Um telefone é o objeto que fornece mais informações na maioria dos locais modernos e o mais fácil de destruir ao manuseá-lo. Quase todos os erros cometidos com um telefone são cometidos por alguém que está a tentar ajudar.
Registe o estado em que o encontrou, antes de qualquer outra coisa. Ligado ou desligado. Bloqueado ou desbloqueado. O que aparece no ecrã. Nível da bateria. Se está ligado à corrente. Se está ligado a uma rede. Estes factos deixam de poder ser conhecidos no momento em que alguém lhe toca.
Não navegue nele. Abrir uma mensagem marca-a como lida, move-a e altera os carimbos de data e hora que, de outro modo, um perito teria utilizado. Uma fotografia de um ecrã pelo qual passou o dedo é uma fotografia de um elemento de prova que alterou — e ser-lhe-á perguntado, sob juramento, que mais consultou.
Não o ligue para "verificar uma coisa". Um dispositivo que se liga pode executar tarefas agendadas, sincronizar-se e aplicar uma instrução remota.
Isole-o da rede. Um dispositivo que permanece ligado pode ser apagado remotamente enquanto está dentro de um saco de prova. Modo de voo quando o dispositivo já está desbloqueado e a política o permite, ou um saco blindado; registe qual das opções foi utilizada e quando.
Mantenha-o ligado à fonte de alimentação à qual estava ligado. A memória volátil perde-se ao desligar, e um dispositivo cuja bateria se esgote pode voltar a encriptar-se no arranque seguinte. A bateria e o cabo acompanham-no.
Os códigos de acesso não são adivinhados. As tentativas contam para um apagamento em muitos dispositivos. Se alguém fornecer um código, registe quem o forneceu e quando.
Fonte. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
O que isto não é. Exame forense, realizado por peritos qualificados em cópias obtidas por imagem, com ferramentas que não alteram o original. Esta página diz respeito aos primeiros dez minutos, antes de qualquer uma dessas medidas ser possível.