A Polícia Federal desenvolve um método técnico para provar que notas escritas por Daniel Vorcaro em um iPhone 17 Pro são enviadas por ele mesmo via WhatsApp, usando arquivos PDF ocultos gerados automaticamente pelo sistema do aparelho.
O procedimento aparece em informação sigilosa encaminhada ao ministro André Mendonça, no âmbito da Operação Compliance Zero, e passa a ser tratado internamente como novo padrão para perícias em celulares da Apple.
Como o iPhone cria PDFs sem o usuário perceber
Os peritos partem de um comportamento específico do iOS, o sistema operacional dos iPhones. Segundo o documento, determinadas ações rotineiras fazem o próprio aparelho converter, sozinho, o que está na tela em um arquivo em formato PDF. Esse arquivo fica guardado de forma provisória em uma área interna, fora do alcance do usuário comum.
O relatório descreve que esses documentos residuais aparecem em uma pasta técnica identificada como “…/tmp/com.apple.coherence/…”. Ali, os policiais encontram textos idênticos às notas exibidas e manipuladas no aplicativo Notas, instalado no iPhone 17 Pro apreendido com Vorcaro.
“No sistema operacional do iPhone (iOS), determinadas ações rotineiras podem fazer com que o próprio aparelho converta, de forma automática, o conteúdo exibido na tela em um documento no formato PDF, armazenado provisoriamente em área interna do sistema”, registra o documento. Em outro trecho, os peritos afirmam que “a presença de arquivos PDF com conteúdo idêntico ao dos blocos de notas capturados demonstra que tais textos foram efetivamente exibidos e manipulados no aparelho examinado”.
Esses resíduos digitais funcionam como uma espécie de sombra do que foi visto e editado na tela. Mesmo que o usuário apague capturas de tela ou notas, os PDFs temporários, somados a outros registros técnicos, permitem reconstruir a sequência de ações.
Logs, apps e a linha do tempo de 52 notas
Para montar esse quebra-cabeça, a PF utiliza duas ferramentas forenses: o IPED 4.2.2, sigla para Indexador e Processador de Evidências Digitais, e o Cellebrite Reader 10.7.1.5013. Com esses programas, analisa duas categorias centrais de dados extraídos do telefone: “Logs” e “Uso de Aplicativos”.
Na categoria “Logs”, os investigadores acessam registros de eventos do sistema, como o instante exato em que uma mensagem é enviada pelo WhatsApp. Em “Uso de Aplicativos”, verificam quando cada app foi aberto ou fechado e o horário preciso em que uma captura de tela foi feita.
Ao cruzar essas informações com os PDFs escondidos na pasta temporária do iOS, os peritos apontam ter identificado um padrão consistente de uso por Vorcaro. O relatório descreve a mesma sequência, repetida dezenas de vezes: abrir o aplicativo Notas, modificar o arquivo, tirar um screenshot, gerar automaticamente o PDF no mesmo segundo, fechar o Notas, abrir o WhatsApp, enviar a mensagem e, por fim, fechar o WhatsApp logo em seguida.
A PF afirma ter encontrado 52 notas que seguem essa coreografia entre 28 de outubro e 17 de novembro de 2025. De acordo com o documento, quase todas são enviadas para o terminal 556192664093. O texto não traz a identificação formal do dono da linha e não há, até o momento, julgamento sobre o conteúdo das mensagens.
Mensagens de visualização única como prova de conceito
Para testar se a leitura dos logs corresponde à realidade do uso do aparelho, os peritos escolhem um conjunto específico de mensagens enviadas por Vorcaro com a função de “visualização única” do WhatsApp. Essas mensagens, por padrão, desaparecem após serem abertas pelo destinatário, o que torna sua recuperação direta mais difícil.
O relatório registra que cinco mensagens desse tipo, enviadas em 17 de novembro de 2025, servem como base de validação. Os investigadores ajustam a diferença de fuso entre o horário universal (UTC), usado pelo sistema, e o horário de Brasília (UTC-3), indicado nas mensagens. Depois desse acerto, apontam que os dados batem: logs de envio, uso dos aplicativos e PDFs temporários aparecem alinhados no mesmo segundo.
Esse casamento de horários é apresentado como demonstração de que a metodologia funciona. Em tese, qualquer nota que produza um PDF residual e esteja cercada por eventos de abertura do Notas, captura de tela e envio por WhatsApp, na mesma janela de tempo, pode ser vinculada ao envio pelo usuário do aparelho.
O documento enfatiza que o procedimento se limita à análise técnica do dispositivo apreendido. Não há, nessa etapa, aprofundamento investigativo sobre magistrados, membros do Ministério Público ou outras autoridades eventualmente citadas nas notas. A PF ressalta que descreve dados brutos e padrões de uso, sem concluir pela prática de crime por pessoas com foro especial.
Avanço pericial e debate sobre privacidade
Na prática, o método cria uma nova camada de evidência digital em investigações que envolvem comunicação por aplicativos. Ao mostrar que o texto esteve na tela do aplicativo Notas, que gerou um PDF oculto e, logo em seguida, foi acompanhado do envio de uma mensagem no WhatsApp, a PF sustenta que é possível vincular a autoria ao dono do aparelho com maior segurança.
A análise surge no contexto da Operação Compliance Zero, que apura, segundo a própria PF, fraudes na cessão de carteiras de crédito em valor estimado em R$ 12 bilhões. O telefone de Vorcaro é apreendido em cumprimento a mandado de prisão e busca pessoal, e a extração de dados é documentada em laudo pericial anterior, com registro de hash para garantir integridade.
O relatório reforça que todo esse material é apresentado em resposta a ordem do ministro André Mendonça, que pede atualização sobre o estágio das investigações e identificação de pessoas citadas em mensagens. Ainda assim, os investigadores reconhecem que a informação técnica não equivale a condenação. Em nenhum momento o documento afirma que Vorcaro ou demais mencionados são culpados, apenas descreve indícios digitais que podem embasar futuras decisões judiciais.
A reportagem registra que, até a publicação deste texto, a defesa de Daniel Vorcaro ainda não se manifesta sobre a metodologia adotada pela PF. O espaço permanece aberto para questionamentos técnicos, contestações sobre a interpretação dos dados e eventuais alegações de violação de privacidade. A apuração policial, por sua vez, não significa condenação; nenhum dos citados foi julgado ou teve responsabilidade criminal definida em sentença.
O que muda nas próximas investigações digitais
O uso dos PDFs temporários do iOS como ferramenta de rastreamento tende a influenciar futuras perícias em celulares. A partir do caso de Vorcaro, a PF passa a dispor de um passo a passo replicável para outros modelos de iPhone e versões do sistema operacional, desde que o mesmo comportamento de geração automática de documentos seja verificado tecnicamente.
Especialistas em tecnologia forense acompanham a movimentação com atenção. Em tese, fabricantes e desenvolvedores de sistemas podem responder ao avanço investigativo com mecanismos que reduzam ou ocultem ainda mais esses resíduos digitais, em nome da privacidade dos usuários. Esse tipo de alteração, porém, costuma alimentar um ciclo permanente de inovação entre quem investiga e quem projeta ferramentas de proteção.
No campo jurídico, a tendência é que advogados passem a discutir, em ações penais e cíveis, a extensão da validade probatória desses arquivos temporários. Questões como cadeia de custódia, possibilidade de manipulação e necessidade de perícia independente sobre metadados provavelmente chegarão aos tribunais superiores.
A PF indica, no documento, que a técnica pode ser adaptada para rastrear outros formatos de arquivo e outros aplicativos além do WhatsApp, desde que existam logs e resíduos digitais comparáveis. A efetiva consolidação desse método como padrão dependerá de sua aceitação em decisões judiciais, da resposta das defesas e de eventuais normas específicas sobre perícia digital e proteção de dados.
Como a PF ligou as notas de Vorcaro ao envio pelo WhatsApp?
A PF liga as notas ao envio via WhatsApp ao combinar logs de sistema, registros de uso de aplicativos e PDFs temporários gerados automaticamente pelo iOS, mostrando que cada texto aparece no app Notas, cria um PDF oculto e é seguido, no mesmo segundo, pela abertura do WhatsApp e pelo registro de envio de mensagem no aparelho.
Esse método já significa condenação de Daniel Vorcaro ou de outras pessoas citadas?
O relatório técnico da PF não significa condenação de Daniel Vorcaro nem de qualquer outra pessoa mencionada, porque descreve apenas indícios e padrões digitais encontrados no aparelho, sem julgamento de mérito, e as responsabilidades penais só podem ser definidas por decisão judicial após ampla defesa e contraditório em processo regular.
A investigação está em andamento e as suspeitas descritas são hipóteses da apuração. Nenhuma das pessoas citadas foi denunciada ou condenada, e todas têm direito à presunção de inocência. O espaço segue aberto para manifestação das defesas.
