A pesquisa por palavra-chave falha a linguagem codificada, que é o dia a dia do trabalho de estupefacientes
Uma lista de palavras-chave é o registo do que um investigador sabia num dia, e começa a caducar de imediato.
Toda a unidade de estupefacientes tem uma lista de palavras-chave. Foi escrita por alguém competente, funciona e está desatualizada.
Não porque alguém a tenha descurado. Porque o vocabulário que descreve é ativamente adversário. Quem o usa muda os termos quando suspeita que um termo é conhecido, usa termos diferentes em grupos diferentes e em regiões diferentes, e uma grande parte do sentido é levada pelo contexto e não por palavra nenhuma.
Esta é a realidade quotidiana da investigação de estupefacientes, tráfico e criminalidade organizada, e põe a descoberto algo estrutural na forma como a pesquisa forense tem sido construída.
O que a correspondência exata pode e não pode fazer
A pesquisa por palavra-chave responde extremamente bem a uma pergunta: esta cadeia exata aparece. Isso tem valor real. É rápida, é exaustiva dentro do seu âmbito, é determinística, e quando se procura um número de telefone, um IBAN, um nome concreto ou uma alcunha conhecida, nada a supera.
A limitação é que só encontra o que já se tinha pensado. Cada falha é silenciosa. Uma pesquisa que devolve zero resultados tem o mesmo aspeto quer o termo esteja ausente, quer estivesse presente numa forma que não se antecipou.
Na prática, as falhas vêm de quatro direções. Sinónimos e gíria, que variam por região e evoluem. Substituição deliberada, em que uma palavra comum leva um sentido específico dentro de um grupo. Ortografia, incluindo transliteração, erro de escrita deliberado e correção automática. E sentido levado inteiramente pelo contexto, em que nada na frase apareceria alguma vez em lista nenhuma.
Essa última categoria é a que nenhuma lista de palavras-chave pode alguma vez cobrir, e é comum. Uma mensagem a dizer «o mesmo da última vez, vem sozinho» é potencialmente decisiva e não contém termo pesquisável nenhum.
O que a pesquisa por sentido acrescenta, e o que custa
A pesquisa por sentido corresponde pelo sentido e não pelos caracteres. Uma consulta para marcar um encontro recupera mensagens sobre verem-se, passarem, o sítio do costume ou estarem por perto no sábado, haja ou não alguma palavra da consulta nelas.
O custo é a precisão. A recuperação por sentido devolve com confiança coisas que são semelhantes no tema e irrelevantes para a investigação, e não tem noção de exatidão, o que a torna fraca precisamente nas consultas em que a pesquisa por palavra-chave é melhor. Pedido um número de telefone concreto, pode devolver vários números plausíveis.
Assim, as duas abordagens falham em direções opostas. Uma não encontra coisas que lá estão. A outra devolve coisas que não são relevantes. Escolher entre elas é uma má troca, e a razão por que isso tem sido apresentado como uma escolha é sobretudo que as duas foram construídas como produtos separados.
Correr as duas é a resposta óbvia
Correr a recuperação exata e a recuperação por sentido em conjunto e fundir os resultados dá exaustividade onde o termo é conhecido e alcance onde não é. Dá também ao examinador algo mais útil do que uma só lista ordenada: uma forma de ver de onde veio cada resultado.
Duas adições importam mais do que a própria fusão.
Expansão da consulta. Alargar automaticamente a pesquisa a vocabulário relacionado, para que uma consulta de um termo recupere também as suas variantes, as suas formas de gíria e as substituições usadas no lugar dele. É aqui que pertence o conhecimento acumulado de um investigador. Não numa lista estática que caduca, mas em regras de expansão que podem ser mantidas, versionadas e partilhadas entre unidades.
Âmbito. A mesma consulta significa coisas diferentes a níveis diferentes. Num caso inteiro é triagem. Dentro de um lacre é exame. Dentro de uma só conversa é leitura. Um examinador precisa de passar de um para outro sem reconstruir a consulta.
Duas coisas com que vale a pena ter cuidado
A pesquisa por sentido introduz um modo de falha que a pesquisa por palavra-chave não tem, e merece ser nomeado.
Uma pesquisa por palavra-chave exaustiva sobre um corpus definido pode ser descrita com precisão num relatório: este termo, este âmbito, este número de resultados. Uma pesquisa por sentido não pode ser caracterizada da mesma forma. Não há uma afirmação limpa do que ela não devolveu, e um examinador que diz ter pesquisado prova de um encontro fez uma afirmação muito mais vaga do que um que diz ter pesquisado uma cadeia específica.
A resposta prática é que a pesquisa por sentido é uma ferramenta para encontrar pistas, não para fazer afirmações de exaustividade. O que ela traz à superfície é lido, verificado contra a fonte e relatado nos seus próprios termos. O caminho que o encontrou não é a prova.
A segunda é que uma mensagem significar algo em contexto é uma interpretação, e a interpretação é o trabalho do examinador e do tribunal, não do software. Um sistema que traz um fio à superfície porque se parece com a marcação de um encontro fez algo útil. Um sistema que relata que um encontro foi marcado ultrapassou o limite, a menos que entregue as mensagens exatas e deixe um humano decidir.
É por isso que cada resultado e cada afirmação do assistente deve trazer o registo por detrás, e que um clique deve pôr o examinador na linha original. O valor do alcance por sentido é encontrar o fio que ninguém sabia que devia procurar. A verificação é o que torna essa constatação utilizável depois.
VERA
O VERA é software de análise forense para dispositivos apreendidos. Estrutura uma extração, e o examinador pergunta depois ao lacre em linguagem simples, incluindo o que uma imagem mostra. Cada afirmação do assistente abre a linha de origem. Corre sem ligação, na sua própria infraestrutura.
Pedir acessoLeitura relacionada
O volume de multimédia nos casos de proteção de menores: o que a triagem pode e não pode fazer
A multimédia é onde está o volume e onde a revisão custa mais, nos casos em que o custo é mais alto. A triagem automática ajuda com a aritmética. Não retira o examinador, e nunca deve ser vendida como se o fizesse.
A cobertura não devia depender de um ciclo de publicação do fornecedor
Na perícia digital, o que se consegue ler é decidido pelo planeamento de publicações de outra empresa. É um problema estrutural, não uma questão de suporte, e vale a pena nomeá-lo como tal.