A Polícia Federal não precisou quebrar a criptografia do WhatsApp para reconstruir parte das comunicações de visualização única associadas a Daniel Vorcaro. O trabalho se concentrou nos vestígios deixados no próprio iPhone do ex-controlador do Banco Master: capturas de tela, arquivos residuais em PDF, logs do sistema, registros de abertura de aplicativos e horários de criação ou modificação dos arquivos.
Esses elementos permitiram montar uma linha do tempo digital. Em várias ocorrências, o usuário abria o aplicativo Notas, alterava um texto, fazia uma captura de tela, fechava o aplicativo, abria o WhatsApp e enviava uma mensagem. A proximidade de segundos entre os eventos foi usada para correlacionar o conteúdo preparado fora do mensageiro ao envio posterior.
A análise consta da Informação de Polícia Judiciária nº 3298613/2026, entregue ao Supremo Tribunal Federal em 27 de agosto de 2026 e posteriormente tornada pública. O objeto examinado foi um iPhone 17 Pro apreendido com Vorcaro em 18 de novembro de 2025, durante a primeira fase da Operação Compliance Zero. A íntegra pública do relatório da PF tem 218 páginas.
O que a PF realmente conseguiu reconstruir
Há uma diferença entre recuperar uma mensagem diretamente do WhatsApp e reconstruir o que provavelmente foi enviado a partir de evidências independentes no aparelho. O relatório descreve a segunda situação.
O conteúdo era redigido no aplicativo Notas e transformado em imagem por uma captura antes do envio. Isso produzia rastros fora do WhatsApp. A perícia encontrou o horário do screenshot, registros de uso dos aplicativos e PDFs residuais com texto idêntico ao das notas. Também localizou logs que marcavam o envio de uma mensagem pelo WhatsApp na mesma janela temporal.
A correlação não equivale a uma cópia da conversa completa. Em comunicações de visualização única, o relatório reconhece que nem sempre foi possível reconstruir todo o diálogo ou conhecer as respostas dos interlocutores.
A sequência Notas, captura e WhatsApp
A metodologia pode ser resumida, apenas para fins didáticos, na sequência observada no material. Ela não é uma regra universal do iOS nem significa que todo arquivo apagado permaneça disponível.
1. Texto preparado no aplicativo Notas
Os investigadores localizaram registros de abertura, modificação da nota e conteúdo associado. Os metadados permitiam posicionar essas ações no tempo.
2. Captura de tela e PDF residual
A categoria “Uso de Aplicativos” registrava o momento do screenshot. Segundo o relatório, no mesmo segundo ou no seguinte aparecia um PDF de conteúdo idêntico em uma pasta temporária do aparelho.
3. Abertura do WhatsApp e envio
Depois do fechamento do Notas, os registros mostravam a abertura do WhatsApp. Os logs indicavam o envio enquanto o mensageiro permanecia aberto.
4. Correlação cronológica
A repetição da sequência permitiu correlacionar a imagem gerada ao envio para um interlocutor específico. É uma inferência forense apoiada por dados diferentes, não uma mensagem que reapareceu dentro do WhatsApp.
31.975 logs e 43.298 usos de aplicativos
A Folha de S.Paulo informou, com base no relatório, que foram analisados 31.975 logs e 43.298 registros de uso de aplicativos. O documento define “Logs” como eventos do sistema, entre eles o envio pelo WhatsApp, e “Uso de Aplicativos” como registros de abertura, fechamento e captura de tela.
Os totais não significam que todas as entradas continham mensagens relevantes. A indexação permitiu filtros, buscas e recortes temporais. A equipe comparou eventos ocorridos antes, durante e logo depois de cada captura.
Por que apareceram PDFs temporários?
O relatório afirma que foram encontrados PDFs residuais com o mesmo texto dos blocos de notas capturados. Eles estavam em uma pasta “tmp”. Na interpretação dos peritos, não foram documentos criados deliberadamente pelo usuário, mas artefatos gerados pelo sistema durante ações no aparelho.
Sistemas e aplicativos podem criar caches, miniaturas, bancos de dados e arquivos auxiliares. Alguns permanecem por algum tempo e conservam metadados úteis. A disponibilidade depende do aparelho, da versão do sistema, do estado do dispositivo e de quanto os dados foram sobrescritos.
Seria incorreto concluir que todo print apagado fica escondido no iPhone. Neste caso, a PF descreveu artefatos concretos, conteúdo idêntico e horários compatíveis. A conclusão deve ficar limitada a essas evidências.
Cellebrite: acesso e leitura são etapas diferentes
Cellebrite é uma empresa e também o nome de uma família de ferramentas de perícia móvel. A documentação do Cellebrite UFED descreve métodos de acesso e extração que variam conforme o modelo e o estado do aparelho.
No relatório de Vorcaro, a tabela de identificação registra o Cellebrite Reader 10.7.1.5013 no tratamento do objeto. O Reader visualiza relatórios UFDR gerados em laboratório. Ele permite pesquisar os artefatos extraídos, mas essa referência, sozinha, não demonstra qual técnica desbloqueou o iPhone.
A Folha informou que tecnologia da Cellebrite foi empregada para obter acesso ao aparelho. Não há base para afirmar que o Reader quebrou a criptografia do WhatsApp, copie 100% de qualquer telefone ou recupere todo arquivo apagado.
IPED organizou e cruzou o material
Depois da extração, era necessário processar um volume grande de dados. O relatório documenta o IPED 4.2.2, sigla de Indexador e Processador de Evidências Digitais. O projeto oficial do IPED informa que a ferramenta de código aberto é desenvolvida por peritos da Polícia Federal desde 2012.
O IPED indexa conteúdo e metadados, permite buscas, agrupa arquivos e oferece linha do tempo. Neste caso, a PF usou categorização, indexação e busca por palavras para comparar horários das notas, capturas, PDFs e eventos do WhatsApp.
A distinção é importante. Cellebrite ou GrayKey podem acessar, preservar ou extrair dados de aparelhos compatíveis. O IPED entra depois para processar, indexar e analisar o material obtido. Eles não fazem a mesma coisa.
GrayKey não está documentado neste relatório
O Magnet Graykey é uma solução de acesso, preservação e extração de dados de aparelhos iOS e Android destinada a órgãos autorizados. Reportagens anteriores sobre recursos disponíveis à PF citaram GrayKey ao lado de Cellebrite.
A Informação nº 3298613/2026, porém, não lista GrayKey entre as ferramentas usadas no tratamento deste iPhone. Sem confirmação primária específica, não é correto afirmar que ele foi empregado no aparelho de Vorcaro.
Visualização única não apaga todos os vestígios
O WhatsApp explica que fotos e vídeos de visualização única desaparecem do chat após serem abertos e não ficam salvos normalmente na galeria do destinatário. Isso limita o acesso posterior pelo aplicativo, mas não apaga automaticamente atividades ocorridas fora dele.
A criptografia ponta a ponta protege o conteúdo em trânsito entre os dispositivos. Ela não elimina um texto que já existia no telefone do remetente, uma captura anterior ao envio ou metadados criados pelo sistema. O relatório não afirma que a criptografia do WhatsApp foi quebrada.
E a gaiola de Faraday?
O isolamento de radiofrequência é conhecido na perícia digital. O guia de perícia móvel do NIST descreve recipientes blindados como forma de reduzir a comunicação do aparelho com redes e o risco de comandos remotos.
Não foi localizada confirmação no relatório de que uma gaiola ou bolsa de Faraday tenha sido usada especificamente com o iPhone de Vorcaro. O procedimento é contexto técnico, não fato comprovado deste caso.
O que está confirmado e quais são os limites
O documento confirma o modelo do aparelho, a origem da apreensão, o IPED 4.2.2 e o Cellebrite Reader 10.7.1.5013 no tratamento do material, além do padrão entre Notas, screenshots, PDFs temporários e envios pelo WhatsApp. Também registra que a análise não foi exaustiva e pode mudar com o aprofundamento da investigação.
O eventual uso do GrayKey e do isolamento por Faraday não está confirmado. Tampouco há suporte para dizer que todos os dados apagados foram recuperados ou que as respostas de todos os interlocutores ficaram conhecidas.
Contexto jurídico e transparência
A perícia integra uma investigação e não equivale a condenação ou comprovação definitiva de crime. O relatório ressalva que não realizou aprofundamento dirigido a magistrados ou integrantes do Ministério Público. Outros desdobramentos atingiram instituições relacionadas ao Master, como a liquidação da Trustee e da Banvox pelo Banco Central e o bloqueio ligado a perdas do Rioprevidência.
Ao divulgar os documentos em 1º de setembro, o Poder360 informou ter procurado Daniel Vorcaro, Alexandre de Moraes e outros citados, sem resposta até a publicação. Esta reportagem se limita à metodologia forense e não apresenta hipóteses criminais em apuração como fatos provados.
A conclusão técnica é mais precisa do que a ideia de “recuperar uma mensagem que sumiu”. A PF reconstruiu conteúdo e dinâmica de determinadas comunicações ao combinar rastros independentes no aparelho. A proteção da mensagem em trânsito e os vestígios nos dispositivos são camadas diferentes da segurança digital.
