A investigação do Caso Master expôs em detalhes uma infraestrutura tecnológica que a Polícia Federal vem montando há anos para transformar celulares e outros dispositivos apreendidos em bases de dados pesquisáveis. No relatório de 218 páginas produzido a partir do telefone de Daniel Vorcaro, investigadores descrevem o uso de softwares capazes de indexar grandes volumes de informações, localizar palavras-chave, cruzar metadados e registros do sistema operacional e reconstruir, em alguns casos segundo a segundo, o que ocorreu dentro do aparelho.
As ferramentas empregadas não foram adquiridas especificamente para a investigação do Banco Master. Documentos de contratações da própria PF mostram que soluções de perícia digital da israelense Cellebrite, além do Indexador e Processador de Evidências Digitais (IPED), integram há anos o parque tecnológico utilizado nacionalmente pelo órgão.
No relatório sobre Vorcaro, duas ferramentas são identificadas já na ficha de tratamento do iPhone 17 Pro apreendido: IPED, versão 4.2.2, e Cellebrite Reader, versão 10.7.1.5013.
A Cellebrite, porém, está presente na PF em uma escala muito maior do que o Reader mencionado no documento. Contratos públicos mostram que o órgão adquiriu ou manteve licenças de produtos como UFED 4PC, UFED Touch2, UFED Cloud Analyzer, UFED Desktop Analytics, UFED Premium, Physical Analyzer, Pathfinder e Cellebrite Commander, destinados à extração, análise e administração centralizada de ferramentas de perícia digital.
Em contrato firmado em 2020 com a TechBiz Forense Digital, por exemplo, a PF destinou cerca de R$ 23,9 milhões à manutenção de licenças UFED e à aquisição do Cellebrite Commander, solução destinada ao gerenciamento desse parque tecnológico em âmbito nacional. Outro contrato daquele período incluiu UFED Premium e Pathfinder/Analytics Enterprise.
Documentos posteriores da própria Polícia Federal descrevem produtos como Analytics Desktop, UFED 4PC Ultimate, UFED Physical Analyzer e UFED Cloud Analyzer como instrumentos de análise e extração integrantes do parque tecnológico de unidades da instituição espalhadas pelo país.
O IPED também aparece formalmente nessa estrutura. Em documentos de aquisição de estações de trabalho para perícia, a PF relacionou o programa ao lado das soluções comerciais da Cellebrite entre as ferramentas que precisavam ser executadas nos computadores destinados à atividade investigativa.
Isso permite situar a tecnologia utilizada no Caso Master dentro de uma infraestrutura permanente, e não como uma solução excepcional adotada para uma investigação específica.
Busca digital
No exame do celular de Vorcaro, o IPED aparece como uma das peças centrais.
Segundo a própria PF, o programa foi utilizado para processar os vestígios digitais extraídos do aparelho. A ferramenta categoriza e indexa arquivos e permite que os investigadores filtrem o conteúdo por categorias e realizem pesquisas por palavras-chave sobre o índice previamente construído.
Na prática, o celular deixa de ser apenas um conjunto de mensagens, fotografias e documentos e passa a funcionar como uma grande base de dados pesquisável.
A PF explica que a busca indexada dispensa a varredura exaustiva de todo o material a cada nova consulta, aumentando a velocidade das pesquisas. Essa capacidade ganha importância diante do volume crescente de informações armazenadas nos dispositivos apreendidos.
Foi nesse universo que os investigadores realizaram pesquisas sobre interlocutores e pessoas mencionadas nos arquivos. O próprio relatório dedica capítulos específicos a buscas por termos relacionados ao procurador-geral da República, Paulo Gonet, e ao diretor-geral da Polícia Federal, Andrei Passos Rodrigues.
Mas a perícia foi além da localização de palavras. A PF cruzou duas categorias de informações extraídas do iPhone. Uma delas, denominada “Logs”, registra eventos do sistema operacional, como o instante em que uma mensagem é enviada pelo WhatsApp. A outra, chamada “Uso de Aplicativos”, registra momentos de abertura e fechamento dos programas e até o horário exato em que uma captura de tela foi realizada.
Com esses registros, os investigadores reconstruíram cronologicamente ações executadas dentro do telefone. Em determinados episódios, foi possível estabelecer a sequência formada pela abertura do aplicativo Notas, alteração do conteúdo, realização de um screenshot, fechamento do programa, abertura do WhatsApp e envio de mensagem segundos depois.
A correlação dos horários permitiu associar capturas de tela a destinatários específicos. Em outras palavras, mesmo quando o texto havia sido elaborado no aplicativo de notas e enviado como imagem, os rastros deixados pelo sistema operacional ajudaram a determinar para quem aquele conteúdo havia sido remetido.
Rastros ocultos
A perícia encontrou ainda informações que provavelmente jamais foram deliberadamente armazenadas pelo usuário. Dentro de uma pasta temporária do iOS identificada como “tmp”, foram localizados arquivos PDF contendo textos idênticos aos registrados no aplicativo Notas.
Segundo a análise da PF, determinadas operações realizadas normalmente pelo iPhone podem levar o próprio sistema operacional a criar temporariamente documentos em PDF. Esses arquivos permanecem durante algum tempo em áreas internas inacessíveis ao usuário comum.
Para a investigação, tornaram-se vestígios digitais. A existência desses documentos foi utilizada como elemento adicional para corroborar que determinados textos haviam efetivamente sido exibidos e manipulados naquele aparelho.
O cruzamento dos vestígios permitiu à PF identificar uma sequência recorrente: abertura das notas, alteração do texto, screenshot, criação praticamente simultânea de um PDF temporário, fechamento das notas, abertura do WhatsApp e envio de mensagem.
O caso demonstra como a prova digital contemporânea não depende apenas daquilo que permanece visível para o proprietário de um telefone. Logs, arquivos temporários, metadados e outros registros produzidos automaticamente pelos sistemas operacionais também podem ser recuperados e confrontados.
Extração
Há, entretanto, uma lacuna importante no relatório. A PF informa que a extração dos dados do iPhone foi realizada com “ferramentas forenses apropriadas” e registrada no Laudo nº 4281/2025 do SETEC da Superintendência da Polícia Federal em São Paulo, mas não identifica nesse relatório qual produto foi efetivamente utilizado para obter os dados do aparelho.
O documento informa também que foi calculado o hash do conteúdo extraído. Trata-se de um código matemático utilizado para verificar posteriormente a integridade do material e identificar eventual alteração nos dados analisados.
A ausência do nome da ferramenta de extração é relevante porque os registros de compras públicas demonstram que a PF dispõe justamente de produtos Cellebrite destinados a esse trabalho, entre eles diferentes versões do UFED. Isso, contudo, não permite concluir que uma dessas ferramentas tenha sido usada no telefone de Vorcaro. A confirmação depende do laudo técnico mencionado pela própria investigação.
Além da Cellebrite, o histórico de contratações da Polícia Federal registra outras plataformas de perícia digital, entre elas FTK (Forensic Toolkit) e Magnet AXIOM, mostrando que o órgão opera um ecossistema mais amplo de soluções para aquisição e análise de evidências eletrônicas.
Sem homologação
A presença dessas tecnologias no parque da Polícia Federal não significa que exista no Brasil uma regulamentação específica autorizando individualmente o uso de Cellebrite, IPED ou ferramentas equivalentes.
Não há, nos documentos analisados, indicação de um regime de homologação governamental pelo qual determinado software seja previamente “autorizado” para produzir provas. A questão jurídica está concentrada principalmente na forma pela qual a prova é obtida, preservada e utilizada, e não na marca do programa empregado.
Isso envolve autorização judicial quando necessária, respeito aos limites da medida determinada pela Justiça, documentação dos procedimentos periciais, integridade do material e cadeia de custódia. O relatório do Caso Master fornece um exemplo desse mecanismo. A extração foi formalizada em laudo técnico e acompanhada da geração do hash do conjunto de dados, permitindo verificar se o conteúdo analisado posteriormente corresponde ao material originalmente obtido.
O próprio documento estabelece ainda limites para a utilização das informações encontradas. A PF afirma que, diante das regras específicas envolvendo magistrados e integrantes do Ministério Público, o trabalho apresentado ficou restrito aos dados brutos e elementos informacionais existentes no acervo da Operação Compliance Zero, sem aprofundamento investigativo direcionado a essas autoridades.
A investigação do Master acaba, assim, abrindo uma janela sobre uma estrutura tecnológica normalmente pouco visível da Polícia Federal. Por trás das mensagens reproduzidas nos relatórios existe uma cadeia de processamento que começa na apreensão do dispositivo, passa pela extração forense e preservação dos dados, segue pela indexação e pesquisa automatizada e chega ao cruzamento de logs, metadados, arquivos residuais e registros de aplicativos.
No Caso Master, essa infraestrutura permitiu reconstruir acontecimentos ocorridos dentro de um smartphone com intervalos de poucos segundos. Resta esclarecer justamente a primeira etapa dessa cadeia: qual ferramenta conseguiu extrair os dados do iPhone 17 Pro de Daniel Vorcaro. A resposta pode estar no Laudo nº 4281/2025, citado pela PF como o documento técnico que materializou a extração, mas não reproduzido no relatório de 218 páginas.
*Imagem extraída do Jornal da Cidade.
