Um dos primeiros casos de Computação Forense

As técnicas forenses para reunir informações precisas sobre algum fato são muito interessantes e espertas. Muitas vezes, achamos que podemos fazer algo e sair impunes. E é aí que chegam os peritos forense e estragam a brincadeira. Infelizmente, aqui no Brasil essa seção está subdesenvolvida. A seguir, um caso muito interessante que revolucionou a interação entre a informática e a ciência forense. Trata-se de um assassinato ocorrido no fim dos anos 80 que foi resolvido de forma muito peculiar. Este texto foi inspirado na série Medical Detectives.

O crime

Harry e Sally Weiner, marido e mulher moradores de Erie (Pennsylvania), eram assíduos frequentadores da igreja presbiteriana. Harry era empregado de um banco na cidade. Tudo começa quando Sally é sequestrada e liga a mando do sequestrador para negociar o resgate. Ela conta em detalhes como ocorreu o sequestro e que ele deveria obedecer algumas ordens imediatamente; e caso ele não o fizesse, ela teria suas mãos decepadas.

Harry entrou em contato com a polícia local e o FBI, que tomaram controle do caso. Eles já sabiam de antemão que o telefonema foi, na verdade, uma reprodução de uma fita gravada algum tempo antes, pois Harry e Sally não interagiram. No telefonema, Sally mandou Harry pegar uma bolsa, que deveria estar próxima ao carro dele, contendo informações que ele deveria seguir à risca. Esta bolsa deveria ser entregue cheia de dinheiro, naturalmente. Na bolsa, havia um bilhete com instruções impressas.

Harry foi ao local combinado, junto com um policial em seu banco de passageiro e alguns agentes da FBI à espreita. Ficaram no local por algunas horas, até que resolveram dar por encerrada a espera. Harry voltou para casa.

A busca por pistas

No dia seguinte, um grupo da FBI realizou uma busca pelo local onde o resgate deveria ocorrer e encontraram, sem muita dificuldade, um segundo bilhete, preso a uma haste de metal com uma bandeirinha de papel crepom. Este segundo bilhete direcionaria Harry por um caminho até um terceiro bilhete, que o mandaria até uma igreja abandonada não muito longe dali. Na igreja, cessavam as pistas.

Por que fazer isto com Harry? Com essa movimentação, ficaria fácil para o sequestrador identificar possíveis vigias ou policiais juntos a Harry. No entanto, a segunda pista não estava muito visível, e Harry acabou nem percebendo. O plano do sequestrador havia falhado.

Neste momento, haviam passado 18 horas desde o primeiro (e único) contato. Harry não tinha nenhum outro sinal do sequestrador. Este é o momento em que se começa a esperar pelo pior.

E o pior aconteceu...

Dois dias após o contato, um domingo, o corpo de Sally foi encontrado. Tirando detalhes com certeza muito tristes, agora era possível saber que o sequestrador não procurava simplesmente dinheiro. Nem sequer Harry teria muito dinheiro para dar.

Foi então que começaram os primeiros testes forenses. A bala usada no assassinato não poderia ser identificada. A única evidência com que eles podiam trabalhar eram os bilhetes e o corpo em si. Eles começaram a analisar os bilhetes, que pareciam ter sido digitados no computador, usando algum tipo de processador de textos. Em um deles, aliás, notaram uma palavra ortograficamente errada: exactely. Todos os bilhetes traziam consigo um padrão muito fixo de escrita.

A primeira pista, então, ocorreu quando um policial notou, em uma vitrine de uma loja próxima ao banco de Harry, anúncios que carregavam consigo padrões parecidos aos dos bilhetes. O autor usava, para separar o conteúdo do texto, sinais gráficos como <*>. O dono da loja, senhor Copenhefer, disse que copiara os sinais de outros anúncios que teria visto no passado e admitiu ser amigo da família Weiner. Na verdade, além de amigos, eles frequentavam a mesma igreja. Ele também admitiu não ter nada a ver com a morte dos Weiner.

Por causa das similaridades entre as notas e os anúncios da vitrine da loja de Copenhefer, a polícia confiscou seu computador. Após um teste no corpo de Sally, foi possível determinar a hora da morte. Para a surpresa de todos, Sally já estaria morta na hora em que o sequestrador entrou em contato. Para ajudar, Copenhefer não tinha álibi para o dia inteiro em que ocorreu o sequestro.

A casa começa a cair...

Para piorar a situação de Copenhefer, pedaços de papel crepom rasgado foram encontrados em sua loja, e os rasgos encaixavam-se com os utilizados nos bilhetes deixados no local do não realizado resgate. Também hastes de metal foram encontradas em um galpão de Copenhefer, parecidas com aquelas dos bilhetes. Comprovou-se, com um microscópio eletrônico de varredura, que as hastes encontradas no galpão e as dos bilhetes seriam da mesma fábrica, criadas no mesmo lote (mesmo dia/hora). Segundo o metalurgista forense da equipe do FBI, dr. William Tobin, as marcas de fabricação batiam perfeitamente, com diferenças tão insignificativas que poderiam ser compreendidas como a diferença entre os minutos de fabricação. Por fim, foram encontradas balas na casa de Copenhofer que, se disparadas, dispedaçariam, tornando a identificação impossível. Tipo similar ao que atingira Sally.

Game Over

Todas estas provas poderiam ser, no mínimo, circunstanciais. Eis então que a informática forense dá seu primeiro passo. Quando criamos um arquivo em nosso computador, estamos gravando ele em nosso disco rígido ou em algum dispositivo para armazenamento de memória. Na época, existiam apenas os discos rígidos magnéticos. No caso do computador de Copenhefer, o disco tinha 20Mb.

O que a maioria das pessoas não conhece é que um arquivo não é salvo no disco de forma contínua: na verdade, podem ser usados algoritmos de escalonamento para melhor armazenar o arquivo segundo o espaço disponível. Isso ocorre, frequentemente, em um sistema operacional muito conhecido como Microsoft Windows, que na época era ainda MS-DOS. Hoje, o Windows chama este fato de fragmentação de memória e por isso há a ferramenta chamada desfragmentador de memória. Esta ferramenta tenta reunir os pedaços de um mesmo arquivo em regiões próximas do disco para que não haja disperdício de tempo durante a leitura.

E quando deletamos um arquivo? Na verdade, o arquivo não desaparece simplesmente. Ele fica apenas etiquetado (marcado) como espaço utilizável da memória. Assim, se for necessário, o computador utilizará este espaço para escrever novas informações. Enquanto este espaço não for reescrito, as informações antigas ficam ali, quietas. Sempre que o computador lê um setor etiquetado assim, ele simplesmente o ignora. Por isso, não o vemos. Mas ao escrever, o computador seleciona os melhores setores. Se algum setor com algum arquivo antigo (deletado) estiver no local selecionado, este arquivo antigo será, então, sobrescrito. Hoje, há programas muito bons para buscar por arquivos deletados nos discos. Programas que listam quase que instantaneamente quais os arquivos deletados. Mas em 1988, não haviam programas asssim.

O especialista Al Johnson e sua equipe passaram a procurar, manualmente, por fragmentos de algum arquivo que pudesse ajudar no caso. Hoje, você diria que 20Mb é quase nada. A equipe levou 33 dias para analisar por completo o disco. Mas ao final, eles encontraram pedaços de um documento muito oportuno, com frases suspeitas.

O nome do arquivo era The Plan (o plano). Era um documento em que Copenhefer escrevera tudo o que planejava fazer, inclusive o que deveria ter ocorrido na noite do resgate. Assim como suspeitavam os policiais e a FBI, Sally já estaria morta antes mesmo do resgate e toda aquela brincadeira dos bilhetes era uma armadilha para tentar assasinar também Harry Weiner.

Por fim, conseguiram ainda encontrar um motivo para o assassinato: um empréstimo negado a Copenhefer por Harry. Aproveitaram, no julgamento, e fizeram um ditado para Copenhefer e ele errou novamente a palavra exactely.

Conclusão

Estude, e muito bem, informática. Quer entender o porquê? Leia. Ah, e também nunca negue empréstimos...

Post scriptum:

Este foi um dos crimes exibidos em uma série de TV conhecida como Medical Detectives. Não tenho nenhuma responsabilidade sobre a veracidade dos fatos, para qualquer reclamação quanto a isso entrem em contato com a Universal Channel.