O relatório da Polícia Federal (PF) que apresentou mensagens enviadas pelo banqueiro Daniel Vorcaro ao ministro Alexandre de Moraes, do Supremo Tribunal Federal (STF), explicou de que forma os peritos da corporação conseguiram driblar a estratégia usada pelo dono do Banco Master e recuperar as mensagens enviadas para o magistrado antes de ser preso.
Vorcaro tentava apagar os rastros dos diálogos da seguinte forma:
Ele escrevia os textos no bloco de notas do celular
Em seguida, fazia capturas da tela, os “prints”
Depois, enviava a imagem a Moraes via WhatsApp no modo "visualização única"
Por último, apagava a captura da galeria de fotos
O documento produzido pela PF detalhou como uma característica do sistema operacional do aparelho acabou traindo o plano do banqueiro.
Independentemente da forma de análise, o primeiro passo após a apreensão de aparelhos eletrônicos é “quebrar a senha” e acessar o conteúdo.
Para isso, dois dos softwares mais conhecidos usados pela PF são o Cellebrite e o Graykey.
Ambos realizam uma “extração bruta” copiando absolutamente tudo o que está no aparelho, incluindo até mesmo fragmentos perdidos diretamente do banco de dados.
É o que os peritos chamam de cópia “bit por bit”, que significa basicamente espelhar todo e qualquer conteúdo presente em notebooks ou celulares.
No caso de Vorcaro, os agentes recuperaram todos os dados de um iPhone 17 Pro, apreendido em novembro de 2025 durante a Operação Compliance Zero.
Alguns dos diálogos foram inicialmente revelados pela colunista Malu Gaspar, do GLOBO, que mostrou conversas com o ministro Alexandre de Moraes no dia da primeira prisão de Vorcaro, em novembro de 2025.
Pela lógica imaginada por Vorcaro, ao enviar a imagem em visualização única, a imagem não seria salva no celular do destinatário e do remetente após ser aberta e deletada.
Entretanto, os peritos da PF descobriram que o sistema operacional possuía um mecanismo automatizado de salvamento.
Ao ser realizada a captura de tela das notas, o sistema gerava de forma automática, em uma pasta oculta, uma cópia em formato PDF com teor idêntico ao exibido na tela.
Esse arquivo residual é armazenado em uma pasta de arquivos temporários chamada "tmp", que só é acessível por meio de softwares específicos.
Como o aparelho celular de Vorcaro foi apreendido poucas horas após o envio de mensagens para Moraes, o espelhamento da PF conseguiu recuperar esses arquivos temporários intactos.
Além disso, a PF fez um cruzamento.
Para demonstrar que os arquivos não apenas foram capturados por Vorcaro mas também enviados para Alexandre e Moraes, a equipe da PF utilizou outro software, o IPED, para cruzar informações com outras bases de dados do celular, como a de uso de aplicativos, que registra o segundo exato em que cada aplicativo é aberto e fechado, e os chamados logs, que registram eventos internos do sistema, como quando um pacote de dados (como uma imagem) sai do aparelho por meio do WhatsApp.
Essa análise cronológica é que permitiu a identificação de um padrão de comportamento repetido dezenas de vezes por Vorcaro.
Sempre em questão de segundos, o sistema registrava que Vorcaro abria o bloco de notas e alterava o texto, mesmo que sem registrar o que ele tinha escrito.
Em seguida, o sistema também registrava que Vorcaro fazia uma captura de tela.
No momento seguinte, o log registrava que o banqueiro fechava o bloco de notas e abria o WhatsApp.
E, por fim, o último registro era de que Vorcaro enviava uma mensagem e fechava o WhatsApp.
Ou seja, mesmo sem saber o conteúdo, a PF identificou a movimentação exata que Vorcaro fazia no celular.
Ao analisar os dados do WhatsApp, a PF comprovou que o número ligado a Alexandre de Moraes, salvo na agenda de Vorcaro como "Alexandre de Moraes BRASILIA" era o destinatário imediato de todas as primeiras interações do WhatsApp ocorridas segundos após cada captura de tela.
Ao todo, foram 52 mensagens enviadas entre 30 de outubro e 17 de novembro.