Editores de PDF online: os vestígios em um documento editado

Um editor de PDF online quase sempre reescreve o arquivo inteiro em vez de corrigi-lo no original, e essa reescrita deixa vestígios: um campo «Produtor» diferente, uma nova data de modificação, um identificador de arquivo regenerado, fontes reincorporadas e, se o original estava assinado, uma assinatura quebrada ou ausente. Nenhum desses vestígios prova fraude. Em conjunto, mostram que uma ferramenta web tratou o documento depois de o emissor tê-lo produzido, e é isso que o analista precisa saber antes de confiar nele.

Este artigo é para quem recebe o arquivo: analista de PLD/FT em banco ou fintech, corretor de imóveis, analista de crédito, profissional de RH. Explica o que os editores web costumam alterar, onde ver e por que a ausência de vestígios não prova nada.

Por que um editor web deixa vestígios diferentes dos de um programa de desktop

Um editor no navegador costuma regenerar o documento no servidor, então o resultado é um arquivo novo e não uma cópia modificada. O formato PDF, definido na norma ISO 32000-2, admite dois métodos: acrescentar uma atualização incremental depois do marcador de fim original ou escrever um arquivo completo. Programas de desktop costumam acrescentar; muitos serviços web reconstroem, mesclam, comprimem e salvam em uma única passada.

Contar marcadores %%EOF para achar revisões funciona em arquivos salvos de forma incremental e falha em arquivos que passaram por um serviço web. Uma única revisão não significa «intacto».

Os sete vestígios a procurar

Os vestígios mais confiáveis estão nos campos de produtor, no identificador do arquivo, na lista de fontes, na estrutura de objetos e no estado da assinatura. Verifique-os nesta ordem.

1. Os campos Produtor e Criador

O campo Produtor indica o programa que escreveu o arquivo final; Criador, o aplicativo que gerou a origem. Um extrato baixado do internet banking nomeia normalmente o motor de relatórios do banco. Se o mesmo extrato citar um editor web genérico ou uma biblioteca PDF alheia, o arquivo passou por uma segunda ferramenta. Execute exiftool -a -G1 arquivo.pdf ou abra as propriedades do documento (Ctrl+D no Acrobat Reader).

Monte sua própria lista de referência: pegue um documento autêntico de cada emissor frequente (banco, folha de pagamento, concessionária de energia), anote a cadeia de produtor e compare os arquivos recebidos. Não confie em listas públicas de valores «suspeitos»: os serviços trocam de biblioteca, e a PDF Association lembra que a chave Producer está obsoleta na ISO 32000-2 e que os metadados são opcionais e fáceis de editar (apresentação da PDF Association sobre forense de PDF e metadados).

2. Datas de criação e de modificação

Uma data de modificação horas ou dias depois da criação indica nova gravação. Se for posterior à data impressa no documento, por exemplo um holerite de setembro modificado em outubro, vale perguntar. Carimbos de data idênticos são comuns em arquivos produzidos de uma só vez e não tranquilizam por si sós.

3. Identificador do arquivo e identificadores XMP

O trailer de um PDF pode conter uma matriz /ID com duas cadeias: a primeira é fixada na criação e a segunda muda a cada gravação. Os metadados XMP acrescentam DocumentID e InstanceID. Quando uma reescrita regenera ambos, perde-se o vínculo com o original do emissor; só dá para comparar se você tiver uma cópia autêntica conhecida.

4. Fontes e objetos de texto

O texto editado costuma usar um subconjunto de fonte diferente do texto ao redor. Os subconjuntos incorporados têm um prefixo de seis letras (por exemplo ABCDEF+Arial). Uma página que mistura dois subconjuntos da mesma família, ou um valor em fonte substituta, é um sinal clássico de que um valor foi trocado. Selecione o número suspeito em um leitor: o texto editado fica com frequência em um bloco próprio, com espaçamento diferente.

5. Sobreposições, caixas brancas e anotações achatadas

Algumas ferramentas web não alteram o texto subjacente. Desenham um retângulo branco sobre o valor antigo e colocam o novo por cima, ou «achatam» as anotações na página. Copie todo o texto para um editor de texto simples: aparecem valores originais ocultos, texto fora da página e números duplicados. Veja a camada de texto oculta na fraude documental em PDF.

6. Estado da assinatura digital

Um PDF assinado pelo emissor carrega uma assinatura criptográfica sobre um intervalo de bytes definido. Qualquer alteração a invalida, e uma reescrita completa por um editor web costuma remover o campo de assinatura. No Brasil, documentos com certificado ICP-Brasil podem ser conferidos no Verificador de Conformidade do ITI. Um documento apresentado como «o original assinado» sem assinatura, ou com assinatura quebrada, justifica pedir o original ao emissor.

7. Compressão, resolução e marcas d'água

Planos gratuitos de alguns serviços acrescentam marca d'água ou rodapé, e a compressão reduz a resolução das imagens ou muda o espaço de cor. Um logotipo nítido na cópia autêntica e borrado no arquivo recebido revela uma recodificação. É apenas um indício complementar: os solicitantes também comprimem arquivos para respeitar o limite de upload de um portal.

O que esses vestígios não dizem

Os vestígios mostram que um arquivo foi processado, não por quê, e podem ser apagados. Os metadados se reescrevem com ferramentas gratuitas; um guia da TrueScreen descreve ferramentas online que permitem sobrescrever diretamente produtor, título e datas (TrueScreen sobre a edição de metadados PDF). Imprimir para PDF ou rasterizar uma página e reembalá-la elimina a maior parte das pistas estruturais. Há pesquisas que identificam a ferramenta produtora pelo estilo de codificação interno, e não pelos metadados, justamente porque estes são pouco confiáveis (Robust PDF Files Forensics Using Coding Style).

Há três desfechos realistas:

• Vestígios claros: produtor inesperado, identificador alterado e fonte incoerente. Peça o original ao emissor.
• Vestígios ambíguos: arquivo reescrito, mas limpo. Muitos solicitantes honestos mesclam, comprimem ou giram páginas. Pergunte o motivo.
• Sem vestígios: siga com as verificações entre documentos, porque um falsificador cuidadoso não deixa nada no arquivo.

O que os analistas realmente perguntam

Em fóruns de compliance e de imobiliário, as mesmas dúvidas se repetem. Duas se destacam.

«Meu cliente diz que só comprimiu o PDF. Isso é crível?»

Pode ser. Comprimir ou mesclar altera o produtor, o identificador e muitas vezes o número de revisões, mas não deveria mudar as fontes do texto, mover valores nem alterar números. Se as únicas diferenças forem produtor, datas e qualidade da imagem, e o conteúdo bater com os demais documentos, trate como uma gravação benigna e registre no dossiê.

«Posso passar um documento suspeito por um verificador online gratuito?»

Não sem pensar. O arquivo contém dados pessoais, e enviá-lo a um serviço externo faz dele um operador ou destinatário nos termos da LGPD (Lei 13.709/2018). O controlador responde pelo tratamento feito pelo operador e precisa de uma base legal, e a ANPD publica orientações sobre agentes de tratamento e transferência internacional. Use ferramentas locais para os metadados e um serviço externo apenas com contrato que defina o papel do operador.

Um procedimento curto para adotar

1. Registre produtor, criador, datas e identificador de cada PDF recebido no dossiê.
2. Compare com uma referência autêntica do mesmo emissor.
3. Selecione e copie os valores-chave (nome, valor, data, CPF, conta) e verifique a coerência das fontes e dos blocos de texto.
4. Confirme o estado da assinatura quando o emissor costuma assinar.
5. Concilie os valores com outros documentos: holerite com extrato bancário, extrato com a declaração do Imposto de Renda e o recibo de entrega.
6. Encaminhe as divergências ao responsável por prevenção a fraudes e à lavagem de dinheiro.

A conciliação entre documentos é o passo decisivo. O guia de verificação de documentos mostra como as verificações se encaixam, nosso artigo sobre como saber se um PDF foi editado detalha a estrutura de revisões, e o de detecção de metadados PDF adulterados explica por que o apagamento deixa seu próprio rastro.

Marco jurídico e regulatório no Brasil

Apresentar como genuíno um documento alterado pode configurar falsificação de documento, e as instituições obrigadas devem poder demonstrar que verificaram os documentos em que se apoiam. O Código Penal pune a falsificação de documento público (art. 297, reclusão de dois a seis anos e multa), a falsificação de documento particular (art. 298, reclusão de um a cinco anos e multa) e o uso de documento falso (art. 304), com a pena do crime de falsificação correspondente.

Para as instituições sujeitas à Lei 9.613/1998, o Banco Central do Brasil exige, pela Circular 3.978/2020, procedimentos de identificação e qualificação do cliente e de verificação das informações, e a CVM faz o mesmo para o mercado de valores mobiliários. Operações suspeitas são comunicadas ao COAF, pelo sistema da própria unidade de inteligência financeira, em prazo curto após a decisão de comunicar, conforme a regulamentação aplicável ao seu setor. Um dossiê aceito apesar de vestígios de edição sem explicação é difícil de defender em uma fiscalização; um dossiê em que o analista registrou os vestígios, pediu o original e documentou o desfecho, muito menos. O analista de primeira linha não decide se há comunicação ao COAF: quem decide é o responsável pela área de PLD/FT.

Fazer isso em escala

A inspeção manual leva alguns minutos por arquivo e depende de quem a faz. Verificações automatizadas aplicam os mesmos testes de propriedades, estrutura e coerência a cada upload e encaminham a uma pessoa apenas os arquivos atípicos. Os sinais de geração por IA e de adulteração da CheckFile complementam seus controles existentes e não substituem o julgamento do analista. Para a completude dos dossiês e a comparação de campos e datas entre documentos, veja a solução para bancos e KYC, a página de segurança sobre o tratamento de arquivos e os preços.

Perguntas frequentes

Os editores de PDF online deixam vestígios?

Sim. A maioria altera o campo produtor ou criador, atualiza a data de modificação, regenera o identificador do arquivo e reescreve a estrutura de objetos. Alguns reincorporam fontes ou removem assinaturas digitais. Os vestígios podem ser apagados depois, portanto sua ausência não prova que o arquivo esteja intacto.

Dá para saber qual editor online foi usado?

Às vezes. A cadeia de produtor costuma nomear o serviço ou sua biblioteca, e o estilo de codificação pode dar pistas. É um indício, não uma certeza, porque os valores podem ser sobrescritos e os serviços trocam de software.

Uma única revisão significa que o PDF não foi editado?

Não. Muitos editores web reescrevem todo o arquivo, o que devolve o número de revisões a um. Um produtor inesperado com um identificador novo diz mais do que o número de revisões.

Um PDF sem metadados é suspeito?

É um sinal, não um veredito. Ferramentas de privacidade, a impressão para PDF e alguns portais removem os metadados. Peça o original ao emissor e compare com um documento autêntico conhecido.

Um holerite editado precisa ser comunicado ao COAF?

Não automaticamente. A comunicação depende de a instituição identificar indícios de lavagem de dinheiro conforme a regulamentação do setor. Registre os vestígios e escale ao responsável de PLD/FT, que avalia a comunicação.