Independentemente da forma de análise, o primeiro passo após a apreensão de aparelhos eletrônicos é “quebrar a senha” e acessar o conteúdo. Para isso, dois dos softwares mais conhecidos usados pela PF são o Cellebrite e o Graykey. Ambos realizam uma “extração bruta” copiando absolutamente tudo o que está no aparelho, incluindo até mesmo fragmentos perdidos diretamente do banco de dados. É o que os peritos chamam de cópia “bit por bit”, que significa basicamente espelhar todo e qualquer conteúdo presente em notebooks ou celulares.

No caso de Vorcaro, os agentes recuperaram todos os dados de um iPhone 17 Pro, apreendido em novembro de 2025 durante a Operação Compliance Zero.

Alguns dos diálogos foram inicialmente revelados pela colunista Malu Gaspar, do GLOBO, que mostrou conversas com o ministro Alexandre de Moraes no dia da primeira prisão de Vorcaro, em novembro de 2025.

Pela lógica imaginada por Vorcaro, ao enviar a imagem em visualização única, a imagem não seria salva no celular do destinatário e do remetente após ser aberta e deletada. Entretanto, os peritos da PF descobriram que o sistema operacional possuía um mecanismo automatizado de salvamento. Ao ser realizada a captura de tela das notas, o sistema gerava de forma automática, em uma pasta oculta, uma cópia em formato PDF com teor idêntico ao exibido na tela.

• Qual é o seu perfil ideológico? Teste do GLOBO revela sua posição político-ideológica com base em uma série de perguntas

Esse arquivo residual é armazenado em uma pasta de arquivos temporários chamada "tmp", que só é acessível por meio de softwares específicos. Como o aparelho celular de Vorcaro foi apreendido poucas horas após o envio de mensagens para Moraes, o espelhamento da PF conseguiu recuperar esses arquivos temporários intactos.

Além disso, a PF fez um cruzamento. Para demonstrar que os arquivos não apenas foram capturados por Vorcaro mas também enviados para Alexandre e Moraes, a equipe da PF utilizou outro software, o IPED, para cruzar informações com outras bases de dados do celular, como a de uso de aplicativos, que registra o segundo exato em que cada aplicativo é aberto e fechado, e os chamados logs, que registram eventos internos do sistema, como quando um pacote de dados (como uma imagem) sai do aparelho por meio do WhatsApp.

Essa análise cronológica é que permitiu a identificação de um padrão de comportamento repetido dezenas de vezes por Vorcaro. Sempre em questão de segundos, o sistema registrava que Vorcaro abria o bloco de notas e alterava o texto, mesmo que sem registrar o que ele tinha escrito. Em seguida, o sistema também registrava que Vorcaro fazia uma captura de tela. No momento seguinte, o log registrava que o banqueiro fechava o bloco de notas e abria o WhatsApp. E, por fim, o último registro era de que Vorcaro enviava uma mensagem e fechava o WhatsApp.

Ou seja, mesmo sem saber o conteúdo, a PF identificou a movimentação exata que Vorcaro fazia no celular. Ao analisar os dados do WhatsApp, a PF comprovou que o número ligado a Alexandre de Moraes, salvo na agenda de Vorcaro como "Alexandre de Moraes BRASILIA" era o destinatário imediato de todas as primeiras interações do WhatsApp ocorridas segundos após cada captura de tela. Ao todo, foram 52 mensagens enviadas entre 30 de outubro e 17 de novembro.