Análise de nível de erro (ELA): detectar imagens e documentos falsificados

A análise de nível de erro (ELA, do inglês Error Level Analysis) identifica zonas de uma imagem JPEG que foram alteradas digitalmente, medindo inconsistências de compressão ao nível do pixel. Quando um defraudador retoca um recibo de vencimento, um extrato bancário ou um documento de identidade e guarda o resultado como JPEG, as zonas modificadas conservam uma assinatura de compressão diferente do restante da imagem original — e a ELA torna essa diferença visível em segundos.

De acordo com o relatório ACFE 2024 Report to the Nations, apenas 37 % das fraudes documentais são detetadas por controlos manuais. A análise forense de imagens, incluindo a ELA, preenche o ponto cego que a inspeção visual não consegue fechar.

O que é a análise de nível de erro

A ELA é uma técnica forense que revela manipulações em imagens JPEG explorando o algoritmo de compressão com perdas do formato. Quando um ficheiro JPEG é guardado a um nível de qualidade determinado, o codificador aplica transformadas de cosseno discretas (DCT) a blocos de 8×8 pixels em toda a imagem, descartando detalhes abaixo de um limiar estabelecido. Após este processo, todos os blocos da imagem atingem aproximadamente o mesmo nível de erro residual — o "pavimento" de artefactos de compressão para essa definição de qualidade.

Quando alguém edita um JPEG — substituindo uma cifra de salário, trocando uma fotografia ou alterando uma data — a zona editada provém de uma fonte diferente ou sofreu um ciclo de compressão distinto. Ao guardar novamente o ficheiro composto, cria-se um desajuste: os pixels originais não modificados são comprimidos pela segunda vez e perdem mais detalhe, enquanto a região inserida, comprimida pela primeira vez ou proveniente de outro codificador, conserva um perfil diferente.

A ELA torna esse desajuste visível. O procedimento padrão, formalizado pelo investigador de segurança Neal Krawetz na conferência Black Hat USA 2007, consiste em:

1. Voltar a guardar a imagem a um nível de qualidade conhecido (habitualmente 95 %).
2. Calcular a diferença absoluta pixel a pixel entre a versão re-guardada e o original.
3. Dimensionar as diferenças para as tornar visíveis e apresentar o resultado como um mapa de calor — as zonas mais luminosas indicam níveis de erro mais elevados e possível manipulação.

Como a ELA deteta alterações nos documentos

Um documento autêntico não alterado apresenta uma luminosidade relativamente uniforme no mapa ELA, com exceção dos efeitos de fronteira previsíveis em limites de alto contraste, como texto impresso sobre papel branco. Esses bordos são estruturalmente esperados e produzem níveis de erro elevados em qualquer JPEG não modificado.

Um documento falsificado apresenta dois padrões característicos:

Manchas anormalmente luminosas em regiões planas. O texto, os números ou os gráficos inseridos a partir de uma fonte externa conservam as suas características de compressão originais. A fronteira entre o conteúdo inserido e o conteúdo original brilha frequentemente no mapa ELA, mesmo quando a diferença visual é impercetível a olho nu.

Manchas anormalmente escuras onde o conteúdo foi apagado. Quando um defraudador substitui conteúdo original — por exemplo, apagando uma cifra de salário e inserindo outra —, a zona substituída pode apresentar níveis de erro anormalmente baixos em comparação com o texto original adjacente, por ter sido aplanada por ciclos de compressão adicionais.

Ambas as assinaturas são detetáveis mesmo após uma edição profissional, porque a matemática de compressão subjacente não pode ser mascarada simplesmente ajustando tipos de letra ou valores de cor.

Tipos de documentos onde a ELA é mais eficaz

A ELA é mais fiável em documentos cujo original é uma digitalização ou fotografia JPEG. A técnica é menos útil para PDFs nativos ou ficheiros PNG, que utilizam esquemas de compressão sem perdas ou diferentes.

A fraude em recibos de vencimento é uma das aplicações mais frequentes. Entidades credoras e senhorios recebem habitualmente recibos digitalizados com salários inflacionados; a ELA, combinada com a análise de metadados PDF, oferece uma verificação em duas camadas que deteta a maioria das falsificações grosseiras.

Como realizar uma verificação ELA: ferramentas e processo

A ferramenta pública mais utilizada é FotoForensics, que implementa o algoritmo original de Krawetz. As plataformas forenses e os sistemas comerciais de verificação documental integram habitualmente a ELA como parte de um pipeline mais alargado de análise de imagem.

Um fluxo de trabalho prático para equipas de conformidade:

1. Extrair a imagem do documento. Converter os PDFs digitalizados para exportações JPEG página a página com a resolução original. Não recomprimir durante a extração.
2. Executar ELA com um nível de qualidade fixo. A qualidade 75 é um ponto de referência padrão; a qualidade 95 realça as alterações subtis.
3. Inspecionar as regiões planas e as zonas de texto. Sinalizar qualquer zona onde a distribuição do nível de erro se desvie da linha de base envolvente.
4. Cruzar com os metadados. A data de criação, o software produtor e o histórico de revisão XMP devem ser coerentes com a origem declarada do documento.
5. Comparar com uma amostra de referência. Quando possível, solicitar um segundo documento do mesmo tipo emitido pelo mesmo organismo para comparar as assinaturas de compressão de referência.

Nenhuma ferramenta produz por si só um veredicto definitivo de falsificação. Os resultados ELA são indicadores para uma investigação mais aprofundada, não provas autónomas.

Limitações da análise de nível de erro

Compreender onde a ELA falha é tão importante como saber onde funciona. A junho de 2026, os seguintes cenários reduzem a fiabilidade da ELA:

Múltiplos ciclos de compressão. Um documento impresso e redigitalizado, ou submetido a várias etapas de codificação JPEG, apresenta um mapa de erro aplanado e homogéneo que oculta edições anteriores. Os defraudadores profissionais exploram isso re-exportando as imagens várias vezes antes da entrega.

Software de edição de alta qualidade. As ferramentas que gerem nativamente a codificação JPEG — como o Adobe Photoshop com "Guardar para Web" em modo de qualidade máxima — podem reduzir o desajuste entre as zonas editadas e as originais, especialmente com definições de qualidade superiores a 90.

Formatos sem perdas. A ELA não se aplica a ficheiros PNG, TIFF ou PDF gerados diretamente a partir de um processador de texto. Para estes, a análise de metadados e a inspeção estrutural são os métodos de deteção principais.

Artefactos ELA nativos em bordos. Os limites de alto contraste entre texto e fundo apresentam sempre níveis de erro elevados. Interpretá-los como indicadores de falsificação sem examinar o contexto envolvente produz falsos positivos.

Documentos gerados por IA. Os documentos produzidos por modelos generativos não são montados a partir de uma fonte JPEG e, portanto, não apresentam nenhum desajuste ELA detetável. Requerem uma camada de deteção diferente centrada em artefactos de geração e assinaturas do modelo. A deteção de IA da CheckFile aborda esta classe de falsificação separadamente.

Segundo o relatório ENISA Threat Landscape 2024, a sofisticação das ferramentas de falsificação documental acessíveis a atores não técnicos está a aumentar. A ELA deve ser tratada como uma camada dentro de uma abordagem de defesa em profundidade, não como único guardião.

Combinar a ELA com outras técnicas forenses

Uma abordagem analítica multicamada que combine ELA, inspeção de metadados e verificação de coerência entre documentos representa a metodologia mais fiável para identificar imagens de documentos manipuladas. Nenhuma técnica única cobre todos os vetores de ataque.

A forense de metadados examina a impressão digital digital integrada no ficheiro: data de criação, software produtor PDF, histórico de revisão XMP e dados EXIF para fotografias. Um recibo de vencimento cuja marca temporal EXIF mostra uma modificação três horas após a data de pagamento declarada é um sinal de alerta imediato.

A análise da estrutura de ficheiro inspeciona a estrutura de bytes internos de PDFs e imagens à procura de anomalias: fluxos de objetos duplicados, blocos de dados órfãos ou tabelas de referências cruzadas inconsistentes que indiquem injeção de conteúdo.

A coerência entre documentos valida que dois documentos do mesmo organismo — por exemplo, vários recibos de vencimento do mesmo empregador — partilham as mesmas fontes, métricas de layout e estrutura de objetos incorporados. As inconsistências surgem quando um documento do conjunto foi produzido a partir de um modelo diferente.

A deteção de sinais de geração IA identifica padrões exclusivos de documentos sintéticos criados por modelos de linguagem ou geradores de imagens. Este tema é abordado em detalhe na nossa comparação de ferramentas forenses documentais e IA.

Juntas, estas técnicas proporcionam uma cobertura que se sobrepõe: quando um defraudador supera um controlo — por exemplo, usando um intermediário sem perdas para aplanar os sinais ELA —, as outras camadas habitualmente revelam anomalias diferentes.

Enquadramento regulatório em Portugal

A 24 de junho de 2026, as entidades obrigadas portuguesas ao abrigo da Lei n.º 83/2017, de 18 de agosto, de prevenção do branqueamento de capitais e do financiamento do terrorismo, são obrigadas a aplicar medidas de diligência devida proporcionais ao risco apresentado. O Banco de Portugal e a CMVM não estabelecem métodos técnicos específicos para a verificação documental, mas exigem sistemas e controlos robustos para detetar documentos falsos ou alterados tanto no processo de integração de clientes como na monitorização contínua.

A ELA, como parte de um fluxo forense documentado, satisfaz o padrão de "medidas adequadas ao risco" quando aplicada de forma sistemática e quando os resultados são registados no dossiê de risco do cliente. As entidades devem garantir que as saídas ELA são registadas juntamente com o racional de decisão para suportar as trilhas de auditoria.

Para aprofundar as suas práticas de verificação documental, consulte o nosso guia de verificação de documentos.

Perguntas frequentes

O que mostra concretamente a ELA?

A ELA mostra onde o padrão de compressão de uma imagem se desvia do que seria esperado se a imagem nunca tivesse sido alterada. As zonas mais luminosas no resultado ELA indicam regiões que sofreram ciclos de compressão adicionais ou provenientes de uma fonte diferente, ambas as situações sugerem modificação pós-captura.

A ELA consegue detetar todos os tipos de falsificações documentais?

Não. A ELA é eficaz em documentos JPEG não alterados por múltiplos ciclos de recompressão. Não deteta alterações em formatos sem perdas (PNG, PDF nativo) nem em documentos gerados por IA, que não têm um padrão de compressão JPEG original do qual se desviar.

Que ferramentas gratuitas posso usar para ELA?

FotoForensics (fotoforensics.com) é a implementação em linha gratuita mais utilizada do algoritmo de Neal Krawetz. Aceita uploads de JPEG e PNG e devolve um mapa ELA anotado. Para verificação documental à escala de produção, as plataformas comerciais integram a ELA como parte de um pipeline automatizado mais alargado.

Como se diferencia a ELA da análise de metadados?

A ELA analisa o padrão de compressão ao nível do pixel para detetar onde o conteúdo visual pode ter sido alterado. A análise de metadados examina os dados integrados não visíveis (datas de criação, software, histórico de revisão) para detetar quando e como o ficheiro foi modificado. São complementares: a ELA identifica ONDE na imagem ocorreu uma edição; a análise de metadados revela QUANDO e COMO o ficheiro foi alterado.

Os resultados ELA são admissíveis como prova nos tribunais portugueses?

Os resultados ELA podem suportar relatórios periciais elaborados por peritos qualificados, mas a saída ELA por si só não constitui prova autónoma de falsificação perante os tribunais portugueses. É utilizada como indicador preliminar que desencadeia uma investigação mais detalhada. A admissibilidade depende da metodologia do perito, da cadeia de custódia e da documentação da análise.

Para situar este risco na oferta CheckFile, consulte a nossa abordagem de deteção IA e deepfake.