RCS forense: o que investigadores precisam saber quando o "balão verde" encontra o "balão azul"
A Forensic Focus publicou um artigo de um especialista forense da MSAB sobre as implicações periciais do RCS (Rich Communication Services), o protocolo que substitui o SMS/MMS e que, desde a interoperabilidade recente entre Android e iOS, também troca mensagens diretamente com o iMessage. O texto mapeia quem usa o protocolo, como as mensagens trafegam entre operadoras e nuvem, e onde peritos podem procurar evidências em smartphones apreendidos. Não foi possível recuperar o corpo completo do artigo original (o servidor da Forensic Focus retornou erro 403 ao fetch), então a análise abaixo é contextual, baseada no conhecimento técnico já consolidado sobre RCS e suas implicações forenses.
O RCS é o sucessor do SMS/MMS definido pelo Universal Profile da GSMA, oferecendo recursos como confirmação de leitura, digitação em tempo real, envio de mídia em alta resolução e chats em grupo. Diferente do SMS, que trafega inteiramente pela rede de sinalização da operadora, o RCS depende de um backend de mensageria (historicamente o Jibe Cloud do Google, hoje cada vez mais operado por convênios diretos entre operadoras e fabricantes) e, na maioria das implementações modernas, usa criptografia de ponta a ponta baseada no protocolo Signal quando ambos os interlocutores usam o app compatível. A grande novidade que dá nome ao artigo — "green meets blue" — é a adoção do RCS pela Apple a partir do iOS 18, fazendo com que conversas antes limitadas a SMS entre Android e iPhone passem a herdar recursos do RCS, ainda que sem criptografia ponta a ponta nessa interoperabilidade entre plataformas.
Do ponto de vista técnico, isso cria uma superfície de evidência mais fragmentada do que o SMS tradicional. Em vez de um único armazenamento local de mensagens em texto claro, o perito passa a lidar com bancos de dados SQLite específicos do aplicativo de mensagens (Google Messages, Samsung Messages, apps de operadora ou, agora, o próprio Messages da Apple), possivelmente com conteúdo cifrado em repouso, além de metadados de entrega que podem residir só no lado do servidor da operadora ou do provedor de nuvem, fora do alcance de uma extração física do aparelho. Anexos de mídia em alta resolução, recibos de leitura e reações a mensagens também acabam armazenados como artefatos adicionais que nem sempre são reconhecidos pelas ferramentas forenses mais antigas.
Isso importa na prática porque grande parte do parque forense (fluxos de extração lógica/física, parsers de bancos de mensagens) foi historicamente desenhado em torno do SMS/MMS e do iMessage nativo, e pode não decodificar corretamente conversas RCS híbridas entre Android e iOS, ou pode classificar erroneamente uma conversa criptografada como "sem dados recuperáveis". Para investigadores, o recado prático é: validar se a suíte forense usada já reconhece os esquemas de banco de dados do RCS na versão mais recente do app de mensagens do dispositivo, documentar se a conversa analisada trafegou com ou sem criptografia ponta a ponta (o que afeta a cadeia de custódia e a interpretação de eventuais capturas de rede ou dados de operadora), e não presumir que a ausência de artefato local significa ausência de comunicação — pode apenas significar que a evidência está do lado do servidor, exigindo preservação legal junto à operadora ou ao provedor.