O que a extração entrega.

Lógica e física respondem a perguntas diferentes

A lógica trabalha com o que o sistema do aparelho entrega — o que está organizado, acessível, "vivo". Responde rápido e cobre o que a maior parte dos casos precisa.

A física trabalha mais perto do armazenamento em si, e por isso pode alcançar o que o sistema já não mostra.

Não é uma melhor que a outra: é o caso que decide qual pergunta precisa ser respondida, e o que está disponível para aquele dispositivo naquela situação.

Quem promete sempre a segunda está vendendo expectativa. O que se pode garantir é o método e o registro do que foi feito.

Apagar não é remover

Na maior parte dos sistemas, apagar é marcar o espaço como disponível. O conteúdo continua fisicamente onde estava até que algo novo seja gravado por cima. É por isso que existe recuperação — e é por isso que continuar usando o aparelho depois é o que mais destrói material.

Cada foto tirada, cada aplicativo atualizado, cada mensagem recebida ocupa espaço que pode ser exatamente o espaço do que se queria recuperar.

O que aumenta a chance de um exame encontrar algo não é a ferramenta. É o aparelho ter parado de ser usado cedo.

A extração terminou e entregou duzentas mil mensagens. E agora?

Ler tudo não é opção. Escolher o que ler é onde o exame se ganha ou se perde — e escolher mal produz um laudo que confirma exatamente o que quem contratou queria ouvir.

O que organiza: recortar por período relevante, mapear quem conversa com quem, e definir os termos de busca junto com quem conhece o caso, não sozinho no escritório.

E registrar os critérios usados. Um exame que não diz como filtrou está pedindo para ser contestado por aquilo que deixou de fora.

O que precisa constar num relatório, no mínimo

• Qual era o dispositivo, e como se sabe que é aquele.
• Quem o entregou, quando, e em que condição chegou.
• O que foi feito, em que ordem, com qual configuração — em detalhe suficiente para outro profissional repetir.
• O que se obteve, e o que se buscou e não se obteve.
• O registro de integridade em cada etapa.

A quarta linha é a que costuma faltar, e é a que dá credibilidade à primeira.

Um relatório com isso responde ao contraditório. Um relatório só com o resultado responde a quem já concordava.

O exame pressupõe autorização do titular do dispositivo, ordem judicial ou outra base legal. Ver quem pode usar, e sob qual base.