Com o perfil focado em tecnologia, inteligência artificial (IA), robótica e educação, David Abner Facundo viralizou nas redes sociais após explicar como a Polícia Federal (PF) conseguiu reconstruir mensagens a partir de dados encontrados no celular do ex-banqueiro Daniel Vorcaro. O caminho, segundo a análise apresentada por ele, não passou pela quebra da criptografia do WhatsApp, mas pelos rastros deixados no próprio iPhone.
Vorcaro adotava um padrão para enviar determinadas mensagens. Primeiro, escrevia o conteúdo no aplicativo Notas do iPhone. Depois, fazia uma captura da tela e enviava a imagem pelo WhatsApp usando o recurso de visualização única. Em seguida, apagava o arquivo do aparelho.
A perícia conseguiu relacionar diferentes vestígios dessas ações. David explica que o iOS produz arquivos e registros durante o uso do aparelho. Ao cruzar esses dados, os investigadores conseguiram organizar uma linha do tempo com o horário em que o Notas foi aberto, o momento da captura de tela e, logo depois, a abertura do WhatsApp e o envio de uma mensagem. Segundo ele, o padrão apareceu em 52 mensagens.
A reconstrução não significa que a PF tenha quebrado a criptografia de ponta a ponta do WhatsApp. O especialista em segurança digital Max Kolbe explica que existe uma diferença entre acessar a comunicação protegida pelo aplicativo e encontrar informações armazenadas no próprio aparelho.
“A criptografia de ponta a ponta protege a comunicação para que seu conteúdo seja acessível aos participantes”, afirma ao Correio. Segundo Kolbe, uma perícia pode encontrar dados locais, cópias de arquivos ou outras informações disponíveis no dispositivo sem que isso signifique romper a criptografia do mensageiro.
Apagar não significa eliminar todos os vestígios
O recurso de visualização única do WhatsApp impede que a mídia continue disponível normalmente na conversa depois de aberta. Isso, porém, não garante que qualquer registro relacionado a ela desapareça do celular.
Kolbe explica que é preciso separar o conteúdo da mensagem dos registros de que determinada mídia existiu ou foi enviada. Dependendo da versão do aplicativo, do sistema operacional e das condições da extração, podem permanecer miniaturas, prévias, registros internos ou outros elementos úteis à perícia.
O advogado criminal especializado em provas digitais Lourival Tenório de Albuquerque também afirma que dados apagados podem deixar rastros no aparelho. “Essa informação apagada pode ser detectada no telefone através do banco de dados, metadados e cache”, explica ao Correio.
Esses elementos ajudam a montar a sequência do que ocorreu no celular. Arquivos temporários são criados durante o funcionamento do sistema e dos aplicativos; logs registram determinados eventos; e metadados podem indicar informações como data, formato, tamanho e características de um arquivo.
“A perícia cruza esses elementos para reconstruir uma sequência de acontecimentos”, explica Kolbe. Ele ressalta, porém, que o celular não registra necessariamente todas as ações do usuário e que datas de criação, alteração, sincronização e envio têm significados diferentes. Por isso, a reconstrução depende da análise conjunta dos vestígios.
Estado do iPhone pode facilitar a extração
Outro ponto destacado por David envolve o estado em que o iPhone chegou à perícia. Ele cita dois conceitos usados na análise de dispositivos da Apple: BFU (Before First Unlock) e AFU (After First Unlock).
BFU é o estado do aparelho depois de ser ligado ou reiniciado, mas antes de o usuário digitar a senha pela primeira vez. Já no AFU, o aparelho passou pelo primeiro desbloqueio desde que foi ligado. Nesse segundo estado, algumas chaves necessárias para o funcionamento do sistema continuam disponíveis mesmo depois que a tela é novamente bloqueada.
Kolbe confirma que essa condição pode ampliar as possibilidades de uma extração forense. “AFU não significa que o celular esteja com a tela aberta ou que todos os seus dados estejam disponíveis”, ressalta. O acesso depende das proteções aplicadas a cada arquivo e dos recursos técnicos compatíveis com o aparelho.
Segundo a explicação de David, a perícia utilizou uma ferramenta da Cellebrite para extrair arquivos e registros gerados pelo sistema. Ferramentas forenses desse tipo conseguem, em determinadas condições, acessar bancos de dados, registros internos e informações que não aparecem normalmente para o usuário.
Isso também não significa que qualquer arquivo apagado possa ser recuperado. Kolbe destaca que o resultado depende do modelo do aparelho, da versão do sistema, do estado de bloqueio, do tipo de extração e do que ainda permanece armazenado. Lourival faz a mesma ressalva: a recuperação é possível, mas não garantida em todos os casos.
Cruzamento de horários exige cautela
A proximidade entre o horário de uma captura de tela, a abertura do WhatsApp e o registro de envio ajuda a reconstruir a atividade no aparelho, mas não basta, isoladamente, para provar qual conteúdo foi enviado e para quem.
Kolbe afirma que a conclusão ganha força quando outros elementos ligam a imagem à mensagem e ao destinatário, como identificadores da conversa, referências ao arquivo nos dados do aplicativo, correspondência de conteúdo ou confirmação no aparelho receptor.
“Não existe um percentual universal de certeza para esse cruzamento”, afirma. Segundo o especialista, a segurança da conclusão depende da “qualidade, da especificidade e da convergência dos vestígios”. No caso de Vorcaro, uma avaliação definitiva do procedimento exige acesso ao laudo e aos registros usados pela perícia.
O caso mostra, portanto, que apagar uma imagem ou usar um recurso criado para limitar sua visualização não significa necessariamente eliminar todos os vestígios produzidos pelo aparelho. Foi justamente o cruzamento desses rastros digitais que permitiu à perícia reconstruir a sequência de ações registrada no iPhone.