Como a Polícia Federal recupera dados apagados e desvenda crimes

Forças policiais e peritos intensificaram, nesta sexta-feira, 17 de abril de 2026, a demonstração de suas capacidades ao desvendar como acessam informações cruciais de celulares e serviços na nuvem, mesmo após tentativas de exclusão. A relevância dessas técnicas veio à tona com operações de alto impacto, como a deflagrada na quarta-feira, 15 de abril, que desmantelou um esquema de lavagem de R$ 1,6 bilhão. Essas ferramentas são vitais para o combate a crimes complexos, mas também acendem debates sobre o equilíbrio entre a busca por justiça e a privacidade individual.

Nessa megaoperação de 15 de abril, a análise de arquivos no iCloud foi o ponto de partida, permitindo à Polícia Federal cruzar dados como extratos, conversas e documentos financeiros. Em outra investigação recente, a PF identificou mensagens do dono do Banco Master, Daniel Vorcaro, ao ex-presidente do BRB Paulo Henrique Costa, que foi detido pela PF na quinta-feira, 16 de abril, conforme noticiado pelo blog da Andréia Sadi.

Casos como o que envolveu MC Ryan SP e MC Poze do Rodo, evidenciando a importância de backups em serviços como o iCloud, reforçam a capacidade das autoridades. A análise de dados na nuvem ou em plataformas como Google Drive pode ser feita diretamente no aparelho desbloqueado do investigado ou mediante ordem judicial para as plataformas compartilharem o material.

A demanda por essas informações é crescente. De janeiro a junho de 2025, o Google recebeu 38.290 pedidos de dados de usuários e atendeu 77% deles. No mesmo período, a Apple teve 7.592 solicitações de dados de aparelhos (79% atendidas) e 3.678 pedidos de dados na nuvem (81% atendidos).

Além da nuvem, policiais com acesso físico aos celulares empregam programas avançados, como o israelense Cellebrite UFED e o americano Magnet Greykey. Essas ferramentas, de uso restrito, são capazes de contornar mecanismos de bloqueio e extrair um vasto volume de informações de um dispositivo.

Os programas alcançam o histórico de mensagens em aplicativos como WhatsApp e Telegram e, em muitos casos, conseguem recuperar dados que o usuário já havia apagado. Isso ocorre porque as ferramentas focam em bancos de dados e outros registros profundos na memória do dispositivo, não apenas no conteúdo visível.

Como o aparelho é desbloqueado

O primeiro passo é sempre o desbloqueio do celular. Se o dono do aparelho fornecer a senha, o processo é simples. Caso contrário, são usados programas de perícia que buscam contornar o bloqueio para a extração dos dados.

Quando esses programas entram em ação, eles exploram brechas de segurança específicas do modelo do celular. “Esse mecanismo de desbloqueio funciona literalmente como hackear o celular. Mas o Cellebrite ainda não tem uma forma automatizada de quebrar a senha de um iPhone 17, por exemplo”, explicou Marcos Monteiro, presidente da Associação Nacional dos Peritos em Computação Forense (Apecof), ao g1, referindo-se ao modelo lançado em 2025 pela Apple. A descoberta dessas falhas leva tempo, o que dificulta o processo em aparelhos mais recentes.

As ferramentas que contornam o bloqueio de celulares são exclusivas para especialistas forenses e suas licenças anuais podem custar até US$ 50 mil (cerca de R$ 250 mil, na cotação de 16 de abril).

Como os dados são extraídos

Os programas de extração de dados operam em dispositivos que se conectam ao celular via conexão USB, identificando o método mais eficaz para obter as informações. As ferramentas atuam em um nível profundo, explorando vulnerabilidades nos sistemas operacionais, e não apenas nos aplicativos.

Marcos Monteiro destaca que “o tipo de extração vai permitir definir o nível de dados que pode ser organizado”. Ele descreve o processo em quatro níveis, que vão do mais superficial ao mais profundo:

• Extração lógica: Utiliza o sistema operacional para obter dados como contatos, registros de chamadas e fotos visíveis.
• Extração lógica avançada: Usa privilégios do sistema para ir além, incluindo bancos de dados de aplicativos e informações temporárias.
• Extração em sistema de arquivos: Alcança arquivos ocultos e registros em código, embora nem sempre seja possível devido a mecanismos de segurança.
• Extração física: Recupera a maior quantidade de dados, inclusive aqueles que permanecem na memória mesmo após terem sido “apagados” (não substituídos por novas informações).

“O mesmo celular pode ser submetido a mais de uma extração, isso não é incomum. É importante”, reforçou Monteiro. “Na hora da análise, pode ser que um tipo de extração não tenha trazido a informação que você quer, mas há outro tipo que trouxe”. Ele ainda complementa que “com algumas ferramentas, é possível ‘quebrar’ essa senha de um jeito muito mais fácil. Se desligar e ligar, fica mais difícil de quebrar”.

Como os dados são analisados

Após a extração do material bruto, os investigadores utilizam programas específicos para análise, que convertem arquivos ilegíveis e organizam vastos volumes de informações. Um exemplo notável é o IPED (Indexador e Processador de Evidências Digitais), desenvolvido por peritos da PF em 2012.

O IPED busca informações em registros de WhatsApp, Telegram e outros bancos de dados do aparelho, agilizando investigações ao identificar padrões como números de CPF e valores monetários. “O IPED não ignora nada que está no aparelho celular. Ele organiza algumas coisas e, nas que não são organizadas, permite fazer uma consulta um pouco mais avançada”, esclareceu Monteiro.

O perito também mencionou programas capazes de recuperar mensagens de visualização única. “Para isso, é preciso ler o banco de dados do WhatsApp ou do Telegram, e não acessar o aplicativo no aparelho de celular”.

Como é a proteção em aplicativos de mensagens

Desde 2016, as conversas no WhatsApp contam com criptografia de ponta a ponta, projetada para impedir interceptações. O aplicativo explica em seu site: “Antes de uma mensagem sair do seu dispositivo, ela é protegida com um cadeado de criptografia e apenas o destinatário da conversa tem as chaves para abri-lo”.

O Telegram também oferece essa proteção, mas, por padrão, armazena as conversas em seu servidor. A empresa informou ao g1 que, embora se esforce para proteger usuários, a segurança não pode ser garantida em um dispositivo comprometido. “Uma vez que a segurança do sistema operacional subjacente é contornada, o invasor essencialmente obtém o mesmo acesso que o proprietário do aparelho”, declarou o Telegram.