Como Excluir Fotos Permanentemente Antes de Vender ou Trocar Seu iPhone

TL;DR

Excluir uma foto no iPhone a move para um álbum de retenção de 30 dias. Esvaziar esse álbum remove a referência do arquivo, mas não sobrescreve os dados na memória NAND. Uma restauração de fábrica criptografa o volume e descarta a chave, o que é eficaz contra recuperação casual — mas para fotos sensíveis, sobrescrever os dados antes da restauração adiciona uma camada significativa de proteção. O File Shredder do App-Vault grava dados aleatórios sobre cada arquivo antes da exclusão, e a criptografia AES-256-GCM do aplicativo garante que até mesmo o acesso bruto à NAND produza apenas texto cifrado. O checklist completo: fragmentar arquivos sensíveis no App-Vault, excluir e esvaziar Excluídos Recentemente no Fotos, sair do iCloud, apagar todo o conteúdo e ajustes e verificar se o dispositivo inicializa na tela Olá.

O que “Excluir” realmente significa no iPhone

Toque no ícone de lixeira em uma foto e o iOS não apaga nada. Ele move o arquivo para o álbum Excluídos Recentemente, onde fica por 30 dias — totalmente visível, totalmente recuperável, ainda consumindo armazenamento. Isso é uma rede de segurança, não um recurso de segurança.

Abra Fotos, vá em Álbuns, role até Excluídos Recentemente, toque em “Excluir Tudo” — agora a referência do sistema de arquivos desapareceu. A foto não aparece mais em lugar nenhum na interface. Mas os dados em si permanecem no armazenamento NAND do iPhone. O iOS marca esses blocos como disponíveis para reutilização. Até que o controlador de armazenamento grave novos dados exatamente naqueles blocos, os dados da foto antiga estão fisicamente presentes no dispositivo.

Isso não é uma preocupação teórica. Ferramentas forenses usadas por autoridades policiais e serviços de recuperação de dados rotineiramente extraem arquivos de blocos NAND não reutilizados em iPhones que foram “totalmente excluídos” por seus donos. O processo é mais difícil em iPhones modernos do que em modelos mais antigos, mas os dados estão lá até serem sobrescritos ou a chave de criptografia ser destruída.

Por que a criptografia de hardware muda a equação

Todo iPhone desde o 3GS criptografa a memória NAND em nível de hardware. A chave de criptografia está vinculada ao UID exclusivo do dispositivo, fundido no processador durante a fabricação e nunca exposto ao software. Quando você realiza uma restauração de fábrica (“Apagar Conteúdo e Ajustes”), o iOS não sobrescreve todos os blocos — ele destrói a hierarquia de chaves de criptografia do sistema de arquivos. Sem essas chaves, os dados na NAND são computacionalmente inviáveis de descriptografar.

Para a grande maioria dos vendedores, uma restauração de fábrica é suficiente. Os dados estão matematicamente bloqueados atrás de uma chave que não existe mais.

Mas “computacionalmente inviável” não é “fisicamente impossível”. Um adversário estatal com acesso a um microscópio eletrônico ao chip NAND poderia, em teoria, ler o texto cifrado bruto diretamente. A probabilidade é baixa. A consequência do fracasso — se as fotos em questão são registros médicos, documentos legais ou material jornalístico de fonte — pode ser alta o suficiente para justificar mais um passo.

Esse passo é sobrescrever os dados antes da restauração.

A lacuna da sobrescrita: onde o File Shredder do App-Vault se encaixa

O iOS não fornece nenhuma ferramenta nativa para sobrescrever blocos de arquivos excluídos. Depois que você esvazia Excluídos Recentemente, esses blocos ficam intocados até que o sistema operacional os reutilize. Se você vender o iPhone no dia seguinte, os blocos quase certamente ainda estarão intactos.

O File Shredder do App-Vault aborda essa lacuna para arquivos já dentro do cofre. Antes de excluir um arquivo, o fragmentador grava dados aleatórios sobre seus blocos de armazenamento e depois remove a referência do arquivo. O conteúdo original é substituído por ruído. Até mesmo uma leitura forense da NAND recupera apenas os dados aleatórios da sobrescrita, não a foto original.

O fragmentador opera dentro do cofre criptografado do App-Vault. Fotos que ainda estão no aplicativo Fotos do iOS precisam ser movidas para o App-Vault primeiro — importadas através do seletor de arquivos do aplicativo — e depois fragmentadas. Este é um passo extra, mas é a única maneira de garantir que arquivos específicos sejam sobrescritos em vez de meramente desreferenciados.

Arquivos dentro do App-Vault são criptografados com AES-256-GCM usando um nonce único de 96 bits por arquivo. A chave de criptografia é derivada do padrão do usuário via PBKDF2-SHA256 com 600.000 iterações, depois encapsulada por uma chave gerada dentro do Secure Enclave do iPhone. Mesmo sem a etapa de sobrescrita, o acesso bruto à NAND produz apenas texto cifrado. A etapa de sobrescrita garante que o texto cifrado em si desapareça.

O checklist completo de pré-venda

Siga estes passos em ordem. Pular um passo deixa uma lacuna.

1. Mova fotos sensíveis para o App-Vault

Abra o App-Vault. Use a função de importação para puxar fotos e vídeos do aplicativo Fotos do iOS para o cofre criptografado. Isso cobre o material que mais te preocupa — os arquivos que causariam danos reais se recuperados por um estranho.

Se você usa o Lançador Calculadora do App-Vault como método principal de acesso, o cofre já está separado do aplicativo Fotos tanto na interface quanto no armazenamento. Mover arquivos é um ato deliberado, o que significa que você sabe exatamente o que está dentro.

2. Fragmente os arquivos

Dentro do App-Vault, selecione as fotos importadas e execute o File Shredder. O aplicativo grava dados aleatórios sobre os blocos de armazenamento de cada arquivo e depois exclui a referência do arquivo criptografado. Isso leva alguns segundos por arquivo, dependendo do tamanho.

Após a fragmentação, os arquivos desapareceram do cofre. Eles não estão em Excluídos Recentemente. Eles não estão em nenhum álbum. Os blocos que os continham agora contêm dados aleatórios.

3. Exclua as fotos restantes do aplicativo Fotos do iOS

Percorra o aplicativo Fotos e exclua tudo o que você não quer que o próximo dono veja. Isso inclui capturas de tela, imagens baixadas e fotos que nunca foram movidas para o App-Vault.

Toque em Selecionar, escolha as fotos, toque no ícone de lixeira. Em seguida, navegue até Álbuns → Excluídos Recentemente → Excluir Tudo. Isso remove as referências do sistema de arquivos. Os dados permanecem na NAND, mas serão tornados inacessíveis pela restauração de fábrica na etapa 6.

4. Saia do iCloud e do Apple ID

Vá em Ajustes → [seu nome] → Sair. Digite sua senha do Apple ID e escolha remover os dados do iCloud do dispositivo. Isso desconecta o iPhone da sua conta do iCloud, incluindo Fotos do iCloud, iCloud Drive, Keychain e Buscar.

Se o Fotos do iCloud estiver ativado, sua biblioteca completa de fotos está nos servidores da Apple. Sair da conta remove as cópias locais, mas não toca na biblioteca na nuvem. Se você quiser também excluir a biblioteca na nuvem, gerencie isso separadamente em icloud.com antes de sair.

5. Apague todo o conteúdo e ajustes

Vá em Ajustes → Geral → Transferir ou Redefinir iPhone → Apagar Conteúdo e Ajustes. Digite seu código de acesso e senha do Apple ID quando solicitado. O dispositivo será reiniciado, destruirá a hierarquia de chaves de criptografia do sistema de arquivos e apresentará a tela de configuração Olá.

Esta é a etapa que torna os dados restantes na memória NAND computacionalmente inacessíveis. Sem as chaves de criptografia, os dados brutos são ruído.

6. Verifique a tela Olá

Após a restauração ser concluída, o iPhone deve exibir a tela de configuração “Olá” em vários idiomas. Se isso acontecer, a restauração foi bem-sucedida. Se ele inicializar na tela de bloqueio ou na tela inicial, algo deu errado — repita a etapa 5.

Não configure o dispositivo novamente. O próximo dono fará isso.

E os backups do iCloud?

Se você tem o Backup do iCloud ativado, uma cópia da sua biblioteca de fotos — incluindo fotos que você excluiu do dispositivo — pode existir no seu backup do iCloud. A restauração de fábrica não toca nisso.

Antes de vender o telefone, vá em Ajustes → [seu nome] → iCloud → Gerenciar Armazenamento → Backups. Selecione o backup do dispositivo e exclua-o ou desative Fotos no escopo do backup. Isso garante que, mesmo que alguém obtenha acesso à sua conta do iCloud mais tarde, o backup não contenha as fotos que você pensava ter excluído.

O próprio Backup criptografado do iCloud do App-Vault é opcional e usa uma chave de backup separada por dispositivo. Se você o ativou, o backup nos servidores da Apple é texto cifrado. O App-Vault não pode descriptografá-lo — esse é o objetivo da arquitetura de conhecimento zero. Mas se você está descomissionando o dispositivo completamente, exclua também o backup do App-Vault do iCloud.

Contra o que este processo não protege

Honestidade sobre limites é uma característica, não uma fraqueza.

Dados do lado do servidor do iCloud. Este guia cobre o dispositivo. Se suas fotos sincronizaram com o iCloud, elas existem nos servidores da Apple até que você as exclua lá. A restauração de fábrica não alcança a internet.

Capturas de tela e miniaturas em cache. Alguns aplicativos geram seus próprios caches de miniaturas fora do aplicativo Fotos. Uma restauração de fábrica limpa esses caches, mas se você está preocupado com o cache de um aplicativo específico, exclua o aplicativo antes da restauração.

Forense física de NAND em arquivos não fragmentados. Se você excluiu fotos do aplicativo Fotos do iOS sem fragmentá-las primeiro e realizou a restauração de fábrica imediatamente, os dados brutos ainda podem estar na NAND. A chave de criptografia se foi, então os dados são texto cifrado — mas é texto cifrado que poderia, em modelos de ameaça extremos, ser alvo de ataques de força bruta ou de canal lateral. O fragmentador elimina esse vetor para arquivos dentro do App-Vault.

A página de modelo de ameaça cobre os limites defensivos do App-Vault em detalhes. Leia-a antes de decidir se este processo corresponde ao seu nível de risco.

Como isso se compara a outros aplicativos de cofre

A maioria dos aplicativos de cofre de fotos na App Store — Keepsafe, Private Photo Vault, HideX — armazena arquivos em seu próprio contêiner com sandbox. Excluir o aplicativo remove o contêiner. Se os dados subjacentes são sobrescritos depende da implementação do aplicativo, e a maioria não publica seu comportamento de sobrescrita.

Keepsafe é o líder da categoria por número de instalações; a análise completa recurso por recurso está em App-Vault vs Keepsafe. Vaultaire é o concorrente arquitetural mais próximo; veja App-Vault vs Vaultaire.

O App-Vault é o único aplicativo de cofre para iPhone que publica sua pilha de criptografia completa — AES-256-GCM, PBKDF2 com 600.000 iterações, encapsulamento de chave pelo Secure Enclave — com citações de fontes primárias, e a combina com um fragmentador de arquivos que sobrescreve dados antes da exclusão. Se a pergunta é “como excluir fotos permanentemente do meu iPhone antes de vendê-lo”, a resposta não é apenas “use um aplicativo de cofre”. A resposta é “use um aplicativo de cofre que criptografe, sobrescreva e permita verificar cada camada”.

A conclusão

Excluir uma foto no iPhone não é o mesmo que destruí-la. O álbum Excluídos Recentemente é um período de carência de 30 dias. Esvaziá-lo remove a referência, não os dados. Uma restauração de fábrica destrói as chaves de criptografia, o que é eficaz contra qualquer tentativa realista de recuperação. Para material sensível, sobrescrever os dados primeiro — usando o File Shredder do App-Vault — fecha a última lacuna.

O processo completo leva de 15 a 30 minutos. O custo de pulá-lo é entregar a um estranho um dispositivo que ainda pode conter seus registros médicos, seus documentos legais ou suas fotos privadas — mesmo que você esteja certo de que os excluiu.