iPhone guarda 145 mil fotos apagadas em cache oculto

Apagou no iPhone, mas o arquivo continua lá

fotos apagadas no iPhone deveriam sumir depois de 30 dias na pasta Apagados. Na prática, um usuário descobriu que 145.763 imagens e vídeos continuavam acessíveis em um cache escondido, mesmo três anos depois de apertar excluir, limpar a lixeira e repetir o processo para ter certeza. O achado veio de uma auditoria com Claude Code em um backup feito no MacBook, que sinalizou a pasta 'PhotoData/Thumbnails' com mais de 146 mil arquivos organizados por data desde 2021. Ali tinha de tudo: foto de passaporte de 2023, prints de aplicativo de banco com número de conta visível, foto de documento e cartão de crédito apagada cinco segundos depois, seed phrase de cripto salva temporariamente, imagens pessoais de um término e até stories privados que já tinham sido deletados várias vezes. Alguns arquivos em resolução cheia, outros comprimidos, mas todos legíveis e identificáveis.

O conteúdo recuperado mostra por que isso não é detalhe técnico. Tinha foto de passaporte feita para visto em 2023, prints de banco com número de conta visível, foto de RG e cartão de crédito tirada para lembrar o número e apagada cinco segundos depois, um print temporário de seed phrase de cripto, fotos pessoais apagadas logo após um término e capturas de stories privados de 2023. Parte em resolução total, parte comprimida, mas tudo com contexto suficiente para identificar pessoa, documento e rotina. Se você constrói fluxo com dado sensível, já entendeu o tamanho do estrago: o usuário fez tudo certo e o sistema manteve uma cópia silenciosa por anos.

O fato: 145 mil arquivos que deveriam estar mortos

O relato diz que ao deletar no iPhone, o iOS remove da fototeca e da pasta Apagados após 30 dias, mas mantém uma cópia reduzida em um cache de índice do Spotlight para acelerar a busca por pessoas, lugares e texto nas imagens. Esse cache nunca seria limpo, nem depois de um ano, nem depois de três. Não há confirmação oficial da Apple sobre retenção indefinida nesse caso específico, e vale tratar o número exato como relato de um backup específico, não como comportamento garantido em todo aparelho. Mas o padrão é plausível para quem conhece iOS: thumbnails e metadados vivem separados do asset original e sobrevivem ao delete lógico se ninguém programar a purga.

O outro ponto sensível é acesso. O usuário contou 23 aplicativos com permissão de 'Arquivos e Pastas' no iPhone, de leitor de PDF a app de lanterna e scanner de QR code, e reduziu para 3 em dois minutos depois do susto. Em tese, qualquer app com esse escopo poderia ler o diretório do backup ou, dependendo de como o iOS expõe o contêiner, alcançar esses thumbnails. Na prática de operação, permissão ampla é dívida técnica que o usuário acumula sem perceber. Cada utilitário gratuito que pede acesso total vira um leitor potencial de um histórico que nem deveria existir.

Como funciona: por que o iOS guarda esse lixo

Olhando como operador, o mecanismo faz sentido do ponto de vista de engenharia, o que é ainda mais incômodo. Gerar thumbnails na hora custa CPU, bateria e latência na busca, então o iOS pré-processa e guarda versões pequenas em disco com índice por data, rosto e OCR. Isso acelera a pesquisa local e evita reprocessar 100 mil fotos a cada busca. O custo de armazenamento é baixo, alguns gigabytes diluídos, e a latência cai de segundos para milissegundos. O problema é ciclo de vida. Se o delete do asset original não propaga para o índice com criptografia apagada junto, você cria um cemitério de miniaturas que sobrevive ao comando do usuário.

É provável, por inferência técnica e não por documentação aberta, que o backup via Mac preserve esse diretório porque ele faz espelho do domínio de dados do app Fotos, incluindo caches que deveriam ser marcados como purgáveis. Ferramentas de auditoria com IA como o Claude Code brilham exatamente aqui: elas não respeitam a abstração bonitinha do álbum, elas varrem tamanho de pasta, contagem de arquivos, extensões e datas fora do padrão. Em um backup de centenas de gigabytes, um humano não abriria 'PhotoData/Thumbnails' por curiosidade. O agente abre, lista, conta e cruza com a fototeca vazia. O custo da análise é irrisório perto de uma perícia manual, algumas dezenas de milhares de tokens e poucos minutos de leitura local.

O que isso muda na prática

Quem ganha com isso agora é quem faz auditoria, perícia e gestão de frota. Dá para criar um script simples que monta o backup, conta arquivos em diretórios de cache, extrai metadados EXIF e gera relatório de retenção fantasma. Quem perde é a Apple, que vende privacidade como diferencial, e qualquer empresa que deixa funcionário fotografar documento, whiteboard com credencial ou tela de sistema e confia no apagar depois. Para produto, a lição é dura: se seu app salva foto temporária, print de verificação ou KYC, não confie no delete do sistema. Implemente apagamento próprio, com chave por arquivo e expiração curta.

• Revise acessos agora: em Ajustes, confira quais apps têm acesso a Fotos, Arquivos e pastas e remova tudo que não precisa de verdade, principalmente utilitários antigos.
• Evite dado sensível na fototeca: documento, cartão e seed phrase não passam por print nem foto no rolo principal, use gerenciador com limpeza automática.
• Se você opera MDM: crie rotina para auditar tamanho de backups e diretórios de cache antes de descartar aparelhos corporativos.

Para usuário comum, a ação prática imediata é reduzir permissões e mudar hábito. Para time técnico, a ação é validar. Pegue um iPhone de teste, faça backup criptografado local, inspecione o tamanho de 'PhotoData' e compare com o que a fototeca diz ter. Se a diferença for de dezenas de milhares de arquivos, você reproduziu o problema no seu ambiente e tem evidência para abrir chamado, ajustar política de retenção e orientar usuários sobre o que realmente significa apagar.

Isso escala ou só move o problema

A pergunta que fica é se isso escala como solução ou só move o gargalo. Usar IA para auditar backup funciona uma vez, no susto, mas quanta gente vai plugar o iPhone no Mac toda semana para rodar varredura. O custo não é o token, é a fricção. E tem outro lado: limpar thumbnail resolve o sintoma, mas mantém a arquitetura que troca privacidade por busca instantânea. Se a Apple criptografasse cada miniatura com chave descartada no delete, a busca ficaria mais lenta e cara em bateria. Ela escolheu performance. O usuário pagou com retenção invisível. Vale a pena manter busca por texto em foto se o preço é guardar por três anos o que você mandou apagar.

Conclusão

Resumo de operador: apagar no iOS removeu da vitrine, não do estoque. Audite permissões, pare de tratar fototeca como cofre temporário e teste seu próprio backup antes de presumir que delete é delete. E fica a pergunta que ninguém na Apple respondeu ainda: quantos outros caches de conveniência estão guardando agora o que você jurou ter apagado.