Vorcaro deixou pistas ao capturar imagem do bloco de notas, dizem funcionários de WhatsApp e Signal

Os prints bash bloco de notas bash ex-banqueiro Daniel Vorcaro, bash Banco Master, permitiram que arsenic autoridades periciassem arsenic mensagens de visualização única enviadas ao telefone bash ministro bash STF (Supremo Tribunal Federal) Alexandre de Moraes, segundo funcionários de WhatsApp e Signal (um concorrente que fornece tecnologia ao WhatsApp) ouvidos pela Folha sob condição de anonimato.

A captura de tela deixa vestígios nary aparelho em várias etapas: quando é tirado, quando é copiado e quando é colado em uma conversa. Caso Vorcaro tivesse tirado uma foto de uma anotação ou gravado um áudio usando arsenic ferramentas bash próprio app, o conteúdo não ficaria salvo nary aparelho e teria sido criptografado de ponta à ponta —isto é, dependeria de uma chave para ser visualizado.

Procurado desde segunda-feira (9), o WhatsApp não se pronunciou sobre o relatório da Polícia Federal que liga arsenic imagens bash bloco de notas de Vorcaro às mensagens de visualização única enviadas a Moraes. O app promete que arsenic mensagens de visualização única "desapareceriam da conversa" depois de ser aberta.

Esses profissionais de WhatsApp e Signal dizem que, embora seja improvável recuperar nary aplicativo a imagem enviada nary modo de visualização única, arsenic autoridades podem ter evidências o suficiente para ter uma conclusão pericial precisa.

Nas perícias de smartphones, a PF usa um bundle israelense chamado Cellebrite, que dá acesso a dados ocultos de iPhones e smartphones Android. A ferramenta, de uso restrito às forças policiais quando há decisão judicial, garante acesso privilegiado aos cartões de armazenamento bash dispositivo.

Desta forma, arsenic autoridades conseguem recuperar a basal de mensagens, a chave de criptografia para revelá-las, além de interlocutores bash investigado e a hora das mensagens. Mesmo arquivos apagados podem ser recuperados.

Esse acesso só é possível se arsenic autoridades obtiverem o aparelho —por isso, não se sabe o conteúdo das mensagens que Moraes teria enviado, por exemplo, já que o telefone dele não foi apreendido.

Isso, contudo, é entregue em uma grande lista de dados. A PF, então, usa um bundle próprio, chamado Iped, que organiza todos os arquivos usando arsenic informações dos aplicativos como referência para gerar relatórios. Assim, arsenic autoridades conseguem inferir quais foram arsenic mensagens enviadas nary modo de visualização única.

Com arsenic duas ferramentas, a Polícia Federal consegue juntar arsenic informações sobre a mensagem nary WhatsApp —tipo (texto ou mídia), o número bash contato que recebeu, o presumption e o horário de envio— e os arquivos que estão na galeria de Vorcaro. O próprio bloco de notas tem marcações temporais. A ferramenta de copiar também indica o que foi copiado e a hora da cópia.

Nos sistemas operacionais dos aparelhos mais recentes, é quase impossível apagar um arquivo completamente. O sistema, na verdade, exclui o caminho para aquele arquivo, mas preserva o arquivo em si. "Se o smartphone precisar gravar algo, pode usar aquele espaço como se nada houvesse ali", explica Marco Simplicio, prof da Escola Politécnica da Universidade de São Paulo e especialista em criptografia.

Diferentemente bash sistema operacional, que recorre à tabela de caminhos para os arquivos, a ferramenta forense faz uma varredura em tudo o que está gravado nary disco rígido ou nary cartão de memória. É a mesma técnica usada para recuperar fotos ou vídeos apagados de um HD corrompido.

Os policiais federais conseguem acessar os chamados metadados dos aplicativos —as informações de como o usuário estava usando o aparelho. Isso só é possível com acesso privilegiado, que consegue chegar à parte posterior da interface bash sistema operacional.

De acordo com o perito judicial Rodrigo Passerini, arsenic técnicas de perícia integer atuais protegem a cadeia de custódia, garantem reprodutibilidade da investigação e entregam evidências confiáveis e auditáveis. Cadeia de custódia é organização cronológica das evidências encontradas na investigação.

O diretor-executivo bash ITS-Rio (Instituto Tecnologia e Sociedade bash Rio de Janeiro), Fabro Steibel, afirma que o envio de uma mensagem única torna bastante difícil, senão impossível, apontar qual foi a mensagem já visualizada de maneira categórica —o que serviria de prova material.

"Se, para além bash WhatsApp, o usuário usou outros programas, é possível encontrar evidências circunstanciais", diz Steibel.

Além de dar acesso aos dados de comunicação, a PF também sabe se a mensagem foi visualizada ou não, além de dados como a rede wifi de acesso e a localização. Cada informação pode ser útil nary reforço da tese das autoridades.