Você tira um print da tela do iPhone, opta por apenas copiar a imagem e apagá-la, cola em outro aplicativo e a história aparentemente termina aí, certo?
Nem sempre.
O caso envolvendo Daniel Vorcaro acabou revelando uma curiosidade do iPhone que provavelmente passa despercebida até mesmo por quem usa o aparelho há anos.
Durante a perícia realizada pela Polícia Federal, investigadores encontraram arquivos em PDF criados automaticamente pelo iOS a partir de conteúdos que haviam sido capturados em screenshots.
Esses documentos estavam armazenados em uma área interna do sistema, invisível para o usuário comum, e acabaram ajudando a reconstruir uma sequência de mensagens que já não estava disponível da maneira convencional.
A descoberta chama atenção porque, quando fazemos uma captura de tela no iPhone, tudo o que vemos é uma imagem sendo salva no aplicativo Fotos ou simplesmente copiada na memória.
O que acontece nas entranhas do sistema, porém, pode ser bem mais complexo.
Em determinadas situações, o iOS pode gerar também uma representação em PDF daquele conteúdo e mantê-la temporariamente dentro do aparelho.
E foi justamente um desses arquivos que acabou se transformando em uma peça importante na análise forense do celular de Vorcaro.
Mas isso significa que o seu iPhone guarda escondida uma cópia em PDF de todos os prints que você já fez?
Não exatamente.
Os PDFs escondidos encontrados pela perícia
Segundo o relatório da investigação, Daniel Vorcaro tinha o hábito de escrever textos no aplicativo Notas, fazer uma captura da tela e, segundos depois, abrir o WhatsApp para enviar aquela imagem.
Mesmo quando a imagem enviada pelo mensageiro não estava mais disponível, os investigadores encontraram arquivos temporários em formato PDF contendo o mesmo conteúdo exibido no aplicativo Notas.
Esses documentos apareciam em uma área interna identificada pelo caminho:
tmp/com.apple.coherence/
Ao cruzar os horários de criação desses arquivos com os registros de capturas de tela, abertura de aplicativos e envio de mensagens pelo WhatsApp, os investigadores conseguiram reconstruir a sequência de eventos.
O detalhe curioso é que o usuário não pede para criar aqueles PDFs. O próprio sistema faz isso sozinho.
Por que o iOS cria um PDF quando fazemos um print?
Apesar de pouco conhecida pelos usuários, essa funcionalidade não é exatamente secreta.
A Apple possui no UIKit uma tecnologia chamada UIScreenshotService, criada justamente para permitir que aplicativos forneçam ao sistema uma representação em PDF do conteúdo quando o usuário faz uma captura de tela.
Segundo a documentação oficial da Apple, quando uma captura é realizada, o sistema pode solicitar ao aplicativo uma versão em PDF de alta fidelidade daquele conteúdo.
Há uma boa razão para isso. Uma captura normal registra apenas os pixels que estão aparecendo naquele momento na tela. Um PDF pode conter muito mais informação.
Imagine uma página longa do Safari ou uma nota que ocupa várias telas.
O aplicativo sabe qual é o documento completo, onde aquela tela está posicionada e quais elementos existem fora da área visível.
Por isso, o iOS permite que o aplicativo entregue ao sistema uma representação completa daquele conteúdo.
É a mesma tecnologia que possibilita recursos como a captura de Página Completa no Safari.
Desde o iOS 17, inclusive, a Apple permite salvar essas capturas completas tanto como imagem quanto em PDF.
Isso significa que todo print do iPhone gera um PDF?
Não.
O relatório da Polícia Federal mostra que PDFs foram encontrados em associação com aquelas capturas feitas no aplicativo Notas.
A própria arquitetura do UIScreenshotService também indica que o comportamento depende de o aplicativo fornecer ao sistema uma representação PDF de seu conteúdo.
Portanto, não podemos concluir que cada captura da Tela de Início, de um jogo, de uma foto ou de qualquer aplicativo resulte necessariamente em um segundo arquivo PDF.
O comportamento pode variar conforme o aplicativo e o tipo de conteúdo exibido.
Aplicativos que trabalham com documentos, textos ou páginas completas são candidatos mais óbvios a utilizar essa infraestrutura.
Mas por que o PDF fica armazenado dentro do iPhone?
Porque o sistema precisa colocar esse arquivo em algum lugar enquanto realiza a operação.
No caso analisado pela PF, os arquivos foram encontrados em uma pasta chamada tmp. Esse nome vem de temporary, ou temporário.
A própria documentação para desenvolvedores da Apple explica que arquivos armazenados nesse tipo de diretório não foram feitos para permanecer indefinidamente no aparelho.
O sistema pode apagá-los posteriormente e também pode eliminar esse conteúdo quando precisa liberar espaço.
Ou seja, o funcionamento esperado é mais ou menos este:
- Você tira a captura de tela.
- O aplicativo fornece uma representação PDF do conteúdo.
- O sistema utiliza temporariamente esse arquivo.
- Depois, ele pode ser descartado.
Então esses PDFs não ficam ocupando espaço para sempre?
Em princípio, não.
E isso é importante porque, ao saber da existência desses arquivos, é fácil imaginar alguém com 20 mil capturas de tela armazenando também outros 20 mil PDFs escondidos.
Não é assim que o sistema deveria funcionar.
Arquivos colocados no diretório temporário são considerados descartáveis. Segundo a Apple, não há sequer garantia de que eles continuarão existindo entre diferentes execuções de um aplicativo.
O sistema também pode eliminar arquivos temporários automaticamente para recuperar armazenamento.
Eles também não fazem parte normalmente dos backups do iCloud.
Portanto, não há motivo para começar a procurar uma pasta secreta cheia de PDFs consumindo dezenas de gigabytes no seu iPhone.
Então como a Polícia Federal conseguiu encontrá-los?
É aqui que o assunto fica mais interessante.
Temporário não significa necessariamente instantâneo.
A própria Apple reconhece que não existe uma garantia precisa de quando um arquivo armazenado nessa área será eliminado. Um arquivo pode permanecer ali durante algum tempo antes de ser removido.
E uma perícia forense de um telefone não funciona como alguém abrindo o aplicativo Arquivos e procurando documentos.
Ferramentas especializadas analisam estruturas internas do sistema, bancos de dados, registros de aplicativos, metadados e outros vestígios que normalmente são invisíveis para o usuário ou que até já foram apagados do aparelho.
No caso investigado pela PF, foram utilizados o Cellebrite Reader e o IPED, Indexador e Processador de Evidências Digitais, para analisar os dados previamente extraídos do aparelho.
Com isso, os investigadores conseguiram relacionar PDFs temporários com registros de capturas de tela e atividades posteriores realizadas no telefone.
Apagar o print não necessariamente apaga tudo
O caso também serve como um bom exemplo de algo conhecido há bastante tempo na computação forense.
Apagar aquilo que enxergamos na interface não significa necessariamente eliminar imediatamente todos os vestígios daquela informação.
Você pode apagar a captura no aplicativo Fotos e até esvaziar o álbum Apagados. Mas aquele conteúdo pode ter participado de outras operações dentro do sistema anteriormente.
Pode ter gerado miniaturas, caches, bancos de dados, arquivos temporários ou registros de atividade.
Isso não significa que todas essas cópias continuarão disponíveis indefinidamente.
Significa apenas que a eliminação de um arquivo visível não permite concluir automaticamente que nenhuma representação daquele conteúdo existe ou existiu em outro lugar do aparelho.
Há motivo para se preocupar com espaço no iPhone?
Para a enorme maioria dos usuários, não.
O UIScreenshotService existe para oferecer recursos legítimos do sistema e arquivos temporários fazem parte do funcionamento de praticamente qualquer sistema operacional moderno.
Também não há evidência de que o iPhone esteja guardando indefinidamente um PDF de cada captura de tela realizada pelo usuário. Isso só acontece com determinados aplicativos que possuem essa funcionalidade de tirar print de tela de todo o conteúdo, como o Safari e o… Notas.
Ou seja, se Vorcaro tivesse simplesmente escrito as mensagens em um pedaço de papel, tirado uma foto e enviado aquela imagem como visualização única pelo WhatsApp, talvez hoje não estivéssemos conhecendo tantos detalhes de um dos maiores escândalos financeiros do Brasil.
Claro que a intenção aqui não é dar aula aos pezzi da novanta de Brasília sobre como esconder seus crimes.
Até porque, a esta altura, eles mesmos já devem estar aprendendo bastante sobre o assunto acompanhando a própria investigação, que se tornou uma verdadeira aula de como não ser mais pego pela polícia ao usar o iPhone.
