Metadados EXIF em fotos: como identificar documentos falsificados

Os metadados EXIF de uma foto de documento — modelo do aparelho, data da captura, coordenadas de GPS, software de edição — costumam revelar se uma imagem enviada em um processo KYC foi realmente fotografada com uma câmera ou manipulada antes do envio. Não são prova definitiva: podem ser apagados por aplicativos de mensagens ou reescritos com ferramentas de fácil acesso. Servem como mais uma camada de detecção dentro de uma verificação forense mais ampla, nunca como critério isolado.

O que são os metadados EXIF e por que importam na verificação KYC

O EXIF (Exchangeable Image File Format) é o padrão, mantido pela CIPA, que os sensores de câmeras e smartphones gravam automaticamente em cada arquivo JPEG. Uma foto genuína de um contracheque ou de um documento de identidade capturada com um celular normalmente traz Make e Model do aparelho, DateTimeOriginal, ExposureTime e FNumber — dados de um sensor físico real que uma imagem sintética ou um print de tela não produzem.

Em onboarding bancário ou de financiamento, o cliente costuma ser instruído a fotografar o documento ao vivo, em vez de enviar um arquivo já existente na galeria. O EXIF permite verificar se essa instrução foi seguida: uma imagem sem assinatura de câmera, ou com assinatura de software de edição, contradiz o fluxo esperado.

Além do EXIF, o XMP (Extensible Metadata Platform, padronizado pela ISO 16684) pode conter um histórico de edição — o campo xmpMM:History — que registra qual aplicativo tocou no arquivo e quando. Esse histórico costuma ser mais difícil de apagar por completo do que os campos EXIF simples, porque diversas ferramentas de edição o gravam sem que o usuário o veja ou o exclua deliberadamente.

Como fraudadores falsificam documentos fotografados

Editar a imagem em um programa de edição é o método mais comum: o fraudador abre a foto de um extrato bancário ou contracheque no Photoshop, GIMP ou Snapseed, altera um valor, uma data ou um nome, e exporta o resultado como se fosse o original. A tag Software no EXIF, quando presente, registra o nome exato desse aplicativo — e uma foto "não editada" de um documento de identidade que a carregue é um dos sinais de alerta mais fortes, porque os fluxos KYC legítimos raramente passam por um editor de imagem antes do envio.

Um segundo método, mais barato, é fotografar ou capturar a tela de um documento já falsificado em outro suporte — por exemplo, um PDF alterado aberto no computador. O resultado é uma "foto de uma foto" com metadados de tela em vez de metadados de câmera.

O terceiro vetor, em crescimento desde 2024, é a geração de documentos inteiramente sintéticos com ferramentas como Midjourney, DALL-E ou Stable Diffusion — contracheques, extratos ou documentos de identidade que nunca existiram fisicamente. Essas imagens não passam por nenhum sensor físico, então carregam, no máximo, tags específicas do gerador em vez de EXIF de câmera.

Sinais de alerta nos metadados EXIF

Uma tag Software com nome de editor de imagem é o indício mais direto de manipulação pós-captura. Mas há outros sinais que, combinados, aumentam a confiança na detecção:

Incoerências de data. DateTimeOriginal e DateTimeDigitized deveriam coincidir, ou diferir por segundos, em uma foto capturada diretamente. Um ModifyDate posterior por horas ou dias indica que o arquivo foi reaberto e salvo novamente — não necessariamente fraude, mas motivo para uma segunda verificação.

Ausência de Make/Model quando seria esperado. Um fluxo que pede explicitamente uma foto ao vivo, mas recebe um arquivo sem fabricante nem modelo de aparelho, quebra a cadeia de evidência esperada — ainda que, isoladamente, não seja conclusivo.

Ausência de dados de exposição real. ExposureTime, FNumber e ISO refletem leituras de um sensor físico no momento da captura. A ausência total desses campos, combinada com resoluções incomuns para uma câmera de celular, sugere uma origem que não é uma fotografia direta.

Histórico XMP com múltiplas edições. Quando xmpMM:History registra mais de uma ferramenta ou gravação, isso é consistente com edição, não com uma captura única enviada diretamente.

GPS ausente onde seria esperado, ou geograficamente incoerente. Um cliente que declara residir em São Paulo, mas cujas coordenadas EXIF apontam para outro continente, merece atenção — com a ressalva de que o GPS é um dos campos mais facilmente removidos ou falsificados.

Assinaturas de metadados: quatro cenários típicos

A tabela resume os padrões mais comuns observados em análise forense de fotos enviadas no onboarding:

Nenhuma assinatura é, isoladamente, prova de fraude — mas um documento apresentado como "foto direta e não editada" que corresponde à segunda, terceira ou quarta coluna sempre justifica verificação adicional.

Os limites da análise EXIF isolada

O EXIF pode ser reescrito, incluindo os campos de GPS, com ferramentas amplamente disponíveis — confiar apenas nos metadados como prova de autenticidade é um erro metodológico. Um fraudador com algum conhecimento técnico consegue inserir um Make/Model plausível, uma data coerente e coordenadas GPS falsas em um arquivo que nunca passou por uma câmera.

Igualmente relevante no sentido inverso: aplicativos de mensagens e redes sociais removem sistematicamente os metadados EXIF durante a compressão no envio — uma foto recebida pelo WhatsApp sem EXIF não é, por si só, prova de manipulação, apenas prova do canal de transporte. Tratar a ausência de metadados como sinal automático de fraude gera falsos positivos que penalizam clientes legítimos.

Por isso, a análise EXIF deve ser sempre uma camada dentro de uma abordagem multicamada, nunca o único filtro. Combinada com a análise de nível de erro (ELA), que detecta inconsistências de compressão em nível de pixel, e com a análise de metadados PDF, que examina a estrutura interna de documentos digitalizados, forma-se uma cobertura sobreposta: quando um fraudador neutraliza um sinal, os outros costumam ainda detectá-lo.

Enquadramento regulatório no Brasil

Dados de geolocalização embutidos em fotos são dados pessoais nos termos da LGPD (Lei 13.709/2018) sempre que permitam identificar uma pessoa natural. A ANPD trata a minimização e a limitação de finalidade como princípios centrais do tratamento de dados sensíveis, incluindo geolocalização — uma equipe que extrai e registra sistematicamente coordenadas GPS de fotos de clientes deve tratar esses campos com a mesma cautela aplicada a qualquer outro dado pessoal sujeito à lei, documentando a base legal e a finalidade da coleta.

Vale registrar o contexto internacional, sem confundi-lo com obrigação doméstica: desde 2 de agosto de 2026, o Regulamento (UE) 2024/1689 (AI Act), em seu artigo 50, exige que fornecedores de sistemas de IA marquem conteúdo sintético em formato legível por máquina, conforme o texto consolidado no EUR-Lex — obrigação válida para o mercado europeu, não para empresas brasileiras que não operem lá. No Brasil, o instrumento equivalente segue em tramitação: o PL 2338/2023, aprovado pelo Senado em dezembro de 2024, aguarda votação final na Câmara dos Deputados prevista para 2026, sem data confirmada. O projeto segue lógica de regulação por risco semelhante em espírito ao modelo europeu, mas, enquanto não for sancionado, não há no país marcação obrigatória de conteúdo sintético equivalente ao artigo 50. Vale acompanhar a tramitação do PL 2338/2023 para equipes de compliance que já lidam com imagens geradas por IA no onboarding.

Do lado da supervisão financeira, a Circular Bacen 3.978/2020 exige que instituições autorizadas pelo Banco Central adotem política e controles internos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) proporcionais ao risco do cliente, incluindo a verificação e validação da autenticidade das informações de identificação — sem prescrever uma técnica forense específica. Cabe a cada instituição demonstrar controles adequados para detectar documentos falsos, e a análise de metadados de fotos é um desses controles documentáveis. Clientes e operações suspeitas devem ser comunicados ao COAF, a unidade de inteligência financeira brasileira.

Como integrar a verificação de metadados a um pipeline de conformidade

Uma checklist prática para equipes que recebem fotos de documentos no onboarding:

1. Extrair os metadados com uma ferramenta padrão. O ExifTool, de Phil Harvey (exiftool.org), é a referência em investigações forenses e lê/grava campos EXIF, IPTC e XMP via linha de comando.
2. Verificar a coerência entre Make/Model e o aparelho declarado pelo cliente, quando essa informação é coletada no onboarding.
3. Sinalizar, mas não recusar automaticamente, uma tag Software correspondente a um editor de imagem — encaminhar para revisão manual.
4. Não tratar a ausência total de EXIF como prova de fraude — verificar o canal de origem (envio direto vs. reenvio por mensagens) e cruzar com outros sinais.
5. Cruzar sempre com ELA e com a estrutura de metadados PDF quando o documento tiver sido digitalizado ou convertido.
6. Registrar o resultado no dossiê de risco do cliente, com o racional da decisão, para fins de trilha de auditoria perante o Bacen, o COAF ou a ANPD.
7. Revisar periodicamente os limiares de detecção à medida que novas ferramentas de edição e geração por IA tornam os sinais atuais menos discriminantes.

Para bancos digitais, esse controle se integra a um fluxo de verificação KYC bancária; em financiamento e leasing, onde contracheques fotografados são um vetor de fraude comum, aplica-se de forma semelhante às soluções de financiamento e leasing. Veja também a página de segurança da CheckFile.

A ausência de EXIF de câmera deixa de ser sinal exclusivo de edição manual à medida que a geração de imagens por IA se torna mais acessível — passa também a caracterizar documentos inteiramente sintéticos, como descrito no guia sobre como a IA gera documentos falsos. O guia de verificação de documentos situa a análise EXIF dentro do conjunto mais amplo de métodos disponíveis.

A análise EXIF, assim como a ELA e a forense de PDF, é uma peça de um sistema mais amplo — nunca a solução completa por si só. Os sinais de geração por IA da CheckFile funcionam como complemento aos controles já existentes das equipes de compliance. Consulte nossos planos e preços para avaliar a integração no seu fluxo de onboarding.

Perguntas frequentes

Um documento sem metadados EXIF é sempre suspeito?

Não. Aplicativos de mensagens e redes sociais removem sistematicamente os metadados durante a compressão, então uma imagem sem EXIF pode simplesmente ter passado por esse canal. Cruze sempre a ausência com outros sinais — origem do arquivo, resultado da ELA, coerência do conteúdo — antes de decidir.

O EXIF pode ser falsificado?

Sim, incluindo os campos de data, aparelho e GPS, com ferramentas amplamente disponíveis. Por isso, o EXIF nunca deve ser o único critério de autenticidade em um processo KYC; deve integrar-se a uma análise multicamada junto com a ELA e a forense de metadados PDF.

Qual ferramenta é recomendada para extrair metadados EXIF?

O ExifTool, de Phil Harvey (exiftool.org), é a ferramenta de linha de comando de referência em investigações forenses: lê e grava campos EXIF, IPTC e XMP, incluindo o histórico de edição.

Uma tag Software indicando Photoshop significa automaticamente fraude?

Não automaticamente, mas é um forte sinal de alerta. Fotos apresentadas como capturas diretas de documentos de identidade ou contracheques raramente passam por um editor de imagem em fluxos KYC legítimos; a tag deve acionar revisão manual, não rejeição automática.

Como a análise de metadados EXIF se relaciona com as exigências do Bacen e do COAF?

A Circular Bacen 3.978/2020 exige que instituições financeiras validem a autenticidade das informações de identificação de clientes dentro de uma abordagem baseada em risco, sem impor uma técnica específica. A análise EXIF é um dos controles documentáveis para isso; casos suspeitos confirmados seguem o fluxo de comunicação ao COAF.

A extração de dados de GPS de fotos de clientes exige cuidado com a LGPD?

Sim. Coordenadas de geolocalização que identificam uma pessoa são dados pessoais sob a LGPD (Lei 13.709/2018). Equipes que armazenam esses campos sistematicamente devem definir base legal, aplicar minimização de dados e documentar a finalidade do tratamento, em linha com as orientações da ANPD.

Para reforçar seu processo de verificação documental com sinais de detecção de IA complementares aos controles de metadados, consulte a detecção de deepfake e IA da CheckFile.