Em fevereiro de 2017, pesquisadores do Google e do instituto holandês CWI publicaram dois arquivos PDF. Um tinha um cabeçalho azul; o outro, vermelho. Conteúdos diferentes, aparência diferente. E, ainda assim, o mesmo código hash SHA-1. Foi a prova pública de que um dos algoritmos mais usados do mundo estava quebrado. Para a perícia digital, a pergunta é inevitável: se dois arquivos diferentes podem ter o mesmo hash, o hash ainda prova que a prova não foi trocada?
Esta postagem integra a série sobre o código hash. Se você ainda não leu o post pilar, comece por Código hash: a impressão digital da prova digital.
Aviso Editorial
Este conteúdo tem finalidade informativa e educativa. Foi elaborado exclusivamente com base em fontes públicas, citadas ao longo do texto. A explicação é propositalmente conceitual: o objetivo é orientar a perícia, os operadores do Direito e o cidadão, e não ensinar a produzir colisões. Os casos ilustrativos são fictícios. O texto será atualizado se surgirem fatos ou decisões relevantes.
1. Resumo
MD5 e SHA-1 são algoritmos de hash antigos que já não resistem a ataques de colisão: é possível, com recursos técnicos e computacionais, criar dois arquivos diferentes com o mesmo código. Isso não torna automaticamente inválida toda prova que use esses algoritmos, mas enfraquece a garantia técnica. A perícia deve usar algoritmos fortes (SHA-256, SHA-512 ou SHA-3) e, quando houver laudo antigo com MD5 ou SHA-1, recalcular o hash sobre o original preservado.
2. O que é uma colisão de hash
Uma função hash transforma qualquer arquivo num código de tamanho fixo. Como há infinitos arquivos possíveis e uma quantidade limitada de códigos, é matematicamente inevitável que dois arquivos diferentes, em algum lugar, tenham o mesmo código. Isso é uma colisão. Um bom algoritmo torna a tarefa de encontrar essa colisão tão difícil que, na prática, ninguém consegue. Um algoritmo “quebrado” é aquele em que alguém achou um atalho para encontrá-la.
Há uma distinção que faz toda a diferença na perícia:
- Colisão: fabricar, ao mesmo tempo, dois arquivos novos com o mesmo hash. É o que se conseguiu com MD5 e SHA-1.
- Colisão de prefixo escolhido: versão mais perigosa, em que o atacante parte de dois conteúdos com significado próprio (por exemplo, duas identidades ou dois certificados) e os ajusta até que tenham o mesmo hash.
- Segunda pré-imagem: criar um arquivo diferente que tenha o mesmo hash de um arquivo que já existe e que o atacante não controlou. Isso, até hoje, não foi demonstrado na prática nem para o MD5 nem para o SHA-1.
Tradução para a investigação: o risco de colisão é maior quando alguém teve controle sobre o arquivo antes de o hash ser calculado. Quando a polícia apreende um aparelho e calcula o hash na hora, um fraudador teria de enfrentar o problema muito mais difícil da segunda pré-imagem.
3. Linha do tempo: como MD5 e SHA-1 caíram
| Ano | Fato |
|---|---|
| 2004 | Xiaoyun Wang e colegas apresentam o primeiro ataque de colisão contra o MD5. |
| 2007–2008 | Pesquisadores do CWI desenvolvem a colisão de prefixo escolhido em MD5 e demonstram um certificado digital falso de autoridade certificadora. |
| 2009 | Assinaturas baseadas em MD5 deixam de ser aceitas para autoridades certificadoras. |
| 2011 | O NIST (EUA) declara o SHA-1 obsoleto para novas assinaturas digitais; normas da internet (RFCs 6151 e 6194) alertam contra MD5 e SHA-1. |
| 2012 | Descoberto o malware Flame, que usou colisão de MD5 para se passar por software da Microsoft. |
| 2017 | Google e CWI divulgam o SHAttered: a primeira colisão prática de SHA-1. |
| 2020 | O ataque “SHA-1 is a Shambles” obtém a primeira colisão de prefixo escolhido em SHA-1, com custo estimado de cerca de US$ 45 mil. |
| 2022 | O NIST anuncia a retirada definitiva do SHA-1 de todas as aplicações até 31/12/2030. |
4. Caso real: SHAttered, o dia em que o SHA-1 caiu (2017)
Em 23 de fevereiro de 2017, o Google e o CWI Amsterdam anunciaram a primeira colisão prática do SHA-1, resultado de dois anos de pesquisa. Eles publicaram dois PDFs diferentes com o mesmo hash, para que qualquer pessoa pudesse conferir. O esforço foi enorme: cerca de nove quintilhões de cálculos de SHA-1, feitos com a infraestrutura de nuvem do Google. Ainda assim, o método foi mais de 100 mil vezes mais rápido do que a força bruta, o que mostrou que o algoritmo não oferecia mais a segurança prometida.
A lição dos pesquisadores foi direta: migrar para algoritmos mais seguros, como o SHA-256 ou o SHA-3. Os navegadores já vinham abandonando certificados SHA-1 desde 2014 e completaram a transição naquele ano. Junto com o anúncio, foi disponibilizada uma ferramenta capaz de detectar arquivos construídos com esse tipo de ataque.
5. Caso real: Flame, quando a colisão virou arma (2012)
Em maio de 2012, foi descoberto o Flame, um sofisticado programa de espionagem. O detalhe que espantou a comunidade de segurança: parte dele estava assinada com um certificado que parecia ter sido emitido pela própria Microsoft. Os criadores exploraram uma fraqueza do MD5 num serviço de licenciamento que ainda usava esse algoritmo e, por meio de uma colisão de prefixo escolhido, obtiveram um certificado de assinatura de código aceito pelo Windows. Com ele, o malware conseguia se disfarçar de atualização legítima.
O pesquisador Marc Stevens, do CWI, analisou o caso com uma ferramenta forense própria e constatou que se tratava de uma variante até então desconhecida do ataque. A Microsoft publicou atualização emergencial para revogar o certificado em junho de 2012. O episódio mostrou que a colisão de hash não é apenas exercício acadêmico: em mãos com recursos suficientes, vira ferramenta de ataque real.
6. O risco real na perícia: quando importa e quando não
| Situação | Risco de colisão | Por quê |
|---|---|---|
| Aparelho apreendido pela polícia, com hash calculado na extração | Baixo, mesmo com MD5 | O fraudador precisaria de uma segunda pré-imagem, ataque não demonstrado na prática. |
| Arquivo produzido ou entregue por uma das partes antes do cálculo do hash | Relevante com MD5 ou SHA-1 | Quem controla o arquivo antes do registro poderia, em tese, ter preparado duas versões com o mesmo hash. |
| Documento ou contrato digital assinado com algoritmo fraco | Relevante | Foi exatamente o cenário explorado no caso Flame e no ataque de 2020. |
| Laudo antigo só com MD5, com o original preservado | Contornável | Basta recalcular o hash do original com SHA-256 e comparar com a cópia periciada. |
| Laudo só com MD5 e original perdido | Alto, do ponto de vista processual | A garantia técnica fica fragilizada e não há como refazê-la. |
7. Como a defesa pode usar o tema e como a acusação responde
A defesa pode apontar, com apoio de assistente técnico, que o laudo usou apenas algoritmo obsoleto e que, por isso, a integridade não está tecnicamente demonstrada. Como já vimos na série, a jurisprudência do STJ oscila entre a linha da inadmissibilidade e a da valoração, e a Corte Especial tem exigido demonstração concreta de adulteração. Uma alegação genérica de que “o MD5 é quebrado” dificilmente basta.
A acusação, por sua vez, responde melhor com técnica do que com retórica: recalcula o hash do original preservado com algoritmo forte, demonstra que a cópia confere, explica que o cenário do caso exigiria uma segunda pré-imagem e junta a documentação da cadeia de custódia. O perito pode, ainda, submeter os arquivos a ferramentas de detecção de colisão, desenvolvidas a partir das pesquisas do CWI.
8. Boas práticas para a perícia e a Polícia Judiciária
- Use algoritmo forte como padrão: SHA-256, SHA-512 ou SHA-3.
- Dois algoritmos no laudo: se um sistema exigir MD5 ou SHA-1 por compatibilidade, registre também um algoritmo forte. Fabricar uma colisão simultânea em dois algoritmos diferentes é muito mais difícil.
- Calcule o hash o mais cedo possível, de preferência no ato da apreensão ou da extração, e registre-o no auto.
- Preserve o original sempre que possível, para permitir novo cálculo no futuro.
- Revise laudos e procedimentos antigos: modelos de laudo e ferramentas configuradas só com MD5 devem ser atualizados.
- Em arquivos entregues por particulares, registre a origem, o meio de entrega e o hash no recebimento, e, se houver dúvida, peça perícia sobre o dispositivo de origem.
9. Crimes ligados à fraude com colisão de hash e capitulação penal
A colisão em si é técnica matemática e objeto de pesquisa legítima. O crime está no uso que se faz dela:
| Conduta | Tipo penal possível | Pena |
|---|---|---|
| Trocar arquivo de prova por outro com o mesmo hash para enganar juiz ou perito | Fraude processual – art. 347 do CP | Detenção de 3 meses a 2 anos e multa, em dobro se destinada a processo penal |
| Agente público que adultera prova digital para responsabilizar alguém ou se eximir de responsabilidade | Abuso de autoridade – art. 23 da Lei 13.869/2019 | Detenção de 1 a 4 anos e multa |
| Perito que atesta falsamente a integridade de arquivo | Falsa perícia – art. 342 do CP | Reclusão de 2 a 4 anos e multa |
| Forjar documento digital assinado (contrato, certificado) com colisão | Falsificação de documento público ou particular – arts. 297 e 298 do CP, conforme a natureza do documento | Reclusão de 2 a 6 anos (público) ou de 1 a 5 anos (particular), e multa |
| Usar certificado forjado para distribuir programa malicioso | Invasão de dispositivo informático e distribuição de programa para esse fim – art. 154-A, caput e § 1º, do CP | Reclusão de 1 a 4 anos e multa |
| Usar documento ou comprovante forjado para obter dinheiro | Fraude eletrônica – art. 171, § 2º-A, do CP | Reclusão de 4 a 8 anos e multa |
A tabela completa dos crimes de adulteração de prova digital está no post pilar.
10. Casos ilustrativos (fictícios)
Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas ou fatos reais é coincidência.
Caso 1 – O laudo de 2018. Num processo antigo, o laudo traz apenas o hash MD5 do disco apreendido. A defesa alega que o algoritmo está quebrado. O disco original segue lacrado no depósito. Solução provável: nova perícia recalcula o hash com SHA-256 sobre o original e o compara com a cópia analisada. Conferindo, a alegação perde força.
Caso 2 – O contrato com duas versões. Um empresário registra, com hash SHA-1, um contrato digital que ele mesmo redigiu. Anos depois, apresenta em juízo outra versão, com cláusulas diferentes e o mesmo hash, alegando que foi a assinada. Solução provável: perícia com ferramenta de detecção de colisão identifica a manipulação. Enquadramento possível: fraude processual (art. 347 do CP) e falsificação de documento particular (art. 298 do CP).
Caso 3 – O alarme falso. A defesa contrata parecer afirmando que, como o MD5 é quebrado, as conversas extraídas do celular apreendido “podem ter sido trocadas”. O hash foi calculado no ato da extração, com MD5 e SHA-256. Solução provável: tese rejeitada. O cenário exigiria segunda pré-imagem, e o SHA-256 confere.
Caso 4 – O atualizador falso. Uma quadrilha distribui um “atualizador” de sistema bancário assinado com certificado de algoritmo fraco, forjado por colisão, que instala um programa espião. Enquadramento possível: art. 154-A, § 1º, do CP, fraude eletrônica pelos desvios e, conforme a estrutura, organização criminosa.
11. Prevenção para empresas e cidadãos
- Empresas e órgãos públicos: revisem sistemas, certificados e assinaturas que ainda usem MD5 ou SHA-1, sigam o cronograma do NIST (fim do SHA-1 até 2030) e exijam SHA-256 ou superior de fornecedores.
- Escritórios e cartórios digitais: ao registrar documentos por hash, usem algoritmo forte e guardem o arquivo original.
- Cidadão: ao baixar programas, prefira as lojas e sites oficiais; quando o fabricante divulgar o código SHA-256 do arquivo, use-o para conferir o download. Desconfie de “atualizações” recebidas por mensagem.
12. Como o tema cai em prova
Assertiva para julgar (certo ou errado): “Como o algoritmo MD5 é vulnerável a colisões, qualquer prova digital cujo laudo tenha utilizado apenas MD5 deve ser declarada nula.”
Gabarito: errado. A vulnerabilidade do MD5 enfraquece a garantia técnica, mas não gera nulidade automática. O risco depende do cenário (colisão exige controle prévio do arquivo; a troca de um arquivo já registrado exigiria segunda pré-imagem), e a integridade pode ser confirmada por novo cálculo com algoritmo forte sobre o original preservado. Pela orientação mais recente do STJ, a quebra da cadeia de custódia deve ser demonstrada concretamente.
13. Guia de leitura: a série sobre o código hash
- Post pilar: Código hash: a impressão digital da prova digital.
- Jurisprudência: Prova digital sem hash é nula? As duas linhas do STJ.
- Prints: Print de WhatsApp vale como prova?
- Para a vítima: Caí num golpe: como guardar as provas do jeito certo.
- Golpe: O golpe dos falsos comprovantes em criptomoedas.
- Você está aqui: MD5 e SHA-1 quebrados.
Opinião do Autor
Ainda encontro laudos e procedimentos que usam apenas MD5, muitas vezes porque a ferramenta veio configurada assim. Não vejo motivo para pânico: na maioria dos casos de apreensão, o risco real é baixo e pode ser afastado com nova perícia. Mas também não vejo motivo para manter o hábito. Trocar o padrão para SHA-256 custa um clique e elimina uma tese defensiva inteira.
O caso Flame ensina que a criptografia envelhece, e que quem tem recursos explora as brechas que os outros deixaram abertas. Na polícia judiciária, a regra deve ser a mesma da boa engenharia: usar o padrão mais seguro disponível, registrar tudo e preservar o original. A prova que resiste ao tempo é a que foi bem cuidada desde o primeiro dia.
Ronaldo Entringe, Delegado de Polícia Civil
Aviso de Atualização Legal: Este conteúdo reflete o panorama legislativo e o entendimento dos tribunais vigentes em novembro de 2026. Considerando a suscetibilidade de alterações no cenário normativo, recomenda-se a validação das diretrizes atuais antes de qualquer tomada de decisão. A presente publicação destina-se exclusivamente a fins informativos, não substituindo uma análise técnica e individualizada da matéria.
Fontes
- Announcing the first SHA1 collision – Google Online Security Blog, 23/02/2017.
- New attack sounds death knell for widely used SHA-1 crypto hash function – Help Net Security, 24/02/2017.
- CWI cryptanalyst discovers new cryptographic attack variant in Flame spy malware – CWI Amsterdam, 2012.
- Flame Exploited Long-Known Flaw in MD5 Certificate Algorithm – eWeek, 13/06/2012.
- SHA-1 is a Shambles: First Chosen-Prefix Collision on SHA-1 and Application to the PGP Web of Trust – Leurent e Peyrin, USENIX Security Symposium, 2020.
- NIST Transitioning Away from SHA-1 for All Applications – NIST, 15/12/2022.
- Colisão de MD5 e SHA-1 em vestígios digitais: o risco real para a integridade da prova – ConJur, 24/10/2025.
- Código Penal, Código de Processo Penal e Lei 13.869/2019 – Planalto.
Leia também
- Código hash: a impressão digital da prova digital — o que é, como funciona e por que decide processos
- Prova digital sem hash é nula? As duas linhas do STJ sobre a quebra da cadeia de custódia
- Malware: o guia completo dos programas maliciosos
- Ataque Zero-Day: a falha que nem o fabricante conhece
- Modelo de Representação por Extração de Dados de Celular Apreendido
Chamada para Mentoria
Perícia digital, cadeia de custódia, integridade da prova e crimes informáticos deixaram de ser assunto só de especialistas: aparecem cada vez mais nas provas discursivas, práticas e orais para Delegado de Polícia. Saber explicar por que um laudo deve usar SHA-256, enfrentar a tese da colisão e indicar a capitulação correta é o tipo de domínio que a banca valoriza.
Se você quer se preparar com quem vive a investigação na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.
Sobre o Autor
Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.
