Os prints do bloco de notas do ex-banqueiro Daniel Vorcaro, do Banco Master, possibilitaram que as autoridades analisassem as mensagens de visualização única enviadas ao telefone do ministro do STF, Alexandre de Moraes. Funcionários do WhatsApp e do Signal, um concorrente que fornece tecnologia ao WhatsApp, foram ouvidos pela Folha sob condição de anonimato. Eles explicaram que a captura de tela deixa rastros no aparelho em várias etapas, como quando é tirada, copiada e colada em uma conversa. Se Vorcaro tivesse utilizado as ferramentas do próprio aplicativo para tirar uma foto de uma anotação ou gravar um áudio, o conteúdo não ficaria salvo no aparelho, pois seria criptografado de ponta a ponta, exigindo uma chave para visualização.

Desde segunda-feira (9), o WhatsApp não se manifestou sobre o relatório da Polícia Federal que relaciona as imagens do bloco de notas de Vorcaro às mensagens de visualização única enviadas a Moraes. O aplicativo afirma que essas mensagens "desaparecem da conversa" após serem abertas. Os profissionais ouvidos indicaram que, embora seja improvável recuperar a imagem enviada no modo de visualização única, as autoridades podem ter evidências suficientes para uma conclusão pericial precisa.

Para as perícias em smartphones, a Polícia Federal utiliza um software israelense chamado Cellebrite, que permite acesso a dados ocultos de iPhones e smartphones Android. Essa ferramenta, restrita às forças policiais mediante decisão judicial, possibilita acesso aos cartões de armazenamento do dispositivo. Com isso, as autoridades conseguem recuperar a base de mensagens, a chave de criptografia, além de informações sobre os interlocutores e o horário das mensagens. Mesmo arquivos apagados podem ser recuperados, desde que as autoridades tenham acesso ao aparelho, o que impede a verificação do conteúdo das mensagens enviadas por Moraes, já que seu telefone não foi apreendido.

As informações são organizadas em uma lista abrangente. A Polícia Federal utiliza um software próprio, chamado Iped, que classifica todos os arquivos com base nas informações dos aplicativos, gerando relatórios. Assim, é possível inferir quais mensagens foram enviadas no modo de visualização única. Com as duas ferramentas, a PF consegue compilar dados sobre as mensagens no WhatsApp, como tipo (texto ou mídia), número do contato que recebeu, status e horário de envio, além dos arquivos na galeria de Vorcaro. O bloco de notas também possui marcações temporais, e a ferramenta de copiar indica o que foi copiado e a hora da cópia.

Nos sistemas operacionais mais recentes, é quase impossível apagar um arquivo completamente. O sistema exclui apenas o caminho para o arquivo, mas o preserva. Marco Simplicio, professor da Escola Politécnica da Universidade de São Paulo e especialista em criptografia, explica que, se o smartphone precisar gravar algo, pode utilizar aquele espaço como se nada houvesse ali. A ferramenta forense, por sua vez, realiza uma varredura completa no disco rígido ou no cartão de memória, semelhante à técnica usada para recuperar fotos ou vídeos apagados de um HD corrompido.

Os policiais federais têm acesso aos metadados dos aplicativos, que revelam como o usuário estava utilizando o aparelho. Esse acesso privilegiado permite que cheguem a partes do sistema operacional que não são visíveis na interface. O perito judicial Rodrigo Passerini afirma que as técnicas de perícia digital atuais protegem a cadeia de custódia, garantem a reprodutibilidade da investigação e fornecem evidências confiáveis e auditáveis. A cadeia de custódia refere-se à organização cronológica das evidências encontradas.

Fabro Steibel, diretor-executivo do ITS-Rio, destaca que o envio de uma mensagem única dificulta, senão impossibilita, a identificação categórica da mensagem já visualizada, o que seria necessário para uma prova material. Ele acrescenta que, caso o usuário tenha utilizado outros programas, é possível encontrar evidências circunstanciais. Além de acessar os dados de comunicação, a Polícia Federal também pode determinar se a mensagem foi visualizada, assim como informações sobre a rede Wi-Fi utilizada e a localização, cada uma delas podendo reforçar a tese das autoridades.