Sim. Mesmo se arquivos não foram copiados, rastros frequentemente permanecem:
- Arquivos Recentes / Jump Lists (Windows) ou Itens Recentes (macOS) registram documentos abertos.
- Arquivos temporários criados por apps (ex: ~$.docx do Word, cache Adobe).
- Artefatos do sistema de arquivos (MFT/USN journal no NTFS, snapshots APFS).
- Ferramentas de recuperação de dados (Recuva, R-Studio, PhotoRec) podem extrair conteúdo deletado.
- Forense digital (EnCase, FTK) para análise profunda — incluindo slack space, volume shadow copies.
- Containers ocultos/criptografados podem ser detectáveis via análise de entropia.
- Logs de firmware em alguns pen drives registram eventos de mount/acesso.
Sucesso depende de tempo decorrido, atividade de sobrescrita, criptografia e habilidade do examinador. Para casos críticos, chame especialista forense imediatamente — evite novas escritas no disco hospedeiro.
