Como a PF reconstruiu mensagens apagadas do celular de Daniel Vorcaro

A reconstrução de mensagens atribuídas ao ex-banqueiro Daniel Vorcaro chamou a atenção após especialistas em tecnologia explicarem como a Polícia Federal (PF) conseguiu recuperar informações sem quebrar a criptografia do WhatsApp. Segundo análises divulgadas por especialistas em segurança digital, a investigação se baseou em vestígios deixados no próprio iPhone utilizado por Vorcaro. De acordo com a reconstituição apresentada, ele costumava escrever determinadas mensagens no aplicativo Notas, realizar uma captura de tela e enviar a imagem pelo WhatsApp utilizando o recurso de visualização única. Depois disso, o arquivo era apagado do aparelho. Mesmo com a exclusão dos conteúdos, a perícia identificou registros produzidos pelo sistema operacional do celular. Ao cruzar informações como horários de abertura do aplicativo Notas, capturas de tela e acessos ao WhatsApp, os investigadores conseguiram montar uma linha do tempo das ações realizadas no aparelho. De acordo com especialistas ouvidos pela imprensa, esse padrão teria sido identificado em dezenas de mensagens. Criptografia não foi quebrada Especialistas destacam que a reconstrução dos dados não significa que a criptografia de ponta a ponta do WhatsApp tenha sido violada. A criptografia protege o conteúdo das mensagens durante a transmissão entre os usuários. No entanto, arquivos temporários, registros internos, metadados e outras informações armazenadas localmente no aparelho podem permanecer disponíveis para análise forense. Esses elementos permitem identificar ações realizadas pelo usuário, como abertura de aplicativos, criação de arquivos e envio de conteúdos, mesmo que determinados dados tenham sido posteriormente apagados. Apagar arquivos não elimina todos os rastros Segundo especialistas em perícia digital, a exclusão de imagens ou mensagens nem sempre remove completamente os registros associados a elas. Bancos de dados, arquivos temporários, cache e metadados podem permanecer armazenados no dispositivo e auxiliar na reconstrução dos acontecimentos. Essas informações podem indicar datas, horários, características dos arquivos e outras evidências utilizadas pelos peritos. A análise é feita a partir do cruzamento desses vestígios digitais, permitindo que investigadores identifiquem padrões de comportamento e reconstruam sequências de eventos ocorridos no aparelho. Estado do aparelho pode influenciar a perícia Outro fator considerado importante é o estado em que o celular foi acessado pelos peritos. Especialistas explicam que aparelhos da Apple podem estar em dois estados distintos após serem ligados: antes do primeiro desbloqueio (BFU) e após o primeiro desbloqueio (AFU). No segundo caso, algumas chaves de segurança permanecem disponíveis ao sistema, o que pode ampliar as possibilidades de extração de dados por ferramentas forenses autorizadas. Ainda assim, especialistas ressaltam que a recuperação de informações depende de diversos fatores, como o modelo do aparelho, a versão do sistema operacional e as condições técnicas encontradas durante a perícia. Reconstrução depende do conjunto de evidências Embora a coincidência de horários entre capturas de tela, abertura de aplicativos e envios de mensagens seja considerada um indicativo importante, especialistas alertam que esse tipo de evidência não é suficiente, por si só, para comprovar o conteúdo exato de uma comunicação. A conclusão ganha consistência quando há outros elementos que conectam os registros encontrados ao conteúdo enviado e aos destinatários envolvidos. Segundo especialistas em segurança digital, apenas a análise completa dos laudos periciais e dos registros coletados pode confirmar, com precisão, a metodologia utilizada e o grau de confiabilidade das conclusões alcançadas pela investigação. Fonte: Correio Braziliense