PRINCIPAIS DESTAQUES
- 1. Visualização única não significa ausência total de rastros
O WhatsApp faz o conteúdo desaparecer da conversa depois de aberto, mas existem informações técnicas relacionadas à transmissão e ao armazenamento que podem ser analisadas em uma perícia.
- 2. Celulares bloqueados podem ser submetidos a técnicas avançadas de extração
Ferramentas utilizadas em investigações conseguem acessar diferentes camadas de dados de determinados aparelhos, inclusive sistemas protegidos por senha ou criptografia, sempre dentro das possibilidades técnicas e legais de cada caso.
- 3. O momento da apreensão pode fazer enorme diferença
No caso envolvendo Daniel Vorcaro, as mensagens teriam sido produzidas no próprio dia da prisão. Isso pode ter permitido que arquivos e vestígios ainda estivessem presentes no aparelho quando ele foi apreendido.
A ideia de que uma mensagem configurada para desaparecer deixa de existir completamente depois de ser aberta parece intuitiva. Afinal, o usuário olha para a tela, fecha a imagem e não consegue mais acessá-la.
Na prática, porém, um celular moderno é muito mais complexo do que aquilo que aparece na interface dos aplicativos.
Por trás de uma conversa existem bancos de dados, arquivos temporários, registros de atividade, informações sobre aplicativos, metadados e estruturas internas do sistema operacional. Dependendo do aparelho, da forma como os dados foram apagados, do tempo transcorrido e das técnicas utilizadas, parte dessas informações pode continuar disponível para uma análise forense.
É justamente nesse território que entra a perícia digital.
No caso revelado envolvendo o banqueiro Daniel Vorcaro, ex controlador do Banco Master, e o ministro Alexandre de Moraes, do Supremo Tribunal Federal, a Polícia Federal teria conseguido encontrar elementos relacionados a mensagens que foram enviadas utilizando o recurso de visualização única do WhatsApp.
As conversas, segundo as informações divulgadas na imprensa, estavam relacionadas ao avanço das investigações sobre a atuação de Vorcaro à frente do banco.
O caso chama atenção porque mistura três elementos que, para o usuário comum, parecem incompatíveis: mensagens que desaparecem, arquivos apagados e um celular protegido por senha.
Mas a perícia forense trabalha justamente com aquilo que normalmente não aparece na tela.
Uma mensagem que desaparece da tela não necessariamente deixa de existir como evidência digital. A perícia pode encontrar registros, arquivos, bancos de dados e outros vestígios capazes de reconstruir parte do caminho percorrido por uma informação.
1. O que a visualização única realmente faz?
Antes de entender como uma investigação consegue encontrar vestígios, é importante separar duas coisas: o que o WhatsApp mostra ao usuário e o que pode permanecer registrado dentro do dispositivo.
O WhatsApp explica que fotos e vídeos enviados como visualização única desaparecem da conversa depois que o destinatário abre o conteúdo. A plataforma também informa que esses arquivos não ficam salvos normalmente na galeria do destinatário e que não podem ser encaminhados, compartilhados ou copiados pelo mecanismo convencional do aplicativo.
Isso cria uma sensação de desaparecimento completo.
Só que o processo de envio de uma imagem envolve várias etapas.
Pense no caminho de uma imagem
Imagem criada ou selecionada
↓
Arquivo armazenado no aparelho
↓
WhatsApp processa o conteúdo
↓
Mensagem é enviada
↓
O destinatário recebe
↓
O conteúdo é aberto
↓
A interface deixa de permitir uma nova visualização
O último passo não apaga necessariamente todos os vestígios relacionados aos passos anteriores.
Essa diferença é fundamental.
No caso investigado, segundo a reportagem que serviu de base para esta análise, Vorcaro teria utilizado capturas de tela de anotações feitas no bloco de notas do celular e enviado essas imagens pelo recurso de visualização única.
Isso acrescenta uma informação importante à perícia.
Se uma captura de tela foi criada antes do envio, ela precisou existir em algum momento no aparelho.
E é exatamente esse tipo de relação que uma investigação pode tentar reconstruir.
O ponto mais importante
Visualização única protege a experiência do usuário. Não transforma o celular em uma máquina sem memória.
Além disso, o próprio WhatsApp mantém mecanismos técnicos associados às mensagens. A plataforma, por exemplo, mostra um registro de que uma mídia de visualização única foi aberta quando as condições de confirmação de leitura estão habilitadas.
Isso não significa que qualquer pessoa consiga recuperar o conteúdo de uma mensagem que desapareceu.
É justamente o contrário.
A recuperação depende do aparelho, do sistema operacional, do estado dos arquivos, da forma como o aplicativo armazenou os dados e das ferramentas disponíveis para a perícia.
O que a perícia procura?
Não é apenas a mensagem.
Investigadores podem procurar arquivos, bancos de dados, registros de aplicativos, informações de sistema, horários, conexões e outros elementos que ajudem a montar uma linha do tempo.
Em muitos casos, uma evidência digital não aparece como uma fotografia perfeita da conversa. Ela pode surgir como um conjunto de pequenos vestígios que, analisados em conjunto, ajudam a reconstruir o que aconteceu.
2. Por que apagar um arquivo não significa necessariamente destruí-lo?
Quando uma pessoa toca em “apagar” no celular, a expectativa é que o arquivo desapareça imediatamente.
Para o usuário, é isso que parece acontecer.
Do ponto de vista técnico, entretanto, a situação pode ser mais complexa.
Em determinadas estruturas de armazenamento, excluir um arquivo pode significar inicialmente que aquele espaço deixou de ser considerado ocupado pelo sistema. Os dados podem permanecer por algum tempo até que sejam substituídos por novas informações.
Isso cria uma janela que pode ser relevante para uma investigação.
A própria Cellebrite, empresa que desenvolve ferramentas de perícia digital, explica que determinadas técnicas de extração podem encontrar arquivos apagados e fragmentos de dados, desde que essas informações ainda não tenham sido sobrescritas.
Mas existe uma ressalva importante.
Apagado não é sinônimo de recuperável
Não existe uma regra segundo a qual qualquer arquivo apagado de qualquer celular possa ser recuperado.
A possibilidade depende de diversos fatores:
Tempo
Quanto mais tempo passa e mais o aparelho é utilizado, maior pode ser a quantidade de dados substituída.
Sistema operacional
iPhone e Android possuem diferentes mecanismos de segurança e armazenamento.
Criptografia
A proteção dos dados pode limitar significativamente o que uma ferramenta consegue extrair.
Tipo de armazenamento
A maneira como o dispositivo gerencia seus arquivos influencia a possibilidade de encontrar fragmentos.
Estado do aparelho
Um celular ligado, desbloqueado ou recentemente desbloqueado pode apresentar condições diferentes de um aparelho desligado e protegido por senha.
Ferramenta utilizada
Uma técnica que funciona em determinado modelo pode não funcionar em outro.
Por isso, a perícia digital não funciona como um botão mágico de “recuperar tudo”.
Ela é uma combinação de tecnologia, conhecimento técnico, preservação adequada do aparelho e análise dos vestígios encontrados.
E é aí que entra o fator tempo
Esse detalhe ajuda a entender por que a apreensão do celular pode ser tão importante.
Segundo a reportagem que motivou este texto, as mensagens atribuídas a Vorcaro teriam sido produzidas na tarde do dia em que ele foi preso.
Isso significa que os investigadores teriam encontrado o aparelho em um momento relativamente próximo à criação dos arquivos.
Se as imagens utilizadas nas mensagens ainda estavam armazenadas no dispositivo, a perícia não precisaria necessariamente reconstruir um arquivo que já tivesse sido completamente eliminado.
Em determinadas circunstâncias, bastaria encontrar e relacionar o material que ainda estava presente.
Uma diferença que muita gente confunde
| Situação | O que pode acontecer |
|---|---|
| Mensagem desaparece da conversa | A interface deixa de mostrar o conteúdo |
| Arquivo é apagado | Dados podem permanecer temporariamente em estruturas internas |
| Banco de dados mantém fragmentos | Parte das informações pode ser analisada |
| Aparelho é apreendido rapidamente | Há potencialmente menos tempo para sobrescrita |
| Celular continua sendo usado por muito tempo | Novos dados podem substituir informações antigas |
| Conteúdo está criptografado | O acesso pode ser tecnicamente mais difícil |
Importante: esses cenários não significam que a recuperação seja garantida. Cada aparelho precisa ser analisado individualmente.
3. Como Cellebrite, GrayKey e IPED entram na investigação
Uma das partes mais interessantes da perícia é que a investigação não depende necessariamente de um único programa.
Segundo os especialistas ouvidos na reportagem original, diferentes ferramentas podem ser utilizadas de maneira complementar. Isso acontece porque uma solução pode conseguir acessar determinada informação enquanto outra consegue interpretar ou encontrar dados que a primeira não apresentou.
A Cellebrite, por exemplo, oferece ferramentas voltadas à extração e análise forense de dispositivos móveis. A própria empresa afirma que suas soluções podem trabalhar com dados de aplicativos, registros do sistema e conteúdos apagados, além de dispositivos bloqueados em determinadas circunstâncias.
A empresa também diferencia métodos de extração. Em linhas gerais, uma extração lógica trabalha principalmente com dados acessíveis pelo sistema e pelos mecanismos convencionais, enquanto uma extração mais profunda pode acessar estruturas de arquivos e informações que não aparecem normalmente para o usuário.
O celular pode ser muito maior do que a tela mostra
Imagine que um investigador consiga extrair uma enorme quantidade de dados de um smartphone.
O problema seguinte seria encontrar alguma coisa no meio desse material.
Um celular pode conter:
Fotos
Vídeos
Conversas
Documentos
Registros de chamadas
Dados de aplicativos
Localizações
Arquivos temporários
Informações de sistema
Bancos de dados
Fragmentos de arquivos
Metadados
Analisar tudo manualmente seria praticamente impossível.
É por isso que ferramentas de indexação e processamento são tão importantes.
O papel do IPED
O IPED, sigla para Indexador e Processador de Evidências Digitais, é um software desenvolvido pela Polícia Federal.
Documentos oficiais do governo descrevem o programa como uma ferramenta capaz de indexar e processar evidências digitais. A Comissão de Valores Mobiliários também informa que o sistema consegue organizar e pesquisar dados visíveis, ocultos, apagados e fragmentados em diferentes tipos de dispositivos e mídias.
Em outras palavras, o IPED funciona como uma gigantesca ferramenta de organização e pesquisa dentro de um conjunto de evidências digitais.
Se uma extração gerar uma quantidade enorme de informações, o software pode ajudar o investigador a localizar palavras, arquivos e outros elementos relevantes.
Isso é especialmente importante em casos complexos.
Um exemplo simples
Imagine um celular com centenas de milhares de arquivos e registros.
Procurar manualmente uma conversa específica seria como procurar uma fotografia em um depósito cheio de caixas sem etiquetas.
A extração coloca o conteúdo sobre a mesa.
A indexação organiza as caixas.
A pesquisa permite procurar a etiqueta.
A análise forense tenta descobrir como todas aquelas peças se relacionam.
Por que o celular bloqueado não encerra a investigação?
Outro ponto que chama atenção no caso é a possibilidade de análise de aparelhos protegidos por senha.
Celulares modernos são projetados para dificultar justamente esse tipo de acesso. A criptografia e os mecanismos de segurança existem para impedir que terceiros simplesmente conectem o aparelho a um computador e copiem todo o seu conteúdo.
O próprio WhatsApp destaca que suas mensagens pessoais são protegidas por criptografia de ponta a ponta, fazendo com que o conteúdo das conversas fique protegido entre remetente e destinatário.
Isso não significa, porém, que uma perícia feita diretamente sobre um aparelho apreendido seja equivalente a interceptar uma conversa nos servidores do aplicativo.
São situações diferentes.
Em uma perícia forense, os investigadores podem tentar trabalhar com os dados existentes no próprio dispositivo, dependendo das condições técnicas e das autorizações legais envolvidas.
A Cellebrite afirma, por exemplo, oferecer recursos para determinados dispositivos iOS e Android bloqueados, além de diferentes níveis de extração de dados.
Isso também explica por que não existe uma resposta universal para a pergunta “a PF consegue desbloquear qualquer celular?”.
Não.
A capacidade de acesso varia conforme o modelo, a versão do sistema, as configurações de segurança, o estado do dispositivo e a técnica disponível.
Um aparelho atualizado e fortemente protegido pode apresentar obstáculos completamente diferentes de outro modelo.
O detalhe que pode ter feito diferença no caso Vorcaro
No episódio envolvendo Daniel Vorcaro, existe uma circunstância especialmente relevante: o intervalo entre a criação das mensagens e a apreensão do aparelho.
Se as capturas de tela foram criadas e enviadas pouco antes da prisão, os arquivos poderiam ainda estar presentes no armazenamento do telefone.
Isso muda completamente o cenário.
Não seria necessariamente preciso “ressuscitar” uma mensagem que havia sido destruída meses antes.
A perícia poderia encontrar arquivos ainda existentes, registros associados a eles e informações capazes de estabelecer relações entre o conteúdo e a conversa.
Esse tipo de evidência também pode ajudar a construir uma linha do tempo.
A investigação digital é uma espécie de quebra cabeça
Uma informação isolada raramente conta toda a história.
Um horário pode ser relacionado a um arquivo.
O arquivo pode ser relacionado a um aplicativo.
O aplicativo pode ser relacionado a uma conversa.
A conversa pode ser relacionada a um contato.
E diferentes eventos podem formar uma sequência cronológica.
É essa combinação que torna a perícia digital tão poderosa.
O objetivo não é simplesmente encontrar uma fotografia ou uma mensagem.
É descobrir o contexto digital em que aquele arquivo existiu.
O que a PF pode descobrir mesmo sem recuperar a imagem?
Essa talvez seja a parte mais surpreendente.
Mesmo que uma imagem específica não possa ser reconstruída integralmente, outros vestígios podem continuar sendo úteis.
Dependendo do caso, podem existir informações sobre:
quando determinada ação ocorreu
qual aplicativo estava envolvido
qual arquivo foi manipulado
qual era o tipo de arquivo
onde o arquivo estava armazenado
quais registros estavam associados à atividade
quais outros dados estavam presentes no mesmo período
Isso não significa que todos esses dados estarão disponíveis em toda investigação.
A própria indústria de perícia digital reconhece que não é possível extrair 100% das informações de todos os aparelhos. A disponibilidade depende de diversos fatores técnicos.
Esse detalhe é essencial para entender o caso sem transformar a tecnologia em algo quase mágico.
O que realmente significa “recuperar uma mensagem”?
Quando uma investigação informa que conseguiu recuperar uma mensagem, isso não significa necessariamente que um perito abriu o WhatsApp e encontrou exatamente a mesma tela que aparecia para o usuário.
A expressão pode envolver diferentes situações.
Pode ser a recuperação do conteúdo completo.
Pode ser a recuperação parcial.
Pode ser a localização de um arquivo relacionado.
Pode ser a identificação de um registro técnico.
Pode ser a reconstrução de uma sequência de eventos.
Pode ser a combinação de vários desses elementos.
Por isso, o trabalho da perícia é muito mais parecido com uma investigação arqueológica do que com uma simples busca em um aplicativo.
Os dados são as pistas.
Os softwares ajudam a localizar e organizar essas pistas.
E os peritos precisam interpretar o conjunto.
Uma mensagem pode desaparecer para o usuário e continuar relevante para uma investigação
O caso envolvendo Vorcaro e Moraes mostra como a segurança dos aplicativos e a perícia digital podem operar em lados diferentes da mesma tecnologia.
Para o usuário, a visualização única significa que uma fotografia não ficará disponível normalmente depois de aberta.
Para uma investigação, porém, a pergunta é outra:
quais vestígios digitais foram deixados durante todo o processo?
Essa diferença é fundamental.
O WhatsApp oferece recursos de privacidade e segurança, incluindo criptografia de ponta a ponta e mensagens de visualização única.
Mas um celular também é um computador pessoal que registra uma enorme quantidade de operações.
E quando esse computador é apreendido legalmente e submetido a uma perícia especializada, aquilo que parecia ter desaparecido pode, em determinadas circunstâncias, voltar a fazer parte da investigação.
No caso de Vorcaro, o elemento decisivo pode ter sido justamente a combinação entre o tipo de mensagem utilizada, a existência prévia das capturas de tela no aparelho e o momento em que o telefone foi apreendido.
Não é correto dizer que uma ferramenta consegue recuperar absolutamente tudo.
Também não é correto imaginar que apagar uma mensagem garante que nenhum vestígio permanecerá.
A realidade está no meio desses dois extremos.
Em uma frase
Na era dos celulares, apagar o que aparece na tela não é necessariamente o mesmo que apagar tudo o que o aparelho sabe que aconteceu.
