A Polícia Federal conseguiu reconstruir mensagens de visualização única associadas ao celular de Daniel Vorcaro no caso Banco Master cruzando vários vestígios deixados no aparelho. Em vez de depender apenas do histórico do WhatsApp, os peritos relacionaram capturas de tela, arquivos temporários, horários de abertura de aplicativos, logs do sistema e registros de envio. O método descrito no relatório mostra um ponto importante sobre segurança digital: uma mensagem pode desaparecer da interface de um aplicativo sem que todos os rastros ligados à sua criação e ao seu envio desapareçam do dispositivo.
O que a PF encontrou no celular de Daniel Vorcaro
O material analisado veio do aparelho apreendido de Daniel Vorcaro durante a investigação do Banco Master, em novembro de 2025. Em 1º de setembro de 2026, o ministro André Mendonça determinou o levantamento do sigilo da Petição 16.662 no Supremo Tribunal Federal, tornando público parte do material produzido pela investigação.
Segundo o relatório descrito pela CNN Brasil, a PF identificou um padrão recorrente: Vorcaro abria ou modificava um texto no aplicativo Notas do iPhone, fazia uma captura de tela e, poucos segundos depois, abria o WhatsApp para realizar um envio. Os investigadores então compararam essa sequência com outros registros do aparelho.
A análise não se limitou ao conteúdo visível de uma conversa. Ela examinou a atividade do próprio sistema operacional e artefatos armazenados no dispositivo. É essa diferença que explica como uma comunicação efêmera pode deixar evidências mesmo depois de não estar mais disponível da forma convencional no aplicativo.
Como a PF ligou os prints aos envios no WhatsApp
Um dos exemplos apresentados no relatório ajuda a entender a metodologia. De acordo com a CNN, uma captura de tela foi feita às 16h32min31s, no horário UTC. Cinco segundos depois, o aplicativo Notas foi fechado e o WhatsApp aberto. Às 16h33min03s, 32 segundos após o print, o aparelho registrou um envio para um contato salvo como “Alexandre de Moraes BRASILIA”.
Os investigadores não analisaram apenas um evento isolado. A PF afirma ter encontrado uma sequência repetida de ações em diferentes momentos: edição da nota, captura de tela, criação de artefatos temporários, abertura do WhatsApp e envio para um interlocutor específico. Segundo a CNN, cinco ocorrências de 17 de novembro foram utilizadas para validar o padrão, e outros 47 arquivos semelhantes foram identificados, totalizando 52 notas analisadas.
Esse tipo de correlação é baseado principalmente em tempo e contexto. Quando diferentes registros independentes apontam para a mesma sequência em intervalos de poucos segundos, os peritos podem reconstruir uma linha do tempo do que ocorreu no aparelho.
Por que a visualização única não eliminou todos os rastros
O recurso de visualização única do WhatsApp foi criado para fotos, vídeos e mensagens de voz que desaparecem da conversa depois que o destinatário os abre. A documentação oficial informa que fotos e vídeos enviados dessa forma não são salvos na galeria do destinatário e não podem ser encaminhados, compartilhados ou copiados. O aplicativo também bloqueia capturas e gravações de tela dentro do visualizador atual.
Isso, porém, não transforma todo o processo em uma atividade sem registros. No caso analisado pela PF, o texto teria sido preparado fora do WhatsApp, no aplicativo Notas, e convertido em uma imagem antes do envio. Portanto, existiam etapas anteriores à própria mensagem de visualização única.
O ponto central é que o WhatsApp controla o comportamento da mídia dentro de seu próprio fluxo, mas não pode apagar automaticamente todo vestígio produzido por outros aplicativos ou pelo sistema operacional do aparelho. A página oficial sobre mídias de visualização única do WhatsApp explica o que desaparece da conversa, mas não afirma que todo artefato relacionado ao arquivo deixa de existir no dispositivo do remetente.
PDFs temporários, logs e metadados foram decisivos
A PF encontrou no aparelho analisado arquivos temporários em PDF com conteúdo idêntico ao de determinadas notas. Segundo o relatório citado pela CNN e pela Folha de S.Paulo, esses arquivos apareciam no mesmo segundo ou muito próximos do momento em que a captura de tela era produzida.
Esse achado deve ser interpretado com cuidado. O relatório descreve o comportamento observado especificamente no dispositivo periciado. Não há base suficiente, nas fontes consultadas, para afirmar que todo screenshot feito em qualquer iPhone gera necessariamente um PDF temporário recuperável.
Além dos arquivos, os investigadores examinaram registros de atividade. A Folha informou que a perícia considerou 31.975 logs e 43.298 registros de uso de aplicativos. Esses dados permitiram verificar quando o Notas foi aberto, quando ocorreu a captura, quando o WhatsApp entrou em uso e quando um envio foi registrado.
Metadados são informações sobre uma ação ou arquivo, como horário, aplicativo associado, tipo de item e relação com outros eventos. Sozinhos, nem sempre revelam o conteúdo de uma mensagem. Em conjunto, porém, podem ajudar a estabelecer uma sequência temporal coerente.
Qual foi o papel do Cellebrite e do IPED
As reportagens do g1 e da Folha descrevem duas ferramentas com funções diferentes. O Cellebrite (Link para o site da empresa) foi utilizado no processo de acesso e tratamento dos dados extraídos do aparelho. Já o IPED (Link para o repositório de código aberto do software) foi empregado para organizar, indexar, pesquisar e correlacionar os vestígios encontrados.
O IPED é um projeto de código aberto desenvolvido originalmente por peritos da Polícia Federal desde 2012. O software é implementado em Java e oferece recursos para indexação de arquivos e metadados, construção de linhas do tempo, análise de comunicações e leitura de diversos formatos forenses. O projeto também declara suporte específico à análise de dados do WhatsApp.
Na prática, uma ferramenta de extração pode fornecer um grande volume de dados brutos, enquanto uma plataforma como o IPED ajuda os peritos a localizar relações entre milhares de itens. Essa organização é especialmente importante quando a investigação depende de segundos de diferença entre eventos registrados por aplicativos diferentes.
A criptografia de ponta a ponta do WhatsApp foi quebrada?
Não é correto concluir, a partir do método descrito pela PF, que a criptografia de ponta a ponta do WhatsApp foi quebrada. A criptografia protege o conteúdo enquanto ele trafega entre os dispositivos dos participantes e impede que terceiros no caminho leiam a comunicação.
O cenário da perícia é diferente. Os investigadores estavam com o aparelho do remetente e analisaram dados existentes no próprio dispositivo. O conteúdo de uma nota criada antes do envio, uma captura de tela ou um registro local de atividade não depende de interceptar a mensagem durante o trânsito pela internet.
Por isso, “acessar um aparelho” e “quebrar a criptografia de ponta a ponta do WhatsApp” não são expressões equivalentes. O caso mostra justamente como evidências podem existir nos pontos de origem e destino mesmo quando a comunicação entre eles é criptografada.
O que a perícia conseguiu reconstruir e o que ficou de fora
O relatório tornou possível associar conteúdos e eventos do aparelho de Vorcaro a determinados registros de envio. Isso não significa que todas as mensagens tenham sido recuperadas como arquivos intactos dentro do WhatsApp.
Há inclusive diferenças de formulação entre as reportagens consultadas. A CNN descreve cinco ocorrências usadas pela PF para validar o padrão, enquanto a Folha enfatiza que o conteúdo das mídias de visualização única foi inferido a partir dos artefatos externos e da cronologia do aparelho. Por cautela, a DEVM trata o resultado como uma reconstrução forense baseada na correlação de múltiplos vestígios.
As eventuais respostas do interlocutor atribuído a Alexandre de Moraes também não aparecem integralmente no relatório divulgado. A CNN explica que a perícia foi feita no celular de Vorcaro, e dados apagados ou posteriormente sobrescritos podem não estar mais disponíveis. Em alguns trechos, os registros permitem identificar que houve uma interação, mas não recuperar seu conteúdo.
Além disso, uma conclusão pericial não equivale, por si só, a uma decisão judicial definitiva sobre responsabilidade. O processo continua sob análise no STF e recebeu encaminhamento para manifestação da Procuradoria-Geral da República.
Moraes havia contestado a atribuição das mensagens
Antes da divulgação do novo relatório, o gabinete do ministro Alexandre de Moraes havia contestado, em março de 2026, a atribuição de determinados prints publicados pela imprensa. Na ocasião, afirmou que os arquivos estariam vinculados a pastas de outros contatos e não constariam como direcionados ao ministro.
O relatório da PF tornado público em setembro apresenta uma conclusão diferente. Segundo a investigação, a combinação entre contatos salvos, horários, registros de envio e sequência de uso dos aplicativos permitiu associar as mensagens ao contato identificado no aparelho como “Alexandre de Moraes BRASILIA”.
A divergência é relevante porque mostra que o ponto em discussão não depende apenas de ler um print isolado. A atribuição proposta pela PF é baseada no conjunto de registros técnicos examinados no aparelho. Como o caso permanece em andamento, novas manifestações ou análises podem modificar o quadro e devem ser incorporadas ao artigo.
O que o caso mostra sobre rastros digitais
O caso Banco Master mostra que recursos de mensagens efêmeras reduzem a permanência do conteúdo na interface do aplicativo, mas não garantem ausência absoluta de rastros digitais. Quanto mais etapas externas são utilizadas — como escrever em outro aplicativo, criar imagens e alternar entre programas — maior pode ser a quantidade de registros independentes disponíveis para uma análise forense.
A principal lição técnica não é que a visualização única “não funciona”. O recurso cumpre uma função específica dentro do WhatsApp: limitar a visualização e a reutilização da mídia após a abertura. O que ele não promete é apagar toda evidência criada antes, durante ou fora desse fluxo.
No caso analisado pela PF, a combinação de screenshots, arquivos temporários, logs, metadados e histórico de aplicativos permitiu reconstruir uma sequência que a simples leitura do histórico do WhatsApp não mostraria. Essa diferença entre conteúdo efêmero e vestígios do dispositivo é fundamental para entender como funciona a perícia digital moderna.
