Os prints do bloco de notas do ex-banqueiro Daniel Vorcaro, do Banco Master, permitiram que as autoridades periciassem as mensagens de visualização única enviadas ao telefone do ministro do STF (Supremo Tribunal Federal) Alexandre de Moraes, segundo funcionários de WhatsApp e Signal (um concorrente que fornece tecnologia ao WhatsApp) ouvidos pela Folha sob condição de anonimato.
A captura de tela deixa vestígios no aparelho em várias etapas: quando é tirado, quando é copiado e quando é colado em uma conversa. Caso Vorcaro tivesse tirado uma foto de uma anotação ou gravado um áudio usando as ferramentas do próprio app, o conteúdo não ficaria salvo no aparelho e teria sido criptografado de ponta à ponta —isto é, dependeria de uma chave para ser visualizado.
Procurado desde segunda-feira (9), o WhatsApp não respondeu às questões da reportagem sobre o relatório da Polícia Federal que liga as imagens do bloco de notas de Vorcaro às mensagens de visualização única enviadas a Moraes. O app promete que as mensagens de visualização única “desapareceriam da conversa” depois de ser aberta.
Esses profissionais de WhatsApp e Signal dizem que, embora seja improvável recuperar no aplicativo a imagem enviada no modo de visualização única, as autoridades podem ter evidências o suficiente para ter uma conclusão pericial precisa.
Nas perícias de smartphones, a PF usa um software israelense chamado Cellebrite, que dá acesso a dados ocultos de iPhones e smartphones Android. A ferramenta, de uso restrito às forças policiais quando há decisão judicial, garante acesso privilegiado aos cartões de armazenamento do dispositivo.
Desta forma, as autoridades conseguem recuperar a base de mensagens, a chave de criptografia para revelá-las, além de interlocutores do investigado e a hora das mensagens. Mesmo arquivos apagados podem ser recuperados.
Esse acesso só é possível se as autoridades obtiverem o aparelho —por isso, não se sabe o conteúdo das mensagens que Moraes teria enviado, por exemplo, já que o telefone dele não foi apreendido.
Isso, contudo, é entregue em uma grande lista de dados. A PF, então, usa um software próprio, chamado Iped, que organiza todos os arquivos usando as informações dos aplicativos como referência para gerar relatórios. Assim, as autoridades conseguem inferir quais foram as mensagens enviadas no modo de visualização única.
Com as duas ferramentas, a Polícia Federal consegue juntar as informações sobre a mensagem no WhatsApp —tipo (texto ou mídia), o número do contato que recebeu, o status e o horário de envio— e os arquivos que estão na galeria de Vorcaro. O próprio bloco de notas tem marcações temporais. A ferramenta de copiar também indica o que foi copiado e a hora da cópia.
Nos sistemas operacionais dos aparelhos mais recentes, é quase impossível apagar um arquivo completamente. O sistema, na verdade, exclui o caminho para aquele arquivo, mas preserva o arquivo em si. “Se o smartphone precisar gravar algo, pode usar aquele espaço como se nada houvesse ali”, explica Marco Simplicio, professor da Escola Politécnica da Universidade de São Paulo e especialista em criptografia.
Diferentemente do sistema operacional, que recorre à tabela de caminhos para os arquivos, a ferramenta forense faz uma varredura em tudo o que está gravado no disco rígido ou no cartão de memória. É a mesma técnica usada para recuperar fotos ou vídeos apagados de um HD corrompido.
Os policiais federais conseguem acessar os chamados metadados dos aplicativos —as informações de como o usuário estava usando o aparelho. Isso só é possível com acesso privilegiado, que consegue chegar à parte posterior da interface do sistema operacional.
De acordo com o perito judicial Rodrigo Passerini, as técnicas de perícia digital atuais protegem a cadeia de custódia, garantem reprodutibilidade da investigação e entregam evidências confiáveis e auditáveis. Cadeia de custódia é organização cronológica das evidências encontradas na investigação.
O diretor-executivo do ITS-Rio (Instituto Tecnologia e Sociedade do Rio de Janeiro), Fabro Steibel, afirma que o envio de uma mensagem única torna bastante difícil, senão impossível, apontar qual foi a mensagem já visualizada de maneira categórica —o que serviria de prova material.
“Se, para além do WhatsApp, o usuário usou outros programas, é possível encontrar evidências circunstanciais”, diz Steibel.
Além de dar acesso aos dados de comunicação, a PF também sabe se a mensagem foi visualizada ou não, além de dados como a rede wifi de acesso e a localização. Cada informação pode ser útil no reforço da tese das autoridades.
