Como rastros do iPhone levaram a PF às mensagens de Vorcaro

A Polícia Federal afirma ter reconstruído mensagens atribuídas a Daniel Vorcaro a partir de rastros do iPhone de Vorcaro. A perícia não precisou acessar diretamente o conteúdo protegido pela criptografia do WhatsApp.

O aparelho, um iPhone 17 Pro, foi apreendido durante a Operação Compliance Zero. Vorcaro se recusou a informar a senha, mas a PF conseguiu extrair os dados com ferramentas de perícia digital.

Além disso, o material passou por análise com o Indexador e Processador de Evidências Digitais (IPED) e o Cellebrite Reader. O relatório da PF tem 218 páginas e foi concluído em 27 de agosto de 2026.

Mensagens começavam no aplicativo Notas

Segundo a PF, Vorcaro seguia um padrão para enviar determinadas informações.

Primeiro, abria o aplicativo Notas e escrevia o texto. Depois, fazia uma captura da tela.

Em seguida, encaminhava a imagem pelo WhatsApp no modo de visualização única.

Esse recurso faz a imagem desaparecer da conversa após a abertura. No entanto, a captura deixava outros registros dentro do aparelho.

iPhone criava arquivos temporários

Em determinadas operações, o sistema do iPhone criava automaticamente arquivos temporários em PDF com o mesmo conteúdo exibido na tela.

Esses documentos ficavam armazenados em uma área interna do sistema, normalmente inacessível ao usuário.

Assim, mesmo quando a imagem já não aparecia na galeria ou no WhatsApp, o texto permanecia registrado temporariamente no aparelho.

Dessa forma, os rastros do iPhone de Vorcaro ajudaram os investigadores a reconstruir a sequência dos envios.

PF cruzou horários dos aplicativos

Além dos PDFs, os investigadores analisaram registros de abertura e fechamento dos aplicativos.

Também verificaram horários das capturas de tela e logs de envio do WhatsApp.

Em um dos episódios, o iPhone registrou a abertura do aplicativo Notas às 16h28, no horário universal.

Depois, às 16h32min31s, houve uma captura da tela e a criação simultânea de um PDF.

Cinco segundos depois, o WhatsApp foi aberto.

Já às 16h33min03s, o sistema registrou o envio de uma mensagem para um número salvo como “Alexandre de Moraes Brasília”.

Portanto, o envio ocorreu 32 segundos depois da captura.

Cinco mensagens tinham associação direta

A PF encontrou cinco mensagens de visualização única ainda associadas à conversa.

Segundo o relatório, cada uma delas correspondia a um registro de envio localizado nos logs do sistema.

Depois, os investigadores aplicaram o mesmo método a outros 47 arquivos.

Ao todo, o relatório relacionou o padrão a 52 notas.

Além disso, a análise envolveu 31.975 registros do sistema e 43.298 registros de uso de aplicativos.

Criptografia do WhatsApp não foi o caminho

A recuperação não significa que a PF tenha rompido a criptografia de ponta a ponta do WhatsApp.

Nesse caso, o trabalho ocorreu no próprio aparelho usado para produzir e enviar as imagens.

A visualização única controla o acesso ao arquivo dentro do aplicativo. Porém, ela não impede que o sistema operacional deixe registros temporários, horários de uso e outros vestígios digitais.

Além disso, isso não significa que qualquer mensagem temporária possa ser recuperada.

No caso analisado, a reconstrução foi possível porque os textos foram produzidos no aplicativo Notas e transformados em imagens antes do envio.

Moraes contesta 47 registros

Alexandre de Moraes contestou a metodologia usada pela PF.

Segundo o ministro, apenas cinco das 52 imagens estavam vinculadas diretamente ao histórico do WhatsApp.

Nos outros 47 casos, Moraes afirma que a PF teria relacionado as notas aos envios com base na proximidade dos horários.

Por isso, segundo ele, apenas esses dados não permitiriam comprovar quem recebeu cada conteúdo.

A Polícia Federal, por outro lado, sustenta que a repetição da sequência e os cinco casos recuperados diretamente validam o padrão identificado.

Por fim, o próprio relatório afirma que a análise não é exaustiva e poderá receber atualizações conforme o avanço das investigações.