Meses após surgirem as informações de que a Polícia Federal havia usado o software israelense Cellebrite para desbloquear o iPhone de Daniel Vorcaro, empresário e ex-controlador do Banco Master — instituição financeira liquidada pelo Banco Central e que tem sido investigada por uma série de irregularidades —, foi divulgado nesta semana o conteúdo da análise pericial do aparelho (um iPhone 17 Pro apreendido em novembro do ano passado, na primeira fase da Operação Compliance Zero).
Entre os achados, a PF encontrou vestígios digitais que permitiram identificar o envio de mensagens entre Vorcaro e o ministro Alexandre de Moraes, do Supremo Tribunal Federal (STF). Segundo os peritos, Vorcaro adotava uma espécie de dupla blindagem para dificultar a recuperação das conversas, confome detalhado pelo NSC Total.
Ele escrevia os textos no aplicativo Notas (Notes), fazia uma captura de tela e enviava a imagem pelo WhatsApp com a função de visualização única. Além disso, o contato usado para a comunicação estava configurado para apagar automaticamente as mensagens após 24 horas. A estratégia, contudo, deixou rastros no próprio iPhone.
Isso porque o iOS gera automaticamente um arquivo em PDF quando o usuário faz uma captura de tela de um texto no app Notas, o qual traz o conteúdo exibido na tela, além de um identificador com a data e a hora do momento da captura.
Vorcaro tinha uma estratégia, não muito inteligente, pra esconder diálogos supostamente comprometedores.
— Marcos Guimarães (@marcoshgs) September 2, 2026
Escrevia no Bloco de Notas, tirava print e mandava pelo zap em visualização única.
Mas, como a PF conseguiu ter acesso a mensagens que apagavam depois da visualização? (+) pic.twitter.com/vRTCn0gq51
Mesmo que a nota original seja apagada e a imagem enviada pelo WhatsApp seja configurada para visualização única, o PDF pode permanecer armazenado temporariamente na memória física do aparelho como vestígio da operação.
A PF organizou os arquivos extraídos com o Indexador e Processador de Evidências Digitais (IPED), software forense criado pela própria corporação. Foi dessa forma que os agentes recuperaram a íntegra dos textos redigidos por Vorcaro.
A existência dos textos, porém, não seria suficiente para provar que eles haviam sido enviados a Moraes. Para estabelecer essa ligação, a PF cruzou os arquivos recuperados com registros de logs do sistema, tendo analisado 31.975 logs e 43.298 registros de uso de aplicativos. Esses logs sinalizam eventos do sistema operacional, incluindo o momento em que uma mensagem é enviada pelo WhatsApp, por exemplo.
A Polícia Federal fez um trabalho minucioso de analise de logs para reconstruir as mensagens de visualização unica enviadas por Vorcaro a Moraes. pic.twitter.com/kOa5lROLYI
— Sam Pancher (@SamPancher) September 1, 2026
A análise revelou uma sequência que se repetia nas comunicações e ocorria em poucos segundos: Vorcaro abria o app Notas, editava o texto, fazia uma captura de tela (o que gerava o PDF automaticamente na memória do aparelho) e, logo depois, fechava o Notas e abria o WhatsApp. Segundo a perícia, o intervalo entre a redação do texto e o envio da mensagem variava, em média, de 11 a 35 segundos. Ao todo, a Polícia Federal identificou 52 notas que seguiram esse mesmo padrão técnico.
Como apontado pelo Tecnoblog, isso não significa que as mensagens de visualização única do WhatsApp possuem uma brecha. Na realidade, a perícia conseguiu reconstruir os conteúdos porque Vorcaro, na verdade, enviava as capturas de tela do app Notas, que por sua vez continham os registros do conteúdo da nota — apenas associando-as aos registros de data e hora do próprio iOS, bem como do WhatsApp.