Em 6 de março de 2026, a jornalista Malu Gaspar, do jornal O Globo, publicou uma reportagem afirmando que a Polícia Federal havia identificado mensagens trocadas entre o banqueiro Daniel Vorcaro e o ministro do STF Alexandre de Moraes — enviadas pelo recurso de “visualização única” do WhatsApp, que deveria apagar o conteúdo automaticamente após a primeira leitura. No mesmo dia, o STF divulgou nota negando que qualquer mensagem tivesse sido direcionada ao ministro.
Duas versões, uma pergunta técnica em comum: como é possível recuperar algo que o próprio aplicativo promete apagar para sempre? A resposta está na perícia digital forense — e é sobre essa técnica, não sobre quem tem razão na disputa política, que este artigo se debruça.
O que prometia a visualização única do WhatsApp
Lançado em 2021, o recurso de visualização única permite enviar fotos, vídeos e áudios que desaparecem automaticamente depois de abertos pelo destinatário — sem possibilidade de reenvio, print ou gravação de tela, segundo as políticas oficiais da Meta, dona do WhatsApp. A proposta é clara: compartilhar conteúdo sensível sem deixar rastro permanente no aparelho de quem recebe.
Na prática, porém, “sem rastro permanente” e “impossível de recuperar” são coisas diferentes — e é exatamente essa diferença que a perícia digital explora.
O caso Vorcaro: o que está em disputa
Daniel Vorcaro, ex-controlador do Banco Master, foi preso preventivamente em 17 de novembro de 2025, no mesmo dia em que teria trocado as mensagens em questão. Seu celular foi apreendido pela Polícia Federal. Meses depois, em 1º de setembro de 2026, um documento da PF tornado público detalhou a técnica usada para acessar parte do conteúdo apagado do aparelho.
A reportagem do O Globo afirma que essa análise permitiu vincular mensagens a um número associado a Alexandre de Moraes. A nota oficial do STF, por sua vez, diz que os prints recuperados estavam vinculados a pastas de outros contatos da agenda de Vorcaro — não ao ministro. Outros veículos, ouvindo fontes técnicas próprias, chegaram a classificar a manobra descrita pelo Globo como “impossível”. O episódio inclusive gerou um desdobramento à parte: a PF abriu uma fase de investigação para apurar o próprio vazamento das informações, por suspeita de violação de sigilo funcional.
Esse ponto — quem exatamente recebeu as mensagens — segue sem confirmação definitiva e não é o foco deste artigo. O que os documentos técnicos tornados públicos deixam claro, e isso sim é verificável, é como a perícia conseguiu acessar conteúdo que deveria ter desaparecido.
A técnica específica: o rastro que o próprio celular deixou
Segundo o documento da PF, Vorcaro usava um método recorrente para se comunicar com mais discrição: escrevia o texto no aplicativo Notas do iPhone, tirava uma captura de tela e enviava essa imagem pelo WhatsApp como mensagem de visualização única.
O problema é que esse processo, no iOS, gera automaticamente um arquivo PDF temporário com o mesmo conteúdo do texto — um comportamento padrão do sistema operacional ao lidar com capturas de tela e anotações, sem qualquer intervenção do usuário. Os investigadores não quebraram a criptografia do WhatsApp nem reverteram a visualização única em si: encontraram uma cópia do conteúdo guardada em outro lugar do aparelho, criada pelo próprio sistema como efeito colateral do método de Vorcaro para tentar ser discreto.
Em outras palavras: a vulnerabilidade não estava no WhatsApp — estava no hábito de contornar o WhatsApp escrevendo em outro aplicativo primeiro.
Por que dados “apagados” raramente somem de verdade
O caso Vorcaro é só um exemplo público de um princípio mais amplo da perícia forense digital: apagar um arquivo, na maioria dos sistemas, não sobrescreve o espaço em disco imediatamente — apenas marca aquele espaço como disponível para uso futuro. Até que algo novo ocupe esse espaço, o conteúdo original pode ser recuperado com as ferramentas certas.
Além disso, aplicativos geram metadados e logs de praticamente toda ação — inclusive de mensagens já apagadas pelo usuário. Um perito em crimes digitais explicou em entrevista ao podcast Canaltech que, mesmo quando alguém apaga uma mensagem, registros sobre aquela ação continuam existindo e podem ser identificados.
Para esse tipo de extração, forças policiais no Brasil e no mundo — incluindo FBI e CIA, segundo o mesmo especialista — costumam usar ferramentas forenses especializadas, como o Cellebrite, capazes de vasculhar áreas do armazenamento que o sistema operacional normalmente esconde do usuário comum, incluindo dados apagados e fragmentados.
Não foi só o caso Vorcaro: uma falha à parte no próprio WhatsApp
Paralelamente ao caso, viralizou nas redes sociais uma falha distinta, identificada em iPhones (e relatada também em Android), que permitia rever fotos de visualização única através do menu de gerenciamento de armazenamento do aparelho — sem precisar de nenhuma ferramenta forense profissional. A brecha foi reconhecida pelo próprio WhatsApp, que afirmou estar trabalhando na correção.
Isso reforça um ponto importante: a promessa de “desaparecimento total” de qualquer aplicativo de mensagens deve ser vista com cautela, mesmo por usuários comuns, não só em investigações policiais de alto perfil.
O que isso muda na forma de pensar privacidade digital
Para o cidadão comum, a lição prática não é sobre política — é sobre expectativa realista de privacidade. Recursos como visualização única, mensagens que se autodestroem ou apps de “chat secreto” reduzem o risco de exposição casual, mas não devem ser tratados como imunidade total contra perícia forense, principalmente quando o aparelho é fisicamente apreendido por autoridades com ordem judicial.
Essa mesma lógica de rastro residual aparece em outros contextos que já cobrimos aqui no portal — como na forma como investigadores usam técnicas de OSINT para cruzar informações públicas, ou na maneira como vítimas de ataques de ransomware descobrem, tarde demais, que “apagar” nem sempre significa eliminar de verdade.
O desdobramento institucional
Além da disputa sobre o conteúdo das mensagens, o episódio expôs uma tensão maior dentro do próprio STF: Moraes chegou a levantar o sigilo de relatórios da PF e pedir a abertura de investigação contra o ministro André Mendonça, relator do caso, alegando conduta irregular na condução dos inquéritos relacionados. Mendonça nega as acusações. O desfecho de ambas as frentes — a autoria das mensagens e a disputa entre os ministros — ainda depende de decisões futuras do próprio Supremo.
Conclusão
Independentemente de quem estava do outro lado da conversa de Vorcaro, o caso deixou uma lição técnica clara e verificável: a perícia digital forense trabalha com rastros, não com a interface do aplicativo. Mensagens de visualização única, arquivos apagados e conversas “secretas” deixam pegadas em outros lugares do sistema — arquivos temporários, metadados, backups automáticos — que sobrevivem muito além do que a maioria dos usuários imagina.
Perguntas frequentes
É verdade que a PF confirmou mensagens entre Vorcaro e Alexandre de Moraes?
Não há confirmação oficial. O Globo publicou essa informação com base em análise técnica; o STF nega oficialmente que qualquer mensagem tenha sido direcionada ao ministro. O caso segue em disputa.
A visualização única do WhatsApp é totalmente segura?
Não. Embora dificulte o acesso casual por outras pessoas, o recurso não impede a recuperação por perícia forense especializada, principalmente quando o aparelho é apreendido fisicamente.
Como a PF recuperou as mensagens no caso Vorcaro, tecnicamente?
Segundo documento da própria PF, o método usado por Vorcaro (escrever no app Notas, tirar print e enviar como visualização única) gerava automaticamente um arquivo PDF temporário no iPhone com o mesmo conteúdo — e foi esse arquivo, não o WhatsApp em si, que foi recuperado.
Existe alguma falha conhecida na visualização única do WhatsApp?
Sim, uma falha distinta viralizou nas redes permitindo rever fotos de visualização única pelo gerenciador de armazenamento do iPhone. O WhatsApp reconheceu o problema e afirmou estar corrigindo.
Apagar uma mensagem realmente a elimina do celular?
Na maioria dos sistemas, não imediatamente. O espaço ocupado pelo arquivo é apenas marcado como disponível, e metadados sobre a ação de apagar costumam permanecer registrados, o que permite recuperação forense em muitos casos.
Pingback: Perícia Digital Forense: Como Hash e Metadados Comprovam um Arquivo