Mensagem de visualização única deixa rastros? Entenda o que os metadados podem provar

Uma mensagem de visualização única desaparece da conversa depois de aberta, mas o uso do celular pode deixar outros registros. No relatório sobre o aparelho de Daniel Vorcaro, a Polícia Federal relaciona horários, arquivos temporários, capturas de tela e alternância entre aplicativos.

Esses dados ajudam a reconstruir ações realizadas no dispositivo analisado. Não comprovam, isoladamente, quem recebeu a mensagem, se o conteúdo foi aberto ou se houve resposta.

O rastro de uma mensagem efêmera

Metadado é informação sobre outro dado: horário de criação, alteração, acesso, nome de aplicativo, caminho de armazenamento ou identificador técnico. Um único registro raramente resolve o caso. A força surge quando eventos independentes se alinham na mesma cronologia.

Se uma nota é editada, uma captura é criada segundos depois, um arquivo temporário aparece e o mensageiro é aberto em seguida, o conjunto pode sustentar a hipótese de preparação e envio de conteúdo. A conclusão precisa preservar a palavra “hipótese” quando não há registro direto de cada etapa.

O relatório de 218 páginas descreve episódios em que o aparelho abre o aplicativo de notas, registra edição, gera imagem ou arquivo temporário e, na sequência, acessa um aplicativo de mensagens. Horários muito próximos permitem aos peritos ligar ações que, isoladamente, pareceriam desconectadas.

Ferramentas forenses também podem identificar quantidades de mensagens enviadas em modo efêmero e registros de atividade do aplicativo. Em certos casos, uma captura preservada no aparelho do remetente fornece o conteúdo que o próprio sistema de mensagem já não mostra.

O que os metadados provam

Eles podem demonstrar que determinado aparelho realizou ações em horários definidos, que um arquivo existiu, que foi modificado e que aplicativos foram usados em sequência. Com validação adequada, também ajudam a verificar integridade e a excluir alterações posteriores.

Esses vestígios são especialmente relevantes quando coincidem com documentos, eventos externos ou outros dispositivos. A perícia deve explicar método, fuso horário, relógio do aparelho, ferramentas usadas e margem de incerteza para que outra equipe consiga reproduzir a análise.

O que ainda exige confirmação

O rastro no celular do remetente não prova automaticamente que o destinatário correto recebeu, abriu, leu ou respondeu. Um nome salvo na agenda não equivale, sem confirmação adicional, à titularidade certificada do número. E uma afirmação escrita pelo investigado não comprova que o fato narrado ocorreu.

Também existem explicações alternativas: arquivos podem ser criados automaticamente pelo sistema, horários podem ser normalizados por fuso, uma imagem pode ter sido preparada e não enviada, ou enviada a interlocutor diferente. É por isso que a melhor prática cruza o aparelho remetente com servidor, operadora, destinatário e contexto.

A lição do caso Master serve para qualquer processo: mensagens que desaparecem não tornam a perícia impossível, mas tornam a linguagem de certeza ainda mais importante. O rastro pode mostrar o caminho. A prova completa depende de confirmar quem estava em cada ponta e o que realmente aconteceu depois do envio.

Valores de hash funcionam como impressões digitais matemáticas do arquivo ou da imagem forense. Se o valor calculado na coleta permanece igual ao obtido na análise, há um forte indicador de que o conteúdo não foi alterado entre as duas etapas. O hash, contudo, não identifica quem escreveu a mensagem nem prova sua interpretação.

A linha do tempo também precisa declarar o fuso horário e possíveis correções do relógio do aparelho. Sistemas diferentes podem registrar o mesmo evento em UTC ou em horário local; ignorar essa diferença cria aparentes contradições e pode inverter a ordem de ações realizadas com poucos minutos de intervalo.

Aplicativos mantêm artefatos distintos: banco de dados principal, miniaturas, cache, notificações e arquivos temporários. A permanência de um desses vestígios varia conforme versão do sistema, configuração e tempo de uso. Ausência de um arquivo, por isso, não prova automaticamente que a ação nunca ocorreu.

A confirmação mais robusta surge da convergência entre fontes independentes: cópia forense do remetente, registros do destinatário, dados da plataforma obtidos legalmente, informação da operadora e eventos externos. Quanto maior a distância entre o vestígio e a conclusão publicada, mais explícita deve ser a margem de incerteza.