Documento da perícia federal serve de ponto de partida para entender um comportamento do iOS que a Apple documenta desde a versão 13: fotografar a tela gera um PDF que o usuário não vê, não escolhe e não apaga.

Um relatório da Polícia Federal enviado ao Supremo Tribunal Federal em agosto de 2026 é o ponto de partida desta reportagem por um detalhe técnico: ele usou como elemento de prova um tipo de arquivo que ninguém no aparelho examinado escolheu criar. Ao analisar o iPhone 17 Pro apreendido com o dono do Banco Master, Daniel Bueno Vorcaro, peritos localizaram o PDF automático do iPhone, com o mesmo conteúdo de textos que ele havia fotografado na tela e enviado pelo WhatsApp. Os arquivos estavam numa pasta temporária do sistema operacional, à qual o usuário do aparelho não tem acesso.

A extração dos dados do relatório mostra 47 sequências em que uma captura de tela e a criação de um arquivo PDF de conteúdo idêntico acontecem no mesmo instante. Em 45 delas o registro do sistema marca o mesmo segundo para os dois eventos. Nas outras duas, o PDF aparece um segundo depois da captura. O intervalo coberto vai de 30 de outubro a 17 de novembro de 2025, véspera da apreensão do aparelho.

O mecanismo não é um defeito nem uma falha de segurança. Está documentado pela Apple desde o iOS 13 e funciona em qualquer iPhone com uma versão recente do sistema. A diferença é que, até este relatório, ele circulava como conhecimento de nicho entre peritos forenses. Agora está descrito em português, num documento de 218 páginas endereçado a um ministro do Supremo.

O que a Polícia Federal encontrou na pasta temporária

O aparelho foi apreendido em 18 de novembro de 2025, em busca pessoal, e a extração dos dados foi materializada no Laudo nº 4281/2025 do Setor Técnico-Científico da Superintendência Regional da Polícia Federal em São Paulo, com registro do valor de resumo criptográfico dos dados obtidos.

Advertisement

A análise posterior foi feita com dois programas de perícia digital, o Indexador e Processador de Evidências Digitais na versão 4.2.2 e o Cellebrite Reader na versão 10.7.1.5013. Foi nessa etapa que os arquivos apareceram. O caminho registrado no relatório aponta para o diretório de dados de um aplicativo, dentro da subpasta chamada tmp, a mesma abreviação usada em sistemas Unix para conteúdo descartável.

A descrição do fenômeno ocupa um parágrafo na sétima página do documento, e é a formulação mais direta do achado: “No sistema operacional do iPhone (iOS), determinadas ações rotineiras podem fazer com que o próprio aparelho converta, de forma automática, o conteúdo exibido na tela em um documento no formato PDF, armazenado provisoriamente em área interna do sistema, inacessível ao usuário comum.”

O texto acrescenta que, encerrada a ação, o arquivo permanece por algum tempo no dispositivo como vestígio residual da operação. Não há prazo declarado. Na prática, os arquivos gerados entre o fim de outubro e o meio de novembro de 2025 sobreviveram à apreensão e ainda estavam legíveis quando a análise foi feita.

O relatório trata esses PDFs como corroboração, não como o achado principal. A função deles no raciocínio da perícia é demonstrar que os textos foram efetivamente exibidos e manipulados no aparelho examinado, “funcionando como registro involuntário deixado pelo próprio sistema e corroborando a dinâmica descrita”.

Quarenta e sete vezes, quase sempre no mesmo segundo

Os quadros de análise do relatório trazem, para cada nota examinada, uma linha com sete horários em tempo universal coordenado: abertura do aplicativo de notas, captura de tela, criação do arquivo PDF, fechamento das notas, abertura do WhatsApp, envio da mensagem e fechamento do aplicativo.

Advertisement

A extração automatizada desses quadros a partir do texto congelado do documento devolve 47 pares únicos de captura e criação de PDF. A contagem é derivada: resulta de processamento das tabelas do relatório, não de um número que a Polícia Federal tenha declarado. O documento apresenta 50 figuras do tipo “Ações empreendidas por DANIEL VORCARO”, e três delas não têm o quadro em formato recuperável pelo processamento aplicado.

Dos 47 pares, 45 registram captura e PDF no mesmo segundo. O relatório descreve a regularidade em uma linha: “no mesmo segundo ou no segundo seguinte ao screenshot, o PDF é criado”. Os dois restantes têm um segundo de diferença, e ocorreram em 4 de novembro às 20h51 e em 16 de novembro às 21h19, ambos em tempo universal coordenado. Nenhum par apresenta intervalo maior.

A distribuição ao longo do tempo é irregular. Doze dias distintos concentram as 47 ocorrências, com pico em 16 de novembro, quando 12 sequências foram registradas, dois dias antes da apreensão. Em 10, 11 e 15 de novembro há uma ou duas ocorrências por dia.

O que a Apple documenta sobre a geração do PDF

O relatório descreve o efeito sem nomear a causa. Fala em “determinadas ações rotineiras”, sem identificar qual. A documentação técnica da Apple identifica.

O sistema chamado UIScreenshotService é descrito pela empresa como o objeto que coordena a criação de capturas em PDF do conteúdo de um aplicativo. Segundo a documentação do UIKit, quando alguém tira uma captura de tela, o sistema pede ao aplicativo os dados em PDF daquele conteúdo. A documentação registra a disponibilidade do recurso a partir da versão 13 do iOS.

Advertisement

O método que faz o trabalho tem uma descrição de uma linha na referência da Apple, e é ela que explica por que o arquivo interessa a um perito: ele gera uma versão em PDF de alta fidelidade de todo o conteúdo da cena de janela, e o que estava visível é só uma parte disso.

Há uma condição que o relatório não menciona e que limita o alcance do fenômeno. O aplicativo precisa aderir ao protocolo e designar um objeto que responda ao pedido do sistema. Aplicativos que não implementam essa camada não geram PDF nenhum quando o usuário fotografa a tela. Os aplicativos da própria Apple, entre eles o de notas usado no aparelho examinado, implementam.

A empresa também registra que, a partir do iOS 17 e do iPadOS 17, o usuário passou a ter a opção de compartilhar ou salvar a captura de página inteira gerada como PDF ou como imagem. A opção é sobre o que fazer com o arquivo depois. Não é sobre gerá-lo.

Por que o arquivo mostra mais do que estava na tela

A distinção entre a captura de tela e o PDF é o ponto que separa este caso de uma discussão banal sobre prints. A captura de tela é uma imagem do que cabia no visor no momento em que os botões foram pressionados. O PDF é do conteúdo inteiro.

Numa nota longa, isso significa que o arquivo gerado contém o texto que o usuário havia rolado para fora do campo de visão. Numa página da web, contém o que estava acima e abaixo do trecho enquadrado. O usuário decide o recorte da imagem. Não decide o recorte do PDF.

Advertisement

Para uma investigação, a diferença é substantiva. A imagem enviada por mensagem mostra o que o remetente quis mostrar. O arquivo residual guarda o documento como ele existia no aparelho.

Há ainda a assimetria de percepção. A captura de tela é visível: o aparelho emite som, exibe uma miniatura no canto e salva o resultado no álbum de fotos, onde o usuário pode apagá-lo. O PDF não emite som, não exibe miniatura, não aparece em nenhum aplicativo e não pode ser apagado pelo dono do aparelho, que não tem como enxergar a pasta onde ele está.

O caminho que a Apple oferece, e o que o usuário enxerga dele

Do lado do usuário, o recurso aparece como conveniência. A empresa instrui que, para capturar conteúdo que excede o comprimento da tela do iPhone, como uma página inteira no navegador, basta fazer a captura normal e tocar na opção Página Completa. Dali, o material pode ser salvo como imagem no álbum de fotos ou como PDF no aplicativo Arquivos.

Essa é a rota visível. Ela exige três gestos deliberados: pressionar os botões, tocar na miniatura, escolher a opção. O que o relatório da Polícia Federal descreve fica antes disso. O arquivo já existe quando o usuário toca na miniatura, e continua existindo quando ele não toca.

A mesma página de instruções registra outra função ativada pela captura de tela: a inteligência visual, usada para interagir com texto e buscar imagens semelhantes. O gesto que produz o arquivo residual é hoje também a porta de entrada de um sistema de análise de conteúdo.

Advertisement

A página de instruções da Apple não descreve opção para desativar a geração do documento em PDF. As opções que ela lista dizem respeito ao que fazer com a captura depois de feita, entre recortar, anotar, compartilhar, salvar e cancelar.

O que o usuário não controla no próprio aparelho

O caso concreto vale como aviso para quem não é investigado. Quatro rastros descritos no relatório ou na documentação da Apple existem em qualquer iPhone em uso normal, e o dono do aparelho não vê nenhum deles.

O primeiro é o PDF da captura de tela. Em aplicativo que adere ao recurso da Apple, fotografar a tela produz dois arquivos: a imagem que aparece no álbum e o documento que fica na pasta temporária. A imagem pode ser apagada. O documento não pode, porque a pasta em que ele está é inacessível ao usuário.

O segundo é a imagem do alternador de aplicativos. A documentação da Apple para desenvolvedores estabelece que, depois que um aplicativo entra em segundo plano, o sistema captura a interface em uso e exibe o resultado no alternador e, brevemente, ao trazer o aplicativo de volta. A mesma documentação orienta que a interface não contenha informação sensível nesse momento, como senhas ou números de cartão, e que o desenvolvedor a remova das telas antes de o aplicativo sair de primeiro plano. A proteção depende de cada aplicativo ter feito isso. O usuário não tem como saber quais fizeram.

O terceiro é o registro de uso. As duas categorias de dados que sustentaram a reconstrução da perícia, os eventos do sistema e o histórico de abertura e fechamento de aplicativos, são produzidas pelo aparelho em operação normal. Registram o instante de cada captura de tela e o instante de cada envio de mensagem, com precisão de segundos. Foi cruzando esses dois registros com a data de criação dos PDFs que a perícia amarrou cada captura ao envio de uma mensagem, sem precisar ler o conteúdo cifrado.

Advertisement

O quarto é o alcance da criptografia. A criptografia de ponta a ponta do aplicativo de mensagens protege o conteúdo em trânsito e impede que a empresa leia o que foi enviado. Ela não apaga o texto original do aplicativo de notas, não impede o registro do horário de envio nem alcança o PDF que o sistema gerou antes de a mensagem existir.

O que reduz o rastro, e o que não reduz

Sobre o PDF, a Apple não descreve ajuste. As opções que ela lista para a captura de tela dizem respeito ao que fazer com ela depois de feita, entre recortar, anotar, compartilhar, salvar e cancelar. O gatilho é a captura, e é sobre ele que o usuário decide. Para conteúdo que não pode circular, o critério é não fotografar a tela.

Sobre a imagem do alternador, a proteção existe onde o aplicativo a implementou. O Signal oferece a opção em ajustes, privacidade, ocultar tela no alternador de aplicativos. Para aplicativos sem essa opção, encerrar o aplicativo em vez de deixá-lo em segundo plano reduz a janela em que a imagem está em uso, sem garantia sobre o que já foi gravado.

Sobre os registros de uso e o PDF residual, a documentação da Apple consultada não descreve configuração que os desligue. Eles fazem parte do funcionamento do sistema.

Todas essas medidas têm um limite. Elas reduzem o que fica gravado. Não protegem contra a extração dos dados de um aparelho apreendido já desbloqueado ou com a senha conhecida, que é a condição em que o iPhone examinado pela Polícia Federal foi analisado.

Advertisement

Desdobramentos

O relatório consigna que, em razão do prazo de 72 horas fixado para o atendimento da requisição judicial, a análise não tem caráter exaustivo. Para o que interessa a esta reportagem, isso significa que o número de PDFs residuais localizados no aparelho é um piso, não um teto.

Sobre o mecanismo do sistema operacional, não há indicação, na documentação pública da Apple consultada até o fechamento desta reportagem, de mudança prevista no comportamento descrito.

Leia também:

Conexão MT lança Mapa do Poder MT 2026 com patrimônio de 439 candidatos

Advertisement

Lei que proíbe Caderneta da Gestante teve parecer de 5 palavras e canetada de Abílio

EXCLUSIVO-Antivacina: posts de Ranalli alcançam 430 mil visualizações em uma semana

“Isso aqui é o matadouro”: vídeo mostra cães mortos e vivos em barracão sem luz do Zoonoses de Cuiabá

EXCLUSIVO:compras pela internet: o guia completo dos direitos do consumidor

EXCLUSIVO:Mato Grosso mata mais mulheres por serem mulheres;revela anunário

Advertisement

EXCLUSIVO: ex-assessor acusa deputado Dr. João de confiscar salários e manter funcionários fantasmas;VÍDEO

Glifosato aparece em 31 de 75 ultraprocessados testados pelo Idec, saiba quais