Passaporte falso: deteção de fraude documental com IA

Um passaporte falso combina hoje duas ameaças distintas: a falsificação física tradicional — hologramas mal reproduzidos, MRZ com checksum incoerente, chip ausente — e o documento inteiramente gerado por IA, que nunca existiu como objeto físico e chega ao verificador como fotografia carregada num formulário de onboarding. Este artigo explica ambos os tipos de sinal, as obrigações legais de bancos, seguradoras e rent-a-cars em Portugal, e onde a deteção automatizada complementa — sem substituir — a revisão manual.

Este artigo é fornecido a título informativo e não constitui aconselhamento jurídico ou regulamentar.

Por que o passaporte é um alvo prioritário de fraude documental

O passaporte concentra prova de identidade e nacionalidade e, no modelo biométrico português, dados num chip protegido — o que o torna mais difícil de falsificar bem e mais valioso quando passa despercebido. É o documento de referência em onboarding bancário internacional, seguros e aluguer de viaturas a não residentes, precisamente os fluxos com verificação presencial mais limitada.

Os cartões de identidade nacionais representaram cerca de 46% de todas as submissões de documentos fraudulentos a nível global, segundo o Entrust 2026 Identity Fraud Report, que analisou mais de mil milhões de verificações em 195 países (Entrust, 2026 Identity Fraud Report). Em contexto EMEA, passaportes e cartões de identidade representam em conjunto cerca de 45% de todos os documentos falsos submetidos em verificação (Solutions Numériques).

O passaporte português é emitido pelo Instituto dos Registos e do Notariado (IRN) e segue o modelo biométrico com capa vermelha, 32 páginas e chip RFID, em conformidade com a norma ICAO Doc 9303.

Como identificar um passaporte fisicamente falsificado

Um passaporte físico falsificado raramente reproduz todas as camadas de segurança em simultâneo. A norma ICAO Doc 9303, atualizada com efeitos a partir de 1 de janeiro de 2026, define os elementos esperados — holograma, tinta UV, microimpressão, intaglio — e o formato da MRZ e do chip.

O protocolo Basic Access Control (BAC) do chip do passaporte exige que os dados biométricos armazenados estejam protegidos por assinatura digital do país emissor — qualquer alteração invalida essa assinatura e é detetável por leitura eletrónica, conforme a Parte 11 do ICAO Doc 9303 sobre mecanismos de segurança para MRTD. Na prática, a maioria dos onboardings digitais não inclui leitura NFC do chip, dependendo apenas da imagem da página de dados.

Nenhum sinal isolado é conclusivo: um holograma pode estar danificado num passaporte genuíno com anos de uso. É a coerência entre MRZ, chip e estrutura visual da página que permite concluir.

Passaportes gerados ou alterados por IA: o que muda

Um passaporte gerado por IA generativa não tenta reproduzir um objeto físico: produz diretamente uma imagem digital de uma página de dados verosímil, transmitida como fotografia ou PDF, sem que exista nunca um documento físico correspondente. As ferramentas atuais reproduzem com fidelidade a disposição, as fontes e a MRZ de um passaporte real, ao ponto de a inspeção visual isolada deixar de ser fiável.

Os deepfakes representam já 1 em cada 5 tentativas de fraude biométrica, com as selfies deepfake a aumentar 58% em 2025 e os ataques de injeção — que inserem imagem ou vídeo sintético no fluxo de captura, contornando a câmara física — a subir 40% ano após ano, segundo o Entrust 2026 Identity Fraud Report. Isto é relevante para o passaporte: mesmo com página de dados genuína, um ataque de injeção pode substituir a selfie de vivacidade por um vídeo sintético do titular, contornando o controlo biométrico.

Três manipulações dominam: a troca de fotografia numa página de dados escaneada ("face swap"), a criação de um gabarito MRTD totalmente sintético, e o ataque de injeção que substitui a captura ao vivo por conteúdo pré-gerado na verificação de vivacidade. Um estudo da Regula com a Sapio Research, junto de 850 responsáveis por prevenção de fraude em seis mercados, concluiu que os deepfakes já preocupam as empresas quase tanto quanto a falsificação documental clássica (Regula / Sapio Research, março de 2026). O nosso artigo sobre deepfakes e documentos de identidade sintéticos aprofunda esta tendência.

A CheckFile aplica uma análise multi-camada — estrutural, de metadados e de coerência entre documentos — em vez de depender de uma única verificação visual do passaporte, complementada por uma camada adicional de deteção de sinais de geração por IA, disponível segundo a configuração do cliente.

Onde a fraude com passaportes atinge o negócio

A fraude com passaportes tem impacto financeiro direto em três fluxos de negócio comuns aos clientes da CheckFile.

KYC bancário e onboarding fintech

O passaporte é frequentemente o único documento aceite na abertura de conta por clientes estrangeiros sem cartão de cidadão português, o que o torna alvo natural em onboarding digital. Um banco ou fintech que aprova uma conta com base num passaporte falsificado — físico ou gerado por IA — expõe-se a risco de branqueamento de capitais e contraordenações ao abrigo das obrigações de KYC da AMLD6.

Seguros: subscrição e sinistros

Uma seguradora que subscreve uma apólice de viagem, vida ou responsabilidade civil com base num passaporte falsificado arrisca descobrir a fraude só no sinistro — quando a exposição já se materializou e a anulação retroativa se torna litigiosa. A verificação na subscrição, não só na liquidação, reduz essa janela.

Aluguer de viaturas a não residentes

Empresas de rent-a-car que servem turistas dependem do passaporte como documento primário quando o cliente não tem carta de condução ou cartão de identidade reconhecível. A base de dados internacional de passaportes furtados ou extraviados da INTERPOL, o SLTD, é reservada a autoridades policiais e de fronteira dos 190 países membros (INTERPOL, SLTD database), pelo que a análise estrutural do documento é, na prática, a única linha de defesa ao balcão de um operador privado.

Quadro legal aplicável em Portugal

A falsificação de documento — incluindo o passaporte, documento autêntico emitido por entidade do Estado — está tipificada no Código Penal, e a sua utilização consciente é igualmente punível. O Artigo 256.º do Código Penal português pune a falsificação ou contrafação de documento com pena de prisão até 3 anos ou multa quando se trate de documento particular, e de 6 meses a 5 anos quando o documento seja autêntico ou tenha igual força — categoria em que se enquadra o passaporte, incorrendo na mesma pena quem o usa sabendo da sua origem (DRE, Código Penal, artigo 256.º). Para entidades obrigadas — bancos, seguradoras, sociedades gestoras de crédito — a aceitação sem controlos adequados falha ainda as obrigações de identificação de cliente da Lei n.º 83/2017. A dupla exposição — penal para quem produz ou usa o falso, regulatória para quem falha em detetá-lo — torna a verificação documental um controlo que não pode ser opcional em setores regulados.

O que perguntam os profissionais em fóruns especializados

Em fóruns especializados de banca e seguros, e em espaços como o r/portugal, os profissionais costumam perguntar como distinguir, em segundos, um passaporte estrangeiro genuíno de uma falsificação bem executada — dúvida legítima quando a instituição recebe passaportes de dezenas de países e não memoriza os elementos de segurança de cada um. A resposta passa menos por decorar padrões visuais país a país e mais por validar a coerência interna: os check digits da MRZ calculam-se algoritmicamente, independentemente do desenho do passaporte.

Uma segunda questão incide sobre a fiabilidade da selfie de verificação: como saber se a comparação facial "passou" porque o cliente é quem diz ser, ou porque um ataque de injeção substituiu a câmara por um vídeo sintético gerado a partir da fotografia do passaporte roubado. A resposta é desconfortável: a deteção de vivacidade tradicional não foi desenhada para este cenário, e exige camadas adicionais de deteção de sinais de geração sintética — a categoria de ataque que mais cresceu nos relatórios recentes.

Verificação manual versus verificação assistida por IA

Como a CheckFile complementa os seus controlos

Uma ferramenta de verificação documental não substitui o acesso a bases de dados oficiais nem o julgamento de um profissional formado: uniformiza o controlo aplicado a cada dossier, inclusive nos picos de volume. A plataforma CheckFile analisa a estrutura do passaporte, a coerência da MRZ e os metadados do ficheiro, com soluções dedicadas para banca e KYC e seguradoras.

Quando um passaporte parece gerado ou alterado digitalmente, a deteção de documentos gerados por IA e deepfakes da CheckFile acrescenta sinais de geração sintética como complemento aos seus controlos, encaminhando os dossiers mais duvidosos para análise forense pelo parceiro especializado Label4 — um sinal adicional, não um veredito automático nem garantia de deteção de todas as falsificações. Consulte também o guia de verificação documental por indústria e o guia de verificação de passaporte e documento de identidade. As garantias da plataforma estão em segurança, e os preços estão disponíveis para um piloto.

Perguntas frequentes

Como sei se um passaporte estrangeiro é falso sem equipamento especializado?

Verifique os check digits da MRZ, a nitidez e a mudança de aspeto do holograma consoante o ângulo, e compare a fotografia com um segundo documento sempre que possível. Nenhum sinal isolado é conclusivo, e a validação estrutural automatizada complementa a inspeção visual em casos de dúvida.

Um passaporte gerado por IA é mais difícil de detetar do que uma falsificação física tradicional?

Frequentemente sim, sobretudo quando submetido como ficheiro digital numa verificação remota em vez de apresentado fisicamente. Os geradores de imagem atuais reproduzem com fidelidade a disposição e as fontes de uma página de dados real, o que torna a inspeção visual isolada insuficiente.

O chip do passaporte garante sempre que o documento é autêntico?

Não isoladamente. O chip protegido por Basic Access Control valida a assinatura digital dos dados, mas a maioria dos fluxos de onboarding não inclui leitura NFC, dependendo apenas da imagem da página de dados. A ausência de leitura de chip não implica fraude, mas reduz os controlos disponíveis.

Que responsabilidade tem uma empresa que aceita um passaporte falsificado sem o detetar?

Para entidades obrigadas pela Lei n.º 83/2017 — bancos, seguradoras, sociedades financeiras — a aceitação sem controlos adequados falha as obrigações de KYC e pode originar contraordenação. Quem produz ou usa conscientemente o documento falsificado responde nos termos do artigo 256.º do Código Penal, com penas entre a multa e cinco anos de prisão.

A deteção assistida por IA consegue identificar todos os passaportes falsificados?

Não, e nenhum fornecedor sério deve afirmar o contrário. A deteção assistida por IA acrescenta sinais estruturais, de metadados e de geração sintética como complemento aos controlos existentes, não como garantia absoluta. Casos de dúvida fundada devem ser encaminhados para as autoridades ou para análise forense especializada.