Detetar adulteração de metadados PDF: guia de verificação documental

Detetar um PDF adulterado começa pelos seus metadados: a data de criação, o software que o gerou, o histórico de modificações e os campos XMP podem revelar em segundos que um documento foi alterado após a sua emissão original. A análise forense de metadados PDF, antes reservada a peritos judiciais, é hoje uma ferramenta de primeira linha para equipas de KYC, crédito e compliance que verificam a autenticidade de documentos recebidos digitalmente.

De acordo com o Relatório ACFE 2024, 37 % das fraudes documentais são detetadas por controlos internos, com a análise automatizada de propriedades de ficheiro a representar uma quota crescente dessas deteções. A maioria dos documentos falsificados apresenta inconsistências de metadados detetáveis sem necessidade de aceder ao documento fonte.

O que são metadados PDF e por que são importantes na deteção de fraude

Os metadados PDF são os dados estruturados que descrevem o próprio ficheiro, independentemente do seu conteúdo visível. Um PDF contém duas camadas distintas de metadados:

O dicionário de informação (entrada /Info no catálogo PDF) armazena campos legíveis por qualquer aplicação: autor, título, palavras-chave, aplicação criadora (/Creator), software de escrita PDF (/Producer), data de criação (/CreationDate) e data da última modificação (/ModDate).

Os metadados XMP (Extensible Metadata Platform, norma ISO 16684) formam um bloco XML incorporado no fluxo do ficheiro. Replicam o dicionário /Info com maior granularidade, incluindo o histórico de revisões (xmpMM:History), o identificador único do documento (xmpMM:DocumentID) e o identificador de instância (xmpMM:InstanceID), regenerado a cada gravação.

Um documento falsificado apresenta frequentemente inconsistências entre estas duas camadas, porque as ferramentas de edição básicas apenas atualizam uma delas.

Como os defraudadores manipulam os metadados PDF

As técnicas mais comuns de manipulação utilizam software disponível gratuitamente, o que explica a proliferação de documentos falsos com anomalias de metadados identificáveis:

Edição direta do dicionário /Info: editores hexadecimais ou bibliotecas Python como PyPDF2 permitem reescrever os campos de data e autor sem deixar qualquer rastro visível no documento renderizado. Um recibo de vencimento cuja data de criação foi recuada seis meses pode parecer recente.

Reimpressão digital: o PDF falsificado é impresso para um novo ficheiro PDF através de uma impressora virtual, apagando os metadados originais e gerando novas datas coerentes com o momento da falsificação. Esta técnica produz artefactos de recompressão detetáveis por análise ELA.

Edição no Adobe Acrobat ou LibreOffice: abrir e guardar um documento nestas aplicações atualiza automaticamente /ModDate e regista o software como /Producer, deixando um rasto involuntário.

Manipulação de campos XMP: os defraudadores mais sofisticados também modificam os metadados XMP para alinhar ambas as camadas. Contudo, o xmpMM:InstanceID — um UUID regenerado a cada gravação — muda com qualquer modificação e pode denunciar o software utilizado.

Técnicas de deteção de metadados alterados

A abordagem analítica multicamada que combina metadados, estrutura de ficheiro e coerência entre documentos constitui a metodologia mais fiável para identificar documentos PDF adulterados.

Extração e verificação de metadados em bruto

ExifTool (exiftool.org) é a ferramenta de referência: lê simultaneamente os metadados /Info, XMP e EXIF de um PDF e assinala inconsistências entre camadas.

Os principais sinais de alerta a pesquisar:

Análise estrutural do ficheiro PDF

O formato PDF é incremental: cada modificação acrescenta uma nova revisão ao ficheiro sem apagar as anteriores. pdfid.py (blog.didierstevens.com) e QPDF (qpdf.sourceforge.io) leem o número de revisões e os objetos modificados.

Um recibo de vencimento ou extrato bancário legítimo tem apenas uma revisão: a geração inicial pelo software de processamento salarial ou sistema bancário. Múltiplas revisões — especialmente em objetos de texto ou imagem — são um forte indicador de adulteração.

Verificação da assinatura criptográfica

Muitos documentos oficiais incorporam uma assinatura eletrónica conforme ao Regulamento eIDAS (UE) n.º 910/2014. A verificação da assinatura revela imediatamente qualquer modificação de conteúdo posterior à assinatura: qualquer alteração ao fluxo de dados invalida a assinatura criptográfica.

O Portal das Finanças oferece serviços de verificação em linha para documentos fiscais, permitindo confirmar a autenticidade de um documento fiscal apresentado por um cliente sem depender exclusivamente da análise de metadados.

Análise ELA (Error Level Analysis)

A análise ELA deteta zonas de um documento digital que sofreram recompressão diferente do restante conteúdo. Aplicada a PDFs com imagens, revela zonas retocadas com uma precisão que o olho humano não consegue atingir. Ferramentas como FotoForensics automatizam esta análise.

Ferramentas forenses para análise PDF

Enquadramento regulatório em Portugal

Em Portugal, as entidades sujeitas à Lei n.º 83/2017 de combate ao branqueamento de capitais e ao financiamento do terrorismo devem aplicar medidas de diligência devida adaptadas ao risco na verificação dos documentos apresentados pelos clientes. O Banco de Portugal e a CMVM têm emitido orientações que exigem que a verificação documental em processos digitais inclua controlos técnicos, e não apenas visuais.

A transposição da 6.ª Diretiva Antibranqueamento (AMLD6, Diretiva 2024/1640), em vigor desde janeiro de 2026, reforça estas obrigações para os documentos digitais apresentados à distância. As entidades financeiras supervisionadas pelo Banco de Portugal e CMVM que aceitem PDFs sem verificação de metadados ficam expostas a risco regulatório documentado.

A Autoridade Tributária e Aduaneira mantém serviços de validação em linha para documentos fiscais. Os documentos emitidos pela AT incluem códigos de verificação que permitem confirmar a autenticidade independentemente da análise de metadados.

A CNCS (Centro Nacional de Cibersegurança) publicou em 2024 orientações sobre a verificação de documentos eletrónicos em processos de onboarding digital, sublinhando a importância da análise forense dos ficheiros recebidos.

Verificação cruzada entre documentos

A verificação de metadados de um PDF isolado não é suficiente. A deteção mais eficaz cruza vários documentos emitidos pelo mesmo originador: um empregador produz sistematicamente os seus recibos de vencimento com o mesmo software de processamento salarial, o mesmo nome exato de empresa, as mesmas fontes tipográficas. Variações entre recibos consecutivos — alteração de /Producer, fonte diferente, versão de software distinta — são fortes indicadores de adulteração.

Esta validação cruzada documental é hoje o núcleo dos sistemas de verificação documental automatizada. Vai além do OCR tradicional ao incorporar a coerência estrutural e de metadados entre os documentos de um mesmo dossier.

As plataformas especializadas como CheckFile implementam esta lógica de análise multicamada — estrutural, metadados e coerência inter-documentos — para assinalar automaticamente os dossiers com anomalias. Como complemento aos seus controlos existentes, a análise de sinais de geração por IA em documentos suspeitos reforça ainda mais a cobertura de deteção.

Para uma visão mais ampla das técnicas de forense documental, o artigo sobre ferramentas de análise forense documental com IA apresenta um panorama completo das soluções disponíveis em 2026.

Padrões reais em casos de fraude documental

Os profissionais de compliance que gerem processos de fraude documental reportam de forma consistente os mesmos padrões recorrentes:

Recibos de vencimento reconstruídos: o caso mais frequente envolve um recibo de vencimento exportado de software de processamento salarial, convertido para PDF, e depois editado para ajustar o salário. A cadeia de /Producer revela a sequência: Software de RH → Adobe Acrobat → Microsoft Print to PDF.

Extratos bancários retocados: o banco gera o extrato com software proprietário. O defraudador abre-o num editor PDF, modifica os montantes, e volta a guardar. O /ModDate torna-se posterior à data declarada do extrato, e o UUID XMP muda.

Documentos fiscais modificados: mais sofisticado, porque alguns defraudadores regeneram integralmente o documento. No entanto, os documentos tributários portugueses incluem um código de verificação validável no Portal das Finanças, tornando imediatamente detetável qualquer substituição.

Integrar a análise de metadados no processo de verificação

Para as equipas de compliance que processam grandes volumes de documentos, a análise manual de metadados é impraticável. Várias abordagens permitem industrializar este controlo:

APIs de análise documental: plataformas como CheckFile expõem APIs REST que recebem um PDF e devolvem uma pontuação de risco documental que incorpora a análise de metadados, a estrutura do ficheiro e a coerência inter-documentos.

Scripts de análise em massa: para equipas técnicas, ExifTool combinado com um script Python pode analisar centenas de PDFs por hora e assinalar automaticamente as anomalias. A regra básica: qualquer documento cujo /ModDate seja posterior à data de produção declarada merece revisão humana.

Checklist de receção documental: para equipas sem acesso a ferramentas técnicas, uma prática simples é solicitar sistematicamente a versão digital original (não uma cópia impressa-digitalizada) e verificar a data de criação através das propriedades do ficheiro, acessíveis em qualquer leitor PDF em Ficheiro → Propriedades → Descrição.

Para mais informações sobre a deteção automatizada de documentos fraudulentos, consulte a página de deteção de documentos gerados por IA onde se explica como o CheckFile integra estes sinais no seu pipeline de verificação.

Consulte também o nosso guia de verificação documental para um panorama geral dos métodos disponíveis por tipo de documento.

Perguntas frequentes

Pode-se detetar um PDF adulterado sem software especializado?

Sim, parcialmente. Qualquer leitor PDF (Adobe Reader, Pré-visualização no macOS) apresenta os metadados básicos em Ficheiro → Propriedades. Uma data de modificação posterior à data de emissão declarada é um sinal de alerta imediato. Para uma análise completa — revisões incrementais, coerência XMP — são necessárias ferramentas gratuitas como ExifTool.

Os metadados podem ser modificados de forma completamente indetetável?

É difícil, mas possível para um ator qualificado. Um defraudador avançado pode alinhar ambas as camadas de metadados (Info e XMP), eliminar o histórico de revisões e regenerar o UUID do documento. Contudo, artefactos residuais — nível de compressão, versão de fontes, estrutura de objetos PDF — são geralmente detetáveis por análise forense aprofundada.

Qual é o valor jurídico da análise forense de metadados PDF em Portugal?

A análise forense de metadados pode constituir prova admissível em processos civis e penais portugueses, especialmente em casos de falsificação de documentos (artigo 256.º do Código Penal). A cadeia de custódia deve estar documentada. Para máximo valor jurídico, a análise deve ser realizada por um perito informático forense certificado.

Os bancos portugueses verificam os metadados dos documentos enviados em linha?

Os bancos e entidades financeiras sujeitos à Lei n.º 83/2017 têm a obrigação legal de aplicar diligências adaptadas ao risco. Na prática, as entidades mais avançadas utilizam plataformas de análise documental automatizada que incluem a verificação de metadados. A transposição da AMLD6 (2026) acelera a adoção de controlos técnicos em todo o setor.

Como verifico a autenticidade de um documento fiscal português?

Os documentos fiscais emitidos pela Autoridade Tributária incluem um código de verificação validável no Portal das Finanças. Os documentos do Registo Comercial são verificáveis no portal eRegistos. Estes serviços de verificação devem ser utilizados em conjunto com — e não em substituição de — a análise de metadados.

Para situar este risco na oferta CheckFile, consulte a nossa abordagem de deteção IA e deepfake.