Endereço IP, identificador de dispositivo e geolocalização são os dados mais citados quando se discute a autoria de uma transação digital. Cada um deles, isoladamente, prova menos do que se costuma imaginar. Em conjunto, e principalmente quando comparados a um histórico de operações reconhecidas, podem sustentar conclusões bastante firmes. Este texto trata do que cada registro significa, de suas armadilhas e de como a análise deve ser conduzida.
Trilha de registro (ou trilha de auditoria) é o conjunto de eventos que um sistema grava sobre o que aconteceu: quem acessou, quando, de onde, com qual equipamento e para fazer o quê. Ela é a matéria-prima de qualquer análise de autoria, e sua qualidade determina o que a perícia consegue afirmar.
Endereço IP
O IP identifica o ponto de rede de onde partiu a conexão, não a pessoa. Ele indica um provedor e, com a colaboração do provedor, uma assinatura de internet em determinado momento. Isso já é muito, mas tem limites. Redes domésticas e corporativas são compartilhadas, e muitos provedores usam um mesmo IP para vários clientes ao mesmo tempo, o que será tratado no próximo artigo da série. Serviços de VPN e proxies mudam a origem aparente da conexão. E a geolocalização feita a partir do IP é uma estimativa baseada em bases comerciais, que frequentemente aponta apenas para a cidade do provedor.
Identificador de dispositivo
É um código que o sistema associa ao aparelho ou à instalação do aplicativo. Sua utilidade está na recorrência: se o mesmo identificador aparece em dezenas de acessos anteriores, reconhecidos pelo titular, e também na operação contestada, há continuidade de uso. Se o identificador é novo, o sistema está diante de um aparelho nunca visto, e isso pode ser tão relevante quanto o oposto.
Vale lembrar que esses identificadores são gerados por software e podem mudar com a reinstalação do aplicativo, com a troca de aparelho ou com a restauração de um backup. Quem lê o dado precisa saber como ele é construído antes de tirar conclusões.
Geolocalização
Existem duas fontes bem diferentes sob o mesmo nome. A localização informada pelo aparelho (GPS, redes Wi-Fi e antenas próximas) tem boa precisão, mas depende de permissão do usuário e pode ser simulada por aplicativos de localização falsa. A localização inferida pelo IP é muito menos precisa. Um relatório que mistura as duas sem identificar a origem de cada coordenada merece cautela.
O valor da comparação
O erro mais frequente é analisar a operação contestada de forma isolada. Um IP desconhecido não prova fraude, pois as pessoas mudam de rede o tempo todo. Um IP conhecido não prova autoria, pois outra pessoa pode estar na mesma casa. O que dá peso à análise é a comparação:
- a operação contestada partiu do mesmo dispositivo e da mesma rede das operações que o titular reconhece?
- o horário e o comportamento são compatíveis com o padrão de uso (valores, destinatários, canal)?
- os dados de localização do aparelho coincidem com os de operações vizinhas no tempo?
- há eventos fora do padrão antes da operação, como troca de senha, cadastro de novo dispositivo ou alteração de limites?
Quando as respostas apontam todas para o mesmo lado, a conclusão é robusta. Quando divergem, o laudo precisa dizer isso com franqueza.
Cuidados com o horário
Parece detalhe, mas é fonte frequente de confusão: cada sistema pode gravar o horário em um fuso diferente, e a diferença de três horas entre o horário de Brasília e o UTC já levou muita análise a conclusões erradas. Antes de comparar eventos de fontes distintas, é preciso padronizar o fuso e verificar a sincronização dos relógios (NTP) dos sistemas envolvidos.
Boas práticas
Quem opera sistemas deve registrar o fuso junto com o horário, guardar o IP e a porta de origem, gravar a versão do aplicativo e do sistema operacional, preservar os registros por prazo compatível com eventuais disputas e proteger os logs contra alteração. Quem precisa interpretar esses dados deve pedir a trilha bruta (planilhas ou arquivos exportados do sistema), e não apenas relatórios resumidos, porque o resumo já contém a interpretação de quem o preparou.
Os registros não afirmam autoria. O que se obtém deles é um conjunto de indícios que, bem correlacionados, permite dizer se uma operação é compatível ou não com o uso habitual de uma conta.
