STF · Caso Vorcaro / Banco Master · Perícia da PF · setembro de 2026
O rastro que o iPhone guardou
Daniel Vorcaro montou um método para não deixar rastro das mensagens. O rastro acabou vindo do próprio sistema operacional do celular. A PF não quebrou a visualização única: reconstruiu o caminho que cada imagem fez antes de entrar no WhatsApp. Cinco mensagens vieram direto do chat, 47 por correlação. Há ainda um emoji de joinha preso à mídia de Vorcaro que virou o centro da disputa no Supremo.
52Notas mapeadas no padrão
5Imagens recuperadas no próprio chat
47Ligações feitas por correlação
1 👍O joinha cuja autoria ninguém declarou
01 · O essencialUm método para sumir com as mensagens
Durante meses, o dono do Banco Master escreveu recados no bloco de notas do iPhone, fotografou a própria tela e mandou a imagem pelo WhatsApp em modo de visualização única, que some depois de aberta. A ideia era não deixar rastro nem para quem tivesse acesso direto aos aparelhos.
Daniel Vorcaro, controlador do Banco Master. Foto: Wikimedia Commons.
O método falhou por dois motivos. O primeiro foi humano: Vorcaro cometeu erros ao capturar as imagens. O segundo foi técnico, e ele não controlava. O próprio iPhone salvava, sozinho, uma cópia de cada tela. Essa cópia sobrevivia à exclusão da nota e à expiração da mensagem.
A partir desses resíduos, a Polícia Federal reconstruiu quem escreveu, o que escreveu, quando fotografou, quando abriu o WhatsApp e para quem mandou. O destinatário, nos casos analisados, era o contato salvo no celular de Vorcaro como "Alexandre de Moraes BRASILIA". Em 15 e 16 de setembro de 2026, a Veja publicou a reportagem sobre um detalhe dessas telas: um pequeno emoji de joinha.
02 · A reproduçãoO que a imagem mostra
As duas telas que a Veja publicou lado a lado vêm do relatório da PF, numeradas 38 e 40. Ambas registram trocas entre "DANIEL VORCARO" e o contato "Alexandre de Moraes BRASILIA" em 17 de novembro de 2025.
Cada figura tem duas metades. À esquerda está a conversa do WhatsApp como a ferramenta forense a exibe. À direita está a imagem do bloco de notas que a PF recuperou. As setas vermelhas ligam uma coisa à outra: uma mídia enviada por "DV" na conversa e o texto que, segundo a PF, estava naquela mídia.
Figuras 38 e 40. As telas reproduzidas pela Veja. À esquerda de cada figura, a conversa; à direita, a nota recuperada. Em vermelho, no canto da mídia de Vorcaro, o joinha. Reprodução: Veja / relatório da PF.
Na Figura 38, a nota começa com um "Bom dia, tudo bem?" e trata de antecipar investidores para assinar e anunciar uma operação ainda naquele dia. Na Figura 40, a nota foi capturada às 20h48: Vorcaro diz que está indo assinar com os investidores estrangeiros e que está online.
Zoom. O joinha ampliado no canto da mídia de Vorcaro, na Figura 38. A reação aparece destacada em vermelho na reprodução do relatório. Recorte da reprodução da Veja.
03 · O caminho reconstruídoComo a perícia chegou aos arquivos
A visualização única não foi quebrada. A PF reconstruiu o percurso que cada imagem fez antes de entrar no WhatsApp. São quatro elementos, e eles se encaixam.
1Vorcaro escrevia o recado no bloco de notas.2Capturava a tela, e o iOS gerava um PDF automático.3Abria o WhatsApp e enviava em visualização única.4Entregue ao contato "Alexandre de Moraes BRASILIA".
Recriação ilustrativa da sequência descrita pela PF (imagens geradas por IA). Não são as telas reais do aparelho.
Primeiro: os registros do aparelho
A PF recuperou os momentos em que Vorcaro abriu o bloco de notas, capturou a tela, gerou o arquivo, abriu o WhatsApp e enviou. O cruzamento desses registros liga o conteúdo recuperado à mensagem enviada. Os metadados do celular do remetente indicam também o destinatário.
Segundo: o PDF que ninguém pediu
Este foi o erro que Vorcaro não controlava. Quando se captura a tela de um documento, o iOS cria automaticamente, no mesmo segundo ou no seguinte, uma cópia em PDF do conteúdo. O arquivo fica numa pasta temporária do sistema, fora do alcance do usuário comum, e sobrevive tanto à exclusão da nota quanto à expiração da mensagem de visualização única. A PF afirma que esses PDFs não foram criados de propósito, e sim salvos sozinhos pelo iPhone.
O caminho do arquivo. A captura de tela, a exclusão da nota e a expiração da mensagem não apagam o PDF que o iOS gerou sozinho: ele continua na pasta do sistema. Esquema ilustrativo.
Terceiro: a ferramenta
A extração que tornou esse resíduo legível foi feita com tecnologia da Cellebrite, empresa israelense cujo produto mais conhecido é o UFED. Antes de reconstituir o conteúdo das notas, a equipe pericial testou a confiabilidade do próprio método de datação.
O UFED Touch, da Cellebrite. O tipo de equipamento usado para extrair e ler o conteúdo dos aparelhos apreendidos. Foto ilustrativa.
Quarto: o padrão repetido
Segundo o relatório, segundos depois de escrever e capturar as notas, Vorcaro as enviava ao contato "Alexandre de Moraes, Brasília". A PF descreve o procedimento como frequente e voltado a não deixar rastros.
O que isso prova e o que não prova
A reconstrução mostra que aquelas notas saíram do aparelho de Vorcaro para um número que ele salvou com o nome do ministro. Ela não demonstra, sozinha, quem estava do outro lado lendo, nem o que foi respondido. A própria PF respeita essa fronteira.
04 · O peso de cada peçaProva direta e prova por correlação
O material não tem um único peso, e essa distinção é o centro da briga jurídica.
47 notas, por correlação
Em 47 das 52 notas, entre elas as que citam Gonet e Andrei, o vínculo com o envio vem de reconstrução forense e cruzamento de dados. A imagem não permaneceu no chat; a PF a amarrou ao envio pelos registros do sistema.
5 imagens, no fluxo do chat
Cinco imagens, porém, foram recuperadas diretamente na conversa do WhatsApp. São as que menos dependem de inferência: estavam onde a troca aconteceu.
Há também um limite claro, e a PF o admite. Moraes chega a responder algumas mensagens, mas não dá para saber o que disse: ele também usava visualização única, e o celular dele não teve o sigilo quebrado. A perícia tinha só um lado da conversa.
A PF não tem o que Moraes escreveu. Tem o que Vorcaro escreveu, quando escreveu, quando fotografou, quando abriu o WhatsApp e para quem mandou.
Resumo do que o relatório sustenta
05 · O contraditórioA defesa de Moraes
O ministro argumenta que diálogo pressupõe dois interlocutores e que não se achou nenhuma mensagem ou nota de sua autoria. O ataque técnico mira exatamente a prova por correlação.
Alexandre de Moraes, ministro do STF. Foto: Wikimedia Commons.
Para Moraes, a leitura dos metadados e a atribuição de autoria carecem de perícia e resultam de análise subjetiva. Ele lista quatro hipóteses que, segundo diz, foram ignoradas:
A nota nunca ter sido enviada.
Ter sido enviada a várias pessoas, em outros momentos.
Ter sido apagada antes de ser vista.
Nunca ter sido visualizada.
As duas últimas hipóteses dependem de saber se a mensagem foi vista. É aí que o emoji ajuda a testar o argumento.
06 · O joinhaA questão dos emojis
A Veja ouviu dois técnicos em redes sociais e inteligência artificial. Para eles, a posição do emoji indicaria que quem o enviou foi Moraes. Um deles disse que seria raríssimo alguém colocar emoji na própria mensagem. O argumento tem uma base técnica e uma limitação técnica.
Conversa · lado de Vorcaro (DV)
MÍDIA ENVIADA POR "DV"
20:48 ✓✓👍
No WhatsApp, a reação aparece como uma bolha presa ao canto inferior da mensagem reagida. É onde o joinha está nas figuras: agarrado à mídia de Vorcaro, não solto na conversa. Pelo formato, é uma reação, não uma resposta.
A base do argumento
Se a reação veio do outro lado, duas hipóteses caem
Ninguém reage a algo que não viu. Se a reação partiu do destinatário, cai, para aquela mensagem, a hipótese de ela ter sido apagada antes de vista ou nunca visualizada. E um único joinha do outro lado enfraquece o argumento de que não há "dois interlocutores".
O que o WhatsApp guarda sobre a reação
A autoria de uma reação não depende de leitura de imagem. O WhatsApp registra quem reagiu, tanto no que trafega quanto no banco de dados do aparelho. Ao reagir, o app envia, junto do emoji, a identidade de quem apertou o botão. No celular, essa reação vira uma linha em duas tabelas do banco de mensagens.
No Android (msgstore.db), a reação fica na tabela message_add_on: o tipo 56 marca uma reação de emoji e o parent_message_row_id aponta a mensagem reagida. O campo que resolve a autoria é o from_me: num diálogo de duas pessoas, 1 é o dono do aparelho e 0 é o outro lado. O emoji em si fica em message_add_on_reaction.
No iPhone do caso vale o equivalente. O WhatsApp para iOS guarda tudo no ChatStorage.sqlite: a tabela ZWAMESSAGE marca a direção no campo ZISFROMME (o correspondente do from_me), e os metadados da mensagem, incluindo a reação, ficam em ZWAMESSAGEINFO. A própria documentação da Meta confirma o modelo: o aviso de reação transporta from (quem reagiu), emoji e message_id. E, no nível do protocolo, o autor da reação vem no MessageInfo, não no corpo do emoji.
Android. No msgstore.db, o campo from_me diz quem reagiu: 1 o dono do aparelho, 0 o outro lado.iOS (o aparelho do caso). No ChatStorage.sqlite, o campo ZISFROMME cumpre o mesmo papel: 1 o dono, 0 o outro lado.
A mesma informação, guardada em formatos diferentes por sistema. No protocolo e na documentação oficial da Meta, o autor também acompanha a reação (campo from). Esquema ilustrativo; fontes ao final.
Aplicado ao caso: no próprio celular de Vorcaro, um joinha vindo do contato salvo como "Alexandre de Moraes BRASILIA" ficaria gravado com from_me = 0. O dado que responde "quem apertou o botão" existe na extração. Até agora, nenhuma reportagem mostra a PF declarando esse valor. Por isso o joinha segue como indício forte, à espera de a perícia abrir o registro.
07 · O que ficaConclusão
A disputa no STF hoje é menos sobre se as notas existiram e mais sobre quanto vale a correlação.
De um lado estão cinco imagens encontradas na conversa e 47 ligações feitas por correlação, tudo reconstruído a partir de arquivos que o iPhone guardou por conta própria. Somam-se a isso as mídias do contato atribuído ao ministro, cujo conteúdo sumiu, e um joinha cuja autoria o banco de dados provavelmente registra, mas que ninguém declarou oficialmente.
A parte do emoji não se resolve com opinião de especialista. Resolve-se quando a PF abrir o registro da reação e disser quem apertou o botão.
