Notícia
Visualização única não apagou nada: como a PF recuperou as mensagens de Vorcaro a Moraes
Rodrigo ColissiIntrodução
Um relatório da Polícia Federal com sigilo retirado pelo ministro André Mendonça no dia 1º de setembro revelou como a perícia recuperou mensagens que, na prática, deveriam ter se autodestruído: cinco comunicações de visualização única enviadas por Daniel Vorcaro, ex-dono do Banco Master, a um contato salvo em seu celular como "Alexandre de Moraes BRASILIA" — na véspera da prisão do banqueiro, em 17 de novembro de 2025.
O caso virou uma aula prática de forense digital (ciência de recuperar e analisar evidências em dispositivos eletrônicos): mesmo com a criptografia de ponta a ponta do WhatsApp (aplicativo de mensagens que protege o trânsito das conversas), com o modo visualização única ativado e com a exclusão automática configurada, a PF reconstituiu o conteúdo usando as ferramentas Cellebrite e IPED — e um detalhe que quase ninguém pensa: os rastros invisíveis deixados por uma simples captura de tela.
Contexto: o caso que derrubou o Banco Master
Antes de falar da técnica, vale entender por que o celular de Vorcaro estava nas mãos da perícia. A Operação Compliance Zero, deflagrada em 18 de novembro de 2025, investigava suspeitas de fraude na cessão de carteiras de crédito do Banco Master (banco brasileiro liquidado pelo Banco Central em novembro de 2025) ao BRB (Banco de Brasília, contraparte das operações investigadas) — negócios da ordem de R$ 12 bilhões.
Segundo a PF, o esquema tinha um coração simples: inflar artificialmente o valor do banco para atrair bilhões de investidores sem garantias reais. A investigação aponta que a instituição mantinha uma espécie de "linha de produção" de documentos artificiais — contratos, extratos, planilhas e procurações usados para simular empréstimos e operações financeiras que nunca existiram. Em vários casos, pessoas apontadas como clientes disseram não reconhecer os empréstimos registrados em seus nomes. Ativos do extinto Besc, comprados por cerca de R$ 850 mil, teriam sido registrados como se valessem mais de R$ 10 bilhões.
O Banco Central do Brasil (autoridade monetária que fiscaliza o sistema financeiro nacional) decretou a liquidação extrajudicial do conglomerado em 18 de novembro de 2025. Vorcaro havia sido preso na noite anterior, no aeroporto de Guarulhos, quando tentava embarcar em um jato particular com destino final a Dubai. O celular dele foi apreendido no cumprimento do mandado — e foi exatamente ali que começou o trabalho técnico.
Linha do tempo do caso
O desafio: mensagens que "desaparecem"
Entre as evidências extraídas do aparelho, a PF encontrou um diálogo no WhatsApp com o contato "Alexandre de Moraes BRASILIA". Desde 17 de setembro de 2025, a conversa usava exclusão automática após 24 horas — e, no dia 17 de novembro, cinco das mensagens foram enviadas no modo visualização única, em que a imagem some depois de aberta pelo destinatário.
O que muita gente não sabe é que esse recurso protege muito menos do que parece. A criptografia de ponta a ponta do WhatsApp, ativa desde 2016, impede a interceptação das mensagens no caminho entre os aparelhos. Mas os dados chegam aos dispositivos já descriptografados — e é aí que mora o rastro. Como resumiu o perito em segurança digital Wanderson Castilho em reportagem do g1: "a segurança está no caminho que as mensagens percorrem. Quando chegam aos aparelhos, elas são descriptografadas e ficam legíveis para qualquer pessoa".
Ou seja: a criptografia protege o transporte, não o terminal. E há um detalhe extra — como o WhatsApp não permite enviar texto em visualização única, Vorcaro precisou de uma manobra: escrever no Notas (aplicativo de bloco de notas do iPhone, da Apple), tirar uma captura de tela e enviar a imagem pelo WhatsApp. Essa "solução criativa" acabou criando exatamente o tipo de evidência que a perícia sabe explorar.
Como a PF recuperou as mensagens
A recuperação não veio de um único clique mágico — veio de uma correlação de rastros em quatro camadas. O ponto de partida está no comportamento do próprio aplicativo, como mostrado no fluxo abaixo, e termina na extração forense do aparelho.
Como a PF reconstituiu os envios
O primeiro passo da cadeia acontece no app Notas: cada mensagem era digitada ali, e cada captura de tela feita no aplicativo gerou automaticamente um arquivo temporário em PDF com o mesmo conteúdo exibido no aparelho — um artefato que permanece no armazenamento do iPhone mesmo depois do envio.
Em seguida, a imagem era enviada pelo WhatsApp no modo visualização única. Os logs do aparelho registram o envio e o horário exato de cada arquivo — e essa entrada não desaparece com a exclusão automática da conversa, porque ela vive no sistema de arquivos do dispositivo, não no chat.
Depois, a extração forense do celular, feita com o Cellebrite, trouxe à tona o sistema de arquivos completo do aparelho, incluindo espaço não alocado e arquivos marcados como apagados.
Por fim, o IPED indexou e correlacionou tudo: os horários em que o Notas foi aberto, as capturas foram feitas, o WhatsApp foi acessado e os arquivos foram enviados. As cinco imagens foram localizadas diretamente no chat da conversa, confirmando a consistência da metodologia — ao todo, o relatório apresenta 52 notas em ordem cronológica: as cinco do chat mais 47 arquivos que seguiam o mesmo padrão.
Metadados (dados sobre dados, como data, hora e origem de um arquivo) são o coração dessa técnica: mesmo que o conteúdo fosse apagado, o registro de que ele existiu — e quando — fica gravado no sistema de arquivos. E imprimir uma mensagem sensível para "escondê-la" tende a piorar a situação, porque a imagem vira uma evidência ainda mais fácil de recuperar do que a conversa original.
As ferramentas da perícia: Cellebrite e IPED
O relatório cita dois programas no tratamento do celular de Vorcaro: Cellebrite e IPED — ambos ferramentas de forense digital (análise de evidências em dispositivos eletrônicos), com papéis complementares.
O Cellebrite é a ferramenta de extração. Empresa israelense líder mundial no segmento, seu equipamento UFED faz a leitura do dispositivo em diferentes níveis — da extração lógica (dados visíveis) até a extração completa do sistema de arquivos — e consegue acessar mensagens e arquivos em iPhones e celulares Android mesmo quando estão bloqueados, além de recuperar dados apagados pelo dono do aparelho. Seu equivalente americano é o GrayKey (ferramenta de extração forense da empresa Grayshift, usada por agências dos Estados Unidos).
O IPED é a ferramenta de análise — e tem origem brasileira. O Indexador e Processador de Evidências Digitais foi criado em 2012 por peritos da Polícia Federal (polícia investigativa do Brasil, responsável pelas perícias do caso) e é open source, com código público no GitHub. Ele faz varreduras no material extraído dos celulares e permite buscar rapidamente informações em conversas e arquivos. Suas capacidades principais no caso:
- OCR de imagens (reconhecimento óptico de caracteres — conversão de texto dentro de imagens em texto pesquisável): o IPED identifica o texto dos prints, seguindo um princípio semelhante ao de radares de trânsito que fotografam placas e transformam os números em texto.
- Busca por padrões: permite localizar CPF, valores monetários, e-mails e outros formatos automaticamente em todo o acervo extraído.
- Correlação e timeline: organiza os dados em ordem cronológica, conectando eventos de diferentes aplicativos — exatamente o que a PF fez para cruzar os horários do Notas, das capturas e dos envios.
| Característica | Cellebrite (UFED) | IPED |
|---|---|---|
| Origem | Israel (empresa privada) | Brasil (Polícia Federal, open source) |
| Função principal | Extração de dados do aparelho | Indexação e análise das evidências |
| Acesso a aparelho bloqueado | Sim (níveis de extração forense) | Não — processa o material já extraído |
| Recuperação de dados apagados | Sim | Sim (via carving e espaço não alocado) |
| OCR de imagens (prints) | Parcial | Sim (tesseract, busca por padrões) |
O que essa história ensina sobre privacidade
Se você achava que visualização única ou mensagens temporárias apagavam tudo, a lição do caso Vorcaro é direta: elas não apagam nada de verdade. E a cibersegurança aqui tem dois lados — o do investigado e o do cidadão comum.
Visualização única não é segurança. O conteúdo fica no aparelho do remetente até ser entregue, e o destinatário ainda pode fotografar a tela com outro celular. Para quem tem acesso físico ao dispositivo e a ferramentas de extração, o "efêmero" é apenas mais uma camada de dado recuperável.
Criptografia de ponta a ponta não protege o seu terminal. O WhatsApp, o Telegram e outros apps com criptografia protegem a conversa durante o trânsito — mas, nos aparelhos, os dados ficam descriptografados para que os apps funcionem. Aparelho na mão da perícia (ou de um invasor) é o cenário em que essa proteção simplesmente não atua.
Capturas de tela criam evidência extra. Cada print gera pelo menos uma imagem, arquivos temporários e metadados de horário e origem. Tirar print "para esconder" conteúdo sensível costuma produzir mais rastros do que a conversa original deixaria.
Dados apagados não somem na hora. Em sistemas de arquivos modernos, o "deletar" apenas marca o espaço como livre — o conteúdo permanece até ser sobrescrito. Ferramentas de extração e carving (técnica de recuperar arquivos pelo conteúdo, sem depender de metadados) exploram exatamente essa janela.
Trate o celular como o cofre que ele é. Senha longa e única, bloqueio por biometria quando conveniente, desligar aparelho em situações de risco e evitar manter conteúdo sensível em apps de mensagem são hábitos que reduzem drasticamente o que uma extração forense encontra. Lembre-se: o ponto mais fraco nunca é o algoritmo — é o aparelho que guarda a chave e o conteúdo.
Conclusão
O caso Vorcaro é a demonstração mais didática de um princípio que a comunidade de segurança repete há anos: efemeridade digital é ilusão. A criptografia de ponta a ponta resolve um problema — o de que terceiros leiam a conversa durante o trânsito — mas não resolve o do aparelho nas mãos erradas, nem o dos rastros que cada ação digital deixa para trás.
A combinação de ferramentas de extração como a Cellebrite com o poder de indexação do IPED, software brasileiro de código aberto, mostra que a forense digital brasileira está entre as mais avançadas do mundo — e que, para o usuário comum, a lição vale em qualquer direção: se a mensagem passou por um aparelho, existe um caminho técnico para recuperá-la. O que muda é o quanto de trabalho isso dá — e é exatamente isso que bons hábitos de higiene digital conseguem aumentar.
Perguntas frequentes
O que é visualização única no WhatsApp?
É um modo de envio de fotos, vídeos e áudios em que o conteúdo some do chat depois de aberto pelo destinatário. Ele existe para reduzir cópias — mas o arquivo permanece nos aparelhos envolvidos até ser efetivamente sobrescrito, e o destinatário ainda pode registrar a tela com outro dispositivo.
Dá para recuperar mensagens de visualização única?
Sim, em várias situações. No aparelho do remetente, o arquivo e os metadados do envio ficam gravados no sistema de arquivos. No do destinatário, a mídia pode existir brevemente no cache do aplicativo. Com o dispositivo em mãos e ferramentas de extração forense, é possível recuperar esses dados — como a PF fez no caso Vorcaro.
A criptografia de ponta a ponta do WhatsApp protege meu celular?
Não. A criptografia protege as mensagens durante o trânsito entre os aparelhos. Nos dispositivos, os dados ficam descriptografados para que o aplicativo funcione — por isso, quem tem acesso físico ao celular consegue ler o conteúdo armazenado.
O que é o Cellebrite?
É uma empresa israelense que fabrica ferramentas de extração forense de celulares, como o UFED. O equipamento lê iPhones e Androids em diferentes níveis de profundidade, acessa aparelhos bloqueados e recupera dados apagados. É usado por polícias do mundo inteiro.
O que é o IPED?
É o Indexador e Processador de Evidências Digitais, ferramenta de análise forense criada em 2012 por peritos da Polícia Federal brasileira. É open source: processa o material extraído de celulares, extrai texto de imagens via OCR, busca por padrões como CPF e valores e monta timelines dos eventos.
O que são metadados e por que importam?
Metadados são dados sobre dados — data, hora, origem e histórico de um arquivo ou ação. No caso da PF, os horários em que o app Notas foi aberto, a captura foi feita e o WhatsApp foi acessado formaram a cadeia de evidências que provou o que foi enviado e quando.
Se meu celular for apreendido, tudo que apaguei pode ser recuperado?
Muito do que você apagou pode ser recuperado se não foi sobrescrito. A exclusão marca o espaço como livre, mas o conteúdo permanece até ser gravado por cima. Fotos, mensagens e conversas antigas costumam sobreviver por meses ou anos em celulares pouco usados.
Visualização única é o mesmo que mensagens temporárias?
Não exatamente. Mensagens temporárias (ou exclusão automática) somem do chat após um período — 24 horas, 7 ou 90 dias. Visualização única é por visualização: o conteúdo some quando é aberto. Nos dois casos, porém, os rastros nos aparelhos seguem existindo para a perícia.
Fontes e leituras adicionais
- g1 — Como PF recuperou mensagens de Vorcaro a Moraes mesmo com visualização única — 01/09/2026
- g1 — Vorcaro enviou 5 mensagens de visualização única a contato atribuído a Moraes na véspera de prisão, diz PF — 01/09/2026
- g1 — Entenda o caso Master, as acusações e as conversas de Vorcaro com Moraes — 01/09/2026
- g1 — Vorcaro e Moraes: veja PRINTS de conversas reveladas em relatório da PF e entenda contexto — 02/09/2026
- g1 — PGR diz a Fachin que vai apurar possível interferência em relatório da PF pedido por Mendonça — 04/09/2026
- Cellebrite — UFED para iOS: Extração Completa de Arquivos — consultado em 05/09/2026
- GitHub / Polícia Federal — IPED Digital Forensic Tool (sepinf-inc/IPED) — consultado em 05/09/2026
- Elite Digital Forensics — WhatsApp Forensics: dispositivos, backups criptografados e mensagens que desaparecem — consultado em 05/09/2026