Banco Master: o que 484 PDFs do inquérito revelam sobre a pasta que circula num Drive público

Na noite de 10 de setembro, o STF retirou o sigilo da Petição 15.556 e de outros catorze procedimentos do caso Banco Master. Menos de três horas depois, às 00:58 do dia 11, circulava no X um link para uma pasta pública do Google Drive com os autos organizados em três subpastas. Baixamos os 484 arquivos e os examinamos sem abrir nenhum. A conclusão de segurança foi tranquilizadora. A de integridade, não.

Há uma pergunta que quase ninguém faz antes de clicar: de onde veio este arquivo? No caso de um acervo processual de quase um gigabyte, montado por alguém que não se identifica e distribuído por uma rede social, a pergunta deixa de ser retórica.

Este texto responde três coisas: como a pasta apareceu e o que dá para dizer sobre sua procedência; o que uma varredura completa encontrou (e o que ela não pode garantir); e por que o achado mais relevante não tem nada a ver com malware.

A linha do tempo

A decisão de André Mendonça foi tomada no fim da noite de quinta-feira, 10 de setembro de 2026, atendendo a pedido do presidente do STF, Edson Fachin, e antecedendo a sessão extraordinária marcada para o dia 15. Foram liberados quinze procedimentos: a petição principal e outros catorze vinculados, entre eles a Pet 15.556 — a que resultou na prisão de Daniel Vorcaro e na apreensão dos aparelhos celulares.¹ No dia seguinte, 11 de setembro, mais trinta e oito processos tiveram o sigilo retirado, a pedido da Vice-Procuradoria-Geral da República e por iniciativa do próprio ministro, chegando a cinquenta e três no total.

Às 00:58 do dia 11, horário de Brasília, uma publicação no X trazia o link de uma pasta do Google Drive com o material. Todos os 484 arquivos da pasta têm data de modificação em 11 de setembro.

A leitura honesta desse encadeamento é curta. Alguém com acesso ao sistema do STF baixou os autos recém-abertos e os republicou em poucas horas. Isso é compatível com pressa de quem quer divulgar — e é compatível com qualquer outra intenção. A linha do tempo, sozinha, não distingue as duas, e é exatamente por isso que a procedência precisa ser tratada como desconhecida até prova em contrário.

Estrutura da pasta e o que ela não é

A pasta raiz contém três subpastas:

• Inquérito Principal — separados, leitura: 416 arquivos, 421.611.288 bytes — peças individuais, padrão Pet-15556-N-TIPO-ID.pdf
• Inquérito Principal — processamento de dados: 17 arquivos, 411.226.614 bytes — blocos de 25 peças, 1-25.pdf … 401-416.pdf
• Rcl 88121: 51 arquivos, 29.985.909 bytes — peças da Reclamação, padrão Rcl-88121-N-TIPO-ID.pdf
• Total: 484 arquivos, 862.823.811 bytes (823 MiB)

A nomenclatura é a do sistema de peças do STF, o que confirma que a origem primária são os autos eletrônicos. Mas há um ponto que define tudo o que vem depois: esta pasta não é o registro oficial. Os blocos de 25 foram unidos com o iLovePDF, um serviço de terceiro. Isso significa que o arquivo passou por uma reexportação fora da cadeia do tribunal e que nenhum hash daqui bate com o hash do e-STF. Fora isso, a cadeia de produção dos arquivos é inteiramente coerente com a origem declarada, sem nenhuma peça destoante.⁴ Para leitura, serve. Para juntar aos autos como prova de conteúdo, não — e essa distinção é a mesma que já tratei a respeito de hash e integridade.

Vale registrar também que a abertura não foi integral: Mendonça manteve sob sigilo trechos relativos a diligências em curso e a procedimentos paralelos. Um acervo baixado de terceiro nunca é, por construção, um acervo completo — e aqui não é mesmo.

Como se baixa um acervo assim sem se expor

O método importa tanto quanto o resultado, então vale explicitá-lo.

Listagem sem login. O Google Drive expõe a visão pública de uma pasta em drive.google.com/embeddedfolderview?id=<pasta>. Dela extraímos 484 identificadores únicos com os nomes correspondentes, gravados num manifesto. Isso evita a armadilha mais comum: gdown --folder tem limite fixo de cinquenta arquivos por pasta, e a opção --remaining-ok apenas silencia o erro em vez de baixar o resto — quem usasse o atalho teria levado cinquenta dos 416 sem perceber a falta.

Download por identificador, arquivo a arquivo. Três conexões em paralelo, gravando em .part e renomeando apenas se o arquivo começar com %PDF-. A primeira rodada, via gdown.download(id=…), trouxe 196 arquivos antes de passar a falhar; a segunda, com curl --fail contra drive.usercontent.google.com, completou os 288 restantes. Resultado final: 484 de 484, zero falhas.

Validação antes de qualquer análise. Contagem por subpasta, manifesto conferido contra o disco, e verificação de que todo arquivo começa com %PDF- e termina com %%EOF nos últimos 1024 bytes. O diretório com os originais foi deixado somente leitura.

Nenhum arquivo ou hash foi enviado a serviço externo — nada de subir o PDF no VirusTotal, que tornaria público um documento que pode conter dado pessoal de terceiros. E, principalmente: nenhum PDF foi aberto em visualizador em momento algum. Todas as ferramentas usadas apenas fazem análise sintática.

A varredura

Rodamos sobre os 484 arquivos, sem exceção: pdfid para a contagem de marcadores em bytes brutos; pdf-parser -a -O para localizar palavras-chave em dicionários, inclusive dentro de object streams; pdfinfo para metadados; e, nos arquivos que acusaram algum marcador, um localizador próprio que aponta o deslocamento exato de cada ocorrência, o objeto em que está, se ela cai dentro dos dados de um stream e se o nome estava ofuscado em hexadecimal.²

Duas escolhas metodológicas merecem nota, porque é nelas que varreduras superficiais falham.

A primeira: o pdfid lê bytes brutos e não enxerga dentro de object streams — um PDF pode esconder o dicionário malicioso ali e passar limpo. Por isso o -O do pdf-parser, que expande esses containers, e uma checagem independente com pypdf percorrendo todos os 71.784 objetos dos dezessete arquivos que usam a estrutura. Nenhuma chave encontrada.

A segunda: o filtro sugerido em receitas comuns usa $2 > 0 no awk, mas o pdfid imprime 0(2) quando há nomes ofuscados em hexadecimal, e a comparação numérica converteria isso em zero — silenciando justamente o caso mais suspeito. Trocamos por $2 != "0". Resultado: nenhuma contagem com ofuscação hexadecimal.

O que foi encontrado

Os 31 /JS e os 37 /AA são todos falso positivo. Cada ocorrência foi localizada individualmente: estão dentro dos dados de streams comprimidos — JPEG (DCTDecode) ou FlateDecode. São bytes de imagem que, por coincidência, formam a sequência de caracteres que a ferramenta procura. Nenhuma delas existe como chave de dicionário, que é o único lugar onde teriam efeito.

Alguns casos são didáticos: em um bloco, o "JS" vinha do nome de uma fonte embutida (/HYJSAL+SegoeUI); em outro, de um link para tjsc.jus.br; em outro, de uma URL de SharePoint dentro de uma anotação. O --search do pdf-parser não diferencia maiúsculas e varre bytes de stream, então casa com tjsc, .json e base64 sem nenhum problema. Nenhum objeto casou com "JavaScript" ou "Launch" em nenhum dos 484 arquivos. O pdfinfo confirma: JavaScript: no nos 484, Encrypted: no nos 484.

Os dezoito /OpenAction são todos destino de página (/XYZ em dezesseis, /FitH em dois) — abrir numa página específica, sem ação associada. Os 267 /AcroForm são campos de assinatura digital do e-STF, coerentes com o Form: AcroForm do pdfinfo. Dos 484 arquivos, 442 não apresentam marcador de alarme algum.³

Os anexos embutidos

Seis arquivos contêm treze anexos reais. Foram extraídos para inspeção, em diretório somente leitura, e identificados por tipo real em vez de extensão declarada:

• Três pageEntities.json de 79 a 86 bytes, com AFRelationship /ADBE_Contact_Private — metadado de OCR do Adobe Scan, do tipo {"type":"Document","languages":["pt-br"],"usedOnDeviceOCR":true}.
• Dois pacotes de gerador de documentos, cada um com documento.rtf, fo.xml, madoc-answer.xml e madoc-model.zip. O RTF não contém \object nem \objdata, que seriam os vetores clássicos de OLE embutido.
• Na Rcl-88121, peça 17: um PDF de duas páginas e um HTML de ofício do SEI/PF, ambos como anotação do tipo FileAttachment. O PDF embutido foi varrido com o mesmo protocolo — pdfid tudo zero, sem palavras-chave em dicionário. O HTML não tem <script>, <iframe>, <object>, <form> nem atributo on*=, e carrega apenas dois href, para conferência de autenticidade no SEI e para o Planalto. O indicador "vba" que um grep ingênuo acusaria é trecho de uma imagem em base64.

Veredito: anexos inertes. Nenhum é aberto automaticamente — não há /OpenAction, /Launch ou JavaScript associado. Um leitor pode oferecer para abri-los se o usuário clicar no clipe, o que é comportamento normal.

Por que isso foi verificado, já que não havia nada

Vale ser explícito sobre o raciocínio de risco, porque a conclusão limpa não retroage para tornar o exame desnecessário.

O cenário tinha todos os ingredientes de um ataque de oportunidade: uploader anônimo, assunto de interesse nacional no pico da busca, e um público-alvo composto exatamente de jornalistas, advogados, assessores parlamentares e servidores — gente com acesso a informação sensível e com pressa. Baixa probabilidade, consequência alta. É a situação em que se verifica.

E o PDF é um formato com superfície de ataque larga. Pode carregar JavaScript executado na abertura, ação que dispara programa externo, arquivo embutido, formulário que envia dados, XFA, conteúdo multimídia. A isso se soma o histórico de vulnerabilidades dos próprios leitores, que continuam entre os alvos preferidos justamente porque todo mundo abre PDF sem pensar duas vezes.

Há ainda uma categoria que esta varredura não cobre, e convém dizê-lo em vez de deixar implícito: esteganografia. Dados escondidos dentro dos bytes de uma imagem não aparecem em nenhuma das ferramentas usadas aqui — que procuram estrutura, não conteúdo oculto. Um acervo pode estar perfeitamente limpo do ponto de vista de conteúdo ativo e ainda assim carregar informação embarcada em camadas de imagem, marcas d'água de rastreamento por variação imperceptível, ou identificadores individualizados que denunciem quem redistribuiu o quê. Detectar isso exige outro ferramental e outro tipo de análise, que fica para um texto específico.

O que a ausência de conteúdo ativo autoriza afirmar é estritamente isto: nestes 484 arquivos, nada é executado ao abrir. Não autoriza afirmar que a pasta é segura em todos os sentidos, nem que a próxima será.

O achado que importa: a pasta de blocos está corrompida

Aqui está o problema real, e ele não é de segurança.

Primeiro: um bloco é cópia byte a byte de outro. 326-350.pdf e 251-275.pdf têm o mesmo SHA-256 (90dc0737…), apesar de terem identificadores distintos no Drive. Baixamos os dois novamente para uma pasta separada e o hash se repetiu, o que descarta erro de transferência. A consequência é que as peças 326 a 350 — 58 páginas — não estão em nenhum bloco. Quem trabalhou só com essa subpasta tem um acervo com um buraco que não se anuncia.

Segundo: dois blocos estão com os nomes trocados. O arquivo chamado 176-200.pdf contém as peças 201 a 225, e o chamado 201-225.pdf contém as peças 176 a 200. A conferência foi feita por número de páginas (91 contra 114 esperadas, e vice-versa) e por comparação do texto da primeira e da última página contra as peças individuais correspondentes. Quem citar "peça 180" confiando no nome do arquivo citará o documento errado.

Terceiro: 1-25.pdf tem as 791 páginas corretas em ordem diferente. O conjunto de páginas confere com as peças 1 a 25; a sequência, não.

As 416 peças individuais, por outro lado, estão completas — numeração de 1 a 416 sem lacuna. São elas a fonte a usar.

O detalhe que transforma isso de curiosidade em risco editorial é para quem a subpasta defeituosa foi feita. Ela se chama "processamento de dados" e é a que atrai quem vai tratar o acervo em massa: rodar OCR, indexar, alimentar um modelo de linguagem, montar planilha de referências cruzadas. O erro está exatamente onde causa mais dano e onde é menos provável que alguém confira página por página.

Não atribuo intenção a isso. Mesclagem manual de dezessete blocos num serviço web é operação que erra com facilidade, e os três defeitos são compatíveis com descuido. Mas a diferença prática entre descuido e outra coisa é nenhuma para quem vai publicar a partir desses arquivos: em ambos os casos, o acervo está errado e o nome do arquivo mente.

O que fazer

Vá à fonte. Com o sigilo retirado, o caminho legítimo para obter os autos é o sistema do próprio tribunal. Documento obtido no STF tem origem verificável e cadeia rastreável até a juntada; PDF repassado por Drive de terceiro, não — e, como os blocos passaram por reexportação em serviço externo, nem o hash serve de ponte entre um e outro. A pasta é conveniência, não fonte.

Se for usar a pasta mesmo assim, trate-a como material de origem desconhecida: baixe em ambiente isolado, não abra nada antes de examinar, registre o hash de cada arquivo, e confira se o conteúdo bate com o nome antes de citar. Os três defeitos acima foram encontrados nesse último passo — o que quase ninguém faz.

Sobre o ambiente isolado, vale ser concreto em vez de decorativo. O padrão é máquina virtual: o download e qualquer abertura ocorrem num sistema convidado descartável, cujo estado se joga fora ao fim do trabalho, e cuja rede pode ser desligada. A opção gratuita de menor atrito é o VirtualBox, da Oracle, na série 7.2, que roda em Windows, macOS e Linux e já suporta hospedeiro ARM; para quem tem Windows Pro, o Hyper-V já está instalado, e no Mac o VMware Fusion voltou a ser gratuito para uso pessoal desde novembro de 2024. Um instantâneo tirado antes de abrir qualquer coisa transforma a VM em ambiente descartável de verdade: reverte-se em segundos.

Para o caso mais frequente — não analisar o arquivo, apenas ler um documento de procedência duvidosa — a ferramenta certa é o Dangerzone, da Freedom of the Press Foundation. Ele converte cada página em dados de pixel dentro de um contêiner sem acesso à rede e remonta um PDF a partir apenas dessa rasterização, o que descarta por construção todo conteúdo ativo, anexo e estrutura do original.

Convém não confundi-lo com o parágrafo anterior sobre varredura pública: o Dangerzone é processamento local. Os contêineres sobem na própria máquina, o isolamento é local, e a ausência de rede dentro do sandbox é justamente o que impede exfiltração caso o documento comprometa o conversor. Nada trafega para terceiros. O critério que separa as duas situações é a saída do dado do perímetro do analista — no serviço de multi-varredura, o arquivo sai e permanece; no Dangerzone, não sai. Passou por auditoria independente em dezembro de 2023, sem achados de risco alto.⁵

A ressalva de custódia é a de sempre e precisa ser dita ao cliente: o produto do Dangerzone é outro documento. Perde a camada de texto, salvo se solicitado OCR na conversão, perde assinaturas digitais e tem hash distinto. Para exame pericial e para indexação em IPED, trabalhe sobre o original numa VM descartável; a versão rasterizada serve para leitura, não para perícia.

Não suba os arquivos em serviço público de varredura. A expressão designa plataformas de multi-varredura por envio — VirusTotal à frente — em que a amostra enviada é incorporada ao acervo, compartilhada com os parceiros da indústria de antivírus e tornada acessível, por busca e download, a quem assina os planos corporativos. A própria política da plataforma admite que informação pessoal pode estar contida nas amostras e que ela será processada mesmo assim.⁶ Consulta por hash é segura e resolve a maior parte dos casos, porque transmite apenas o resumo criptográfico. Envio do arquivo, não — e num acervo processual com dados de terceiros não envolvidos, seria incidente de proteção de dados criado pelo próprio analista.

Não confunda scanner limpo com documento confiável. Um alarme de ferramenta é ponto de partida, não conclusão — e a recíproca também vale: a ausência de alarme diz respeito ao que aquela ferramenta procura, e nada além.

Por que a Cyberlex publica isto

Porque é o mesmo trabalho, com outro nome. Determinar a procedência de um arquivo, distinguir indício de fato, medir em vez de deduzir e registrar o que foi feito de modo que outro possa repetir — é isso que sustenta um parecer de assistência técnica e é isso que sustenta uma reportagem que vai ser contestada.

Redação de jornalismo investigativo lida com acervos de origem incerta com frequência crescente, sob prazo, sem estrutura técnica própria e com exposição reputacional alta se o material se revelar adulterado, incompleto ou plantado. Verificação de autenticidade, documentação de cadeia de custódia e análise de acervo são exatamente o tipo de serviço que se terceiriza — e que a Cyberlex presta com entregável defensável, em linguagem de indício técnico e com limitações explícitas.

Neste caso, o que o exame produziu foi uma resposta em dois tempos: não há nada armado nos arquivos, e há três defeitos que comprometeriam qualquer trabalho feito em cima da subpasta errada. As duas metades importam, e nenhuma delas apareceria para quem simplesmente clicou e abriu.

O dado sustenta exatamente o que sustenta. Nem uma palavra a mais.

Rafael Chiara

Fundador da Cyberlex

Após 20 anos de serviço público (TRF4, TJSC e Polícia Civil, como delegado), atua em assistência técnica à defesa, prova digital, cadeia de custódia e análise forense de dispositivos móveis.

Sobre o autor →LinkedIn

Material técnico-educativo. O caso entra como fato público, a partir de autos com sigilo levantado, e as pessoas aparecem apenas como constam deles: este texto examina a procedência, a segurança e a integridade de uma cópia desses autos que circula em pasta aberta, não adere a nenhuma tese sobre o mérito da investigação nem sobre a conduta de qualquer pessoa nela mencionada, o autor não tem relação com as partes, e nada aqui é parecer jurídico nem técnico sobre caso concreto. A Cyberlex produz documentos técnicos de assistência ao advogado e ao cliente — parecer de assistência técnica, nota técnica e análise —, com linguagem de indício técnico e limitações explícitas, e não emite laudo pericial oficial nem exerce advocacia. A judicialização, quando necessária, cabe ao advogado constituído pelo cliente, com autonomia técnica e independência. Anomalias de custódia são sinalizadas com linguagem de incerteza, jamais asseridas como manipulação provada.