Prints de bloco de notas deixam mais vestígios e reforçam investigação sobre conversa entre Vorcaro e Moraes

A Polícia Federal conseguiu recuperar imagens trocadas no WhatsApp entre o banqueiro Daniel Vorcaro, dono do banco Master, e o ministro do Supremo Tribunal Federal (STF) Alexandre de Moraes, referentes ao dia 17 de novembro de 2025. A extração das informações, revelada pela Globo, demonstra que a estratégia de transformar mensagens em capturas de tela do bloco de notas e enviá-las com visualização única acabou produzindo mais evidências do que ocultando o diálogo.

Os prints foram obtidos por um software utilizado pela PF que reagrupa textos e arquivos compartilhados no aplicativo, permitindo reverter o recurso de visualização única. Em nota encaminhada anteriormente, Moraes assegurou que as imagens não aparecem como enviadas para seu contato e que laudo técnico indica ausência de ligação entre os arquivos recuperados e o aparelho do ministro.

Por que a tática deixou rastros

De acordo com o perito em segurança digital Wanderson Castilho, imagens costumam ser mais simples de resgatar do que mensagens criptografadas. “Quando Vorcaro converteu o conteúdo em foto, ampliou o rastro”, explicou. Segundo ele, fotografias podem ser recuperadas a partir de:

lixeira do aplicativo de bloco de notas;
galeria de fotos que armazena a captura de tela;
pastas ocultas de arquivos temporários.

Mesmo depois de eliminadas, essas imagens podem deixar fragmentos na memória interna, que são analisados por programas forenses.

Ferramentas empregadas

Entre os utilitários de extração utilizados em investigações estão o israelense Cellebrite, o norte-americano GrayKey e o IPED (Indexador e Processador de Evidências Digitais), criado por peritos da própria PF em 2012. Dependendo do estado do dispositivo, o procedimento varia:

se o celular estiver bloqueado, ferramentas como GrayKey e Cellebrite tentam descobrir o código de acesso via conexão USB;
se estiver desligado ou avariado, recorre-se ao método “chip-off”, quando o chip de memória é removido para leitura em outro equipamento.

O IPED faz varredura em conversas, identifica padrões como CPF ou valores em reais e extrai textos presentes em imagens, tecnologia semelhante à usada por radares de trânsito para reconhecer placas. O código-fonte do programa está aberto na internet desde 2019, permitindo contribuições de desenvolvedores externos.

Criptografia não impede leitura local

Embora o WhatsApp adote criptografia de ponta a ponta — impedindo acesso a terceiros durante o tráfego dos dados — as mensagens chegam descriptografadas ao telefone do usuário. “A segurança está no caminho; no aparelho elas ficam legíveis”, pontuou Castilho. Por isso, quando peritos conseguem acesso físico ao dispositivo, é possível reconstruir conversas, inclusive fotos definidas para sumir depois de vistas.

Os especialistas costumam agir rapidamente porque informações cruciais, como a senha de bloqueio, podem ser apagadas da memória temporária com o reinício automático de alguns modelos. A desenvolvedora do GrayKey informou que, a partir de 2024, iPhones reiniciam sozinhos após três dias de bloqueio para dificultar o trabalho de extração.

Com os prints de bloco de notas recuperados, a PF reúne agora mais elementos para apurar o teor do diálogo entre Vorcaro e Moraes sobre a situação do banco Master.

Com informações de G1