Ética, privacidade e segurança dos investigadores

As investigações de criptoativos alcançam aspectos profundos da vida das pessoas: registros de exchanges, conversas, dispositivos e as finanças de pessoas que não fizeram nada de errado. O mesmo trabalho expõe os investigadores a indivíduos hostis, material nocivo e aos próprios vieses. Falhas éticas aqui não são apenas pessoais; elas prejudicam as evidências, colocam pessoas em risco e dão à defesa seus melhores argumentos. Esta aula aborda os julgamentos que um investigador ou perito faz em cada caso.

Proporcionalidade e necessidade

Cada medida intrusiva deve passar por dois testes. Necessidade: essa medida é necessária para responder a uma pergunta dentro do escopo, ou uma medida menos intrusiva seria suficiente? Proporcionalidade: a invasão de privacidade, inclusive a de terceiros, é razoável diante da gravidade da questão e do valor do que ela pode revelar? O direito internacional dos direitos humanos e as salvaguardas de ambas as convenções sobre cibercrime (Artigo 15 da Convenção de Budapeste, Artigo 24 da Convenção das Nações Unidas contra o Cibercrime) se baseiam nessas ideias, e a maioria dos sistemas jurídicos as aplica de alguma forma.

Registre o raciocínio no arquivo do caso. “Precisávamos disso” não é justificativa; “A pergunta 3 não pode ser respondida sem os IPs de login referentes ao período das transferências” é.

Dados incidentais

Quase toda resposta contém dados incidentais: informações sobre pessoas que não fazem parte da investigação. Um registro de uma exchange mostra as contrapartes de todas as transferências internas; um telefone apreendido contém mensagens de familiares e amigos; um banco de dados de servidor apreendido contém milhares de usuários, a maioria dos quais nunca foi suspeita.

Boas práticas:

• minimizar: solicitar, extrair e manter apenas o que o escopo exige;
• segregar: manter os dados incidentais separados do conjunto de trabalho e restringir o acesso;
• usar para a finalidade prevista: não explorá-los em busca de pistas sem relação com o caso sem nova autorização e uma decisão registrada;
• reter e excluir conforme as regras: aplicar o período de retenção definido no encerramento.

Os dados de blockchain são públicos, mas a atribuição altera sua natureza. Quando um endereço é vinculado a uma pessoa identificada pelo nome, o histórico do endereço passa a ser dado financeiro pessoal. A aula IDFE-BA Proteção de dados, ética e divulgação responsável aborda os princípios de proteção de dados; do ponto de vista forense, relatórios e apêndices devem mostrar endereços e identidades de terceiros somente quando a constatação exigir isso.

Viés e visão de túnel

O viés de confirmação leva os investigadores a buscar e ponderar evidências que sustentam aquilo em que já acreditam. A ancoragem faz com que seja difícil abandonar o primeiro rótulo ou o primeiro suspeito. O viés contextual surge quando um perito toma conhecimento de informações irrelevantes para a questão técnica, como o fato de o suspeito ter confessado, e interpreta os dados sob essa perspectiva. A visão de túnel é o resultado no nível do caso: uma única teoria, perseguida em detrimento das demais.

O rastreamento de criptoativos está especialmente sujeito a isso, porque heurísticas produzem vínculos plausíveis e a exibição de uma ferramenta com aparência de certeza parece um fato.

Controles eficazes:

1. Registre hipóteses concorrentes no planejamento e documente quais evidências eliminariam cada uma (consulte a aula O ciclo de vida da investigação).
2. Forneça aos peritos apenas as informações necessárias para a tarefa. O desmascaramento sequencial linear, proposto na ciência forense por Dror e colegas em 2015, orienta os peritos a analisar e documentar as evidências antes de ver material de referência ou o contexto do caso que possa influenciá-los.
3. Use verificação cega para constatações importantes: um segundo perito refaz o trabalho sem conhecer o primeiro resultado.
4. Registre as evidências contraditórias e como foram tratadas. Um arquivo que contém apenas evidências favoráveis suscita a pergunta sobre o que foi deixado de fora.

Segurança operacional para investigadores

Os investigadores também deixam rastros. A pesquisa identificável é realizada abertamente em nome da agência ou empresa, por exemplo, ao enviar uma solicitação a um provedor. A pesquisa não identificável oculta a identidade do investigador, por exemplo, ao visualizar um site fraudulento ou um fórum em que o investigado é ativo. O trabalho não identificável deve usar equipamentos dedicados e aprovados pelas políticas e identidades de pesquisa; qualquer atividade além da visualização passiva, como interagir com um investigado, normalmente exige autorização específica.

Riscos específicos dos criptoativos:

• Interagir com endereços do investigado. Enviar uma transação de “teste” para o endereço de um suspeito, assinar mensagens ou conectar uma carteira a um site fraudulento alerta o investigado e pode comprometer os próprios sistemas do investigador. Não faça isso.
• Consultas que vazam informações. Exploradores públicos e APIs de terceiros veem o que é pesquisado e de onde. Consultas frequentes e repetidas a um pequeno conjunto de endereços podem revelar interesse. Consultar o próprio nó evita isso e também melhora a reprodutibilidade.
• Alertar o investigado. Congelamentos prematuros, contato com associados, acompanhamento de contas em redes sociais ou publicação de endereços podem alertar um investigado antes que os dispositivos sejam apreendidos ou os fundos sejam protegidos. Coordene o momento com o responsável pela investigação.
• Exposição pessoal. Investigadores citados em relatórios ou documentos judiciais podem se tornar alvos de assédio, exposição de dados pessoais ou phishing. Mantenha as contas pessoais separadas e privadas.

O Protocolo de Berkeley sobre Investigações Digitais de Fontes Abertas, publicado em 2020 pelo Escritório de Direitos Humanos da ONU e pelo Centro de Direitos Humanos da UC Berkeley, apresenta medidas de segurança digital, física e psicossocial para investigadores online; a aula Metodologia OSINT aplica esse protocolo.

Como trabalhar com vítimas

As vítimas são testemunhas, fontes de evidências e pessoas que muitas vezes perderam suas economias. Trate-as com paciência e respeito, explique o que acontecerá e o que não acontecerá, e registre o que fornecem e de que forma.

• Não prometa recuperar os fundos. Muitos casos não recuperam nada; falsas esperanças causam danos e podem ser usadas posteriormente contra a investigação.
• Colete evidências com consentimento e registre sua procedência: capturas de tela, exportações, registros de conversas, endereços de carteiras. Peça autorização antes de examinar o dispositivo ou a conta de uma vítima e explique o que será analisado.
• Alerta sobre golpes de recuperação. As vítimas voltam a ser alvo de pessoas que oferecem recuperar fundos mediante pagamento, muitas vezes se passando por advogados, investigadores ou autoridades. A aula Recuperação pelas vítimas e vias cíveis retoma esse assunto.
• Proteja a privacidade delas em relatórios e divulgações.

Bem-estar e conteúdo nocivo

Alguns casos exigem a análise de material de abuso sexual infantil, conteúdo extremista violento ou o sofrimento das vítimas. Na investigação Welcome to Video, divulgada em 2019, os investigadores rastrearam pagamentos em bitcoin até um site da dark web que distribuía material de abuso infantil, trabalho que combinou rastreamento com exposição ao próprio conteúdo. A exposição repetida causa danos, que se acumulam com o tempo.

As unidades devem limitar a exposição desde o planejamento: visualizar apenas o que a tarefa exige, usar análise com tamanho reduzido, em escala de cinza ou sem áudio, alternar tarefas, evitar trabalhar sozinho com esse tipo de material e oferecer à equipe acesso a apoio psicológico confidencial, com verificações regulares. O bem-estar também é uma questão de evidências: peritos exaustos e angustiados cometem mais erros.

Conflitos de interesse

Um perito deve ser e parecer independente. Conflitos comuns no trabalho com criptoativos incluem:

• possuir o ativo ou token cujo emissor, exchange ou protocolo está sob investigação;
• ter trabalhado anteriormente para uma das partes, uma exchange ou um protocolo envolvido no caso;
• ter vínculos pessoais com a vítima, o investigado ou um especialista da outra parte;
• receber honorários que dependem do resultado, como uma porcentagem dos fundos recuperados, o que é difícil de conciliar com o dever do perito perante o tribunal.

Declare possíveis conflitos no início, registre a decisão sobre prosseguir e siga a política da unidade sobre ativos pessoais em criptoativos. Um conflito revelado cedo pode ser administrado; um descoberto no contra-interrogatório pode comprometer as evidências. A aula O papel e os deveres do perito aprofunda o tema para testemunhas periciais.

Foco no exame: testes de necessidade e proporcionalidade e registro do raciocínio; minimização, segregação e retenção de dados incidentais, e por que a atribuição transforma dados públicos da blockchain em dados pessoais; viés de confirmação, ancoragem e viés contextual, visão de túnel e controles como hipóteses concorrentes, desmascaramento sequencial linear e verificação cega; pesquisa identificável versus não identificável e por que os investigadores nunca devem fazer transações com endereços do investigado; como evitar alertar o investigado; cuidado com as vítimas, consentimento e alertas sobre golpes de recuperação; limitação da exposição a conteúdo nocivo; reconhecimento e declaração de conflitos de interesse.