Ataque de recaptura de tela: como detectar documentos falsos

Um ataque de recaptura de tela acontece quando o fraudador não envia o documento físico nem uma fotografia direta dele, mas fotografa ou filma uma tela — celular, tablet ou monitor — que está exibindo a imagem do documento. O objetivo é contornar os controles de upload e de prova de vida (liveness) sem nunca ter o objeto físico em mãos.

A técnica é barata, não exige competências gráficas avançadas e continua passando despercebida em fluxos de KYC que só verificam nitidez ou resolução da imagem enviada. Segundo o relatório ACFE 2024 Report to the Nations, os controles manuais de detecção de fraude identificam apenas 37% dos casos e levam em média 87 dias para confirmar uma suspeita (ACFE, 2024) — uma janela de exposição que a recaptura de tela explora sistematicamente, agravada no Brasil pelo crescimento de 126% no uso de deepfakes e identidades sintéticas entre 2024 e 2025 (Identity Fraud Report 2025-2026, Sumsub).

Para quem já conhece as técnicas forenses de análise ELA ou de metadados EXIF, a recaptura de tela é um vetor distinto: não modifica pixels do documento original, recria-os por uma segunda captura óptica. Isso exige sinais forenses diferentes, centrados na física da câmera.

O que é um ataque de recaptura de tela

Um ataque de recaptura de tela (screen recapture attack) consiste em apresentar à câmera de verificação a imagem de um documento exibida em outro dispositivo, em vez do documento físico original. O fraudador pode estar mostrando um documento roubado, um documento genuíno de terceiros ou uma imagem já editada — a recaptura é o passo final que disfarça a origem.

O caso mais comum em onboarding remoto: o usuário abre no celular a foto de um RG ou CNH obtidos ilicitamente e aponta a câmera do computador para essa tela, em vez de enviar o arquivo ou fotografar o documento físico. Para um sistema que só analisa nitidez e enquadramento, o resultado pode parecer uma captura legítima.

Essa técnica pertence à família dos ataques de apresentação (presentation attacks) — categoria que também inclui fotografias impressas, máscaras e vídeos em loop apresentados fisicamente à câmera.

PAD vs IAD: duas famílias de ataque que exigem defesas diferentes

A detecção de ataques de apresentação (PAD) e a detecção de ataques de injeção (IAD) cobrem vetores de fraude fundamentalmente distintos, e um sistema forte em uma não é automaticamente forte na outra. Confundir as duas é o erro de arquitetura mais frequente entre equipes de compliance que avaliam fornecedores.

PAD (Presentation Attack Detection) cobre tudo o que é apresentado fisicamente diante da câmera: fotografia impressa, máscara 3D, vídeo reproduzido em uma tela secundária e, justamente, a recaptura de tela de um documento. A câmera do usuário capta um objeto real — só que esse objeto é uma reprodução, não o original.

IAD (Injection Attack Detection) cobre ataques de software que nunca passam pela câmera: o fluxo de vídeo é interceptado e substituído por um vídeo manipulado ou gerado por IA diretamente no pipeline de dados, via câmera virtual ou driver modificado.

O quadro de qualificação francês ANSSI PVID exige resistência demonstrada às duas famílias de ataque antes de certificar uma solução de verificação de identidade à distância (LSTI, certificação PVID) — uma referência internacional comparável, ainda que não seja o padrão brasileiro. Um fornecedor que só testa contra PAD deixa a porta aberta a ataques de injeção, e vice-versa.

Como os padrões moiré revelam a recaptura de tela

Quando uma câmera fotografa uma tela digital, a interação entre a grade de pixels da tela e a grade do sensor produz padrões de interferência — moiré — que não existem ao fotografar um objeto físico genuíno. Esse efeito óptico é o sinal forense mais confiável para distinguir uma recaptura de uma captura direta.

O fenômeno foi documentado em estudo acadêmico apresentado na conferência USENIX Security 2021, "mID: Tracing Screen Photos via Moiré Patterns", que mostra como os padrões moiré funcionam inclusive como assinatura do modelo de tela usado na recaptura (USENIX Security 2021).

Na prática, motores de detecção de vivacidade documental analisam três sinais complementares ao moiré:

Reflexos e iluminação anômalos. Uma tela LCD ou OLED emite luz própria com um padrão de brilho e reflexo especular diferente de uma superfície de papel ou policarbonato iluminada externamente (Mitek Systems, document liveness detection).

Geometria de bordas inconsistente. A moldura do dispositivo usado na recaptura — bordas do celular, barra de notificações, cantos arredondados da tela — aparece com frequência nos limites da imagem, mesmo quando o fraudador tenta enquadrar só o documento.

Resolução efetiva degradada. Cada recaptura introduz perda de resolução em cascata: o documento exibido em uma tela e recapturado por uma segunda câmera nunca iguala a nitidez de uma fotografia direta do objeto físico, mesmo com sensores de alta qualidade dos dois lados.

A norma ISO/IEC 30107-3 como referência de teste

A ISO/IEC 30107-3 é a norma internacional de referência para testar e reportar sistemas de detecção de ataques de apresentação, incluindo a recaptura de tela (ISO/IEC 30107-3). Define três métricas que qualquer avaliação séria de fornecedor deve exigir:

• APCER (Attack Presentation Classification Error Rate): taxa em que ataques de apresentação — incluindo recapturas de tela — são classificados incorretamente como apresentações genuínas. Quanto mais baixo, melhor.
• BPCER (Bona fide Presentation Classification Error Rate): taxa em que apresentações legítimas são rejeitadas por engano. Um APCER muito baixo às custas de um BPCER elevado gera fricção e abandono no onboarding.
• IAPMR (Imposter Attack Presentation Match Rate): taxa em que um ataque de apresentação consegue corresponder à identidade de outra pessoa no sistema, combinando detecção de ataque e reconhecimento biométrico.

Nenhuma dessas métricas é promessa de detecção a 100%. São instrumentos de comparação entre fornecedores testados sob o mesmo protocolo — daí a exigência de certificações verificáveis, não de afirmações de marketing sem relatório de teste.

Quadro regulatório aplicável no Brasil

No Brasil, a Lei 9.613/1998, regulamentada pela Circular Bacen 3.978/2020, obriga as instituições sujeitas ao regime de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) a verificar a autenticidade dos documentos de identidade apresentados à distância, sem prescrever uma técnica específica — a escolha do método fica a cargo da instituição, sob supervisão do Banco Central do Brasil (Bacen), da CVM ou, no mercado de seguros, da SUSEP, conforme o setor regulado.

O Bacen já exige prova de vida na abertura de contas e em transações fora do padrão do cliente, e as Resoluções BCB 538 e CMN 5.274 elevaram os padrões de autenticação, reduzindo a dependência de SMS — vulnerável a SIM swap — em favor de tokens internos e biometria comportamental, dentro de uma política de tolerância zero à fraude que também alcança o Pix. Como camada adicional, o BC Protege+ permite comunicar às instituições financeiras que não se deseja ter contas abertas em seu nome; instituições autorizadas pelo Bacen devem consultar esse cadastro antes de abrir novas contas.

A ANPD supervisiona o tratamento de dados biométricos recolhidos na verificação remota, com base na LGPD (Lei 13.709/2018), que classifica dados biométricos como dados pessoais sensíveis — incluindo imagens de documentos e capturas faciais. Um dossiê de conformidade robusto documenta não só a decisão final ("aprovado" ou "rejeitado"), mas o sinal forense que a fundamentou, incluindo a detecção de padrão moiré quando aplicável — uma peça técnica dentro de um arcabouço mais amplo de combate a fraudes documentais e de identidade no sistema financeiro nacional.

Como integrar a detecção de recaptura no fluxo de verificação

A detecção de recaptura de tela não substitui os demais controles — soma-se a eles. Um fluxo de onboarding remoto conforme combina três camadas: análise forense da imagem (moiré, reflexos, bordas), verificação estrutural do documento (tipografia, selos, coerência de campos) e triagem regulatória (sanções, PEP).

A CheckFile aplica essa lógica por meio de análise multicamada (estrutural, metadados, coerência entre documentos), cobrindo mais de 3.200 tipos de documentos em 24 idiomas de OCR e 32 jurisdições, com SLA de disponibilidade alvo de 99,94%, servindo equipes de conformidade em banco e KYC e em financiamento e leasing, setores em que o onboarding remoto torna a revisão manual inviável em volume.

Para comparar esse vetor com o vetor biométrico equivalente — um rosto falso em vez de um documento falso — consulte nosso artigo sobre detecção de vivacidade na verificação facial. Os dois controles são complementares: um fraudador pode superar a recaptura documental e ainda assim falhar a prova de vivacidade facial, ou vice-versa — daí a necessidade de cobrir ambos os vetores na mesma sessão.

Para uma visão mais ampla dos métodos de validação documental aplicáveis a qualquer setor, consulte o guia completo de verificação de documentos. Detalhes sobre infraestrutura e certificações de segurança estão na página de segurança; para custos por volume, veja a página de preços.

Nenhuma solução atinge 100% de detecção. A CheckFile aumenta a cobertura combinando análise estrutural, revisão de metadados e sinais de geração por IA como complemento aos controles já existentes — consulte a detecção de documentos gerados por IA e deepfakes para entender onde essa camada se encaixa, ou fale com nossa equipe para avaliar seu processo de onboarding.

Perguntas frequentes

O que é um ataque de recaptura de tela?

É a apresentação, diante da câmera de verificação, da imagem de um documento exibida em outra tela — celular, tablet ou monitor — em vez do documento físico original ou de uma fotografia direta dele. O objetivo é contornar controles de upload e de prova de vida sem possuir o objeto físico.

Como o padrão moiré ajuda a detectar esse tipo de fraude?

A interação entre a grade de pixels de uma tela digital e a grade do sensor da câmera que a fotografa gera um padrão de interferência óptica — o moiré — ausente ao fotografar um objeto físico genuíno. É um sinal forense estudado academicamente e já implementado em motores comerciais de detecção de vivacidade.

Qual a diferença entre PAD e IAD?

PAD detecta ataques físicos apresentados diante da câmera, como a recaptura de tela, fotografias impressas ou máscaras. IAD detecta ataques de software que contornam a câmera e injetam vídeo manipulado diretamente no fluxo de dados. Um sistema robusto precisa cobrir ambas as famílias.

A norma ISO 30107-3 garante detecção total de recapturas de tela?

Não. A ISO/IEC 30107-3 define a metodologia de teste e as métricas — APCER, BPCER, IAPMR — para comparar sistemas sob um protocolo comum. Nenhuma certificação equivale a garantia de detecção a 100%; é um padrão de comparação entre fornecedores, não uma promessa absoluta.

Que obrigações têm as instituições brasileiras diante desse tipo de fraude?

A Lei 9.613/1998, regulamentada pela Circular Bacen 3.978/2020, obriga as instituições sujeitas ao regime de PLD/FT a verificar a autenticidade dos documentos apresentados à distância, sob supervisão do Bacen e da CVM. O Bacen também exige prova de vida em transações fora do padrão e mantém o serviço BC Protege+ contra abertura fraudulenta de contas, enquanto a ANPD supervisiona, com base na LGPD, o tratamento dos dados biométricos usados na verificação.