Captura de foto in-app vs upload de ficheiro: risco de fraude

Obrigar à captura de foto dentro da aplicação em vez de aceitar um ficheiro carregado a partir da galeria reduz um vetor de fraude concreto — a imagem reutilizada, editada ou recapturada de ecrã — mas não elimina a fraude por injeção de vídeo nem substitui a análise forense do próprio documento. Ambos os métodos de recolha continuam vulneráveis se não forem combinados com deteção de vivacidade e verificação do conteúdo documental.

O que é a captura de foto in-app na verificação documental

A captura in-app obriga o utilizador a usar a câmara do dispositivo ativada a partir de dentro da aplicação ou do browser, sem possibilidade de selecionar um ficheiro já existente na galeria ou no disco. O SDK controla o fluxo da câmara em tempo real: enquadramento assistido, deteção de reflexos, orientação para fotografar ambas as faces de um documento de identidade e, frequentemente, um desafio de vivacidade como piscar os olhos ou virar a cabeça.

O upload de ficheiro, pelo contrário, aceita qualquer imagem já presente no dispositivo: uma captura de ecrã, uma digitalização, uma foto tirada semanas antes ou um ficheiro reencaminhado por terceiros. O controlo de upload habitual valida formato, resolução e legibilidade dos campos OCR do ficheiro recebido — nunca a sua origem real.

Por que o upload de ficheiro facilita três tipos de fraude

O upload de ficheiro abre a porta à reutilização, à edição e à recaptura de ecrã, três técnicas que exploram a ausência de controlo sobre a proveniência da imagem. Um fraudador pode enviar o mesmo documento roubado a vários serviços, editar um campo num software de edição antes do envio, ou fotografar um documento falsificado exibido num segundo ecrã para mascarar os vestígios de manipulação — uma técnica detalhada no nosso guia de deteção de recaptura de ecrã.

Os metadados EXIF, frequentemente apresentados como uma garantia, degradam-se assim que o ficheiro passa por uma rede social, uma aplicação de mensagens ou um simples copiar-colar: a maioria destes canais remove os metadados EXIF originais, deixando um ficheiro "limpo" indistinguível de uma foto legítima recente. O nosso guia de análise de metadados EXIF explica por que este controlo continua útil mas nunca suficiente por si só.

O que a captura in-app realmente muda

A captura in-app desloca o ponto de controlo do ficheiro recebido para o próprio fluxo de câmara, o que neutraliza a reutilização passiva de imagens mas introduz uma nova superfície de ataque: a injeção. Uma câmara virtual ou um controlador modificado pode fazer o SDK acreditar que um vídeo pré-gravado ou gerado sinteticamente provém de uma câmara física, sem que nenhuma foto real tenha sido tirada em frente à objetiva.

O limite estrutural: injeção de vídeo e deepfakes em tempo real

Investigadores documentaram em 2026 um conjunto de ferramentas Android capaz de injetar um vídeo pré-gravado, uma imagem fixa ou um fluxo controlado remotamente diretamente no pipeline de captura de uma aplicação, fazendo-se passar pela câmara física do telemóvel (ID Tech, kit Android que contorna verificações KYC em tempo real). O ataque opera ao nível do sistema operativo, antes de chegar à aplicação: não explora uma falha da captura in-app em si, mas invalida o pressuposto implícito de que "câmara ativa" significa "imagem genuína".

O setor distingue duas famílias de ameaças: os ataques de apresentação (PAD), em que um objeto físico — ecrã, impressão, máscara — é colocado em frente à câmara, e os ataques por injeção (IAD), em que o fluxo de vídeo é substituído antes de chegar à objetiva. A norma ISO/IEC 30107-3 rege os testes de resistência PAD; a resistência a IAD depende de verificações de integridade de software e de associação criptográfica de sessão, algo que a captura in-app isoladamente não cobre.

O que recomendam os referenciais técnicos

O NIST SP 800-63A, que rege a verificação de identidade remota de nível IAL2 nos Estados Unidos, não torna obrigatória a deteção de vivacidade mas recomenda-a fortemente para afastar os ataques de apresentação mais simples; ao nível IAL3, exige transmissão contínua de vídeo em alta resolução supervisionada por um operador humano. Em Portugal, o Banco de Portugal espera que as entidades obrigadas apliquem medidas de identificação e diligência proporcionadas ao risco, sem impor um método único de recolha, no quadro da Lei n.º 83/2017.

O regulamento eIDAS 2 e o lançamento da Carteira Europeia de Identidade Digital (EUDI Wallet), previsto em todos os Estados-membros até dezembro de 2026, deslocam progressivamente este debate: os atributos de identidade passarão a ser apresentados como asserções criptográficas assinadas em vez de fotos de documentos, o que torna a escolha captura versus upload irrelevante nos fluxos compatíveis com a carteira. Entretanto, o dado biométrico associado à captura continua a ser uma categoria especial ao abrigo do RGPD, e a CNPD recorda que a sua recolha deve limitar-se estritamente à finalidade de verificação.

O que as equipas de produto perguntam nos fóruns

As discussões entre developers e equipas de produto que implementam fluxos KYC voltam regularmente a duas questões concretas. A primeira é sobre a experiência do utilizador: porque bloquear o upload se é mais rápido, sobretudo para utilizadores que já digitalizaram o seu documento para outro processo? A resposta está no equilíbrio risco-fricção: um upload aceite sem controlo de proveniência multiplica os falsos positivos por reutilização, o que custa mais em revisão manual do que a fricção acrescentada por obrigar à câmara.

A segunda questão é sobre a fiabilidade percebida: alguns referem aplicações que "obrigam à câmara" enquanto geram automaticamente carimbo temporal e geolocalização em cada foto tirada, usado como sinal de autenticidade de nível básico. Este mecanismo funciona para prova de uso (foto de estado de um imóvel, prova de entrega), mas não equivale a verificação documental: o carimbo temporal prova quando a foto foi tirada, não que o documento fotografado seja autêntico.

Como decidir entre captura in-app e upload no seu fluxo

1. Reserve o upload para documentos difíceis de falsificar a baixo custo: extratos bancários em PDF com assinatura digital, faturas com código QR de verificação.
2. Exija captura in-app para documentos de identidade e comprovativos de alto risco, com deteção de vivacidade ativa e não um simples controlo estático.
3. Aplique análise forense ao documento recebido em ambos os casos: a captura in-app reduz o risco de reutilização, não substitui a análise de coerência interna do documento.
4. Registe o método de recolha utilizado em cada processo, para poder justificar o procedimento perante uma inspeção do Banco de Portugal.
5. Preveja uma via de revisão humana para os utilizadores cuja câmara falhe repetidamente, sem reduzir o nível de controlo aplicado ao seu processo.

Para uma visão mais ampla dos métodos de verificação documental, o nosso guia de verificação de documentos detalha as peças complementares em torno da decisão captura versus upload. As soluções bancárias e KYC da CheckFile combinam ambas as fases de recolha com uma análise documental multicamada, e a nossa página de segurança detalha as certificações e práticas de tratamento de dados biométricos envolvidas.

Nem a captura in-app nem o upload detetam sozinhos um documento gerado por inteligência artificial: os sinais de geração por IA — coerência de textura, artefactos de modelo, ausência de ruído natural de sensor — são analisados como complemento aos controlos de captura existentes, não como substituto. A nossa página dedicada à deteção de deepfakes e documentos gerados por IA apresenta esta camada adicional, sem pretender detetar sozinha a totalidade das falsificações possíveis.

Perguntas frequentes

A captura de foto in-app impede toda a fraude documental?

Não. Reduz fortemente a reutilização de imagens e a recaptura de ecrã, mas continua exposta a ataques de injeção de vídeo se a integridade do fluxo de câmara não for verificada. Deve ser combinada com análise forense do documento.

Por que algumas aplicações ainda aceitam o upload de ficheiro?

Por razões de usabilidade e acessibilidade — alguns dispositivos ou browsers restringem o acesso à câmara — e porque nem todos os documentos apresentam o mesmo risco de fraude. Um extrato bancário em PDF assinado digitalmente não tem o mesmo perfil de risco de um documento de identidade.

Os metadados EXIF bastam para detetar fraude num ficheiro carregado?

Não. Frequentemente estão ausentes depois de o ficheiro passar por uma rede social ou aplicação de mensagens, e um fraudador experiente consegue fabricar metadados EXIF credíveis. A análise EXIF continua a ser um indício complementar, nunca uma prova por si só.

A regulação portuguesa exige a captura in-app?

O Banco de Portugal não impõe um método único de recolha, mas exige um procedimento documentado e proporcionado ao risco. A captura in-app com deteção de vivacidade ativa é geralmente recomendada para documentos de identidade em fluxos remotos de alto risco.

A futura Carteira Europeia de Identidade Digital tornará este debate irrelevante?

Em parte. Nos fluxos compatíveis com o eIDAS 2 e a EUDI Wallet, o utilizador apresentará atributos criptográficos verificados em vez de uma foto de documento, deslocando o controlo para a verificação de assinatura em vez do método de captura da imagem.