Navegação privada e prova digital: o que o exame forense de 30 navegadores registra

Alexandre Morais da Rosa.

Um investigado abre uma janela no modo Incognito, acessa o endereço que motiva o inquérito e desliga o computador. O perito recebe a imagem do disco e analisa o histórico de navegação. O histórico está vazio. A pergunta processual consiste em definir se o vazio comprova a ausência da navegação ou registra o efeito de uma função do programa.

O exame de 30 navegadores publicado em 2019 responde à pergunta com dados de laboratório e com limites declarados. O texto reorganiza os resultados, aponta as consequências para a prova penal e delimita o que o estudo autoriza afirmar.

Método: um sistema idêntico para cada navegador

Graeme Horsman e nove coautores publicaram o estudo em novembro de 2019, no periódico Forensic Science International: Reports [volume 1, artigo 100036]. O objeto é o modo de navegação privada, definido pelos autores como o mecanismo que impede o armazenamento, no dispositivo do usuário, de evidência do comportamento de navegação. O estudo separa o conceito em duas categorias distintas: [a] os programas que protegem a privacidade na rede, como o Tor; e [b] os mecanismos que impedem o rastreamento remoto, como o Do Not Track do W3C.

Cada navegador foi instalado em uma máquina virtual Windows 10 idêntica, criada a partir da imagem ISO padrão obtida no portal acadêmico onthehub.com. Os autores geraram a imagem forense da máquina antes dos testes e produziram uma base de hashes de eliminação. Uma busca prévia por palavras-chave confirmou a ausência de cadeias de teste no sistema.

Cada máquina executou as ações no modo privado do navegador: cinco termos de busca e cinco endereços visitados. Os termos e os endereços da Tabela 1 compõem o material de teste e não constituem navegadores.

Tabela 1. Material de teste do estudo.

O estudo adotou o desligamento padrão do sistema, em vez do corte de energia, para simular a rotina de quem usa o modo privado. O disco virtual foi convertido em imagem E01 [Expert Witness Format] e examinado no X-Ways Forensics 19.7 em dois níveis. O primeiro nível, a busca simultânea, procura as cadeias em ANSI, UTF-8 e UTF-16 sem processar a evidência, simulando a triagem em campo. O segundo nível executa o Refine Volume Snapshot, que descompacta e indexa o volume. A repetição da busca simula o exame de laboratório. A imagem passou pelo Griffeye Analyze DI Pro 18.5 com o LACE Carver [versão 12.8.56] e com a base de eliminação, para localizar imagens em cache das páginas visitadas.

Resultado: 22 modos testados e 5 vazamentos

Dos 30 navegadores, 22 tinham modo privado testável. Cinco vazaram dados da sessão privada: Avant, Comodo Dragon, Edge, Epic e Internet Explorer. Os 17 restantes não vazaram nas condições do estudo.

Tabela 2. Classificação dos 30 navegadores, conforme a Tabela 2 do estudo.

Os autores testaram versões de 2019, entre as quais Chrome 76.0.3789.0, Firefox 67, Tor Browser 60.7.0esr, Edge 44.17763.1.0 e Internet Explorer 11.55.17763.0. A tabela do estudo registra o Epic com a anotação “privado quando o proxy está ativo” e resultado negativo. O resultado vale para cada combinação de navegador, versão e sistema operacional testada e exige nova aferição a cada atualização, conforme os autores.

Onde os vestígios aparecem

A Tabela 3 reúne os locais de ocorrência de URLs informados no estudo.

Tabela 3. Locais com ocorrência de cadeias de URL da sessão privada.

Os locais incluem metadados do sistema de arquivos [$MFT, $LogFile e journal do NTFS] e arquivos do sistema operacional [SRUDB.dat, WebCache e LogFiles\WMI] situados fora do diretório de perfil do navegador. A conclusão decorre da tabela: a varredura restrita ao perfil do navegador deixaria de fora as ocorrências.

A Tabela 4 reproduz três linhas da Tabela 4 do estudo. Cada célula traz o número de ocorrências na busca simultânea e, após a seta, o número após o Refine Volume Snapshot.

Tabela 4. Ocorrências de palavras-chave por navegador.

A revisão de imagens com o Griffeye Analyze DI Pro localizou cópias das páginas visitadas em cache em três navegadores. O Avant manteve imagens no diretório Cache da pasta de sessão e no espaço livre. O Epic manteve imagens em Cache, em Media Cache e no espaço livre. O Internet Explorer manteve imagens em INetCache\Low\IE e no espaço livre.

Triagem em campo e exame de laboratório convergem

Em todos os casos em que o Refine Volume Snapshot, seguido de busca local, localizou ocorrências, a busca simultânea, sem processamento local, também as localizou. O exame com processamento elevou o volume de ocorrências, como no Avant [“blackbag” de 1.024 para 1.462] e no Comodo Dragon [“blackbag” de 8 para 107]. Os autores registram que a busca simultânea não perdeu, na prática, evidência localizada pelo exame com processamento.

A triagem em campo, com busca simultânea na imagem, localiza, nos cinco navegadores, o rastro da sessão privada sob as condições do estudo. O exame de laboratório amplia o número de ocorrências e mantém o resultado.

Limites declarados pelos autores

Os autores advertem que os resultados não podem ser superdimensionados e que os navegadores sem vazamento não garantem privacidade em todas as circunstâncias. O estudo enumera quatro fatores.

• [1] O VirtualBox informa que há suporte limitado à hibernação. Em plataformas físicas, o conteúdo da sessão pode ser gravado no arquivo Hiberfil.sys.

• [2] A duração da sessão altera o quadro. O Hiberfil.sys e o Pagefile.sys guardam valor forense. O efeito da duração da sessão permanece sem evidências.

• [3] A configuração de hardware, em particular a quantidade de memória RAM, afeta o cache de memória e o volume de vazamento.

• [4] A virtualização, como plataforma de teste, apresenta uma lacuna: a literatura carece de dados sobre a exatidão da implementação.

O exame limitou-se ao disco rígido. A memória física ficou fora do escopo porque a aquisição não integra a prática de todas as cenas e exige coleta antes do desligamento. Os autores citam o trabalho de Muir e coautores sobre o Tor Browser Bundle, que localizou registros de sessão no arquivo de log de transação NTUSER.DAT.log. Os autores declaram que o fator não foi investigado. A classificação do Tor Browser como “sem vazamento” no estudo convive com um relato de recuperação de rastros em outro trabalho. A expressão “sem vazamento” descreve o resultado obtido sob as condições testadas.

Privacidade no dispositivo e registro no provedor

O modo privado atua no dispositivo. O provedor de conexão e o provedor de aplicações mantêm registros próprios. A Lei 12.965/2014 disciplina a guarda e o acesso. O art. 13 fixa o dever do administrador de sistema autônomo:

“Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos termos do regulamento.” [Lei 12.965/2014, art. 13]

O art. 14 veda ao provedor de conexão a guarda dos registros de acesso a aplicações: “Na provisão de conexão, onerosa ou gratuita, é vedado guardar os registros de acesso a aplicações de internet.” O art. 15 impõe a guarda ao provedor de aplicações organizado como empresa:

“O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento.” [Lei 12.965/2014, art. 15]

O prazo de guarda admite extensão mediante requerimento cautelar. O art. 13, § 2º, dispõe: “A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os registros de conexão sejam guardados por prazo superior ao previsto no caput.” O § 3º fixa o prazo de 60 dias para o pedido judicial. O art. 15, § 2º, estende a possibilidade de requerimento cautelar aos registros de acesso a aplicações. A entrega dos registros depende de ordem judicial, nos termos do art. 22:

“A parte interessada poderá, com o propósito de formar conjunto probatório em processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet.” [Lei 12.965/2014, art. 22]

O parágrafo único do art. 22 exige, sob pena de inadmissibilidade, três elementos: fundados indícios da ocorrência do ilícito; justificativa motivada da utilidade dos registros para a investigação ou a instrução probatória; e o período a que os registros se referem.

O caso Brown v. Google LLC, no Tribunal Distrital do Norte da Califórnia, ilustra a distinção entre privacidade no dispositivo e rastreamento remoto. Segundo a Bloomberg Law e a Forbes, as partes apresentaram, em abril de 2024, um acordo pelo qual o Google destruiria bilhões de registros associados à navegação no modo Incognito, reescreveria a divulgação exibida ao ativar o modo e bloquearia, por padrão, os cookies de terceiros no modo, pelo prazo de cinco anos. O acordo não previu indenização em dinheiro à classe. A confirmação da homologação final não consta das fontes consultadas.

Efeitos sobre a cadeia de custódia e a valoração

O CPP, art. 158-A, define a cadeia de custódia e o vestígio:

“Considera-se cadeia de custódia o conjunto de todos os procedimentos utilizados para manter e documentar a história cronológica do vestígio coletado em locais ou em vítimas de crimes, para rastrear sua posse e manuseio a partir de seu reconhecimento até o descarte.” [CPP, art. 158-A, caput, incluído pela Lei 13.964/2019]

“Vestígio é todo objeto ou material bruto, visível ou latente, constatado ou recolhido, que se relaciona à infração penal.” [CPP, art. 158-A, § 3º]

O § 2º atribui a preservação ao agente que reconhece o elemento: “O agente público que reconhecer um elemento como de potencial interesse para a produção da prova pericial fica responsável por sua preservação.” Sustento que o dispositivo de armazenamento e a imagem forense do disco se enquadram na definição textual de objeto ou material constatado ou recolhido que se relaciona à infração. A extensão do regime dos arts. 158-A a 158-F à prova digital admitem divergência. A posição atual do STF e do STJ sobre a matéria não integra a verificação do texto.

A prova ilícita e a prova derivada seguem o CPP, art. 157: “São inadmissíveis, devendo ser desentranhadas do processo, as provas ilícitas, assim entendidas as obtidas em violação a normas constitucionais ou legais.” O laudo sobre navegação privada submete-se ao controle de legalidade da obtenção e ao controle epistêmico da conclusão. Três consequências decorrem do estudo.

• [1] O laudo que afirma a ausência de histórico de navegação em modo privado deve registrar o navegador, a versão, o sistema operacional, o método de desligamento e os artefatos examinados. Sem os dados, a conclusão escapa à refutação da defesa.

• [2] A ocorrência de uma cadeia de caracteres em espaço livre ou no $MFT indica a presença de dados no volume. A ocorrência não fixa a autoria, a data nem a sessão. O estudo usa palavras de teste em um sistema sem as cadeias, uma condição inexistente em um dispositivo de uso real. Sustento que a ocorrência exige correlação com outros elementos antes de sustentar a imputação.

• [3] A ausência de vestígio no disco indica o resultado de um exame delimitado. O Hiberfil.sys, o Pagefile.sys e a memória física ficam fora do escopo do estudo. A conclusão de inexistência da navegação exige fonte externa ao dispositivo, como os registros do provedor obtidos na forma do art. 22 da Lei 12.965/2014.

Linguagem simples

O modo privado do navegador evita que o programa guarde no computador o histórico, os cookies e os dados de formulário da sessão. O modo não apaga o que outros programas e o sistema do computador gravam, nem o que o provedor de internet e os sites registram. Um estudo de 2019 testou 22 navegadores no modo privado no Windows 10 e encontrou rastros da sessão em cinco deles: Avant, Comodo Dragon, Edge, Epic e Internet Explorer. Os rastros apareceram em arquivos do sistema, no espaço em disco marcado como livre e no cache de imagens. O perito localizou os rastros por meio de uma simples busca de texto na cópia do disco. Os autores avisam que o resultado se aplica às versões e às condições testadas e que a memória do computador ficou de fora do exame.

FAQ: Perguntas Frequentes

O modo privado apaga o histórico de navegação? O modo impede que o programa salve o histórico no dispositivo. Os registros do provedor de conexão e do provedor de aplicações seguem regimes próprios na Lei 12.965/2014, arts. 13 e 15.

Quantos navegadores vazaram dados? Cinco dos 22 navegadores com modo privado testável: Avant, Comodo Dragon, Edge, Epic e Internet Explorer. Os 17 restantes não vazaram nas condições do estudo.

O resultado vale para as versões atuais? O estudo testou versões de 2019 em Windows 10. Os autores afirmam que a pesquisa exige continuidade, pois as atualizações do navegador e do sistema alteram o comportamento do modo privado.

A triagem em campo é suficiente para localizar o rastro? Nos cinco navegadores, a busca simultânea localizou as ocorrências identificadas pelo exame com processamento local. O exame com processamento gerou mais ocorrências.

A ausência de rastro no disco comprova a inexistência da navegação? A ausência indica o resultado de um exame limitado ao disco. Hiberfil.sys, Pagefile.sys, memória física e diferenças de hardware ficaram fora do escopo do estudo.

Onde buscar prova quando o dispositivo nada guarda? Nos registros de conexão e de acesso a aplicações mantidos pelos provedores, mediante ordem judicial, conforme a Lei 12.965/2014, art. 22.

POP

O procedimento abaixo organiza o exame de uma alegação de uso do modo de navegação privada em quatro etapas práticas.

Conclusão

O estudo de Horsman e coautores fixa o resultado por combinação de navegador, versão e sistema operacional: em 22 modos privados testados no Windows 10, cinco deixaram rastros no disco. A busca simultânea de triagem localizou os rastros identificados pelo exame com processamento local. O modo privado protege o dispositivo contra leitura posterior de histórico e não alcança os registros dos provedores.

A prova penal exige do laudo a identificação das condições do exame e a declaração do que ficou fora dele. O vazio no disco indica o resultado de uma busca. A afirmação de que a navegação não ocorreu depende de fontes externas ao dispositivo e de decisão judicial que autorize a coleta.

Glossário de Termos

Modo de navegação privada: função do navegador que impede o armazenamento, no dispositivo, de dados que denotam as ações de navegação do usuário; recebe os nomes Incognito, InPrivate e janela privada.

Vazamento de sessão privada: presença, no dispositivo, de dados da sessão privada recuperáveis por meio de exame forense.

Busca simultânea: recurso do X-Ways Forensics que procura cadeias de texto em ANSI, UTF-8 e UTF-16 sem pré-processamento da evidência.

Refine Volume Snapshot: processamento do X-Ways Forensics que descompacta e indexa o volume, ampliando o alcance da busca posterior.

Espaço livre: área do volume marcada como disponível para gravação que retém dados de arquivos apagados.

$MFT: tabela mestra de arquivos do NTFS, que registra os arquivos e diretórios do volume.

Hiberfil.sys e Pagefile.sys: arquivos do Windows que armazenam o conteúdo da memória durante a hibernação e a paginação.

Registro de conexão: “o conjunto de informações referentes à data e à hora de início e término de uma conexão à internet, à sua duração e ao endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados” [Lei 12.965/2014, art. 5º, VI].

Registros de acesso a aplicações de internet: “o conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP” [Lei 12.965/2014, art. 5º, VIII].

Hash de eliminação: base de somas de verificação dos arquivos do sistema instalado, usada para excluir da análise os arquivos conhecidos.

Carving: recuperação de arquivos a partir de assinaturas de conteúdo, sem depender da estrutura do sistema de arquivos.

Mais uma coisa: antes de ler o histórico vazio como ausência de navegação, pergunte ao laudo qual navegador, qual versão e qual sistema operacional o gerou [CPP, art. 158-A].

Referências bibliográficas

• BLOOMBERG LAW. Google 'Incognito' Case Attorneys Unlikely to Win $217 [...]. Bloomberg Law, [S. l.], 8 ago. 2024. Disponível em: https://news.bloomberglaw.com/litigation/google-incognito-case-attorneys-unlikely-to-win-217-million. Acesso em: 27 set. 2026.

• BRASIL. Decreto-Lei nº 3.689, de 3 de outubro de 1941. Código de Processo Penal. Brasília: Presidência da República, [1941]. Disponível em: https://www.planalto.gov.br/ccivil_03/decreto-lei/del3689.htm. Acesso em: 27 set. 2026.

• BRASIL. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil. Brasília: Presidência da República, [2014]. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm. Acesso em: 27 set. 2026.

• HORSMAN, Graeme et al. A forensic examination of web browser privacy-modes. Forensic Science International: Reports, [S. l.], v. 1, art. 100036, nov. 2019. DOI 10.1016/j.fsir.2019.100036. Disponível em: https://www.sciencedirect.com/science/article/pii/S2665910719300362. Acesso em: 27 set. 2026.

• WINDER, Davey. Google Must Delete Over 100 Billion Chrome Private Browsing Records. Forbes, [S. l.], 2 abr. 2024. Disponível em: https://www.forbes.com/sites/daveywinder/2024/04/02/google-chrome-privacy-over-100-billion-browsing-records-to-be-deleted/. Acesso em: 27 set. 2026.