Fraude documental as-a-service: geradores de IA

A fraude documental as-a-service é um modelo de negócio criminoso em que sites e canais de Telegram vendem documentos falsos gerados por inteligência artificial — recibos de vencimento, extratos bancários, cartões de cidadão, faturas — como um serviço pronto a usar. Não exige competências de design gráfico: o comprador escolhe um modelo, introduz os dados que quer ver no documento e recebe um ficheiro pronto a submeter em minutos, por um preço que ronda poucos euros por unidade. É uma industrialização da falsificação documental, não um caso isolado de Photoshop mal feito.

Este artigo é fornecido para fins informativos. Os requisitos regulamentares evoluem — consulte o Banco de Portugal ou um jurista especializado para a sua situação concreta.

O que é a fraude documental as-a-service?

Fraude documental as-a-service designa a venda de documentos falsificados gerados por IA através de plataformas acessíveis a qualquer pessoa, sem conhecimentos técnicos. O comprador não precisa de saber usar um editor de imagem nem de encontrar um "falsificador" de confiança numa rede fechada: basta aceder a um site ou a um bot de Telegram, escolher o tipo de documento e o país, preencher um formulário com nome, morada, valores e datas, e pagar em criptomoeda ou por transferência. O ficheiro chega em minutos, muitas vezes já formatado para passar em verificações automáticas de layout.

O modelo replica o de qualquer SaaS legítimo: catálogo de modelos por país e banco, preços fixos por documento, entrega rápida, e nalguns casos até suporte ao cliente e garantia de reembolso se o documento for recusado. É essa lógica de escala — templates reutilizáveis, produção em série, preço baixo — que torna esta ameaça estruturalmente diferente da falsificação artesanal. Um único operador consegue servir milhares de compradores em paralelo, cada um a gerar dezenas de variações do mesmo documento até encontrar uma que passe.

Como funcionam os geradores de IA e os kits do Telegram

Tecnicamente, estes serviços combinam três camadas. Modelos de linguagem geram texto e dados internamente coerentes — nomes, números de identificação fiscal, valores de salário compatíveis com a profissão indicada, datas de emissão plausíveis — evitando os erros grosseiros que denunciavam falsificações manuais. Motores de template reproduzem o layout exato de um extrato bancário ou recibo de vencimento de uma instituição real, incluindo logótipos, tipografia e disposição de campos. E modelos generativos de imagem, do tipo GAN ou de difusão, produzem fotografias de rosto sintéticas ou adaptam fotos reais para cartões de identidade e cartas de condução, com texturas de plástico, hologramas simulados e microimpressões falsas.

O caso mais visível deste ecossistema foi o OnlyFake, um site que vendia cartões de identidade, cartas de condução e outros documentos gerados por IA a um público alargado. Foi encerrado pelas autoridades norte-americanas em fevereiro de 2026, num processo que envolveu o operador Yurii Nazarenko — detalhes do caso estão descritos pela resistant.ai. Semanas depois, reabriu um serviço quase idêntico sob o nome "MacDoc", com o mesmo catálogo de modelos e o mesmo modelo de preços. O encerramento de um site não elimina a procura nem o código: apenas obriga a uma mudança de marca.

Este padrão repete-se em canais de Telegram dedicados. Investigadores identificaram 22 canais e grupos públicos, em chinês, vietnamita e inglês, que promovem abertamente ferramentas para contornar os controlos de identidade de instituições como Binance, BBVA ou Revolut: software de webcam virtual para simular uma câmara em direto durante uma verificação por vídeo, templates de dados biométricos roubados e geradores de vídeos deepfake para provas de vida. A tech-insider.org documentou este mercado em detalhe. Ao contrário de um fórum fechado, um canal de Telegram público é indexável, partilhável e acessível a qualquer pessoa com um telemóvel.

Preços, prazos e sinais por tipo de documento

Os preços variam consoante a complexidade do documento, mas seguem um padrão consistente de baixo custo e entrega quase instantânea.

Esta tabela reflete padrões observados no mercado, não uma lista exaustiva. Novos tipos de documento surgem à medida que os operadores destes serviços identificam procura — comprovativos de residência fiscal e declarações de rendimento têm aparecido com mais frequência nos catálogos analisados por investigadores de segurança.

Porque a revisão manual já não é suficiente

Durante anos, a defesa principal contra documentos falsos foi um analista a olhar para o ficheiro e a comparar visualmente com um modelo de referência. Esse método funcionava razoavelmente bem contra edições grosseiras em Photoshop — bordas mal recortadas, fontes trocadas, sombras inconsistentes. Contra documentos gerados por modelos treinados especificamente para replicar o layout oficial de um banco ou de uma entidade emissora, a revisão visual perde eficácia de forma acentuada.

O relatório ACFE 2024 indica que apenas 37% da fraude documental é detetada por revisão humana direta. A maioria dos casos de fraude é identificada por outros meios — denúncias, auditorias, deteção acidental — precisamente porque o olho humano não consegue distinguir de forma fiável um template gerado por IA de um documento genuíno. A ENISA Threat Landscape 2024 classifica já a fraude documental assistida por IA como uma ameaça emergente na União Europeia, o que reflete a mudança de escala do problema: já não se trata de detetar falsificações pontuais, mas de lidar com um fluxo contínuo de documentos produzidos por modelos otimizados para passar despercebidos.

O que perguntam os responsáveis de compliance

Os responsáveis de compliance perguntam frequentemente como distinguir, em segundos e sem abrandar o onboarding, um documento gerado por um kit de fraude de um documento genuíno digitalizado num telemóvel de baixa qualidade — a fronteira entre os dois já não é óbvia a olho nu.

Outra questão recorrente é o volume: se um único operador de fraude consegue gerar centenas de variações de um documento até encontrar uma que passe nos controlos, que valor tem ainda uma verificação manual pontual, e onde deve ser investido o orçamento de compliance para acompanhar essa escala.

Por fim, surge a responsabilidade regulatória: até que ponto uma instituição sujeita a obrigações de diligência responde por não ter identificado um documento gerado por um serviço concebido especificamente para enganar os seus controlos, e que evidência de diligência razoável é exigida em caso de inspeção.

Deteção multicamada: para além da revisão visual

A resposta a este problema não é um único filtro, mas várias camadas de verificação que se reforçam mutuamente. A análise de metadados examina o histórico interno do ficheiro — software de criação, datas de modificação, propriedades incoerentes com o alegado emissor — que raramente é limpo com cuidado pelos operadores de fraude, focados em volume e velocidade. A validação cruzada de documentos compara dados entre várias fontes submetidas pelo mesmo utilizador: um recibo de vencimento cujo empregador não bate certo com o extrato bancário associado, ou uma morada que difere entre o comprovativo de morada e o documento de identidade.

Os sinais forenses de aprendizagem automática acrescentam uma camada mais especializada: deteção de padrões de compressão, artefactos de reamostragem e assinaturas estatísticas típicas de imagens produzidas por modelos generativos, invisíveis a olho nu mas impressas na estrutura do ficheiro. É nesta camada que a CheckFile disponibiliza deteção de conteúdo sintético como complemento aos controlos estruturais existentes, ajustável consoante o perfil de risco do setor e do cliente. Nenhuma destas camadas isoladamente resolve o problema — a combinação de metadados, validação cruzada e sinais forenses permite acompanhar a velocidade de produção destes kits sem depender exclusivamente do julgamento visual de um analista. Consulte a checklist de sinais de documentos gerados por IA para uma lista prática de indicadores a verificar caso a caso, e a página de segurança da CheckFile para detalhes sobre como estas camadas são geridas ao nível da infraestrutura.

Enquadramento legal em Portugal

Em Portugal, as entidades obrigadas — instituições de crédito, sociedades financeiras, e um leque alargado de outros setores — estão sujeitas aos deveres de diligência previstos na Lei n.º 83/2017, que transpõe as diretivas europeias de prevenção do branqueamento de capitais e do financiamento do terrorismo. Estes deveres incluem a identificação e verificação da identidade do cliente com base em documentos fiáveis, o que implica avaliar ativamente se um documento apresentado pode ter sido gerado artificialmente. O incumprimento destes deveres pode dar origem a sanções aplicadas pelo Banco de Portugal, que supervisiona o cumprimento destas obrigações no setor financeiro.

A nível penal, a apresentação de um documento falsificado configura o crime de falsificação de documento previsto no artigo 256.º do Código Penal, aplicável tanto a quem produz o documento como, em certas circunstâncias, a quem o utiliza conscientemente para obter uma vantagem. Ao nível europeu, o Regulamento (UE) 2024/1689, que estabelece regras harmonizadas em matéria de inteligência artificial, impõe obrigações de transparência sobre conteúdo sintético, incluindo requisitos de marcação de conteúdo gerado ou manipulado por IA — uma medida que, a médio prazo, poderá facilitar a deteção destes documentos, ainda que operadores de fraude dificilmente cumpram voluntariamente essas obrigações.

Nos Estados Unidos, a FinCEN emitiu em novembro de 2024 um alerta formal (FIN-2024-Alert004) sobre esquemas de fraude que recorrem a IA generativa para contornar a verificação de identidade, documentando uma subida de incidentes de fraude com deepfake de 22 casos em 2022 para 150 em 2024, e já 179 apenas no primeiro trimestre de 2025 — ver o alerta FinCEN em PDF. A trajetória é indicativa de uma tendência que não se limita ao mercado norte-americano e que os setores financeiro e imobiliário em Portugal têm todo o interesse em acompanhar, dado o volume de documentos que processam em cada onboarding.

Perceber como estes documentos são construídos ajuda a calibrar melhor os controlos internos — veja também como a IA gera documentos falsos na prática, passo a passo.

Face a este cenário, integrar sinais de geração por IA como complemento aos controlos existentes de onboarding e KYC deixou de ser um extra opcional para se tornar parte central da gestão de risco documental. A CheckFile disponibiliza essa camada de deteção de fraude e deepfake integrada no fluxo de verificação — conheça a solução de deteção de fraude e deepfake da CheckFile e veja como se articula com os processos que já tem implementados, sem substituir a análise humana onde ela continua a ser necessária. Os planos e preços da CheckFile escalam com o volume de documentos processados, o que facilita ajustar o investimento em deteção ao risco real de cada carteira de clientes.

Perguntas frequentes

O que é a fraude documental as-a-service?

É a venda de documentos falsos gerados por IA — recibos de vencimento, extratos bancários, documentos de identidade, faturas — através de sites ou canais de Telegram, entregues em minutos por um preço baixo, sem exigir competências técnicas ao comprador.

Como é que o OnlyFake e o MacDoc estão relacionados?

O OnlyFake foi um site de venda de documentos falsos encerrado pelas autoridades norte-americanas em fevereiro de 2026. Semanas depois, surgiu o MacDoc, um serviço quase idêntico, o que ilustra como este mercado se reorganiza rapidamente após uma ação de aplicação da lei.

A revisão manual de documentos ainda tem utilidade?

Sim, mas de forma isolada já não é suficiente. Segundo o relatório ACFE 2024, apenas 37% da fraude documental é detetada por revisão humana direta, o que torna necessário combinar essa revisão com validação de metadados, verificação cruzada e sinais forenses automatizados.

Que obrigações legais existem em Portugal sobre este tema?

As entidades obrigadas devem cumprir os deveres de diligência da Lei n.º 83/2017, sob supervisão do Banco de Portugal. A apresentação de um documento falsificado configura ainda o crime previsto no artigo 256.º do Código Penal.

A CheckFile deteta todos os documentos gerados por IA?

Não. A CheckFile disponibiliza deteção de conteúdo sintético como complemento aos controlos estruturais e de diligência já existentes, ajustável ao perfil de risco do cliente — não substitui a avaliação humana nem garante a deteção de todas as falsificações possíveis.

Este artigo tem fins informativos e não substitui aconselhamento jurídico ou regulatório específico. Para uma visão mais alargada sobre fraude documental e proteção de dados, consulte o guia completo sobre fraude e dados.