A Polícia Federal conseguiu recuperar mensagens trocadas entre o banqueiro Daniel Vorcaro, ex-controlador do Banco Master, e o ministro Alexandre de Moraes, do Supremo Tribunal Federal (STF), a partir de diferentes ferramentas que permitem realizar a extração e análise de celulares apreendidos em operações policiais.
De acordo com peritos e especialistas ouvidos pelo GLOBO, são esses softwares que permitem, entre outras coisas, acessar informações de aparelhos bloqueados, desligados ou, até mesmo, arquivos apagados do dispositivo.
Esse processo permitem, inclusive, a rastreabilidade de mensagens de visualização única, como no caso de novas mensagens enviadas por Vorcaro ao ministro Alexandre de Moraes, do Supremo Tribunal Federal (STF), reveladas pelo jornal O Estado de S.
Paulo.
Na conversa, segundo a investigação, o banqueiro tratava sobre o avanço das investigações sobre sua atuação à frente do banco.
De acordo com a PF, Vorcaro utilizava uma técnica para tentar evitar que a troca de mensagens ficasse facilmente acessível: enviava capturas de tela (prints) de anotações feitas no seu bloco de notas aos remetentes no formato de visualização única.
Alguns dos diálogos foram inicialmente revelados pela colunista Malu Gaspar, do GLOBO, que mostrou conversas com o ministro Alexandre de Moraes no dia da primeira prisão de Vorcaro, em novembro de 2025.
Peritos da PF ouvidos de forma reservada, já que alguns deles ainda estão na ativa, afirmam que a abordagem em busca de evidências usa diversos softwares diferentes, no que é chamado de estratégia complementar: isto é, o que algum programa pode ser incapaz de extrair, outro pode conseguir.
Independentemente da forma de análise, explicam, o primeiro passo após a apreensão de aparelhos eletrônicos é “quebrar a senha” e acessar o conteúdo.
Para isso, dois dos softwares mais conhecidos usados pela PF são o Cellebrite e o Graykey.
Ambos realizam uma “extração bruta” copiando absolutamente tudo o que está no aparelho, incluindo até mesmo fragmentos perdidos diretamente do banco de dados.
É o que os peritos chamam de cópia “bit por bit”, que significa basicamente espelhar todo e qualquer conteúdo presente em notebooks ou celulares.
De acordo com o perito em crimes digitais Wanderson Castilho, é a recuperação desses fragmentos que permite rastrear o envio de arquivos que foram apagados ou, no caso da investigação envolvendo o celular de Vorcaro, de mensagens de visualização única:
— Quando você apaga ou manda uma informação, ou manda uma informação em visualização única, os registros de que você mandou uma mensagem, os logs disso, ficam armazenados — afirma Castilho
Castilho explica que mesmo quando a mensagem é enviada no formato de "visualização única" é possível, teoricamente, realizar a rastreabilidade dos arquivos enviados por Vorcaro, inclusive com informações sobre horário e destinatário.
O perito destacou que o aplicativo utilizado por Vorcaro, o WhatsApp, permite apenas que sejam enviadas mensagens de visualização única com imagens e vídeos.
Como Vorcaro remetia capturas de tela, ele necessariamente usava imagens que, em algum momento, haviam sido salvas no seu dispositivo, mesmo que ele viesse a apagá-las posteriormente
— O software mantém registros de que houve uma mensagem naquela data.
Ele fixou os registros, os logs.
Talvez ele não dê diretamente o conteúdo da imagem, mas é possível recuperar o caminho do arquivo e identificar que ele foi puxado naquela conversa — diz o especialista em perícia digital.
Mesmo que mensagens sejam apagadas ou enviadas para sumir logo em seguida, o perito destaca que os logs — informações de quando foram enviadas e para quem — das conversas podem ser armazenados e recuperados.
Com esses registros, o software consegue, por exemplo, identificar o caminho do arquivo, para quem ele foi enviado, a data e o tipo de documento, revertendo a lógica do apagamento do conteúdo.
Peritos da PF ouvidos pelo GLOBO destacaram que diversos fatores contribuem para isso, e um deles é exatamente o momento da apreensão.
No caso específico do banqueiro, as mensagens trocadas por Vorcaro foram escritas por ele na tarde do dia em que foi preso pela PF.
Em outras palavras, mesmo enviando as mensagens por visualização única, o espelhamento dos arquivos do seu dispositivo mostrou que as imagens continuavam salvas no seu celular, ou seja, ainda não tinham sequer sido apagadas.
O Cellebrite e o GrayKey, usados pela PF, são as duas principais ferramentas de perícia forense digital e duas das mais utilizadas por órgãos de segurança e inteligência ao redor do mundo.
Os dois programas permitem desbloquear smartphones, contornar senhas e extrair dados.
A Cellebrite é uma empresa israelense e vende soluções que prometem recuperar até mesmo mensagens apagadas, registros de chamadas e dados de aplicativos de terceiros, como o WhatsApp.
Já o GrayKey é desenvolvido pela empresa americana Grayshift.
Seu foco de atuação é principalmente no desbloqueio de aparelhos da Apple, conhecidos pela sua forte criptografia.
Após a descoberta da senha, a ferramenta também faz o download do sistema de arquivos completo do dispositivo, permitindo a análise forense das mensagens, fotos e dados de aplicativos.
Como celulares modernos possuem terabytes de memória, analisar apenas a extração bruta seria inviável.
É nesse momento que a PF utiliza o IPED (Indexador e Processador de Evidências Digitais), um programa próprio utilizado para organizar arquivos, transcrever áudios e facilitar a busca por palavras-chave (como o termo “golpe”, muito buscado nas investigações do 8 de Janeiro).