Fraude documental as-a-service: geradores de IA no Brasil

A fraude documental as-a-service é um modelo de negócio criminoso em que sites e grupos de Telegram vendem documentos falsos gerados por inteligência artificial — holerites, extratos bancários, RG, CNH, notas fiscais — como um serviço pronto para uso. Não exige nenhuma habilidade de design: o comprador escolhe um modelo, preenche os dados que quer ver no documento e recebe um arquivo pronto para envio em minutos, por poucos reais. É a industrialização da falsificação documental, não mais um caso isolado de Photoshop malfeito.

Este artigo é fornecido apenas para fins informativos. As exigências regulatórias evoluem — consulte o Bacen/COAF ou um advogado especializado para sua situação específica.

O que é a fraude documental as-a-service?

Fraude documental as-a-service designa a venda de documentos falsificados gerados por IA por meio de plataformas acessíveis a qualquer pessoa, sem conhecimento técnico algum. O comprador não precisa saber usar um editor de imagem nem localizar um "falsificador" de confiança em uma rede fechada: basta acessar um site ou um bot de Telegram, escolher o tipo de documento e o banco ou órgão emissor, preencher um formulário com nome, CPF, endereço, valores e datas, e pagar em criptomoeda ou Pix. O arquivo chega em minutos, muitas vezes já formatado para passar em verificações automáticas de layout.

O modelo replica o de qualquer SaaS legítimo: catálogo de modelos por banco e tipo de documento, preços fixos, entrega rápida e, em alguns casos, até suporte ao cliente e garantia de reembolso caso o documento seja recusado. É essa lógica de escala — templates reutilizáveis, produção em série, preço baixo — que torna essa ameaça estruturalmente diferente da falsificação artesanal. Um único operador consegue atender milhares de compradores em paralelo, cada um gerando dezenas de variações do mesmo documento até encontrar uma que passe.

O tamanho do problema no Brasil já está documentado: segundo o Identity Fraud Report 2025-2026 da Sumsub, 1 em cada 50 documentos falsificados já é inteiramente gerado por IA, e o país registrou 6.937.832 tentativas de fraude apenas no primeiro semestre de 2025, das quais 53,7% foram direcionadas contra bancos e emissores de cartões, segundo reportagem da atualidadepolitica.com.br.

Como funcionam os geradores de IA e os kits do Telegram

Tecnicamente, esses serviços combinam três camadas. Modelos de linguagem geram texto e dados internamente coerentes — nomes, números de CPF com formato válido, valores de salário compatíveis com a profissão indicada, datas de emissão plausíveis — evitando os erros grosseiros que denunciavam falsificações manuais. Motores de template reproduzem o layout exato de um extrato bancário ou holerite de uma instituição real, incluindo logotipos, tipografia e disposição dos campos. E modelos generativos de imagem, do tipo GAN ou de difusão, produzem fotos de rosto sintéticas ou adaptam fotos reais para RG e CNH, com texturas de plástico, hologramas simulados e microimpressões falsas.

O caso mais visível desse ecossistema foi o OnlyFake, um site que vendia documentos de identidade, carteiras de motorista e outros documentos gerados por IA para um público amplo. Foi encerrado pelas autoridades norte-americanas em fevereiro de 2026, conforme detalhado pela resistant.ai. Semanas depois, reabriu um serviço quase idêntico sob o nome "MacDoc", com o mesmo catálogo de modelos e o mesmo modelo de preços. O encerramento de um site não elimina a demanda nem o código-fonte: apenas obriga a uma troca de marca.

Esse padrão se repete em canais de Telegram dedicados. Pesquisadores identificaram 22 canais e grupos públicos, em chinês, vietnamita e inglês, que promovem abertamente ferramentas para contornar os controles de identidade de grandes instituições como Binance, BBVA e Revolut: softwares de webcam virtual para simular uma câmera ao vivo durante uma verificação por vídeo, templates de dados biométricos roubados e geradores de vídeos deepfake para prova de vida. A tech-insider.org documentou esse mercado em detalhe. Diferentemente de um fórum fechado, um canal de Telegram público é indexável, compartilhável e acessível a qualquer pessoa com um celular — inclusive no Brasil, onde o Telegram é um dos aplicativos de mensagem mais usados do país.

Preços, prazos e sinais por tipo de documento

Os preços variam conforme a complexidade do documento, mas seguem um padrão consistente de baixo custo e entrega quase instantânea.

Essa tabela reflete padrões observados no mercado, não uma lista exaustiva. Novos tipos de documento surgem à medida que os operadores desses serviços identificam demanda — declarações de Imposto de Renda e comprovantes de vínculo empregatício têm aparecido com mais frequência nos catálogos analisados por pesquisadores de segurança, especialmente durante a temporada de declaração anual.

Por que a revisão manual não é mais suficiente

Durante anos, a principal defesa contra documentos falsos foi um analista olhando o arquivo e comparando visualmente com um modelo de referência. Esse método funcionava razoavelmente bem contra edições grosseiras em Photoshop — bordas mal recortadas, fontes trocadas, sombras inconsistentes. Contra documentos gerados por modelos treinados especificamente para replicar o layout oficial de um banco ou de um órgão emissor, a revisão visual perde eficácia de forma acentuada.

O relatório ACFE 2024 indica que apenas 37% da fraude documental é detectada por revisão humana direta. A maioria dos casos é identificada por outros meios — denúncias, auditorias, detecção acidental — justamente porque o olho humano não consegue distinguir de forma confiável um template gerado por IA de um documento genuíno. No Brasil, esse quadro é agravado pelo avanço de golpes ligados ao Imposto de Renda 2026, que já envolvem centenas de páginas fraudulentas replicando a Receita Federal para induzir vítimas a fornecer dados e documentos, segundo a raizesfm.com.br. Já não se trata de detectar falsificações pontuais, mas de lidar com um fluxo contínuo de documentos produzidos por modelos otimizados para passar despercebidos.

O que os responsáveis por compliance perguntam no Brasil

Os responsáveis por compliance perguntam com frequência como distinguir, em segundos e sem travar o onboarding, um documento gerado por um kit de fraude de um documento genuíno fotografado com um celular de baixa qualidade — a fronteira entre os dois já não é óbvia a olho nu.

Outra dúvida recorrente é sobre volume: se um único operador de fraude consegue gerar centenas de variações de um documento até encontrar uma que passe nos controles, que valor ainda tem uma verificação manual pontual, e onde deve ser investido o orçamento de compliance para acompanhar essa escala — especialmente em instituições que processam grandes volumes de abertura de conta e concessão de crédito.

Por fim, surge a questão da responsabilidade regulatória: até que ponto uma instituição sujeita a deveres de diligência responde perante o Bacen ou o COAF por não ter identificado um documento gerado por um serviço concebido especificamente para enganar seus controles, e que evidência de diligência razoável é exigida em caso de fiscalização.

Detecção em múltiplas camadas: além da revisão visual

A resposta a esse problema não é um único filtro, mas várias camadas de verificação que se reforçam mutuamente. A análise de metadados examina o histórico interno do arquivo — software de criação, datas de modificação, propriedades incoerentes com o alegado emissor — que raramente é limpo com cuidado pelos operadores de fraude, focados em volume e velocidade. A validação cruzada de documentos compara dados entre várias fontes enviadas pelo mesmo usuário: um holerite cujo empregador não bate com o extrato bancário associado, ou um endereço que difere entre o comprovante de residência e o documento de identidade.

Os sinais forenses de aprendizado de máquina acrescentam uma camada mais especializada: detecção de padrões de compressão, artefatos de reamostragem e assinaturas estatísticas típicas de imagens produzidas por modelos generativos, invisíveis a olho nu mas impressas na estrutura do arquivo. É nessa camada que a CheckFile disponibiliza detecção de conteúdo sintético como complemento aos controles estruturais existentes, ajustável conforme o perfil de risco do setor e do cliente. Nenhuma dessas camadas isoladamente resolve o problema — a combinação de metadados, validação cruzada e sinais forenses permite acompanhar a velocidade de produção desses kits sem depender exclusivamente do julgamento visual de um analista. Consulte a checklist de sinais de documentos gerados por IA para uma lista prática de indicadores a verificar caso a caso, e a página de segurança da CheckFile para detalhes sobre como essas camadas são geridas no nível da infraestrutura.

Marco legal no Brasil

No Brasil, as entidades obrigadas — instituições financeiras, seguradoras, fintechs e um leque amplo de outros setores — estão sujeitas aos deveres de diligência previstos na Lei 9.613/1998, regulamentada pela Circular Bacen 3.978/2020. Esses deveres incluem a identificação e verificação da identidade do cliente com base em documentos confiáveis, o que implica avaliar ativamente se um documento apresentado pode ter sido gerado artificialmente. O Bacen supervisiona o cumprimento dessas obrigações no setor financeiro, enquanto o COAF recebe e analisa comunicações de operações suspeitas — o não cumprimento desses deveres pode gerar sanções administrativas de valor elevado.

No âmbito penal, a apresentação de um documento falsificado configura os crimes de falsidade documental previstos nos artigos 297 e 298 do Código Penal Brasileiro, aplicáveis tanto a quem produz o documento quanto, em certas circunstâncias, a quem o utiliza conscientemente para obter vantagem. A Circular Bacen 3.978/2020 já obriga as instituições financeiras a validar os documentos dos clientes no processo de KYC, com prazos de retenção de registros definidos tanto pelo Bacen quanto pelo COAF, conforme aponta análise do blog.dynadok.com. A LGPD (Lei 13.709/2018) também se aplica: os dados pessoais coletados durante o processo de verificação documental — inclusive quando um documento é identificado como fraudulento — devem ser tratados com base legal adequada e proteção compatível com sua sensibilidade, sob supervisão da ANPD.

Para equipes de compliance com operações internacionais, vale acompanhar também o Regulamento (UE) 2024/1689 de IA, que impõe obrigações de transparência sobre conteúdo sintético na União Europeia, incluindo requisitos de marcação de conteúdo gerado ou manipulado por IA — uma medida que, a médio prazo, pode facilitar a detecção desses documentos em operações que cruzam fronteiras, ainda que operadores de fraude dificilmente cumpram essas obrigações de forma voluntária. Os setores financeiro e imobiliário no Brasil têm todo o interesse em acompanhar essa tendência, dado o volume de documentos que processam em cada onboarding. Entender como esses documentos são construídos ajuda a calibrar melhor os controles internos — veja também como a IA gera documentos falsos na prática, passo a passo.

Diante desse cenário, integrar sinais de geração por IA como complemento aos seus controles existentes de onboarding e KYC deixou de ser um extra opcional para se tornar parte central da gestão de risco documental. A CheckFile disponibiliza essa camada de detecção de fraude e deepfake integrada ao fluxo de verificação — conheça a solução de detecção de fraude e deepfake da CheckFile e veja como ela se articula com os processos que sua instituição já tem implementados, sem substituir a análise humana onde ela continua sendo necessária. Os planos e preços da CheckFile escalam com o volume de documentos processados, o que facilita ajustar o investimento em detecção ao risco real de cada carteira de clientes.

Perguntas frequentes

O que é a fraude documental as-a-service?

É a venda de documentos falsos gerados por IA — holerites, extratos bancários, documentos de identidade, notas fiscais — por meio de sites ou canais de Telegram, entregues em minutos por um preço baixo, sem exigir nenhuma habilidade técnica do comprador.

Como o OnlyFake e o MacDoc estão relacionados?

O OnlyFake foi um site de venda de documentos falsos encerrado pelas autoridades norte-americanas em fevereiro de 2026. Semanas depois, surgiu o MacDoc, um serviço quase idêntico, o que ilustra como esse mercado se reorganiza rapidamente após uma ação de aplicação da lei.

A revisão manual de documentos ainda tem utilidade?

Sim, mas isoladamente já não é suficiente. Segundo o relatório ACFE 2024, apenas 37% da fraude documental é detectada por revisão humana direta, o que torna necessário combinar essa revisão com validação de metadados, verificação cruzada e sinais forenses automatizados.

Que obrigações legais existem no Brasil sobre esse tema?

As entidades obrigadas devem cumprir os deveres de diligência da Lei 9.613/1998 e da Circular Bacen 3.978/2020, sob supervisão do Bacen e do COAF. A apresentação de um documento falsificado configura ainda os crimes previstos nos artigos 297 e 298 do Código Penal Brasileiro.

A CheckFile detecta todos os documentos gerados por IA?

Não. A CheckFile disponibiliza detecção de conteúdo sintético como complemento aos controles estruturais e de diligência já existentes, ajustável ao perfil de risco do cliente — não substitui a avaliação humana nem garante a detecção de todas as falsificações possíveis.

Este artigo tem fins informativos e não substitui aconselhamento jurídico ou regulatório específico. Para uma visão mais ampla sobre fraude documental e proteção de dados, consulte o guia completo sobre fraude e dados.