Vídeo recuperado de iPhone e dados de localização em cache ajudam a solucionar homicídio
Um relato de caso da Magnet Forensics descreve como um vídeo recuperado de um iPhone apreendido na cena de um homicídio revelou a existência de um segundo suspeito e documentou o planejamento do crime, incluindo a exibição da arma. Dados de localização em cache do iOS complementaram a análise, reconstruindo cronologicamente a movimentação do aparelho antes e depois do disparo. O caso mostra, na prática, como a combinação de recuperação de mídia apagada com artefatos de geolocalização pode sustentar uma linha do tempo investigativa sólida o suficiente para levar a confissões.
O caso começou com a apreensão do celular de uma das suspeitas presente na cena de um homicídio ligado a um roubo de veículo. Após a obtenção de mandado judicial, a polícia conduziu um exame forense completo do aparelho (full file system extraction, não apenas uma triagem lógica), o que permitiu recuperar um vídeo que havia sido excluído do armazenamento do iPhone, gravado minutos antes do crime e mostrando os suspeitos discutindo o plano.
Tecnicamente, dois tipos de artefato foram decisivos. Primeiro, a recuperação de mídia deletada: em iOS, arquivos de vídeo removidos pelo usuário frequentemente permanecem recuperáveis a partir de áreas não realocadas do sistema de arquivos ou de bancos de dados internos do app de Fotos até que o espaço seja sobrescrito, o que só é acessível via extração forense completa do dispositivo. Segundo, os "cached locations" do iOS — coordenadas de latitude/longitude armazenadas em caches de geolocalização do sistema (relacionados a serviços como Mapas e Wi-Fi positioning) — foram extraídas e ordenadas cronologicamente, posicionando o aparelho no apartamento durante o planejamento, nas proximidades do local do disparo no horário do crime e no trajeto de retorno.
A relevância prática do caso está na integração de duas classes distintas de evidência digital: conteúdo probatório direto (o vídeo, que identificou um suspeito não mencionado antes e preservou a fala incriminadora) e metadado de corroboração (a trilha de localização, que validou a timeline sem depender de testemunho). Isso reforça um princípio central da perícia mobile: a extração lógica/triagem rápida frequentemente não é suficiente, e o exame forense completo — com recuperação de dados apagados — pode ser o que determina se uma evidência crucial é encontrada ou perdida.
Para profissionais da área, o caso também serve como lembrete de cadeia de custódia e necessidade de mandado específico para exame completo de dispositivo, e de como caches de geolocalização do próprio sistema operacional (não apenas apps de redes sociais ou GPS de terceiros) devem compor o checklist padrão de artefatos a examinar em casos de crimes violentos.