O caso Vorcaro e a armadilha do iOS: como o cache oculto derrubou mensagens "autodestrutivas"

Eu li o caso Vorcaro pelo lado errado no começo. Notícia de banqueiro, ministro, WhatsApp. O que me interessou de verdade foi o mecanismo: ninguém quebrou a criptografia do app. O iOS tinha guardado o texto sozinho.

A operação, segundo a PF, era esta. Daniel Vorcaro escrevia no Notas da Apple, tirava print e mandava a imagem no WhatsApp em visualização única para o contato salvo como “Alexandre de Moraes BRASILIA”. Depois apagava a nota. O WhatsApp não deixa mandar texto puro nesse modo, então o print vira o envelope. Na tela, a mensagem some. No disco do iPhone, não.

O relatório (sigilo retirado em setembro de 2026) descreve a sequência em segundos: abrir Notas, alterar o texto, capturar a tela, fechar o Notas, abrir o WhatsApp, enviar, fechar. Em 17 de novembro de 2025, um dia antes da prisão, foram cinco envios nesse padrão. Cellebrite extraiu. IPED indexou. O conteúdo não veio do chat view-once. Veio de PDF residual.

A metade técnica: Página Completa

Print em app nativo com rolagem e o iOS oferece Tela e Página Completa. Página Completa precisa da view inteira, com texto que aguente zoom. PDF serve pra isso. O sistema não espera você tocar na aba. Ele já monta o arquivo.

A PF achou esses PDFs em tmp/com.apple.coherence/, no container do app. Mesmo teor da nota. Timestamp batendo com o instante do print. O relatório diz que o usuário não cria esse arquivo de propósito. Encerrou a captura, o PDF fica um tempo como vestígio.

Eu não tenho o código do SpringBoard. Não vou fingir que sei o milissegundo da engine. O que dá pra afirmar com o que vazou: print no Notas gera PDF automático, fora da galeria, fora da UI do WhatsApp.

Isso não é limitação do iOS

Não é bug da Apple. Página Completa precisa de um documento pra recortar. O SO monta o PDF porque a UX pede. O sandbox impede o WhatsApp de varrer o tmp. Os dois fizeram o que foram desenhados pra fazer.

Android faz a mesma classe de coisa, com outro arquivo. Print longo no AOSP 12+ junta tiles e o SystemUI grava long_screenshot_cache.png no cache dele, pra o recorte sobreviver se a tela girar. Apagar da galeria no Android 11+ em geral vai pra lixeira do MediaStore, uns 30 dias, não some na hora. WhatsApp no Android também deixa thumb fora da mensagem view-once.

Não é o mesmo PDF do iOS. É o mesmo padrão: o chat não controla o que o SO copiou da tela. Cellebrite lê Android do mesmo jeito. Trocar iPhone por Pixel não é OpSec.

A outra metade: o sandbox fez o trabalho dele

Desktop clássico quase não isolava processo. No Win32, o programa herda o privilégio do usuário e anda livremente no disco.

O desenvolvimento mobile apertou isso. Quem mexeu nas entranhas do Android no começo da década passada lembra a barreira fina. Eu compilei custom ROM, CyanogenMod, num LG P350. Com root (SuperSU e afins) o app lia /data/data/ dos outros: banco, cache, preferência.

Hoje o Android tem Scoped Storage. O iOS fecha o sandbox ainda mais. App A não apaga lixo do sistema nem do app B. Isso é o desenho certo pra malware. Também é o desenho que impede o WhatsApp de varrer tmp/com.apple.coherence/ e apagar o PDF que o módulo de captura gerou.

A visualização única some o blob dentro do WhatsApp. O print do Notas não é blob do WhatsApp. É artefato do SO. O sandbox funcionou. Por isso o arquivo sobreviveu.

Ferramenta forense não usa a tela do usuário. Cruzaram PDF, horário de criação, log de envio e o número do contato. Em um exemplo público, o PDF nasceu às 16h32min31s e o envio saiu 32 segundos depois. Criptografia ponta a ponta continua valendo no trânsito. O aparelho apreendido é outra história.

O impacto não ficou no laudo

A extração não parou no PDF do tmp. Em 2 de setembro de 2026 saíram mensagens em que advogados e políticos articulavam reunião com Vorcaro. No mesmo dia o ministro André Mendonça, relator do caso Master no STF, emitiu nota admitindo ter recebido o ex-banqueiro “uma única vez” em 2025. Segundo ele, o tema foi a STP 976, precatórios de interesse do banco. Mensagens e áudios do aparelho detalharam essa reunião. Vorcaro tratava isso como protegido.

Na Ativos o recorte que me interessa é o ativo. Precatório é crédito com processo, ente e papel. Na versão do ministro, a conversa que ia sumir era sobre isso. O rastro ficou no tmp. O crédito, se existe, continua no processo. Cessão e due diligence vivem do dossiê, não do print.

O que eu não inventei

View-once e conversa que some em 24h são commodity de produto. Página Completa a Apple já documenta. Cache de print longo e lixeira do MediaStore o Android também. Cellebrite e IPED não nasceram neste inquérito. O caso só juntou as peças na mesma timeline.

Quando eu usaria (e quando não)

Eu usaria view-once pra constranger o destinatário a não reencaminhar com um toque. Usabilidade. Não usaria como OpSec. Print existe dos dois lados. Remetente deixa cache, log de app, PDF de Página Completa, backup.

Se o critério é “não quero rastro no meu próprio telefone”, o lugar errado pra depositar confiança é a camada do app. O chão é o SO, iOS ou Android. Cache e tmp entram no caminho porque a UX pede fluidez. Isso vira evidência.

Mensagem que some na UI não some no sistema de arquivos. Quem desenha app com dado sensível precisa olhar o que o SO copia no print e no tmp. Quem usa o telefone como canal que se apaga precisa tratar isso como ilusão de controle, não como garantia.

Cobertura: G1, NSC Total (02/09/2026) e BBC (nota de Mendonça / STP 976). Android: LongScreenshotActivity e MediaStore.DATE_EXPIRES.