Investigação e Atribuição

Nota 05 do capítulo 13, pasta 04 - Processo e Ciclo de CI. Trata da investigação de caso de CI: delimitação e mandato, coleta disciplinada com cadeia de custódia, hipóteses concorrentes, atribuição com níveis de confiança e preparação para eventual processo legal.
Recebe os casos escalados pela triagem da nota 04 e entrega o dossiê que a nota 06 consome na análise e produção.
Os cuidados de OPSEC e need-to-know desta nota valem para todo o capítulo 13.

1. Contexto e Posicionamento na Biblioteca

A investigação é o coração operacional do ciclo de CI: é onde um evento triado se transforma em fatos estabelecidos, hipóteses avaliadas e, quando possível, em julgamento de atribuição com confiança declarada. Ela difere da resposta a incidentes em duas dimensões que moldam todo o trabalho. A primeira é o foco no adversário e não no sistema: a pergunta central não é como ele entrou, e sim quem está coletando, para quem e com que objetivo. A segunda é a discrição: ao contrário do incidente, que é contido à luz do dia, o caso de CI quase sempre é conduzido sem que o adversário perceba, porque alertar o coletador encerra a vantagem de observação e pode acelerar o dano.

A disciplina de investigação corporativa opera sob restrições que a contrainteligência de Estado não tem, e reconhecer essas restrições é o que separa o profissional do entusiasta. A organização investiga apenas dentro de suas fronteiras legais, com acesso a dados que possui legalmente, relatos internos e fontes abertas; não tem poder de polícia, não pode interceptar comunicações de terceiros e responde pelos excessos. Por isso a investigação de CI é um exercício de rigor documental tanto quanto de descoberta: tudo que é feito precisa sobreviver a um juiz, a um auditor ou a um adversário hostil lendo o dossiê um dia.

Esta nota percorre o ciclo de vida do caso: abertura com delimitação e mandato, coleta disciplinada, formulação de hipóteses concorrentes, avaliação de atribuição com níveis de confiança, proteção operacional das informações do caso, documentação para processo legal e o roteiro padrão de execução. A nota 06 consome o dossiê resultante e fecha o ciclo com análise, produtos e feedback.

2. Anatomia de um Caso de CI

Todo caso de CI tem o mesmo esqueleto, e formalizá-lo evita os dois modos de falha comuns: a investigação que vira coleta sem fim e a investigação que vira acusação sem evidência. A tabela abaixo resume as etapas do caso, o objetivo de cada uma e o critério de passagem que autoriza a etapa seguinte.

O número de casos abertos deve ser tratado como capacidade limitada. Uma equipe de uma a três pessoas de CI conduz bem de um a três casos simultâneos; além disso, os casos ficam lentos, a documentação degrada e a fila de triagem é abandonada. Casos que não cabem na capacidade recebem monitoramento de segundo nível, e não abertura cerimonial, e essa decisão honesta é melhor para o programa do que um backlog de dossiês pela metade.

Os casos de CI corporativa se agrupam em três tipos com ênfases diferentes, e a tipagem na abertura orienta o roteiro e as fontes previstas. A tipagem também alimenta as métricas do capítulo 11, porque cada tipo tem duração e taxa de conclusão típicas distintas.

• Caso de coleta externa: o disparo é uma abordagem, contato ou reconhecimento externo, e a ênfase é verificar identidade, vínculo e objetivo do agente, com OPSEC pesado nas consultas.
• Caso de insider: o disparo é exportação anômala, mudança de comportamento ou relato, e a ênfase é delimitação legal rigorosa, coordenação estreita com RH e discrição máxima, porque o alvo está dentro.
• Caso de reconhecimento técnico: o disparo é varredura ou sondagem dirigida, e a ênfase é correlação com infraestrutura conhecida e devolução de hipóteses de caça ao SOC, no padrão do capítulo 10.

3. Delimitação e Mandato do Caso

A delimitação é a decisão mais barata de acertar e a mais cara de ignorar. O mandato do caso declara, por escrito: o evento disparador com referência ao resumo de escalonamento da nota 04; o escopo temporal de observação; os ativos e as pessoas no escopo; as fontes autorizadas; os limites legais relevantes, incluindo o tratamento de dados pessoais; os participantes autorizados; e a política de comunicação do caso. Casos sem mandato escrito derivam de escopo com cada novidade, e escopo que deriva é o mecanismo pelo qual investigações legítimas se tornam invasivas.

O mandato também declara o que o caso não vai fazer, e essa lista negativa é o que protege a organização. Um caso de abordagem externa a pesquisador não é uma investigação de vida privada do pesquisador; um caso de exportação anômala não autoriza varredura de dispositivos pessoais; um caso que envolve concorrente nomeado não autoriza contato disfarçado com o concorrente. Cada proibição evita um deslize que transformaria vítima em ré em uma disputa futura, e jurídico deve revisar e assinar o mandato antes da primeira coleta.

A abertura formal termina com a atribuição de codinome e número ao caso. O codinome não é afetação: ele permite discutir o caso em canais e agendas que seriam comprometedoras se usassem nomes reais, e o número cria a âncora de toda a documentação subsequente. O padrão desta biblioteca usa o formato CI-AAAA-NNN, com registro central de casos que impede duplicidade e registra o status de cada um.

4. Coleta Disciplinada e Cadeia de Custódia

A coleta dentro do caso segue o plano da nota 03, mas com disciplina adicional de evidência, porque o objetivo agora é documentação defensável e não apenas observação. Cada item coletado recebe registro com origem exata, data e hora em UTC, coletor identificado, método de captura e hash do conteúdo, e o log de cadeia de custódia registra cada acesso posterior ao item. O esforço é pequeno no momento da coleta e impossível de reconstruir meses depois, e é essa aritmética que justifica a disciplina desde o primeiro dia do caso.

• Evidência digital: cópia com hash SHA-256 registrada, preservação do original, registro do sistema e do caminho de origem, e nota sobre o aviso de monitoramento que ampara a coleta.
• Evidência documental: digitalização com data, original guardado em pasta física restrita quando existir, e referência cruzada com o número do caso.
• Relatos de pessoas: registro escrito imediato, preferencialmente em formulário padronizado, com leitura e aceite do relator quando possível; relatos verbais não registrados são memória, não evidência.
• Coleta externa: apenas fontes abertas, com captura de página e data, registro da consulta e nota da ferramenta usada, evitando serviços que expõem o interesse da organização ao alvo, como a seção 7 desta nota destaca para consultas de enriquecimento.

A coleta também é o momento de documentar o que não foi possível coletar, e o registro de lacunas do caso espelha o registro de lacunas da nota 03. Uma lacuna declarada, como a titularidade de um telefone sem acesso legal à informação, orienta a decisão jurídica posterior e impede que a ausência seja interpretada meses depois como descuido. O dossiê honesto sobre o que não sabe vale mais, para a liderança e para um juiz, do que o dossiê que apenas apresenta o que favorece uma conclusão.

5. Hipóteses Concorrentes e Teste de Evidência

A investigação de CI é especialmente vulnerável ao viés de confirmação, porque o caso nasce de uma suspeita com narrativa sedutora: alguém foi abordado, alguém exportou algo, alguém tem motivo. O antídoto documentado da disciplina é a formulação obrigatória de hipóteses concorrentes, com no mínimo duas explicações plausíveis para os mesmos fatos, e o teste de cada evidência contra todas as hipóteses, incluindo explicitamente a evidência que desmente a hipótese preferida. A técnica estruturada de análise de hipóteses competitivas, tratada no capítulo 05 da biblioteca, é o instrumento recomendado, e a versão simplificada abaixo já elimina a maior parte do risco.

O exemplo abaixo usa o caso fictício que acompanha as notas anteriores, a segunda abordagem ao pesquisador-chefe, e mostra três hipóteses com o teste inicial.

Caso CI-2025-014: duas abordagens a pessoa-chave de CJ-03 em 40 dias
H1: coleta dirigida por concorrente ou intermediário a serviço dele.
H2: recrutamento legítimo de duas agências independentes, por coincidência de mercado.
H3: exercício de sensibilização interno não comunicado à CI.
Evidência e teste:
  Empresa declarada da primeira abordagem sem registro ativo: favorece H1.
  Perguntas sobre ensaios em andamento, e não sobre a vaga: favorece H1.
  Segunda abordagem por telefone com número de dificuldade de rastreio: neutro.
  Nenhuma vaga publicada pela empresa declarada: favorece H1.
  Ausência de registro no calendário de exercícios internos: favorece H1 contra H3.
  Mercado de baterias em alta com recrutamento agressivo documentado: favorece H2.
Conclusão provisória: H1 é a mais compatível; H2 permanece viva; H3 enfraquecida.

A regra de ouro do teste é a simetria: cada evidência é confrontada com todas as hipóteses, e a pergunta não é qual hipótese a evidência sustenta, e sim quais hipóteses ela exclui ou enfraquece. Evidência que só serve a uma narrativa é sinal de que a investigação parou de testar e começou a construir, e o segundo analista, discutido na seção seguinte, tem como função exatamente detectar esse deslize.

6. Atribuição e Níveis de Confiança

Atribuição em CI corporativa raramente alcança a certeza, e a disciplina trabalha com níveis de confiança declarados, no padrão da inteligência profissional. A atribuição tem duas camadas distintas que não devem ser misturadas: a atribuição da atividade a um agente concreto, como a consultoria que emprega o abordador, e a atribuição do benefício, como o concorrente que financia ou contrata o agente. A primeira é factual e depende de evidência direta; a segunda é inferencial e depende de padrão, oportunidade e ganho, e exige formulação cuidadosa para não caluniar.

Três regras protegem a organização na atribuição. Primeira regra: o nome de pessoa física ou jurídica só entra no dossiê com revisão jurídica prévia, porque a atribuição escrita pode constituir difamação se a evidência não sustentar. Segunda regra: a confiança declarada se refere à conclusão inteira, e o dossiê precisa distinguir o que é fato documentado, o que é inferência e o que é especulação, na linha definida pela nota 02. Terceira regra: atribuição moderada ou baixa não dispara ações confrontativas contra o atribuído, e sim medidas de proteção próprias e eventuais decisões de resposta coordenadas com jurídico, tema que a nota 06 retoma nas salvaguardas.

A revisão por segundo analista é obrigatória antes de o dossiê deixar a equipe, e ela avalia três coisas: a completude das hipóteses concorrentes, a simetria do teste de evidência e a consistência entre a evidência listada e o nível de confiança proposto. O revisor assina o dossiê com data, e a revisão é registrada mesmo quando discordante, porque a divergência documentada é informação analítica valiosa, e não embaraço a apagar.

7. OPSEC do Caso: Canal Seguro e Need-to-Know

O caso de CI é conduzido sob o princípio de need-to-know, e a lista de participantes autorizados do mandato é o limite dessa necessidade. Cada pessoa adicionada ao círculo aumenta a chance de vazamento da existência do caso, e a pergunta de admissão é concreta: essa pessoa toma decisão ou produz trabalho que exige saber do caso? Curiosidade hierárquica, mesmo de executivos, não é necessidade de saber, e a forma de recusar cortesmente, oferecendo o que pode ser compartilhado, é parte do ofício.

As práticas mínimas de proteção operacional do caso são as seguintes, e valem do primeiro dia até o arquivamento.

• Canal dedicado e protegido para as comunicações do caso, preferencialmente ferramenta corporativa com controle de acesso por grupo, e nunca canais de mensagens pessoais.
• Referência ao caso sempre pelo codinome ou número, inclusive em conversas presenciais em ambiente não controlado.
• Marcação TLP:RED para o material do caso, com lista fechada de destinatários, e TLP:AMBER apenas para os produtos finais aprovados pela nota 06.
• Cuidado com consultas externas rastreáveis: enriquecimento de domínios e identidades ligadas ao adversário em serviços públicos pode devolver o interesse da organização ao alvo, e a regra é usar infraestrutura própria ou serviços que não exposam o cliente.
• Entrevistas em sequência espaçada e justificada, porque uma rodada de entrevistas idênticas no mesmo grupo em dois dias circula internamente e chega ao adversário pela rede informal.
• Presença mínima em sistemas: o dossiê fica em repositório de acesso restrito, e cópias espalhadas em discos locais são o vazamento mais comum dos casos reais.

8. Documentação para Eventual Processo Legal

A documentação do caso é preparada desde o primeiro dia como se uma disputa judicial fosse inevitável, porque a decisão de acionar via legal aparece tarde, quando reconstruir cadeia de custódia já é impossível. O padrão mínimo de documentação inclui o mandato assinado, o log de cadeia de custódia de cada evidência com hash e UTC, os registros de relato padronizados, as notas de investigação datadas e identificadas, o registro das consultas externas realizadas e o dossiê de hipóteses com a revisão do segundo analista. Notas datadas e contemporâneas aos fatos valem mais do que qualquer reconstrução posterior, e é por isso que o roteiro da seção 9 exige nota a cada sessão de trabalho.

A tabela abaixo organiza os documentos do padrão mínimo com a função de cada um, e serve de checklist de encerramento do caso. Documento ausente no encerramento é lacuna registrada, e não detalhe administrativo, porque é ele que define o que o dossiê poderá provar no futuro.

O envolvimento do jurídico é contínuo e não emergencial: além do mandato, jurídico decide quando há base para medidas formais, quando acionar autoridades, quando notificar o terceiro atribuído e quando preservar evidência sob ordem de litispendência. A coordenação antecipada evita os dois erros simétricos: o caso que produz prova inadmissível e o caso que tinha prova sólida e perdeu a janela processual por demora. Uma nota prática de escrita fecha o padrão: o dossiê separa fatos de avaliações em cada seção, evita adjetivos acusatórios e registra as hipóteses descartadas com o motivo, porque o documento que sobrevive ao escrutínio é o que mostra o método, e não apenas a conclusão.

9. Roteiro Padrão de Investigação

O roteiro abaixo consolida a nota em um fluxo de execução para o caso tipo, com o exemplo CI-2025-014 como fio condutor. Ele é adaptável, mas cada etapa omitida precisa de justificativa registrada, e as etapas 1, 2 e 10 nunca são omitidas.

ROTEIRO DE INVESTIGAÇÃO DE CASO DE CI
1. Mandato: registrar escopo, período, ativos, pessoas, fontes autorizadas e limites
   legais; aprovação de CI e jurídico; codinome e número; lista de participantes.
2. Coleta inicial: preservar evidência do evento disparador com hash e UTC;
   registrar relato padronizado do alvo da abordagem; abrir log de cadeia de custódia.
3. Delimitação de linha do tempo: ordenar eventos conhecidos em UTC e identificar
   lacunas temporais que orientem a coleta seguinte.
4. Verificação externa: OSINT do abordador e da empresa declarada, registros públicos,
   vínculos com agentes da matriz de direcionamento, tudo por infraestrutura não rastreável.
5. Verificação interna: acessos do alvo no período, padrão de exportação, contatos
   institucionais do abordador com outras áreas, dentro do mandato e do aviso legal.
6. Hipóteses concorrentes: listar no mínimo duas, testar evidência com simetria,
   registrar evidência contrária à hipótese preferida.
7. Avaliação de atribuição: separar atribuição de atividade e de benefício, declarar
   confiança, submeter à revisão do segundo analista.
8. Medidas de proteção imediatas: sensibilização discreta do alvo e dos pares diretos,
   ajuste de acesso ao ativo, reforço de monitoramento, sem confronto com o atribuído.
9. Documentação contínua: nota de sessão a cada trabalho, atualização do log de
   custódia, registro de lacunas e de consultas externas.
10. Encaminhamento: dossiê completo para a análise da nota 06, com pedido de decisão
    jurídica sobre medidas formais e recomendações de salvaguarda por ativo.

10. Erros Comuns e Pontos de Atenção

O erro mais grave da fase é a investigação que deriva de escopo, quase sempre por entusiasmo, e que termina coletando sobre vidas privadas ou terceiros sem base legal, transformando a vítima em réu potencial. O segundo erro é o dossiê de conclusão única, sem hipóteses concorrentes e sem evidência contrária, que desmorona na primeira contestação e mancha o programa perante a liderança. O terceiro erro é o vazamento de existência do caso por circulação descuidada, o que alerta o adversário, encerra a observação e pode acelerar a coleta que se pretendia impedir.

Três cuidados de gestão completam a lista. O caso tem dono único, e comitês não investigam; o comitê decide, e o dono executa com mandato. O prazo do caso é declarado no mandato, com extensão justificada, porque caso sem prazo se torna emprego vitalício e perde a disciplina documental. E o encerramento é formal: mesmo casos inconclusivos são arquivados com o que foi estabelecido, as lacunas restantes e a recomendação de reabertura sob gatilho, porque a memória do caso inconclusivo é frequentemente o que permite conectar o próximo evento, meses depois, ao padrão que hoje não fecha.

11. Integração com o Restante da Biblioteca

O dossiê de caso alimenta a nota 06, que consolida a análise, produz o relatório de caso e a atualização de perfil de ator e propõe salvaguardas, e devolve ao direcionamento da nota 01 a evidência que ajusta a matriz. No capítulo 05, as técnicas estruturadas de análise, em especial as hipóteses competitivas e o controle de vieses, fornecem o instrumental intelectual do teste de evidência desta nota. No capítulo 02, as notas de coleta detalham os métodos de captura que a coleta disciplinada exige; no capítulo 10, os casos de CI que revelam infraestrutura técnica geram hipóteses de caça para o SOC e o hunting; e no capítulo 15, as salvaguardas de proteção de evidência e de resposta correspondem aos grupos de controle aplicáveis. O capítulo 11 fornece as métricas de casos, como tempo de fechamento e taxa de conclusão com salvaguarda implementada, que o feedback da nota 06 reportará.