Ataque de recaptura de ecrã: como detetar documentos falsos

Um ataque de recaptura de ecrã acontece quando o fraudador não submete o documento físico nem uma fotografia do documento, mas fotografa ou filma um ecrã — telemóvel, tablet ou monitor — que está a mostrar a imagem do documento. O objetivo é contornar os controlos de carregamento e de deteção de vivacidade sem nunca ter o objeto físico em mãos.

A técnica é barata, não exige competências gráficas avançadas e continua a passar despercebida em fluxos de KYC que apenas verificam a nitidez ou a resolução da imagem submetida. Segundo o relatório ACFE 2024 Report to the Nations, os controlos manuais de deteção de fraude identificam apenas 37 % dos casos e demoram em média 87 dias a confirmar uma suspeita (ACFE, 2024) — uma janela de exposição que a recaptura de ecrã explora sistematicamente.

Para quem já conhece as técnicas forenses de análise ELA ou de metadados EXIF, a recaptura de ecrã é um vetor distinto: não modifica pixels do documento original, recria-os através de uma segunda captura ótica. Isso obriga a sinais forenses diferentes, centrados na física da própria câmara.

O que é um ataque de recaptura de ecrã

Um ataque de recaptura de ecrã (screen recapture attack) consiste em apresentar à câmara de verificação a imagem de um documento exibida noutro dispositivo, em vez do documento físico original. O fraudador pode estar a mostrar um documento roubado, um documento genuíno de terceiros ou uma imagem já editada digitalmente — a recaptura é o passo final que disfarça a origem.

O caso mais comum em onboarding remoto: o utilizador abre no telemóvel a foto de um bilhete de identidade obtido ilicitamente e aponta a câmara do computador ou de outro telemóvel para esse ecrã, em vez de carregar o ficheiro diretamente ou de fotografar o cartão físico. O resultado, para um sistema que só analisa nitidez e enquadramento, pode parecer uma captura legítima.

Esta técnica pertence à família mais ampla dos ataques de apresentação (presentation attacks) — categoria que também inclui fotografias impressas, máscaras e vídeos em loop apresentados fisicamente à câmara.

PAD vs IAD: duas famílias de ataque que exigem defesas diferentes

A deteção de ataques de apresentação (PAD) e a deteção de ataques de injeção (IAD) cobrem vetores de fraude fundamentalmente distintos, e um sistema forte numa não é automaticamente forte na outra. Confundir as duas é o erro de arquitetura mais frequente em equipas de compliance que avaliam fornecedores de verificação.

PAD (Presentation Attack Detection) cobre tudo o que é apresentado fisicamente diante da câmara: fotografia impressa, máscara 3D, vídeo reproduzido num ecrã secundário e, precisamente, a recaptura de ecrã de um documento. A câmara do dispositivo do utilizador capta um objeto real — só que esse objeto é uma reprodução, não o original.

IAD (Injection Attack Detection) cobre ataques de software que nunca passam pela câmara: o fluxo de vídeo é interceptado e substituído por um vídeo manipulado ou gerado por IA diretamente no pipeline de dados, através de uma câmara virtual ou de um driver modificado.

O quadro de qualificação francês ANSSI PVID exige resistência demonstrada às duas famílias de ataque antes de certificar uma solução de verificação de identidade à distância (LSTI, certificação PVID). Um fornecedor que só testa contra PAD deixa a porta aberta a ataques de injeção, e vice-versa.

Como os padrões moiré revelam a recaptura de ecrã

Quando uma câmara fotografa um ecrã digital, a interação entre a grelha de píxeis do ecrã e a grelha do sensor produz padrões de interferência — moiré — que não existem ao fotografar um objeto físico genuíno. Este efeito ótico é o sinal forense mais fiável para distinguir uma recaptura de uma captura direta.

O fenómeno foi documentado e explorado tecnicamente num estudo académico apresentado na conferência USENIX Security 2021, "mID: Tracing Screen Photos via Moiré Patterns", que demonstra como os padrões moiré funcionam inclusive como assinatura identificável do modelo de ecrã usado na recaptura (USENIX Security 2021). A técnica é suficientemente robusta para ser usada não só para detetar a recaptura, mas para atribuí-la a uma classe de dispositivo.

Na prática, os motores de deteção de vivacidade documental analisam três sinais complementares ao moiré:

Reflexos e iluminação anómalos. Um ecrã LCD ou OLED emite luz própria com um padrão de brilho e de reflexo especular diferente do de uma superfície de papel ou de policarbonato iluminada externamente (Mitek Systems, document liveness detection).

Geometria de bordas inconsistente. A moldura do dispositivo usado para a recaptura — bordas do telemóvel, barra de notificações, cantos arredondados do ecrã — aparece frequentemente nos limites da imagem submetida, mesmo quando o fraudador tenta enquadrar apenas o documento.

Resolução efetiva degradada. Cada recaptura introduz uma perda de resolução em cascata: o documento original, exibido num ecrã de resolução limitada e depois recapturado por uma segunda câmara, nunca iguala a nitidez de uma fotografia direta do objeto físico, mesmo quando ambos os dispositivos têm sensores de alta qualidade.

A norma ISO/IEC 30107-3 como referência de teste

A ISO/IEC 30107-3 é a norma internacional de referência para testar e reportar sistemas de deteção de ataques de apresentação, incluindo a recaptura de ecrã (ISO/IEC 30107-3). Define três métricas que qualquer avaliação séria de fornecedor deve exigir:

• APCER (Attack Presentation Classification Error Rate): a taxa a que os ataques de apresentação — incluindo recapturas de ecrã — são classificados incorretamente como apresentações genuínas. Quanto mais baixo, melhor.
• BPCER (Bona fide Presentation Classification Error Rate): a taxa a que apresentações legítimas são rejeitadas por engano. Um valor demasiado baixo de APCER à custa de um BPCER elevado gera fricção e abandono no onboarding.
• IAPMR (Imposter Attack Presentation Match Rate): a taxa a que um ataque de apresentação consegue efetivamente corresponder à identidade de outra pessoa no sistema, combinando o resultado da deteção de ataque com o do reconhecimento biométrico.

Nenhuma destas métricas é uma promessa de deteção a 100 %. São instrumentos de comparação entre fornecedores testados sob o mesmo protocolo — por isso a exigência de certificações verificáveis, não de afirmações de marketing sem relatório de teste associado.

Quadro regulatório aplicável em Portugal

Em Portugal, a Lei n.º 83/2017 obriga as entidades sujeitas ao regime de prevenção do branqueamento de capitais e financiamento do terrorismo a verificar a autenticidade dos documentos de identidade apresentados à distância, sem prescrever uma técnica específica — a escolha do método fica a cargo da entidade, sob supervisão do Banco de Portugal e da CMVM consoante o setor regulado.

A CNPD supervisiona o tratamento de dados biométricos recolhidos durante a verificação remota, incluindo as imagens de documentos e as capturas faciais associadas. Um dossiê de conformidade robusto documenta não só a decisão final ("aprovado" ou "rejeitado"), mas o sinal forense que a fundamentou — incluindo a deteção de padrão moiré quando aplicável.

O quadro europeu eIDAS 2 e a futura Carteira Europeia de Identidade Digital (EUDI Wallet) exigem associação biométrica capaz de detetar deepfakes e ataques de apresentação, entre os quais a recaptura de ecrã (Entrust, eIDAS 2). A norma técnica europeia emergente ETSI TS 119 461 estabelece requisitos de certificação para serviços de verificação de identidade, incluindo proteção contra ataques de injeção — o complemento IAD à deteção PAD já discutida.

Como integrar a deteção de recaptura no fluxo de verificação

A deteção de recaptura de ecrã não substitui os restantes controlos de verificação documental — soma-se a eles. Um fluxo de onboarding remoto conforme combina três camadas: análise forense da imagem (moiré, reflexos, bordas), verificação estrutural do documento (tipografia, selos, coerência de campos) e triagem regulatória (listas de sanções, PPE).

A CheckFile aplica esta lógica através de análise multicamada (estrutural, metadados, coerência entre documentos), cobrindo mais de 3.200 tipos de documentos em 24 idiomas de OCR e 32 jurisdições, com um SLA de disponibilidade alvo de 99,94 %. A plataforma serve equipas de conformidade em banca e KYC e em financiamento e leasing, dois setores onde o volume de onboarding remoto torna a revisão manual sistemática impraticável.

Para comparar este vetor com o vetor biométrico equivalente — a apresentação de um rosto falso em vez de um documento falso — consulte o nosso artigo sobre deteção de vivacidade na verificação facial. Os dois controlos são complementares: um fraudador pode superar a deteção de recaptura documental e ainda assim falhar a prova de vivacidade facial, ou vice-versa — daí a necessidade de cobrir ambos os vetores na mesma sessão de onboarding.

Para uma visão mais ampla dos métodos de validação documental aplicáveis a qualquer setor, consulte o guia completo de verificação de documentos. Detalhes sobre a infraestrutura, alojamento na UE e certificações de segurança estão descritos na página de segurança; para custos por volume, veja a página de preços.

Nenhuma solução atinge 100 % de deteção. A CheckFile aumenta a cobertura combinando análise estrutural, revisão de metadados e sinais de geração por IA como complemento aos seus controlos existentes — consulte a deteção de documentos gerados por IA e deepfakes para perceber onde esta camada se encaixa no seu fluxo de conformidade, ou contacte a equipa para uma avaliação do seu processo atual de onboarding.

Perguntas frequentes

O que é um ataque de recaptura de ecrã?

É a apresentação, perante a câmara de verificação, da imagem de um documento exibida noutro ecrã — telemóvel, tablet ou monitor — em vez do documento físico original ou de uma fotografia direta desse documento. O objetivo é contornar controlos de carregamento e de vivacidade sem possuir o objeto físico.

Como é que o padrão moiré ajuda a detetar este tipo de fraude?

A interação entre a grelha de píxeis de um ecrã digital e a grelha do sensor da câmara que o fotografa gera um padrão de interferência ótica — o moiré — ausente quando se fotografa um objeto físico genuíno. É um sinal forense estudado academicamente e implementado em motores comerciais de deteção de vivacidade documental.

Qual a diferença entre PAD e IAD?

PAD (Presentation Attack Detection) deteta ataques físicos apresentados diante da câmara, como a recaptura de ecrã, fotografias impressas ou máscaras. IAD (Injection Attack Detection) deteta ataques de software que contornam a câmara e injetam vídeo manipulado diretamente no fluxo de dados. Um sistema robusto precisa de cobrir ambas as famílias.

A norma ISO 30107-3 garante deteção total de recapturas de ecrã?

Não. A ISO/IEC 30107-3 define a metodologia de teste e as métricas — APCER, BPCER, IAPMR — para comparar sistemas de deteção de ataques de apresentação sob um protocolo comum. Nenhuma certificação equivale a uma garantia de deteção a 100 %; é um padrão de comparação entre fornecedores, não uma promessa absoluta.

Que obrigações têm as entidades portuguesas perante este tipo de fraude?

A Lei n.º 83/2017 obriga as entidades sujeitas ao regime de prevenção do branqueamento de capitais a verificar a autenticidade dos documentos apresentados à distância, sob supervisão do Banco de Portugal e da CMVM consoante o setor. A CNPD supervisiona o tratamento dos dados biométricos associados à verificação, incluindo as capturas de imagem usadas na deteção de recaptura de ecrã.