Por Cleber Lourenço
Quando a Polícia Federal produziu, em 19 de fevereiro de 2026, um relatório sobre os dados extraídos do celular de Daniel Vorcaro, os investigadores já tinham recuperado uma mensagem em que o banqueiro falava em procurar “Andrei” e “Paulo” para evitar que subordinados da PF e do Ministério Público Federal fizessem “alguma sacanagem”. Naquele momento, porém, a corporação ainda não identificava Alexandre de Moraes como destinatário.
A PF apontava “Andrei” como provável referência ao diretor-geral da corporação, Andrei Rodrigues, e “Paulo” como provável menção ao procurador-geral da República, Paulo Gonet. Quem estava do outro lado da comunicação aparecia no documento apenas como “interlocutor”.
Isso começou a mudar já no mês seguinte. Em março, a PF avançou no cruzamento dos dados extraídos do iPhone 17 Pro apreendido na primeira prisão de Vorcaro e começou a identificar quem seriam os destinatários das notas encontradas no aparelho. Registros mostraram comunicações com Moraes nos mesmos horários em que textos eram salvos no aplicativo Notas.
O avanço foi possível porque Vorcaro deixava rastros de uma forma peculiar de comunicação: escrevia o texto no bloco de notas do celular, fazia uma captura de tela e enviava a imagem pelo WhatsApp como mídia de visualização única. O cruzamento desses vestígios permitiu à PF relacionar conteúdos recuperados no celular aos registros de envio pelo aplicativo.
O iPhone apreendido na primeira prisão
O ponto de partida foi 17 de novembro de 2025, quando Vorcaro foi preso pela primeira vez, em Guarulhos. No dia seguinte, a PF deflagrou formalmente a Operação Compliance Zero. Durante o cumprimento das medidas judiciais, os policiais apreenderam o iPhone 17 Pro usado pelo banqueiro.
É desse aparelho que saíram as notas apagadas, os registros do WhatsApp e os demais dados analisados nos meses seguintes. Depois da apreensão, a PF fez a extração forense do conteúdo do celular e passou a trabalhar sobre os dados obtidos.
Para organizar e analisar esse material, os investigadores utilizaram, entre outras ferramentas, o IPED, software desenvolvido pela própria Polícia Federal para processar grandes volumes de evidências digitais. O programa permite indexar, pesquisar e relacionar arquivos e informações extraídos de dispositivos apreendidos, facilitando a análise de registros originalmente espalhados por diferentes aplicativos e diretórios.
Essa etapa é importante para entender o caminho da investigação. Recuperar a anotação de Vorcaro não significava automaticamente saber para quem ela havia sido enviada. Depois de encontrar o texto, a PF ainda precisava relacionar os vestígios deixados no aplicativo Notas aos registros existentes no WhatsApp.
Em fevereiro, a mensagem já estava lá
Em 19 de fevereiro de 2026, a PF já havia recuperado uma anotação criada por Vorcaro às 13h13min29s de 30 de outubro de 2025, 18 dias antes de sua prisão. A cópia do relatório traz 2025 no campo da data, um erro material incompatível com a própria cronologia, já que o celular analisado só foi apreendido em novembro daquele ano.
Na mensagem, Vorcaro dizia que viajaria a Abu Dhabi para encontrar um interlocutor e relatava informações que afirmava ter recebido de pessoas de dentro do Banco Central. Segundo o banqueiro, havia forte pressão da PF e do MPF para que fossem adotadas medidas contra ele.
Vorcaro escreveu que seria importante que seu interlocutor reforçasse a situação com “Andrei” e “Paulo”. A PF apontou o primeiro como provável referência a Andrei Rodrigues e o segundo como provável referência a Paulo Gonet. O banqueiro dizia que era preciso evitar que subordinados nas duas instituições fizessem “alguma sacanagem” porque, segundo escreveu, “aí vai tudo pro saco”.
A anotação havia sido apagada poucos minutos depois de criada, mas foi recuperada durante a extração dos dados. O texto, portanto, já estava nas mãos dos investigadores em fevereiro. O destinatário ainda não: naquele relatório, a PF continuava tratando a pessoa para quem Vorcaro dirigia a mensagem apenas como “interlocutor”.
Em março, PF começa a identificar os destinatários
A investigação avançou no mês seguinte. Em março de 2026, a PF começou a identificar quem seriam os destinatários das notas recuperadas do celular, cruzando as anotações com os registros das comunicações feitas pelo WhatsApp.
A forma como Vorcaro enviava determinados conteúdos foi importante para essa reconstrução. O banqueiro escrevia a mensagem no aplicativo Notas, fazia um print e encaminhava a imagem pelo WhatsApp como mídia de visualização única. Depois de aberta, ela desaparecia da conversa, mas a nota e a captura haviam sido produzidas no próprio iPhone que estava nas mãos da PF.
Os dados do WhatsApp estavam distribuídos em estruturas diferentes. Havia uma pasta dedicada às mídias enviadas nos chats, outra às fotos de perfil dos contatos e uma terceira aos contatos, com nome e número de telefone. Com o material organizado para análise, os investigadores puderam cruzar essas informações com os registros deixados pelo aplicativo Notas.
Por isso, encontrar isoladamente uma imagem em determinada pasta não bastava para determinar quem a havia recebido. Era necessário relacionar horários, arquivos e informações sobre os contatos.
O cruzamento acrescentou uma informação importante: Vorcaro enviou mensagens a Alexandre de Moraes nos mesmos horários em que notas eram salvas no aplicativo Notas, conforme imagens dos dados extraídos do celular. A correspondência temporal, combinada aos demais registros do WhatsApp, permitiu à PF começar a relacionar os textos recuperados aos seus destinatários.
É nessa etapa, em março, que Moraes passa a ser relacionado às anotações que, no relatório de 19 de fevereiro, ainda apareciam dirigidas apenas a um “interlocutor”.
A visualização única não eliminou os rastros
O método usado por Vorcaro também explica por que a PF conseguiu reconstruir parte dessas comunicações apesar do uso de mídias de visualização única. Antes de chegar ao WhatsApp, o conteúdo havia existido no iPhone como uma nota e depois como uma captura de tela. A PF tinha justamente o aparelho em que esses arquivos haviam sido produzidos.
As respostas recebidas pelo banqueiro não deixaram necessariamente o mesmo caminho. Como o telefone apreendido era o de Vorcaro, e não o aparelho de Moraes, conteúdos que desapareceram da conversa e não deixaram vestígios recuperáveis no iPhone não puderam ser reconstruídos da mesma maneira.
O material permite, assim, acompanhar com mais precisão aquilo que partiu do celular do banqueiro, mesmo sem necessariamente preservar a íntegra das conversas.
De “interlocutor” a Moraes
A diferença entre fevereiro e março mostra o avanço da investigação. Em 19 de fevereiro, a PF tinha recuperado a mensagem sobre “alguma sacanagem”, sabia quando ela havia sido escrita e apontava as prováveis referências a Andrei Rodrigues e Paulo Gonet. Faltava estabelecer quem estava do outro lado.
No mês seguinte, a PF começou a preencher essa lacuna. O cruzamento dos horários das notas com os registros do WhatsApp passou a relacionar Moraes às mensagens enviadas por Vorcaro.
A identificação voltou agora ao centro do caso depois que André Mendonça pediu à PF esclarecimentos sobre as referências encontradas no material a Moraes, Andrei e Gonet. O conteúdo produzido pela corporação foi encaminhado à Procuradoria-Geral da República para manifestação.
A mensagem sobre “alguma sacanagem”, portanto, já estava nas mãos da PF em fevereiro. Foi em março que a investigação começou a avançar sobre a informação que faltava: quem estava do outro lado da comunicação.