Banco Master: Mensagens Apagadas e Prova Digital

A ideia de que uma informação desaparece definitivamente depois de apagada já não corresponde à realidade dos dispositivos eletrônicos.

Celulares e computadores registram continuamente uma série de operações que nem sempre permanecem visíveis ao usuário. Arquivos temporários, metadados, registros de atividade, bancos de dados e informações produzidas pelo próprio sistema operacional podem sobreviver à exclusão de determinado conteúdo e, dependendo das circunstâncias, permitir a reconstrução de acontecimentos que pareciam ter sido eliminados.

Os desdobramentos recentes da investigação envolvendo o Banco Master tornaram essa possibilidade particularmente concreta. Segundo informações divulgadas após o levantamento do sigilo de parte do material investigativo, a Polícia Federal conseguiu reconstruir comunicações enviadas por Daniel Vorcaro pelo recurso de visualização única do WhatsApp.

Contudo, o mecanismo utilizado não corresponde simplesmente à recuperação de uma mensagem que permanecia armazenada no WhatsApp. De acordo com o material divulgado, Vorcaro escrevia as mensagens no aplicativo Notas do iPhone, fazia capturas de tela e encaminhava as imagens pelo WhatsApp como mensagens de visualização única. A perícia identificou arquivos e registros relacionados a essas etapas e cruzou essas informações com dados de atividade do aparelho. 

O episódio expõe uma questão que ultrapassa o caso concreto: até onde a perícia digital pode reconstruir uma comunicação e quais requisitos devem ser observados para que essa reconstrução possa ser utilizada como prova no processo penal?

A resposta não é tão simples, ela passa por uma distinção essencial entre vestígio, informação e prova.

1. O que a perícia consegue recuperar quando uma mensagem já não está mais disponível?

A exclusão de um conteúdo da interface de um aplicativo não implica, necessariamente, que todas as informações relacionadas àquela atividade tenham desaparecido. O dispositivo pode conservar registros produzidos pelo sistema operacional e pelos próprios aplicativos, além de arquivos residuais, metadados, bancos de dados e registros de atividade.

Esses elementos podem permitir a identificação de eventos que já não estão disponíveis na forma originalmente apresentada ao usuário. É justamente nesse campo que atua a perícia digital.

No caso Banco Master, segundo a documentação divulgada, a reconstrução das mensagens não teria ocorrido pela recuperação direta das imagens enviadas pelo WhatsApp. A análise partiu do cruzamento entre registros do aplicativo, arquivos produzidos pelo iOS e outros vestígios encontrados no aparelho.

Aqui está uma distinção fundamental: recuperar um conteúdo e reconstruir uma comunicação a partir dos vestígios que ela deixou são operações diferentes. Na recuperação, o próprio objeto da prova é localizado. Na reconstrução, chega-se a uma conclusão sobre aquilo que provavelmente ocorreu a partir da combinação de fragmentos.

Recuperar um conteúdo é trazer aos autos o próprio objeto da prova. Reconstruir é produzir uma narrativa sobre o que provavelmente existiu a partir dos fragmentos que sobraram. - Maurício Moscardi

A distinção também alcança a natureza do documento que apresenta essa conclusão. Perícia e relatório de investigação não são sinônimos. A perícia criminal é um ato formal, submetido a exigências próprias, que resulta em laudo no qual devem ser descritos os exames realizados, os métodos empregados e aquilo que tecnicamente pode ser afirmado a partir dos elementos examinados.

O relatório de investigação, por outro lado, pode reunir diferentes indícios, estabelecer relações entre eles e apresentar uma interpretação sobre os fatos. Trata-se de atividade legítima da investigação, mas que não se confunde com a conclusão de um exame pericial.

Essa diferença importa porque uma reconstrução baseada em logs, metadados e registros de utilização não se transforma em conteúdo original apenas porque foi apresentada em um documento de aparência técnica. A natureza do documento decorre da função que desempenha e do conteúdo que apresenta, não da formação profissional de quem o assina.

Para a defesa, a primeira questão não é apenas saber se determinada comunicação pode ser reconstruída. É identificar o que foi efetivamente encontrado, o que foi tecnicamente demonstrado e o que resulta da interpretação desses elementos.

2. Um vestígio digital, por si só, pode ser tratado como prova?

Não.

A localização de um determinado dado em um dispositivo eletrônico responde, inicialmente, a uma questão de existência: aquele elemento estava presente ou foi registrado naquele aparelho? Isso, porém, não é suficiente para determinar o seu valor probatório.

Nesse sentido, a questão seguinte é mais complexa: o que esse elemento efetivamente demonstra sobre o fato investigado?

Um arquivo pode ser autêntico e, ainda assim, não comprovar a circunstância que dele se pretende extrair. Um registro de atividade pode indicar que determinada ação ocorreu, sem revelar necessariamente o seu conteúdo. Um metadado pode contribuir para estabelecer uma sequência temporal, mas não é suficiente, isoladamente, para determinar autoria ou contexto.

Na reconstrução de uma comunicação, essa cautela precisa acompanhar cada etapa do raciocínio. Se determinado vestígio sustenta a ocorrência de uma atividade, é preciso demonstrar quais elementos permitem avançar dessa constatação para a identificação de uma comunicação, de seu remetente, de seu destinatário ou de seu conteúdo.

Quando se escreve que ‘a comunicação ocorreu entre A e B às 14h’, é preciso mostrar qual vestígio sustenta cada um desses três elementos, e o que aconteceria com a conclusão se um deles caísse. - Maurício Moscardi

A inferência técnica não pode ganhar a aparência de conteúdo original apenas porque foi apresentada de forma fluida em um relatório. Cada elo da conclusão precisa ser verificável, inclusive para que se saiba o que acontece com a hipótese caso um desses elementos seja afastado.

Essa preocupação aparece de forma expressa na jurisprudência recente do STJ. Na edição 281 de Jurisprudência em Teses, publicada em junho de 2026, o tribunal destacou a preservação da cadeia de custódia e a possibilidade de exame técnico independente como elementos relacionados à integridade e à auditabilidade da prova digital. A publicação também menciona mecanismos como o algoritmo hash para assegurar a preservação da chamada “mesmidade” do elemento probatório.

A problemática, portanto, não termina na constatação de que determinado dado foi encontrado. É preciso verificar de onde ele veio, como foi preservado, de que maneira foi analisado e quais conclusões podem efetivamente ser extraídas dele.

3. Cadeia de custódia: o que acontece entre a apreensão do celular e a prova apresentada no processo?

A cadeia de custódia assume especial relevância quando o objeto da investigação é um dispositivo que concentra milhares ou milhões de informações. Nesse contexto, preservar a prova não significa apenas conservar o aparelho, mas documentar o percurso percorrido pelos dados até a análise pericial.

A extração pode envolver diferentes etapas: preservação do dispositivo, aquisição dos dados, produção de cópia forense, processamento, indexação, seleção e análise por ferramentas especializadas. O modo como cada uma delas é realizada pode interferir no resultado posteriormente apresentado.

Os arts. 158-A a 158-F do Código de Processo Penal disciplinam justamente a preservação e a documentação da história do vestígio. Quando se trata de dados digitais, isso exige mais do que a guarda física do celular. É necessário manter condições que permitam verificar o que estava originalmente no dispositivo, como foi extraído e se o material analisado corresponde ao que foi encontrado.

O STJ tem tratado a questão sem considerar que qualquer falha formal produza, por si só, a inadmissibilidade da prova. No AgRg no HC 1.014.212/ES, julgado pela Sexta Turma em fevereiro de 2026, a defesa questionou a integridade de prints de conversas de WhatsApp e outros elementos digitais. Diante de dúvida razoável sobre a autenticidade e a integridade do material, o colegiado determinou a realização de perícia técnica complementar para verificar sua fidedignidade e assegurar o contraditório.

O precedente é importante porque desloca a discussão da simples existência de uma irregularidade para uma questão mais concreta: essa falha comprometeu a confiabilidade do material? E a defesa consegue verificar isso tecnicamente?

A decisão também afasta uma leitura simplista da cadeia de custódia. Nem toda irregularidade produz automaticamente a inadmissibilidade da prova. A análise depende da natureza da falha, de seu impacto sobre a confiabilidade do material e da possibilidade concreta de a defesa verificar o que foi produzido.

É nesse ponto que a cadeia de custódia interessa diretamente à defesa. Saber que houve uma extração não basta. É preciso ter condições de examinar como ela foi realizada, quais ferramentas foram utilizadas, que material foi preservado e se houve seleção, conversão ou tratamento dos dados antes da apresentação do resultado.

Quando esse caminho não pode ser reconstruído, a defesa perde justamente a possibilidade de testar se o resultado apresentado corresponde ao vestígio que deu origem a ele.

4. Até onde a defesa consegue acompanhar o caminho percorrido pela prova digital?

A dificuldade surge quando a conclusão pericial depende de ferramentas e procedimentos técnicos aos quais a defesa não tem acesso direto. O relatório apresenta o resultado da análise, mas não necessariamente permite compreender, sozinho, como aquele resultado foi produzido.

Para exercer o contraditório de forma efetiva, pode ser necessário examinar o material extraído, as cópias forenses, os métodos empregados e os registros produzidos ao longo da análise. Sem esses elementos, a defesa fica limitada a contestar uma conclusão cujo percurso técnico não consegue reconstruir.

Essa questão foi enfrentada pelo STJ no AgRg no AgRg no HC 1.041.340/RS, julgado pela Quinta Turma em abril de 2026. O colegiado reconheceu a importância de disponibilizar à defesa o material necessário ao exame técnico da prova digital, inclusive as cópias forenses e a documentação relacionada à extração dos dados, para que possam ser verificadas questões de integridade e admissibilidade.

O problema não está apenas no acesso ao resultado. Aquilo que chega aos autos pode representar uma seleção do material encontrado. Outros registros podem fornecer contexto, confirmar determinada interpretação ou apontar para uma conclusão diferente.

Assim, a defesa precisa saber qual era o universo de dados disponível, o que foi selecionado e quais critérios orientaram essa seleção. O acesso aos dados brutos e à documentação técnica permite identificar lacunas e testar a metodologia utilizada.

A defesa  que recebe apenas o relatório final está sendo convidada a discutir a conclusão sem poder examinar as premissas.- Maurício moscardi

O contraditório, nesse campo, exige mais do que a possibilidade formal de contestar o resultado. Pressupõe acesso aos elementos necessários para compreender como ele foi produzido e, se necessário, demonstrar tecnicamente por que aquela conclusão não se sustenta.

5. Uma mensagem recuperada é a mesma coisa que o vestígio que permite reconstruí-la?

Não necessariamente. A distinção é especialmente importante quando se trata de mensagens de visualização única. Se o conteúdo original não está mais disponível e a perícia encontra outros elementos capazes de indicar que determinada comunicação foi produzida, enviada ou relacionada a determinado evento, o que existe nos autos pode não ser a mensagem original, mas um conjunto de vestígios utilizado para reconstruí-la.

Essa reconstrução pode ser tecnicamente consistente. Ainda assim, é preciso examinar o que cada vestígio efetivamente demonstra e até onde é possível avançar a partir dele.

No caso Banco Master, a documentação divulgada indica que a investigação relacionou arquivos produzidos pelo iOS, registros de aplicativos, horários, dados associados ao WhatsApp e outros elementos encontrados no aparelho. O cruzamento dessas informações permitiu aos peritos estabelecer correspondências entre diferentes registros e reconstruir a dinâmica de determinadas mensagens.

Esses elementos, contudo, não são equivalentes. Um arquivo que contenha o texto de uma anotação tem uma relação diferente com o conteúdo investigado de um registro que apenas indique a utilização de determinado aplicativo em determinado horário.

A reconstrução pode ser tecnicamente consistente e ainda assim não equivaler ao conteúdo originalmente enviado. O ponto é identificar exatamente o que cada vestígio demonstra e em que momento o raciocínio passa do dado encontrado para a inferência sobre o fato.

A defesa deve considerar, ainda, as hipóteses alternativas capazes de explicar os mesmos vestígios. Uma reconstrução precisa permitir que outro profissional, dispondo dos mesmos dados brutos, refaça o caminho que levou à conclusão.

Quanto maior a distância entre o vestígio encontrado e o fato que se pretende demonstrar, maior a necessidade de tornar cada etapa desse percurso verificável.

6. O conteúdo de uma prova digital basta para demonstrar sua autenticidade?

A autenticidade resolve apenas uma parte do problema. Saber que um arquivo é genuíno não esclarece, por si só, quando foi produzido, em que circunstâncias, quem o produziu ou se o conteúdo apresentado corresponde integralmente ao material original.

Também é necessário verificar sua origem, integridade, contexto e forma de obtenção.

Essa distinção ganha importância quando a conclusão depende de ferramentas de extração ou reconstrução. Não basta conhecer o resultado apresentado pela perícia. É preciso compreender quais dados foram utilizados, como foram tratados e se o procedimento permite uma análise independente.

O STJ tem destacado, nesse campo, a importância da auditabilidade da prova digital. A preservação da cadeia de custódia deve permitir que o material seja submetido a exame técnico e que as partes tenham condições de verificar os procedimentos empregados em sua obtenção e análise.

Na perspectiva defensiva, isso significa perguntar não apenas se houve adulteração, mas se existem elementos suficientes para demonstrar que o material é íntegro e que a conclusão extraída dele pode ser tecnicamente conferida.

7. Antes de discutir o conteúdo, o que a defesa deve perguntar sobre uma prova digital?

Antes de perguntar o que uma mensagem prova, a defesa precisa saber como aquela informação chegou ao processo.

De onde veio o dado? Em que condições o dispositivo foi apreendido? Como o conteúdo foi preservado? Quais procedimentos foram utilizados para a extração? Que ferramentas foram empregadas? O material apresentado corresponde à íntegra do que foi encontrado ou resulta de uma seleção? Existem outros registros no dispositivo que possam confirmar, contextualizar ou até contrariar a interpretação apresentada pela acusação?

Tais questionamentos dizem respeito à própria confiabilidade do elemento probatório.

A jurisprudência recente do STJ reconhece que a prova digital exige mecanismos capazes de preservar sua autenticidade, integridade e rastreabilidade, além de permitir exame técnico independente. Em caso de dúvida razoável sobre esses elementos, a Corte já reconheceu a necessidade de perícia complementar para assegurar a confiabilidade do material e o exercício efetivo do contraditório.  

Isso ganha especial importância quando a investigação trabalha com grandes volumes de dados. A seleção de determinados arquivos, mensagens ou registros pode produzir uma narrativa aparentemente coerente. Mas uma narrativa não se confunde com a totalidade da prova. Para a defesa, é fundamental saber o que ficou fora daquela reconstrução e se os elementos descartados ou não apresentados poderiam alterar sua interpretação.

O próprio STJ já ressaltou, em matéria de prova digital, a importância de assegurar às partes acesso ao material necessário para verificar sua integridade e confiabilidade. A questão não se resume a saber se houve adulteração. É preciso que a defesa tenha condições concretas de examinar o percurso da informação e confrontar a conclusão apresentada.  

Por isso, diante de uma prova digital, a pergunta defensiva não deve começar apenas por “o que esse dado mostra?”. Antes disso, é preciso perguntar: “de onde esse dado veio, o que existe por trás dele e o que permite afirmar que ele significa exatamente aquilo que a acusação sustenta?”

Nesse meio a defesa encontra os elementos necessários para testar a autenticidade da informação, identificar eventuais lacunas e avaliar o verdadeiro alcance probatório do material.

8. Se a tecnologia consegue reconstruir o que parecia apagado, quais são os limites jurídicos?

A possibilidade técnica de recuperar ou reconstruir uma informação não significa, por si só, que ela possa ser utilizada como prova. Capacidade técnica e admissibilidade jurídica pertencem a planos distintos.

A primeira questão está na própria obtenção dos dados. O STF, no Tema 977 da repercussão geral, estabeleceu parâmetros para o acesso às informações armazenadas em aparelhos celulares, distinguindo a apreensão do dispositivo do acesso ao seu conteúdo.

Mas o exame não termina aí. Mesmo quando a obtenção é juridicamente legítima, ainda é necessário verificar o que foi efetivamente recuperado, como foi reconstruído e qual força probatória pode ser atribuída à conclusão.

A questão se torna mais sensível quando diferentes vestígios são combinados para preencher lacunas deixadas pela ausência do conteúdo original. Um registro pode demonstrar que determinado arquivo foi aberto. A partir daí, pode-se formular uma hipótese sobre quem o abriu, se o conteúdo foi efetivamente lido e quais consequências teriam decorrido dessa leitura. Cada passagem acrescenta uma nova inferência.

Reconstrução que exige fé em cadeia não é prova, é narrativa. - Maurício Morscardi

Ora, não existe um número fixo de inferências que torne uma reconstrução inválida. O problema aparece quando a conclusão depende de uma cadeia de premissas que não podem ser testadas individualmente.

Uma reconstrução pode ser lícita e tecnicamente possível, mas ainda assim insuficiente para sustentar uma condenação. No processo penal, a questão não é apenas saber se determinada hipótese é plausível. É verificar se os elementos disponíveis permitem superar, de maneira racional e controlável, a dúvida sobre o fato imputado.

Por conseguinte, é este o território que a defesa deve explorar: o que foi encontrado, o que foi reconstruído e quais etapas do raciocínio permitem transformar um conjunto de vestígios em uma conclusão sobre o fato?

Conclusão - Para além do Banco Master:

O caso Banco Master tornou visível uma possibilidade que já faz parte da investigação digital: informações que deixam de aparecer na interface de um aplicativo podem deixar outros rastros no dispositivo e, a partir deles, permitir a reconstrução de determinados acontecimentos.

Logo, o problema jurídico começa justamente depois dessa possibilidade técnica.

A defesa precisa distinguir o dado encontrado da conclusão construída a partir dele. Precisa saber se está diante de um conteúdo recuperado, de uma reconstrução pericial ou de uma análise investigativa baseada no cruzamento de indícios. Precisa conhecer a origem dos vestígios, a metodologia empregada, os dados brutos e as etapas que levaram ao resultado apresentado.Para a defesa, isso muda a forma de examinar a prova. Não basta receber o resultado da extração e discutir o conteúdo selecionado pela investigação. É preciso conhecer o material que deu origem à conclusão, a forma como os dados foram obtidos e processados e os critérios utilizados para relacionar um vestígio a outro.

Essa distinção é especialmente importante quando o conteúdo original já não pode ser examinado. Nesses casos, a pergunta não é simplesmente se a tecnologia conseguiu reconstruir uma comunicação, mas o que exatamente foi reconstruído e até onde os vestígios permitem sustentar essa conclusão.

São etapas distintas e que não podem ser tratadas como se fossem uma única coisa.

A jurisprudência recente do STJ reforça a importância dessa análise. Ao tratar da prova digital, o tribunal tem destacado a preservação da cadeia de custódia, a integridade do material e a possibilidade de exame técnico independente como elementos necessários à sua confiabilidade e auditabilidade.

Para o criminalista, portanto, a questão não termina na pergunta sobre se uma mensagem pode ser recuperada. É preciso verificar de que maneira ela foi reconstruída, quais vestígios sustentam essa reconstrução e se a defesa teve acesso suficiente ao material para contestá-la.

Em investigações de maior complexidade, nas quais um grande volume de dados pode ser utilizado para reconstruir fatos e estabelecer conexões entre pessoas, eventos e comunicações, esse exame ganha ainda mais importância. A defesa precisa conseguir separar o dado original da inferência produzida a partir dele e identificar, em cada etapa, aquilo que efetivamente pode sustentar uma conclusão probatória.

Fontes:

BRASIL. Superior Tribunal de Justiça. Agravo Regimental no Habeas Corpus n. 1.014.212/ES (2025/0231341-3). Relator: Ministro Carlos Pires Brandão. Sexta Turma. Julgado em 10 fev. 2026. Diário da Justiça Eletrônico Nacional, 20 fev. 2026. Disponível em:  ⁠STJ – jurisprudência do AgRg no HC 1.014.212/ES. Acesso em: 4 set. 2026.

SUPERIOR TRIBUNAL DE JUSTIÇA. Nova edição de Jurisprudência em Teses traz entendimentos sobre prova digital e dados estáticos de conexão. Brasília, DF, 3 jun. 2026. Disponível em:  ⁠https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/03062026-Nova-edicao-de-Jurisprudencia-em-Teses-traz-entendimentos-sobre-prova-digital-e-dados-estaticos-de-conexao.aspx. Acesso em: 4 set. 2026.

BRASIL. Superior Tribunal de Justiça. Agravo Regimental no Habeas Corpus n. 1.080.226/PI (2026/0090760-0). Relator: Ministro Antonio Saldanha Palheiro. Brasília, DF, 8 abr. 2026. Disponível em:  ⁠Inteiro teor do acórdão no STJ. Acesso em: 4 set. 2026.

BRASIL. Supremo Tribunal Federal. Tema 977 da Repercussão Geral: Aferição da licitude da prova produzida durante o inquérito policial relativa ao acesso, sem autorização judicial, a registros e informações contidos em aparelho de telefone celular, relacionados à conduta delitiva e hábeis a identificar o agente do crime. Leading Case: ARE 1.042.075. Relator: Ministro Dias Toffoli. Disponível em:  ⁠Tema 977 da Repercussão Geral – STF. Acesso em: 4 set. 2026.

FOLHA DE S.PAULO. Vorcaro deixou pistas ao capturar imagem do bloco de notas, dizem funcionários de WhatsApp e Signal. Folha de S.Paulo, São Paulo, 10 mar. 2026. Disponível em:  ⁠Folha de S.Paulo. Acesso em: 4 set. 2026. https://www1.folha.uol.com.br/tec/2026/03/vorcaro-deixou-pistas-ao-capturar-imagem-do-bloco-de-notas-dizem-funcionarios-de-whatsapp-e-signal.shtml

TECNOBLOG. Caso Vorcaro: como a PF obteve mensagens apagadas do iPhone. Tecnoblog, 2026. Disponível em:  ⁠Tecnoblog. Acesso em: 4 set. 2026.