O log mostra que o dispositivo USB foi conectado; ele não mostra o que saiu por ali. O sistema operacional guarda um identificador do dispositivo e a janela em que ele esteve conectado, mas esse dado não registra, sozinho, se algum arquivo foi lido, gravado ou copiado, nem em qual direção. Conectar para copiar um arquivo, fazer um backup de rotina ou carregar o celular deixa o mesmo tipo de rastro.
Há um padrão que chama atenção: a coincidência entre a data de desligamento, a conexão do dispositivo e arquivos apagados no mesmo período. Isso é indício técnico relevante, mas correlação temporal não é causa demonstrada — cada elemento admite hipóteses alternativas que a perícia precisa considerar antes de concluir.
O que fecha a lacuna é outra camada de evidência: registro de acesso a arquivo com granularidade suficiente, metadados que correlacionem leitura com a janela de conexão, log de solução de prevenção de perda de dados quando existe, ou exame complementar no próprio dispositivo. "Houve conexão de USB?" e "houve cópia para esse USB?" são duas perguntas periciais distintas, com fontes de prova distintas.
4 min de leitura