Um e-mail ameaçador pode esvaziar uma escola em minutos, mas identificar o remetente pode não ser assim tão rápidos. Para descobrir quem está por trás da mensagem, as autoridades recorrem registos de servidor, dados dos fornecedores de serviços e dispositivos apreendidos.
As escolas são alvos particularmente vulneráveis à má-fé: recebem diariamente centenas de crianças e adultos, sendo instituições essencialmente abertas, concebidas para a aprendizagem e a vida em comunidade, com pessoal de segurança e proteção limitados ou inexistentes. O agressor nem precisa sequer de entrar no edifício para causar medo e perturbação, pois basta uma única mensagem para forçar a interrupção das aulas, provocar pânico em centenas de famílias e mobilizar um contingente policial significativo.
PUBLICIDADE
PUBLICIDADE
Nos últimos dois dias, uma vaga de ameaças varreu, além da Hungria, a Irlanda do Norte, a Escócia e outras regiões britânicas. Segundo o protocolo internacional comum, quando uma escola recebe uma ameaça de bomba, arrancam duas tarefas paralelas: é preciso proteger quem se encontra na instituição e apurar de quem partiu a mensagem.
A revista ao edifício pode dar resposta à primeira questão. Para a segunda, é necessária a cooperação de vários prestadores de serviços, peritos informáticos e até autoridades, polícias ou serviços de informações de vários países.
Depois das ameaças de 19 e 20 de outubro, a polícia húngara informou que o Gabinete Nacional de Investigação iniciou um processo por ameaça de cometer ato terrorista e está a analisar eventuais ligações com casos anteriores semelhantes. O comunicado, porém, não especificou que vestígios técnicos estão à disposição dos investigadores.
Um único autor pode estar por trás de ameaças em vários países
A cooperação internacional pode produzir resultados concretos. A Eurojust informou, em julho de 2025, que tinha identificado o alegado autor de vários milhares de e-mails ameaçadores enviados, em setembro de 2024, a instituições checas, eslovacas e letãs.
Os três países criaram uma equipa conjunta de investigação e o inquérito conduziu a Dnipro, na Ucrânia.
Na operação local participaram também polícias checos e eslovacos, que revistaram dois locais e apreenderam material informático. O suspeito foi detido e posteriormente libertado, enquanto se aguardam mais passos das autoridades. O caso mostra que uma série de ameaças que abrange muitos países nem sempre implica uma grande rede de autores.
Correio eletrónico tem um lado menos visível: o que deve ser analisado?
O destinatário vê habitualmente o nome do remetente, o endereço de e-mail, o assunto e o texto da mensagem. Mas para o perito também contam os dados técnicos do e-mail: através de que serviços de correio foi encaminhado, em que momentos foi processado e que identificadores lhe foram atribuídos.
Estes chamados dados de cabeçalho podem ajudar a reconstruir o percurso da mensagem. O cabeçalho nem sempre contém, no entanto, o endereço da ligação à internet usada por quem escreveu o e-mail; pode acontecer que apenas permita recuar até ao servidor do prestador de correio eletrónico.
Rastreio continua junto do prestador de serviço
O passo seguinte pode ser contactar o prestador do serviço de correio eletrónico. Com base jurídica adequada, as autoridades podem solicitar dados que revelem quando foi criada a conta, que contactos associados foram fornecidos e de que endereços de internet houve acessos e em que momentos.
Na sua informação pública por exemplo, a Google menciona, no caso do Gmail, entre os dados potencialmente fornecíveis, as informações de registo, o número de telefone associado, bem como os endereços IP e os horários de início de sessão. A disponibilidade dos dados e a base legal do pedido determinam em conjunto o que a autoridade de investigação pode obter.
O endereço IP é o identificador de rede da ligação à internet. Se os investigadores o conseguirem, a questão seguinte é saber a que subscrição estava associado naquele momento. A partir daí, o caminho até quem escreveu o e-mail nem sempre é direto.
Uma família, uma escola ou um local de trabalho podem ter vários utilizadores a partilhar a mesma ligação à internet. O titular da subscrição e o remetente efetivo podem, por isso, ser pessoas diferentes. É igualmente possível que alguém use a caixa de correio de outra pessoa. Num caso norte-americano de 2015, o Ministério Público considerou que o suspeito chegou a enviar ameaças de bomba a escolas a partir da conta de correio eletrónico da própria mãe, que terá sido violada.
Servidor estrangeiro não revela nacionalidade do remetente
A investigação pode tornar-se mais difícil se a ligação passar por sistemas intermediários. Um endereço IP estrangeiro pode então conduzir a um servidor intermédio, enquanto o autor da ameaça se encontra noutro país. Da mesma forma, o uso de um prestador de correio eletrónico estrangeiro não prova, por si só, que a mensagem foi enviada do estrangeiro.
Nestas situações torna-se decisivo cruzar os dados dos prestadores, os diferentes momentos e outras provas.
A investigação pode também encontrar becos sem saída técnicos, já que nem todos os sistemas conservam o mesmo tipo de dados e nem toda a informação necessária está disponível mais tarde. Um relatório oficial sobre uma vaga de ameaças contra escolas nos Estados Unidos documentou, por exemplo, que o recurso a servidores intermediários impediu, numa fase inicial, a polícia local de identificar o remetente.
O tempo desempenha, por isso, um papel crucial. As autoridades podem pedir ao prestador, através de uma ordem de preservação de dados, que reserve informação já existente e previamente definida enquanto obtêm a base jurídica necessária para a sua divulgação. A preservação e a transmissão de dados são duas etapas distintas, porque a ordem de preservação, só por si, não significa que a polícia passe a ter acesso ao conteúdo da conta.
É preciso ligar o computador a uma pessoa
Se a investigação levar a um suspeito, a análise do computador ou do telemóvel que usa pode fornecer novas provas. Os peritos podem procurar dados de correio eletrónico, ficheiros, vestígios de navegação e outros resíduos digitais. O resultado depende, porém, do estado do equipamento, das respetivas proteções e também do tipo de dados que nele permanecem.
O objetivo não é apenas determinar que o dispositivo esteve ligado a uma caixa de correio eletrónico. É também necessário provar que aquela pessoa o utilizou para enviar a ameaça. Uma mensagem encontrada, o registo do prestador, testemunhos sobre o momento do envio ou outros dados independentes entre si podem, em conjunto, tornar-se convincentes.
As provas digitais têm, por isso, de ser recolhidas e examinadas segundo um procedimento documentado. As cópias periciais e as impressões digitais que confirmam a invariabilidade dos dados servem para garantir que, em fases posteriores do processo, se possa verificar que está a ser analisado o mesmo material que foi inicialmente apreendido.
Texto pode dar pistas, mas é insuficiente por si só
Ao comparar várias ameaças, podem analisar-se a linguagem usada, os erros recorrentes, os padrões de conteúdo, o conjunto de destinatários e a cronologia dos envios. Com base nisso, pode levantar-se a hipótese de a mesma pessoa ou grupo estar por trás de vários casos. As semelhanças, contudo, podem resultar de imitação ou da cópia de um texto que já tenha sido tornado público.
Pelo mesmo motivo, a língua da mensagem, os slogans políticos ou declarações feitas em nome de uma organização não bastam para provar quem é o remetente. Estes elementos fazem parte do conteúdo da ameaça; a sua origem tem de ser verificada separadamente. O uso do nome de um grupo extremista não demonstra, por si só, que foi realmente essa organização a enviar a mensagem.