O celular de Daniel Vorcaro, ex-controlador do Banco Master, apreendido pela Polícia Federal (PF) em 18 de novembro de 2025 durante a Operação Compliance Zero, tornou-se uma das principais fontes de informações das investigações que chegaram ao Supremo Tribunal Federal (STF). Dados extraídos do iPhone foram analisados pela PF, deram origem a relatórios e subsidiaram novos procedimentos. Na sexta-feira (11), o ministro Cristiano Zanin pediu acesso à íntegra desse material, relacionado à Petição 15.556.
O pedido ajuda a explicar uma diferença importante entre o aparelho apreendido, os dados retirados dele e os relatórios produzidos pelos investigadores. Zanin não solicitou o telefone para percorrer mensagens, fotografias e aplicativos. O ministro pediu acesso à mídia que contém a íntegra dos dados extraídos pela Polícia Federal.
A reportagem analisou a Informação de Polícia Judiciária de Análise nº 3298613/2026, documento de 218 páginas produzido pela PF a partir do material obtido do celular. O relatório mostra como diferentes vestígios digitais podem ser cruzados para reconstruir ações realizadas no aparelho, inclusive em situações nas quais o conteúdo de uma comunicação já não está disponível normalmente no aplicativo.
Mas como os dados de um celular apreendido se transformam em informações que podem ser pesquisadas, relacionadas entre si e utilizadas em uma investigação?
Do celular apreendido aos dados extraídos
A análise de um telefone em uma investigação criminal não se resume a desbloquear o aparelho e percorrer manualmente as conversas.
o aparelho e percorrer manualmente as conversas.
Análise de celular
O telefone de Vorcaro é identificado nos documentos da investigação como um iPhone 17 Pro. A extração do conteúdo está relacionada ao Laudo nº 4281/2025-SETEC/SR/PF/SP.
O relatório analisado pela reportagem não informa qual método foi utilizado para obter acesso ao aparelho. Por isso, não é possível afirmar, a partir desse documento, qual ferramenta permitiu desbloquear o iPhone.
O que o relatório permite conhecer é a etapa seguinte.
Para analisar os dados já extraídos, a PF utilizou o IPED 4.2.2, versão do Indexador e Processador de Evidências Digitais, e o Cellebrite Reader 10.7.1.5013. As ferramentas permitem aos investigadores trabalhar com grandes quantidades de informações obtidas de dispositivos eletrônicos.
O IPED é uma ferramenta desenvolvida pela própria Polícia Federal para indexar e processar evidências digitais. Em vez de examinar manualmente milhares de arquivos, o sistema permite organizar o material e realizar pesquisas no conjunto de dados disponível.
O original precisa ser preservado
A análise de uma evidência digital também envolve procedimentos destinados a preservar o material original e registrar o caminho percorrido pela prova.
É a chamada cadeia de custódia, que documenta etapas como coleta, armazenamento, processamento e análise do vestígio. O objetivo é permitir a verificação da origem e da integridade do material utilizado na investigação.
Essa questão apareceu de forma concreta na discussão atual no Supremo.
Ministro André Mendonça
André Mendonça informou que não está com o aparelho de Vorcaro, que permanece sob responsabilidade da Polícia Federal. O ministro recebeu da PF uma cópia de segurança dos dados extraídos, entregue em envelope lacrado.
Ao pedir acesso à íntegra do material, Zanin sustentou que a preservação da cadeia de custódia deve recair sobre o conteúdo original mantido pela Polícia Federal e que a cópia encaminhada ao Supremo pode ser compartilhada com os demais ministros.
O relatório tem 218 páginas
A extração dos dados é apenas o começo. Depois dela, investigadores precisam localizar dentro do material informações consideradas relevantes para a apuração.
Foi desse trabalho que surgiu a Informação de Polícia Judiciária de Análise nº 3298613/2026.
O relatório tem 218 páginas e registra que a análise foi realizada em um prazo de 72 horas. A própria Polícia Federal ressalvou que o trabalho não era exaustivo.
Os investigadores realizaram pesquisas em contatos, conversas do WhatsApp, documentos e outros registros existentes na extração.
Isso significa que o relatório não corresponde à totalidade dos dados existentes no aparelho. Ele representa o resultado das pesquisas e análises realizadas pela equipe da PF dentro do material disponível e no período determinado para o trabalho.
Essa diferença ajuda a compreender por que o pedido de Zanin é pela íntegra da mídia extraída, e não apenas pelo relatório produzido pelos investigadores.
Um celular registra mais do que mensagens
Um smartphone pode conservar diferentes vestígios produzidos pelo sistema operacional e pelos aplicativos durante sua utilização.
O relatório da PF mostra como esses registros foram utilizados no caso de Vorcaro.
Em determinadas situações, os investigadores cruzaram três conjuntos de informações: logs do sistema operacional, registros de utilização dos aplicativos e arquivos residuais armazenados no aparelho.
Separadamente, cada elemento oferece apenas parte da informação. Quando os horários são comparados, porém, eles podem permitir a reconstrução de uma sequência de ações.
Foi assim que a PF conseguiu analisar situações envolvendo o aplicativo Notas e comunicações feitas posteriormente pelo WhatsApp.
Do Notas ao WhatsApp em segundos
Em uma das sequências descritas no relatório, a PF identificou que o aplicativo Notas foi aberto no aparelho, um texto foi manipulado e uma captura da tela foi realizada.
O sistema também deixou armazenado um arquivo temporário em PDF relacionado àquela ação. Poucos segundos depois, o WhatsApp foi aberto e ocorreu o envio de uma mensagem.
Um exemplo registrado pela PF aconteceu em 30 de outubro de 2025.
Segundo o relatório, o aplicativo Notas foi aberto às 16h43min16s, no horário UTC utilizado no documento. Às 16h44min43s, ocorreu uma captura da tela e foi criado um arquivo temporário em PDF. O WhatsApp foi aberto às 16h44min48s e o envio foi registrado às 16h44min56s.
Entre a captura da tela e o registro do envio transcorreram 13 segundos.
A conclusão não foi obtida pela observação de um único arquivo. Os investigadores chegaram à sequência comparando os horários registrados em diferentes partes dos dados extraídos.
E quando a mensagem é de visualização única?
O mesmo princípio ajuda a compreender um dos aspectos que mais chamaram atenção na análise do celular: as mensagens de visualização única do WhatsApp.
Esse tipo de conteúdo é desenvolvido para deixar de ficar disponível na conversa depois de aberto pelo destinatário. Isso, porém, não significa necessariamente que todas as ações realizadas pelo telefone durante aquele processo desapareçam junto com a mensagem.
Em 17 de novembro de 2025, o relatório identificou cinco mensagens de visualização única enviadas pelo aparelho de Vorcaro ao contato que estava salvo no telefone como “Alexandre de Moraes BRASILIA”.
Os investigadores encontraram nos logs cinco eventos correspondentes aos cinco envios registrados na conversa.
A coincidência entre a quantidade de mensagens e os eventos encontrados foi utilizada pela PF para avaliar a consistência dos registros produzidos pelo sistema.
Isso não significa que a Polícia Federal tenha recuperado diretamente do WhatsApp o conteúdo original das cinco mensagens de visualização única.
A diferença é fundamental: os investigadores trabalharam com vestígios digitais existentes no aparelho para reconstruir determinadas ações e relacioná-las às comunicações identificadas.
Apagar não elimina necessariamente todos os vestígios
A perícia digital, portanto, não pode ser resumida à ideia de “recuperar mensagens apagadas”.
Dependendo do aparelho, do aplicativo, da forma de armazenamento e dos registros ainda disponíveis, uma ação pode deixar vestígios em diferentes locais do sistema.
Um conteúdo pode não estar mais acessível na interface utilizada pelo dono do telefone e, ainda assim, outros registros relacionados àquela ação permanecerem nos dados extraídos.
No caso analisado pela PF, logs, informações sobre utilização dos aplicativos e arquivos temporários permitiram estabelecer cronologias.
Isso também não significa que toda mensagem apagada possa ser recuperada ou reconstruída. A possibilidade depende dos vestígios efetivamente preservados no dispositivo e disponíveis para análise.
Da cópia dos dados ao relatório da PF
O caso de Vorcaro também permite entender a diferença entre a evidência digital e a interpretação feita pelos investigadores.
A mídia extraída reúne os dados obtidos do aparelho. Já o relatório apresenta os elementos selecionados e analisados pela equipe responsável pela investigação.
A própria PF registra no documento que utilizou pesquisas por termos e nomes para localizar informações dentro do conjunto de dados.
Em uma das situações descritas, os investigadores informaram não ter encontrado determinado nome entre os contatos salvos no telefone, mas localizaram em outras conversas referências que poderiam estar relacionadas à pessoa pesquisada.
O relatório também faz ressalvas sobre os limites da análise. A Polícia Federal afirma que, diante do prazo de 72 horas, o trabalho não teve caráter exaustivo.
Também registra que, naquela análise, não foram realizados atos de aprofundamento investigativo direcionados a magistrados ou integrantes do Ministério Público.
O que Zanin quer acessar
É nesse ponto que o pedido apresentado por Cristiano Zanin ganha dimensão diferente.
O ministro pediu acesso não apenas às 218 páginas produzidas pela Polícia Federal, mas à mídia contendo a íntegra dos dados extraídos do celular de Vorcaro.
Ministro do STF, Cristiano Zanin
O pedido está relacionado à Petição 15.556 e foi encaminhado ao presidente do STF, Edson Fachin.
Mendonça informou que o celular original permanece com a Polícia Federal e que recebeu uma cópia de segurança do conteúdo extraído em envelope lacrado.
Zanin sustentou que os demais integrantes do colegiado devem ter a mesma possibilidade de analisar os elementos colocados à disposição do relator e afirmou que a defesa de Vorcaro já recebeu da Polícia Federal uma cópia do material.
A diferença é significativa. O relatório de 218 páginas mostra aquilo que os investigadores localizaram, selecionaram e consideraram relevante dentro do prazo da análise. A íntegra da mídia permite acesso ao conjunto de dados que serviu de matéria-prima para esse trabalho.
O celular apreendido em novembro, portanto, não se transformou em elemento central do caso apenas pelo conteúdo das conversas encontradas nele. Foram também os vestígios deixados pelo funcionamento do próprio aparelho — horários, utilização de aplicativos, arquivos temporários e registros do sistema — que permitiram à Polícia Federal reconstruir parte das ações realizadas por Vorcaro antes da apreensão.
