Como a PF conseguiu vincular as mensagens apagadas de Vorcaro

Li o relatório completo da Polícia Federal. São 218 páginas de perícia digital, e o que a equipe do NADIP/DFIN da Polícia Federal fez ali merece reconhecimento técnico. O que vou descrever agora é o método de dados que permitiu à PF desmontar uma estratégia de comunicação desenhada para não deixar rastros.

O iPhone 17 Pro apreendido com Daniel Bueno Vorcaro na Operação Compliance Zero, em novembro de 2025, revelou um padrão sofisticado de comunicação: textos incriminadores eram redigidos no aplicativo Bloco de Notas do iOS, capturados como screenshot e enviados via WhatsApp com o recurso de visualização única para o contato salvo como "Alexandre de Moraes BRASILIA". A lógica do investigado era simples: se a imagem some depois de aberta, não há prova. Só que o sistema operacional do iPhone não apaga o que o usuário acha que apagou.

A PF não dependeu de confissão nem de presunção. Montou uma metodologia de análise centrada em duas categorias de dados brutos extraídos do aparelho. A extração foi feita com o Cellebrite, ferramenta israelense que funciona como uma "máquina de raio-X" de celulares: ela consegue acessar o sistema de arquivos completo do iPhone, incluindo pastas temporárias e arquivos que o usuário comum jamais vê. É o padrão mundial em perícias de dispositivos móveis. Depois da extração, os dados brutos foram processados pelo IPED (Indexador e Processador de Evidências Digitais) versão 4.2.2, software forense desenvolvido pela própria Polícia Federal. O IPED funciona como uma "lupa digital" que organiza, categoriza e permite buscas inteligentes em milhares de arquivos extraídos de uma só vez. Em vez de o perito abrir arquivo por arquivo, o IPED constrói um índice pesquisável de todo o conteúdo do aparelho em minutos.

A primeira categoria, chamada "Logs", registra eventos do sistema operacional: o momento exato em que cada mensagem é enviada pelo WhatsApp, incluindo aquelas de visualização única. A segunda categoria, "Uso de Aplicativos", registra os instantes de abertura e fechamento de cada app, além de documentar o momento preciso de cada captura de tela. O pulo do gato técnico está num comportamento oculto do iOS. Toda vez que o usuário tira um screenshot, o sistema gera automaticamente um arquivo PDF com conteúdo idêntico ao exibido na tela e o armazena em pasta temporária do sistema. O usuário comum jamais vê esse arquivo. Ele não está na galeria de fotos, não aparece em nenhum app, mas o Cellebrite acessa o sistema de arquivos completo (Full File System), e esses PDFs residuais estavam lá.

O que a perícia fez foi cruzar três linhas do tempo independentes: o horário do screenshot, o horário de criação do PDF temporário e o horário do envio da mensagem no WhatsApp. O resultado foi uma sincronia que não deixa margem para coincidência: o PDF é criado no mesmo segundo da captura de tela (ou no segundo seguinte). Segundos depois, o WhatsApp é aberto. Dentro do intervalo em que o app está ativo, um "Log" registra o envio de mensagem para o contato salvo como "Alexandre de Moraes BRASILIA". Em seguida, o WhatsApp é fechado.

Essa sequência, que os peritos chamaram de "composição dos registros extraídos", foi reproduzida 52 vezes no material analisado. Cada ocorrência segue o mesmo script: início do Bloco de Notas, modificação do arquivo, screenshot com PDF simultâneo, fechamento do Bloco de Notas, abertura do WhatsApp, envio para o mesmo destinatário, fechamento do WhatsApp. A janela completa entre abrir o Bloco de Notas e fechar o WhatsApp raramente ultrapassa um minuto.

Para validar a precisão do método, a equipe fez um teste de consistência contra dados conhecidos. No dia 17 de novembro de 2025, Vorcaro enviou cinco mensagens em modo de visualização única para "Alexandre de Moraes BRASILIA". A análise da categoria "Logs" revelou exatamente cinco registros correspondentes, confirmando que o sistema reflete com exatidão as comunicações realizadas, mesmo no modo de visualização única.

Outro cuidado técnico relevante: os horários dos logs são registrados em UTC, enquanto os do WhatsApp aparecem em UTC-3. A equipe pericial explicitou essa diferença de fuso no cotejo entre as fontes, garantindo que não houvesse erro de alinhamento temporal. A extração produziu um código hash do material obtido, calculado por função unidirecional, assegurando a integridade da prova para eventual contestação da defesa.

O que aprendemos com dados e falhas

O criminoso apaga a mensagem; o sistema operacional guarda o envelope. A estratégia de visualização única do WhatsApp remove a mídia do chat, mas o iOS registra a ação de enviar e preserva o PDF da tela que foi capturada. O envelope sobrevive ao conteúdo.

Três fontes de dados independentes valem mais do que uma confissão. O método da PF não depende do conteúdo da mensagem: a convergência temporal entre screenshot, PDF oculto e envio pelo WhatsApp produz uma correlação que se sustenta mesmo se o texto original estiver corrompido ou ausente.

Ferramenta nacional venceu cenário importado. O IPED 4.2.2, desenvolvido pela própria Polícia Federal, foi o software que indexou, categorizou e permitiu o cruzamento ágil dos dados extraídos pelo Cellebrite. A combinação de tecnologia estrangeira de extração com tecnologia nacional de processamento mostra maturidade institucional.

Metadados são a prova que o usuário não sabe que está deixando. O investigado acreditava controlar a informação ao apagar a mídia. Não sabia que o sistema operacional estava gerando um PDF oculto em pasta temporária a cada screenshot. A ignorância sobre o comportamento real do sistema foi a falha que desmontou a estratégia.

A Polícia Federal entregou em 72 horas, por requisição do ministro André Mendonça, um trabalho de engenharia reversa de dados que transformou 52 capturas de tela efêmeras em 52 evidências. O método é reprodutível, a cadeia de custódia está documentada com hash, e o padrão identificado não deixa espaço para interpretações alternativas. Não é todo dia que se vê uma metodologia forense tão bem amarrada, tão didática na exposição e tão devastadora na conclusão.

Fontes

• Relatório da Polícia Federal, IPJ-A 3298613/2026
• Laudo SETEC/SR/PF/SP
• Poder360, reprodução integral do relatório, 01/09/2026

Publiquei este texto primeiro no LinkedIn, na newsletter Dados e Fatos.