O relatório da PF sobre o celular de Vorcaro, explicado sem tecniquês

Nos últimos dias, todo mundo viu as mesmas figuras: bolhas verdes de WhatsApp, “Mensagem apagada pelo remetente” repetido, um ícone redondo com o número 1, dois tracinhos ao lado da hora. E muita gente concluiu, a partir delas, coisas que elas não dizem. Não por má-fé. É que ler um ícone exige saber qual programa o desenhou — e o que esse programa foi buscar no celular para desenhá-lo.

Este texto é a versão sem tecniquês de uma análise técnica publicada aqui. Lá estão os números de linha do código, os nomes dos campos do banco de dados, os códigos de cor. Aqui está o mesmo raciocínio, com desenhos. As notas de rodapé guardam o detalhe técnico para quem quiser conferir.

Uma coisa antes de começar: nada do que segue diz quem tem razão no caso. Diz o que o documento prova, o que ele não prova, e por que a resposta depende de qual arquivo você abriu.

Primeiro: que documento é esse

O que a Polícia Federal entregou ao Supremo em 27 de agosto, e que teve o sigilo levantado em 1º de setembro, é um relatório de análise de investigação, de 218 páginas, sobre o conteúdo do iPhone de Daniel Vorcaro, apreendido em 18 de novembro de 2025.¹

Isso é diferente de um laudo pericial, e a diferença importa. O laudo é o documento em que um perito, com requisitos formais, descreve o exame que fez — no caso, a cópia integral do celular e o “hash”, uma espécie de impressão digital matemática que garante que a cópia é fiel.² Esse laudo existe, mas é outro documento. O relatório que circulou foi assinado por agentes e delegados. Nenhum perito. As conclusões sobre “padrão de comportamento” e sobre o que combina com o quê são conclusões de investigador — legítimas, mas com o peso de uma interpretação, não de um exame.

O próprio relatório é honesto sobre os limites: foi feito em 72 horas, diz expressamente que não é exaustivo, e só olhou as menções nominais diretas. Isso é rigor, não fraqueza.

O caminho de uma mensagem até a figura que você viu

Para entender o que as figuras mostram, é preciso saber como elas foram produzidas. Não são prints de celular. São o resultado de uma cadeia de etapas — e em cada uma delas algo pode ficar pelo caminho.

A etapa que mais confunde é a terceira. O relatório usou duas ferramentas: o IPED, um programa de código aberto mantido pela própria Polícia Federal, e o Cellebrite Reader.³ As telas de conversa que aparecem no relatório — bolha verde, papel de parede de rabiscos — não foram tiradas do WhatsApp. Foram desenhadas pelo IPED a partir do banco de dados do aplicativo. As tabelas de registro, por sua vez, vêm do Cellebrite. As duas aparecem misturadas nas figuras, sem indicação de qual gerou o quê.

A consequência é simples e central: o desenho é fiel ao que o programa leu, e cego para o que ele não leu. Como o IPED é aberto, dá para baixar exatamente a versão que a PF usou e ler o que ele faz com cada campo. Foi isso que fizemos.

Uma advertência que vale para qualquer documento público

Existem pelo menos duas cópias do relatório circulando, e elas não permitem as mesmas conclusões.⁴

A primeira, publicada pelo Poder360, tem 5,5 MB. Foi tarjada antes da publicação — o veículo avisa na própria reportagem que removeu telefones, endereços e e-mails, o que é uma decisão editorial legítima — e as telas de conversa nela ficaram com cerca de 333 por 280 pixels. Nesse tamanho, um tracinho de confirmação mede seis pixels. Revista Fórum e Canal Meio distribuem o mesmo arquivo.

A segunda, publicada pelo Painel Político, tem 20,5 MB e veio por outro caminho: os metadados mostram que foi gerada a partir de um arquivo do Word, sem passar pelos programas de edição de imagem que a primeira atravessou. Não tem tarjas, e as telas de conversa têm 792 por 1046 pixels.

Nenhuma das duas é o arquivo original assinado, que está no sistema do Supremo e exige certificado digital para acessar. Mas a diferença entre elas muda o que é possível verificar — e quem examinar apenas a menor chegará a conclusões que a maior desmente.

Fica a lição, que vale para qualquer cobertura de documento público: conclusões tiradas de uma única cópia são conclusões sobre aquela cópia.

O que a PF fez bem

Antes de apontar o que as figuras não dizem, o crédito — porque há crédito real.

O relatório afirma que houve uma sequência de ações no celular: escrever no aplicativo Notas, capturar a tela, e enviar pelo WhatsApp. Para sustentar isso, montou um quadro com sete marcos de tempo para cada mensagem.

É comum resumir isso dizendo que os registros apontam “para o mesmo instante”. Não é o caso, e a diferença importa. A cadeia dura cerca de dois minutos. Só dois pares são realmente simultâneos: a captura de tela e a criação do PDF, no mesmo segundo, porque o iPhone gera o PDF no instante da captura; e o fechamento do Notas com a abertura do WhatsApp, no mesmo segundo, porque é a mesma ação de trocar de aplicativo.

E é justamente por ser uma cadeia, e não uma coincidência, que a demonstração funciona. Um alinhamento pode ser acaso. O mesmo encaixe repetido, com os mesmos pares simultâneos e os mesmos intervalos curtos, várias vezes, não é.⁵

A PF ainda tratou de frente uma armadilha clássica: os registros internos do iPhone usam o horário universal (UTC), enquanto o WhatsApp usa o horário de Brasília. O relatório mostra os dois lado a lado e avisa a diferença.

Um detalhe dessa cadeia foi muito questionado publicamente: a ideia de que capturar a tela dentro do Notas cria um arquivo PDF “escondido” no celular. Parece estranho, mas está correto. A Apple documenta isso: desde o iOS 13, quando você captura a tela de certos aplicativos (o Notas é um deles), o sistema pede ao aplicativo uma versão em PDF do conteúdo completo — é o que alimenta a opção “Página Inteira” que aparece ao editar o print. Esse PDF nasce no mesmo segundo da captura e fica numa área temporária, de onde pode ou não ser apagado depois.⁶

A única crítica aqui é de documentação, não de método: o relatório apresenta isso como dedução, quando bastava citar a página da Apple para transformar dedução em fato.

Achado 1: os tracinhos significam “chegou”, não “foi lida”

Todo mundo conhece os tracinhos do WhatsApp. No IPED, o desenho é parecido, mas a paleta é outra — e há quatro estados, não três.

“Enviada” e “entregue” têm a mesma cor, mas desenhos diferentes — um tracinho e dois tracinhos. Só “lida” muda de cor, para azul.⁷

Na prática, a leitura é simples: contar os tracinhos separa “enviada” de “entregue”; a cor separa “entregue” de “lida”. Dois tracinhos verdes significam, sem ambiguidade, entregue ao aparelho e não registrada como lida.

E aqui está o achado que a cópia de alta resolução permitiu. Em vez de deduzir a cor pelo código, medimos: varremos os tracinhos das 218 páginas e comparamos a cor de cada um com as duas referências do programa. Todos ficam na família do verde. Não existe um único tracinho azul em nenhuma página do documento.⁸

Se você tentou conferir isso a olho nu e não conseguiu distinguir cinza de verde, você estava certo em não conseguir. Mesmo ampliado, o tracinho parece cinza — a cor é muito pouco saturada. A diferença entre verde e cinza, neste caso, não se resolve olhando. Resolve-se medindo.

O que continua indeterminado é se alguém leu as mensagens. “Entregue” quer dizer que chegaram ao aparelho do destinatário. A confirmação de leitura pode estar desligada do outro lado, e nesse caso o registro nunca mudaria para “lida” mesmo que a pessoa lesse tudo. O que as figuras não mostram, em nenhuma hipótese, é que alguém viu. Mostram que chegou.

É como uma carta com aviso de recebimento: o aviso prova que a carta entrou na casa. Não prova que alguém abriu o envelope.

Achado 2: o ícone de “visualização única” nunca muda

Parte das mensagens era de visualização única — aquelas que somem depois de abertas. A repercussão pública tratou como certo que foram abertas.

O IPED não tem como dizer isso. O programa desenha um único ícone fixo para toda mensagem de visualização única, escrito uma vez só no código, sem variante para “aberta” ou “não aberta”. E, ao ler o banco de dados, ele classifica a mensagem apenas pelo tipo — não vai buscar nenhum campo que diga se o destinatário abriu.⁹

Isso não é opinião: está no código. O ícone é idêntico para mensagem aberta e não aberta, então olhar a figura não responde a pergunta.

Vale ser preciso aqui, porque a frase fácil está errada. O IPED não extrai nada: quem extraiu os dados do celular foi o Cellebrite; o IPED apenas processa e organiza o que já foi extraído. O que se pode afirmar é que o IPED, ao montar essas telas, não vai buscar nenhum campo que registre abertura. Se um campo desses existe no WhatsApp desta versão, e se o Cellebrite o copiou, são perguntas que o relatório não responde — só a própria extração responderia. Em resumo: o dado pode existir no aparelho; pode ou não estar na cópia extraída; e não está no desenho.

Vale registrar que o relatório da PF foi preciso nesse ponto. Diz que houve envio de mensagens de visualização única e que os registros do aparelho mostram os envios correspondentes. Não diz que foram abertas. Quem extrapolou foi a narrativa pública.

Um detalhe que passou sem comentário, e está visível nas duas cópias. Duas dessas mensagens têm uma reação de emoji — um polegar para cima — abaixo da bolha. É tentador concluir que alguém do outro lado interagiu. Duas ressalvas honestas: pela figura não se sabe quem reagiu nem quando, porque o programa imprime só o emoji e joga o autor e o horário para uma caixinha que só existe na versão interativa e some na imagem colada no PDF; e reagir a uma mensagem não é o mesmo que abri-la.¹⁰

Achado 3: “mensagem apagada pelo remetente” — quantas, e quando

Na figura mais comentada, quatro mensagens do contato salvo no celular como “Alexandre de Moraes BRASILIA” — que o relatório identifica como o ministro do STF — aparecem em 1º de outubro com o texto “Mensagem apagada pelo remetente”. Os carimbos de hora são 22:17:06, 22:17:23, 22:17:32 e 22:18:21: os quatro dentro de 75 segundos. Na cópia tarjada, três desses quatro horários estão cobertos — quem contar por ali chega a um número errado. Logo acima, um aviso de 17 de setembro: a conversa passou a usar mensagens temporárias de 24 horas.

O relatório coloca as duas coisas em sequência sem distingui-las, e o leitor conclui que as mensagens sumiram por causa do temporizador. Não é isso que o dado diz. São dois mecanismos diferentes:

• Temporizador. A mensagem é removida do banco de dados quando expira, sem deixar marca visível. Simplesmente deixa de existir.
• “Apagar para todos”. Quem enviou escolhe apagar. O WhatsApp grava, no lugar da mensagem, uma marca com o texto “Mensagem apagada pelo remetente”.

O que as figuras mostram é o segundo caso: quatro registros do tipo que o WhatsApp cria quando alguém apaga para todos — um tipo que o programa distingue, no banco de dados, dos registros de expiração por temporizador. Que esses quatro registros existem é fato, não hipótese. O que eles significam exige mais cuidado, e é onde este texto fica mais lento de propósito.

Há duas perguntas que a figura levanta e ninguém responde.

A primeira: esse horário na bolha é de quê?

Parece uma pergunta boba, e não é. O programa que desenha a tela pega sempre o mesmo campo de data do banco de dados e imprime — faz isso antes mesmo de descobrir que tipo de mensagem é aquela, de modo que um registro de apagamento recebe exatamente o mesmo tratamento de uma mensagem de texto comum. E ele não vai buscar nenhum campo separado que guarde a hora do apagamento.¹¹

Ou seja: o que está impresso é o conteúdo daquele campo, seja lá o que o WhatsApp tenha gravado nele. Se o aplicativo preserva ali a hora do envio original quando transforma a mensagem em registro de apagamento, ou se sobrescreve com a hora do apagamento, é uma pergunta sobre o comportamento do WhatsApp — não sobre a ferramenta forense — e o relatório não responde.

As duas leituras levam a histórias diferentes. Se os carimbos são horas de envio, o contato mandou quatro mensagens em 75 segundos e o apagamento aconteceu em algum ponto dos 47 dias seguintes — no máximo até a apreensão, porque o comando “apagar para todos” precisa alcançar o celular do outro lado enquanto ele ainda está conectado. Se os carimbos são horas de apagamento, quatro mensagens foram apagadas em 75 segundos e não se sabe nada sobre quando tinham sido enviadas.

Apagar dez segundos depois de enviar e apagar um mês depois são fatos com pesos completamente diferentes. O documento não permite escolher.

A segunda é uma inconsistência que fica de pé. Se o temporizador de 24 horas estava ligado desde 17 de setembro, como quatro marcas de apagamento sobreviveram cerca de 47 dias no banco de dados vivo? E estavam vivas, não recuperadas de lixeira — o IPED marca claramente, com um rótulo e um ícone, toda mensagem que veio de registro apagado, e nenhuma das quatro tem essa marca.¹² Ou a marca de apagamento não herda o temporizador, ou o temporizador não incidiu sobre aquelas mensagens, ou há alguma outra explicação. O relatório não diz qual — e essa é uma pergunta que merece resposta antes de qualquer conclusão sobre o episódio.

A figura central: afirmada numa cópia, exibida na outra

Há uma figura no relatório, a de número 41, que é a peça central da demonstração: é onde os registros do sistema são alinhados a cada envio, com setas apontando para as linhas correspondentes.

Na cópia menor, as colunas de registro estão inteiramente cobertas por tarjas. As setas apontam para linhas invisíveis. A correlação é afirmada, não exibida — e isso é verdade sobre aquela cópia.

Na cópia maior, as mesmas colunas são legíveis linha a linha: aparecem o nome do aplicativo, o conteúdo do registro e o carimbo de data e hora, com as linhas destacadas em vermelho batendo com as setas. O documento exibe o que afirma. Foi a cópia que apagou, não o documento.

Placar

Nada do que está acima diz que as conclusões do relatório são erradas. Diz o que ele sustenta e o que ele não sustenta. A lista é curta e vale igualmente para os dois lados.

Para quem acusa, isso significa que o relatório sustenta menos do que a repercussão sugere — e que qualquer afirmação sobre leitura ou abertura vai precisar de fonte além dos desenhos do IPED.

Para quem defende, vale resistir à conclusão simétrica e igualmente apressada. Os quatro registros de apagamento existem, e são de um tipo que o banco de dados distingue da expiração automática: isso é registro, não hipótese. Mas quando foram produzidos não se sabe, e por que sobreviveram a um temporizador que deveria tê-los eliminado ninguém explicou. Essa persistência sem explicação é justamente o ponto técnico a levantar — e a forma correta de levantá-lo é como incerteza: há uma inconsistência aparente entre a configuração declarada e o estado do banco de dados, que o relatório mostra sem enfrentar. Dizer mais do que isso — afirmar que a inconsistência prova adulteração — seria cometer, do outro lado, o mesmo excesso que este texto atribui à repercussão.

E atacar o documento como se ele afirmasse leitura é atacar algo que ele não disse.

Para jornalistas: seis perguntas antes de escrever

Se você vai escrever sobre figuras de um relatório com telas de WhatsApp, estas perguntas evitam a maior parte dos erros que circularam:

• Qual cópia eu estou lendo? Confira os metadados do PDF: quem gerou, com qual programa, quando. Se foi reexportado, a resolução pode ter destruído justamente o detalhe que importa, e as tarjas podem ter coberto a prova que sustenta a conclusão. Vale procurar se existe outra cópia.
• Qual programa desenhou esse ícone? WhatsApp, Cellebrite e IPED usam paletas diferentes para a mesma coisa. Verde num não é verde no outro — e uma mesma figura pode misturar saídas de duas ferramentas.
• “Entregue” ou “lido”? São estados diferentes, com ícones diferentes. Quem escreve “leu” precisa dizer de onde tirou.
• “Apagada” como? Por temporizador (some sem marca) ou por “apagar para todos” (deixa marca)? E o horário que aparece é o do envio ou o do apagamento?
• A figura que sustenta a conclusão está visível ou tarjada? Uma seta apontando para uma tarja não é prova exibida.
• O que a ferramenta não foi buscar? Ausência de informação na figura não é ausência de informação no aparelho. Muitas vezes o dado existe na extração e simplesmente não é lido pelo programa que gerou a imagem.

Por que isso importa além deste caso

O Superior Tribunal de Justiça consolidou, em maio de 2026, o entendimento de que dúvida razoável sobre a integridade de uma prova digital exige exame com possibilidade de auditar o método.¹³ Este texto é um exemplo de como essa auditoria começa: pelo código do programa, pela documentação do fabricante, pela medição — e pela pergunta “quem desenhou este ícone e o que ele leu para desenhá-lo”.

Cada ícone é a saída de um programa. Cada programa lê campos específicos. O que o programa não lê, o relatório não pode afirmar — e a manchete também não.

O dado sustenta exatamente o que sustenta. Nem uma palavra a mais.

Notas

1. Informação de Polícia Judiciária de Análise nº 3298613/2026, do NADIP/DFIN da Polícia Federal, produzida no âmbito da Operação Compliance Zero e juntada à Petição 16.662 do STF. “IPJ-A” é a sigla do tipo de documento; “Informação” aqui é o nome de uma peça de polícia judiciária, não sinônimo de dado. O aparelho examinado é um iPhone 17 Pro. ↩
2. Laudo nº 4281/2025 do SETEC (Setor Técnico-Científico da PF). O hash é o resultado de uma função matemática aplicada ao conteúdo integral da cópia: qualquer alteração de um único byte produz um hash diferente. É o mecanismo que permite provar, depois, que a cópia analisada é a mesma que foi extraída. A distinção entre documento investigativo e laudo de exame está desenvolvida em Ninguém abriu o arquivo. ↩
3. IPED 4.2.2 (Indexador e Processador de Evidências Digitais) e Cellebrite Reader 10.7.1.5013. O IPED é um indexador e processador: trabalha sobre dados já extraídos por outra ferramenta, não faz a extração. O código-fonte da versão 4.2.2 está fixado publicamente, o que permite ler exatamente o que a versão usada pela PF faz. Na cópia em alta resolução, as tabelas de registro exibem cabeçalhos no padrão do Cellebrite (Ufed:Application, Ufed:Body, Ufed:TimeStamp), enquanto as telas de conversa vêm do visualizador do IPED. ↩
4. Cópia A — publicada pelo Poder360, em static.poder360.com.br/uploads/2026/09/pet16662_relatorio_pf_celular_vorcaro_moraes_gonet_andrei_barci.pdf: 5.537.944 bytes, metadados indicando Adobe Illustrator e iLovePDF, modificada em 1º/9/2026 às 19h36 UTC. Cópia B — publicada pelo Painel Político, em painelpolitico.com/uploads/documentos/20260901_202629_relatorio_pf_vorcaro_moraes_QUALIDADE_19mb.pdf: 20.514.703 bytes, metadados indicando Microsoft Word e Ghostscript, criada em 1º/9/2026 às 20h21 UTC. Nenhuma das duas tem assinatura digital. A cópia A foi encontrada idêntica byte a byte em três veículos, o que indica redistribuição a partir de uma única fonte. O arquivo original assinado está no sistema eletrônico do STF e seu acesso depende de certificado digital. Os detalhes técnicos, com os hashes de cada arquivo, estão na versão técnica deste texto. ↩
5. Exemplo da p. 15 do relatório, referente a 30/10/2025, horários em UTC: Notas abre às 16:43:16; captura de tela às 16:44:43; PDF criado às 16:44:43; Notas encerra às 16:44:48; WhatsApp inicia às 16:44:48; mensagem enviada às 16:44:56 (13:44:56 em Brasília); WhatsApp encerra às 16:45:26. O mesmo encaixe se repete em outros quadros, como o da p. 52. ↩
6. A classe UIScreenshotService, do UIKit da Apple, disponível desde o iOS 13.0, é descrita na documentação oficial como um objeto que coordena a criação de capturas de tela em PDF do conteúdo de um aplicativo. O arquivo é depositado em área temporária (tmp), sobre a qual a Apple documenta que não há garantia de permanência, mas tampouco de exclusão imediata. ↩
7. Na folha de estilo do visualizador de WhatsApp do IPED 4.2.2, os quatro estados são unsent (ícone de relógio), sent (um tracinho), delivered (dois tracinhos) e viewed (dois tracinhos). Os três primeiros usam tons de verde; só viewed usa azul. Comparando os desenhos, delivered e viewed são idênticos e diferem apenas na cor; sent tem desenho próprio, com um único traço. O estado vem do campo ZMESSAGESTATUS do banco de dados do WhatsApp para iOS: 6 é entregue, 8 é visualizada. ↩
8. Método: isolamos, nas 218 páginas da cópia em alta resolução, os pixels cuja vizinhança é majoritariamente fundo de bolha de saída — para excluir o papel de parede e os blocos de citação, que têm tons próximos — e medimos a cor dos glifos ali encontrados. Na p. 37, a média dos pixels de traço é RGB (156, 166, 147), a 13 unidades do verde do IPED e a 130 do azul. A busca inversa, por qualquer pixel azulado dentro de bolha, com limiar frouxo, retornou 59 pixels dispersos em 19 páginas, em grupos de 1 a 8, que a inspeção identificou como o texto azul do link “Anexo” e franjas de compressão. Um tracinho duplo real produz de 28 a 59 pixels agrupados. Para confirmar que o procedimento não estava cego para azul, rodamos um controle com uma bolha sintética contendo tracinhos azuis, detectados com 165 pixels. ↩
9. No IPED 4.2.2, o ícone de visualização única é uma constante escrita uma única vez no gerador de relatório, sem variante. A classificação como visualização única é feita exclusivamente pelo campo de tipo da mensagem, sem leitura de qualquer campo de estado de abertura. ↩
10. O extrator do IPED decodifica reações e distingue as de terceiros — com contato, emoji e horário — das do próprio dono do aparelho. Mas o gerador de relatório imprime apenas o emoji na figura; contato e horário vão para um elemento de tooltip, que só existe no HTML interativo e não aparece na imagem estática colada no PDF. A classe aplicada ao elemento reflete a direção da mensagem reagida, não a autoria da reação. ↩
11. No IPED 4.2.2, o horário da mensagem é lido do campo ZMESSAGEDATE do banco de dados do WhatsApp para iOS. A leitura é incondicional e ocorre antes de o programa determinar o tipo da mensagem, e nenhum trecho posterior revisa esse valor — de modo que um registro de apagamento recebe o mesmo tratamento de qualquer outra mensagem. Não há, em toda a classe, leitura de qualquer campo de horário de revogação. “Apagar para todos” é chamado tecnicamente de revogação, corresponde ao tipo 14 no banco e tem rótulo próprio no relatório; os tipos ligados a mensagens temporárias são distintos e têm rótulos separados. Se o aplicativo preserva ou sobrescreve ZMESSAGEDATE ao converter a linha em tipo 14 é questão sobre o WhatsApp, não sobre o IPED, e não se resolve pelo relatório. ↩
12. O IPED marca as mensagens recuperadas de registro apagado com um rótulo visível e um ícone próprio, impressos abaixo de cada uma. Nenhuma das quatro mensagens da figura da p. 37 tem essa marcação — logo, estavam no banco de dados vivo no momento da extração. ↩
13. Superior Tribunal de Justiça, Jurisprudência em Teses nº 281 — Direito Penal e Processual Penal em Ambiente Digital III, Teses 3 e 4, edição disponibilizada em 29 de maio de 2026. Base legal da cadeia de custódia: Código de Processo Penal, arts. 158-A a 158-F, na redação da Lei nº 13.964/2019. ↩

Material técnico-educativo. O caso entra como documento público, com sigilo levantado, e as pessoas aparecem apenas como constam dele: este texto audita o método do relatório, não adere a nenhuma tese sobre o mérito da investigação nem sobre a conduta de qualquer pessoa nele mencionada, o autor não tem relação com as partes, e nada aqui é parecer jurídico nem técnico sobre caso concreto. A Cyberlex produz documentos técnicos de assistência ao advogado e ao cliente — parecer de assistência técnica, nota técnica e análise —, com linguagem de indício técnico e limitações explícitas, e não emite laudo pericial oficial nem exerce advocacia. A judicialização, quando necessária, cabe ao advogado constituído pelo cliente, com autonomia técnica e independência. Anomalias de custódia são sinalizadas com linguagem de incerteza, jamais asseridas como manipulação provada.