Em 6 de março de 2026, a jornalista Malu Gaspar, do jornal O Globo, publicou uma reportagem afirmando que a Polícia Federal havia identificado mensagens trocadas entre o banqueiro Daniel Vorcaro e o ministro do STF Alexandre de Moraes — enviadas pelo recurso de “visualização única” do WhatsApp, que deveria apagar o conteúdo automaticamente após a primeira leitura. No mesmo dia, o STF divulgou nota negando que qualquer mensagem tivesse sido direcionada ao ministro.
Duas versões, uma pergunta técnica em comum: como é possível recuperar algo que o próprio aplicativo promete apagar para sempre? A resposta está na perícia digital forense — e é sobre essa técnica, não sobre quem tem razão na disputa política, que este artigo se debruça.
O que prometia a visualização única do WhatsApp
Lançado em 2021, o recurso de visualização única permite enviar fotos, vídeos e áudios que desaparecem automaticamente depois de abertos pelo destinatário — sem possibilidade de reenvio, print ou gravação de tela, segundo as políticas oficiais da Meta, dona do WhatsApp. A proposta é clara: compartilhar conteúdo sensível sem deixar rastro permanente no aparelho de quem recebe.
Algumas regras do recurso são menos conhecidas. Uma mídia que não for aberta em 14 dias fica indisponível na conversa. Quem recebe não consegue salvar, encaminhar, favoritar nem copiar o conteúdo. E, se o destinatário denunciar a mensagem, o arquivo é enviado ao WhatsApp para análise. O desenho do recurso também tem um limite evidente: nada impede que alguém fotografe a tela com outro aparelho.
Na prática, porém, “sem rastro permanente” e “impossível de recuperar” são coisas diferentes — e é exatamente essa diferença que a perícia digital explora.
O caso Vorcaro: o que está em disputa
Daniel Vorcaro, ex-controlador do Banco Master, foi preso preventivamente em 17 de novembro de 2025, no mesmo dia em que teria trocado as mensagens em questão. Seu celular foi apreendido pela Polícia Federal. Meses depois, em 1º de setembro de 2026, um documento da PF tornado público detalhou a técnica usada para acessar parte do conteúdo apagado do aparelho.
A reportagem do O Globo afirma que essa análise permitiu vincular mensagens a um número associado a Alexandre de Moraes. A nota oficial do STF, por sua vez, diz que os prints recuperados estavam vinculados a pastas de outros contatos da agenda de Vorcaro — não ao ministro. Outros veículos, ouvindo fontes técnicas próprias, chegaram a classificar a manobra descrita pelo Globo como “impossível”. O episódio inclusive gerou um desdobramento à parte: a PF abriu uma fase de investigação para apurar o próprio vazamento das informações, por suspeita de violação de sigilo funcional.
Esse ponto — quem exatamente recebeu as mensagens — segue sem confirmação definitiva e não é o foco deste artigo. O que os documentos técnicos tornados públicos deixam claro, e isso sim é verificável, é como a perícia conseguiu acessar conteúdo que deveria ter desaparecido.
A técnica específica: o rastro que o próprio celular deixou
Segundo o documento da PF, Vorcaro usava um método recorrente para se comunicar com mais discrição: escrevia o texto no aplicativo Notas do iPhone, tirava uma captura de tela e enviava essa imagem pelo WhatsApp como mensagem de visualização única.
O problema é que esse processo, no iOS, gera automaticamente um arquivo PDF temporário com o mesmo conteúdo do texto — um comportamento padrão do sistema operacional ao lidar com capturas de tela e anotações, sem qualquer intervenção do usuário. Os investigadores não quebraram a criptografia do WhatsApp nem reverteram a visualização única em si: encontraram uma cópia do conteúdo guardada em outro lugar do aparelho, criada pelo próprio sistema como efeito colateral do método de Vorcaro para tentar ser discreto.
Em outras palavras: a vulnerabilidade não estava no WhatsApp — estava no hábito de contornar o WhatsApp escrevendo em outro aplicativo primeiro.
O que o relatório de 218 páginas descreve
O documento foi produzido pela Polícia Federal em 27 de agosto e tornado público em 1º de setembro pelo ministro André Mendonça. Segundo a NSC Total, que detalhou o conteúdo, a perícia foi feita em um iPhone 17 Pro e analisou 52 notas: cinco ligadas à conversa de 17 de novembro e outros 47 arquivos com o mesmo padrão.
A reconstrução se apoia nos registros do próprio aparelho, que mostram a sequência de cada envio:
- o texto é escrito ou editado no aplicativo Notas;
- a tela é capturada;
- o PDF com o mesmo conteúdo surge no mesmo segundo ou um segundo depois, em uma pasta interna do sistema;
- o WhatsApp é aberto e a mensagem sai segundos depois.
A PF chamou esses PDFs de “registro involuntário” deixado pelo sistema. Foi o cruzamento entre o conteúdo dos arquivos, o horário das capturas e os registros de envio que permitiu associar os textos a um contato salvo na agenda com o nome de Alexandre de Moraes. Em março, o ministro negou ter recebido o conteúdo. O relatório não revela as respostas atribuídas ao outro lado da conversa, e, na noite em que o documento veio a público, o procurador-geral da República, Paulo Gonet, pediu sua anulação.
Por que dados “apagados” raramente somem de verdade
O caso Vorcaro é só um exemplo público de um princípio mais amplo da perícia forense digital: apagar um arquivo, na maioria dos sistemas, não sobrescreve o espaço em disco imediatamente — apenas marca aquele espaço como disponível para uso futuro. Até que algo novo ocupe esse espaço, o conteúdo original pode ser recuperado com as ferramentas certas.
Além disso, aplicativos geram metadados e logs de praticamente toda ação — inclusive de mensagens já apagadas pelo usuário. Um perito em crimes digitais explicou em entrevista ao podcast Canaltech que, mesmo quando alguém apaga uma mensagem, registros sobre aquela ação continuam existindo e podem ser identificados.
Para esse tipo de extração, forças policiais no Brasil e no mundo — incluindo FBI e CIA, segundo o mesmo especialista — costumam usar ferramentas forenses especializadas, como o Cellebrite, capazes de vasculhar áreas do armazenamento que o sistema operacional normalmente esconde do usuário comum, incluindo dados apagados e fragmentados.
O Cellebrite UFED não é o único: reportagens sobre o caso citam também o Oxygen Forensic Detective e o GrayKey, vendidos principalmente a governos e órgãos de investigação. Todos têm o mesmo limite, que é só alcançar o que ainda não foi sobrescrito por dados novos. Por isso, nem sempre é possível recuperar tudo.
Não foi só o caso Vorcaro: uma falha à parte no próprio WhatsApp
Antes do caso, em janeiro de 2025, viralizou nas redes sociais uma falha distinta, identificada em iPhones (e relatada também em Android), que permitia rever fotos de visualização única através do menu de gerenciamento de armazenamento do aparelho — sem precisar de nenhuma ferramenta forense profissional. A brecha foi reconhecida pelo próprio WhatsApp e corrigida semanas depois, em uma atualização do aplicativo para iOS.
Isso reforça um ponto importante: a promessa de “desaparecimento total” de qualquer aplicativo de mensagens deve ser vista com cautela, mesmo por usuários comuns, não só em investigações policiais de alto perfil.
O que isso muda na forma de pensar privacidade digital
Para o cidadão comum, a lição prática não é sobre política — é sobre expectativa realista de privacidade. Recursos como visualização única, mensagens que se autodestroem ou apps de “chat secreto” reduzem o risco de exposição casual, mas não devem ser tratados como imunidade total contra perícia forense, principalmente quando o aparelho é fisicamente apreendido por autoridades com ordem judicial.
Um resumo do que o recurso cobre e do que fica de fora:
| Situação | A visualização única protege? |
|---|---|
| Destinatário tentar salvar ou encaminhar a mídia pelo aplicativo | Sim |
| Captura de tela no aparelho de quem recebe | Sim, o aplicativo bloqueia |
| Foto da tela feita com outro aparelho | Não |
| Cópias criadas fora do WhatsApp antes do envio, como rascunhos e capturas de tela | Não |
| Perícia em aparelho apreendido | Não há garantia |
| Denúncia da mensagem pelo destinatário | Não; o arquivo é enviado ao WhatsApp para análise |
Essa mesma lógica de rastro residual aparece em outros contextos que já cobrimos aqui no portal — como na forma como investigadores usam técnicas de OSINT para cruzar informações públicas, ou na maneira como vítimas de ataques de ransomware descobrem, tarde demais, que “apagar” nem sempre significa eliminar de verdade.
Quando a polícia pode acessar os dados de um celular apreendido
O Supremo fixou regras para isso em junho de 2025, ao julgar o Tema 977. Apreender o aparelho não exige ordem judicial prévia. Acessar o que está dentro dele, sim: é preciso o consentimento expresso do dono ou uma decisão judicial fundamentada, que delimite o alcance da medida. A exceção é o celular esquecido na cena do crime, que pode ser examinado para esclarecer autoria ou propriedade, com justificativa posterior. A polícia também pode preservar os dados antes da autorização, desde que justifique depois.
Obtido o acesso, o material só se sustenta como prova se a coleta for documentada do início ao fim. É o que explicamos no guia de prova digital e no artigo sobre hash, metadados e cadeia de custódia.
O desdobramento institucional
Além da disputa sobre o conteúdo das mensagens, o episódio expôs uma tensão maior dentro do próprio STF: Moraes chegou a levantar o sigilo de relatórios da PF e pedir a abertura de investigação contra o ministro André Mendonça, relator do caso, alegando conduta irregular na condução dos inquéritos relacionados. Mendonça nega as acusações. O desfecho de ambas as frentes — a autoria das mensagens e a disputa entre os ministros — ainda depende de decisões futuras do próprio Supremo.
Linha do tempo: da visualização única ao relatório da PF
- 2021: o WhatsApp lança o recurso de visualização única.
- Janeiro de 2025: viraliza a falha que permitia rever fotos de visualização única pelo gerenciador de armazenamento; o WhatsApp corrige o problema semanas depois.
- 17/11/2025: Daniel Vorcaro é preso preventivamente e tem o celular apreendido pela Polícia Federal. As mensagens em disputa são desse mesmo dia.
- 06/03/2026: O Globo publica a reportagem de Malu Gaspar; no mesmo dia, o STF divulga nota negando que as mensagens fossem direcionadas a Alexandre de Moraes.
- 01/09/2026: vem a público o documento da PF que descreve a técnica: o PDF temporário gerado pelo iPhone a partir das capturas de tela do aplicativo Notas.
- Setembro de 2026: Moraes levanta o sigilo de relatórios da PF e pede investigação contra André Mendonça, relator do caso, que nega as acusações.
Visualização única do WhatsApp: o rastro fica fora do aplicativo
Independentemente de quem estava do outro lado da conversa de Vorcaro, o caso deixou uma lição técnica clara e verificável: a perícia digital forense trabalha com rastros, não com a interface do aplicativo. Mensagens de visualização única, arquivos apagados e conversas “secretas” deixam pegadas em outros lugares do sistema — arquivos temporários, metadados, backups automáticos — que sobrevivem muito além do que a maioria dos usuários imagina.
Checklist gratuito
Proteja sua família de golpes digitais em 15 minutos
Receba grátis no seu e-mail o checklist com 10 passos simples para blindar o WhatsApp, o Pix, o e-mail e as redes sociais de quem você ama. Inclui um plano de emergência para os primeiros 30 minutos depois de um golpe.
🔒 Sem spam. Você pode sair da lista quando quiser. Política de Privacidade.
Fontes consultadas
- Canaltech — como funcionam as mensagens de visualização única do WhatsApp (março de 2026)
- CNN Brasil — STF fixa regras para acesso a dados de celular apreendido, Tema 977 (junho de 2025)
- Congresso em Foco — Moraes nega autoria de mensagens no celular de Vorcaro (março de 2026)
- Olhar Digital — como a PF acessou mensagens de visualização única (março de 2026)
- NSC Total — como o arquivo temporário do iOS expôs as mensagens de Vorcaro (setembro de 2026)
- Canaltech — como peritos recuperam mensagens apagadas (março de 2026)
- Tecnoblog — brecha permitia rever fotos de visualização única (janeiro de 2025)
- Money Times — STF manda PF abrir inquérito sobre o vazamento (março de 2026)
- Correio da Manhã — Moraes expõe relatórios da PF e pede investigação contra Mendonça (setembro de 2026)