivos, marcando o espaço como disponível. Os dados em si permanecem fisicamente no dispositivo até serem sobrescritos por novas informações. Arquivos temporários, caches e histórico de navegação são particularmente valiosos porque são frequentemente armazenados em áreas que o usuário não gerencia diretamente e podem conter fragmentos de dados, URLs visitadas, cookies, metadados e outras informações que, mesmo após a exclusão, podem ser recuperadas por ferramentas forenses.

Na prática, um perito pode usar técnicas de duplicação forense (cópia bit a bit) para preservar todo o conteúdo do dispositivo, incluindo áreas não alocadas e setores apagados. Em seguida, ferramentas de análise podem escanear esses espaços em busca de dados residuais, reconstruindo arquivos deletados ou extraindo informações de caches e históricos. Essa capacidade é essencial em investigações de crimes financeiros, onde a recuperação de mensagens, transações ou sites visitados pode ser crucial para a elucidação do caso.

A pegadinha que a banca explora aqui é a suposição de que a exclusão intencional pelo usuário torna os dados irrecuperáveis. Na verdade, a exclusão lógica não apaga fisicamente os dados; ela apenas libera o espaço para reutilização. Portanto, a afirmação está correta: a análise forense pode revelar informações mesmo após a exclusão intencional.

Guarde esse princípio: exclusão lógica ≠ exclusão física. É exatamente essa distinção que torna a computação forense capaz de recuperar dados apagados, e é nela que a questão se apoia.

Item — ✅ Correto

A afirmação está correta porque a análise de arquivos temporários, caches e histórico de navegação pode revelar informações relevantes mesmo após a exclusão intencional pelo usuário. Isso ocorre porque a exclusão lógica não apaga fisicamente os dados; eles permanecem em áreas não alocadas ou em setores apagados, passíveis de recuperação por técnicas de computação forense. A computação forense tem como objetivo justamente identificar, preservar, recuperar, analisar e apresentar informações digitais, e a recuperação de dados apagados é uma de suas aplicações mais comuns.

Gabarito: ✅ CERTO