Editores de PDF online: os vestígios num documento editado

Um editor de PDF online quase sempre reescreve o ficheiro inteiro em vez de o corrigir no original, e essa reescrita deixa vestígios: um campo «Produtor» diferente, uma nova data de modificação, um identificador de ficheiro regenerado, tipos de letra reincorporados e, se o original estava assinado, uma assinatura quebrada ou ausente. Nenhum destes vestígios prova fraude. Em conjunto, mostram que uma ferramenta web tratou o documento depois de o emitente o ter produzido, e é isso que o analista precisa de saber antes de confiar nele.

Este artigo destina-se a quem recebe o ficheiro: analista KYC, mediador imobiliário, técnico de recursos humanos, analista de crédito. Explica o que os editores web costumam alterar, onde o ver e porque é que a ausência de vestígios não prova nada.

Porque é que um editor web deixa vestígios diferentes dos de um programa de secretária

Um editor no navegador costuma regenerar o documento no servidor, pelo que o resultado é um ficheiro novo e não uma cópia modificada. O formato PDF, definido na norma ISO 32000-2, admite dois métodos: acrescentar uma atualização incremental depois do marcador de fim original ou escrever um ficheiro completo. Os programas de secretária costumam acrescentar; muitos serviços web reconstroem, juntam, comprimem e guardam numa só passagem.

A consequência prática é que contar marcadores %%EOF para encontrar revisões funciona bem em ficheiros guardados de forma incremental e mal em ficheiros que passaram por um serviço web. Uma única revisão não significa «intacto».

Os sete vestígios a procurar

Os vestígios mais fiáveis estão nos campos de produtor, no identificador do ficheiro, na lista de tipos de letra, na estrutura de objetos e no estado da assinatura. Verifique-os por esta ordem.

1. Os campos Produtor e Criador

O campo Produtor indica o programa que escreveu o ficheiro final; Criador, a aplicação que gerou a origem. Um extrato bancário descarregado do homebanking nomeia normalmente o motor de relatórios do banco. Se o mesmo extrato mencionar um editor web genérico ou uma biblioteca PDF alheia, o ficheiro passou por uma segunda ferramenta. Execute exiftool -a -G1 ficheiro.pdf ou abra as propriedades do documento (Ctrl+D no Acrobat Reader).

Construa a sua própria lista de referência: pegue num documento autêntico de cada emitente frequente, registe a sua cadeia de produtor e compare os ficheiros recebidos. Não confie em listas públicas de valores «suspeitos»: os serviços mudam de biblioteca, e a PDF Association lembra que a chave Producer está obsoleta na ISO 32000-2 e que os metadados são opcionais e fáceis de editar (apresentação da PDF Association sobre forense de PDF e metadados).

2. Datas de criação e de modificação

Uma data de modificação horas ou dias posterior à de criação indica nova gravação. Se for posterior à data impressa no documento, por exemplo um recibo de vencimento de setembro modificado em outubro, justifica-se uma pergunta. Carimbos de data idênticos são comuns em ficheiros produzidos de uma só vez e não tranquilizam por si sós.

3. Identificador do ficheiro e identificadores XMP

O trailer de um PDF pode conter uma matriz /ID com duas cadeias: a primeira é fixada na criação e a segunda muda a cada gravação. Os metadados XMP acrescentam DocumentID e InstanceID. Quando uma reescrita regenera ambos, perde-se a ligação ao original do emitente; só é possível comparar se tiver uma cópia autêntica conhecida.

4. Tipos de letra e objetos de texto

O texto editado usa muitas vezes um subconjunto de tipo de letra diferente do texto à volta. Os subconjuntos incorporados têm um prefixo de seis letras (por exemplo ABCDEF+Arial). Uma página que mistura dois subconjuntos da mesma família, ou um valor num tipo de letra de substituição, é um sinal clássico de que um valor foi trocado. Selecione o valor duvidoso num leitor: o texto editado fica frequentemente num bloco próprio, com espaçamento diferente.

5. Sobreposições, caixas brancas e anotações aplanadas

Algumas ferramentas web não alteram o texto subjacente. Desenham um retângulo branco sobre o valor antigo e colocam o novo por cima, ou «aplanam» as anotações na página. Copie todo o texto para um editor de texto simples: aparecem valores originais ocultos, texto fora da página e números duplicados. Veja a camada de texto oculta na fraude documental em PDF.

6. Estado da assinatura digital

Um PDF assinado pelo emitente leva uma assinatura criptográfica sobre um intervalo de bytes definido. Qualquer alteração invalida-a, e uma reescrita completa por um editor web remove com frequência o campo de assinatura. Um documento apresentado como «o original assinado» sem assinatura, ou com assinatura quebrada, justifica pedir o original ao emitente.

7. Compressão, resolução e marcas de água

Os planos gratuitos de alguns serviços acrescentam uma marca de água ou rodapé, e a compressão reduz a resolução das imagens ou muda o espaço de cor. Um logótipo nítido na cópia autêntica e desfocado no ficheiro recebido revela uma recodificação. É apenas um indício complementar: os requerentes também comprimem ficheiros para cumprir o limite de carregamento.

O que estes vestígios não dizem

Os vestígios mostram que um ficheiro foi tratado, não porquê, e podem ser apagados. Os metadados reescrevem-se com ferramentas gratuitas; um guia da TrueScreen descreve ferramentas online que permitem substituir diretamente produtor, título e datas (TrueScreen sobre a edição de metadados PDF). Imprimir para PDF ou rasterizar uma página e reembalá-la elimina a maior parte das pistas estruturais. Há trabalhos de investigação que identificam a ferramenta produtora pelo estilo de codificação interno, e não pelos metadados, precisamente porque estes são pouco fiáveis (Robust PDF Files Forensics Using Coding Style).

Há três desfechos realistas:

• Vestígios claros: produtor inesperado, identificador alterado e tipo de letra incoerente. Peça o original ao emitente.
• Vestígios ambíguos: ficheiro reescrito mas limpo. Muitos requerentes honestos juntam, comprimem ou rodam páginas. Pergunte porquê.
• Sem vestígios: continue com as verificações entre documentos, porque um falsificador cuidadoso não deixa nada no ficheiro.

O que os analistas perguntam de facto

Nos fóruns de compliance e imobiliário repetem-se as mesmas dúvidas. Duas destacam-se.

«O meu cliente diz que só comprimiu o PDF. É credível?»

Pode ser. Comprimir ou juntar altera o produtor, o identificador e muitas vezes o número de revisões, mas não deve alterar os tipos de letra do texto, deslocar valores nem modificar números. Se as únicas diferenças forem produtor, datas e qualidade de imagem, e o conteúdo coincidir com os restantes documentos, trate-o como uma gravação benigna e registe-o no processo.

«Posso passar um documento suspeito por um verificador online gratuito?»

Não sem refletir. O ficheiro contém dados pessoais; enviá-lo para um serviço externo torna esse serviço um subcontratante ou destinatário nos termos do RGPD. O artigo 28.º do RGPD exige um contrato com o subcontratante, e a CNPD recorda a necessidade de um fundamento de licitude. Use ferramentas locais para os metadados e um serviço externo apenas com contrato de subcontratação.

Um procedimento curto para adotar

1. Registe produtor, criador, datas e identificador de cada PDF recebido no processo.
2. Compare com uma referência autêntica do mesmo emitente.
3. Selecione e copie os valores-chave (nome, montante, data, IBAN) e verifique a coerência dos tipos de letra e dos blocos de texto.
4. Confirme o estado da assinatura quando o emitente costuma assinar.
5. Concilie os valores com outros documentos: recibo de vencimento com extrato bancário, extrato com nota de liquidação de IRS.
6. Encaminhe as divergências para o responsável pela prevenção de fraude ou do branqueamento.

A conciliação entre documentos é o passo decisivo. O guia de verificação de documentos mostra como as verificações se encaixam, o nosso artigo sobre como saber se um PDF foi editado detalha a estrutura de revisões, e o de deteção de metadados PDF adulterados explica porque é que o apagamento deixa o seu próprio rasto.

Enquadramento jurídico e regulatório em Portugal

Apresentar como genuíno um documento alterado pode constituir falsificação de documento, e as entidades obrigadas devem poder demonstrar que verificaram os documentos em que se apoiam. O artigo 256.º do Código Penal pune quem, com intenção de causar prejuízo a outrem ou de obter benefício ilegítimo, fabricar ou alterar documento ou dele fizer uso, com pena de prisão até três anos ou multa. Para as entidades obrigadas da Lei n.º 83/2017, o Banco de Portugal supervisiona a qualidade da identificação e da verificação dos documentos de prova, e as operações suspeitas são comunicadas à Unidade de Informação Financeira e ao DCIAP. Um processo aceite apesar de vestígios de edição por explicar é difícil de defender; um processo em que o analista registou os vestígios, pediu o original e documentou o desfecho muito menos.

O analista de primeira linha não qualifica o crime. Regista o que observa e encaminha ao responsável designado.

Fazê-lo em escala

A inspeção manual demora alguns minutos por ficheiro e depende de quem a faz. As verificações automatizadas aplicam os mesmos testes de propriedades, estrutura e coerência a cada carregamento e só encaminham para uma pessoa os ficheiros atípicos. Os sinais de geração por IA e de adulteração da CheckFile complementam os controlos existentes e não substituem o julgamento do analista. Para a completude dos processos e a comparação de campos e datas entre documentos, veja a solução para banca e KYC, a página de segurança sobre o tratamento de ficheiros e os preços.

Perguntas frequentes

Os editores de PDF online deixam vestígios?

Sim. A maioria altera o campo produtor ou criador, atualiza a data de modificação, regenera o identificador do ficheiro e reescreve a estrutura de objetos. Alguns reincorporam tipos de letra ou removem assinaturas digitais. Os vestígios podem ser apagados depois, pelo que a sua ausência não prova que o ficheiro esteja intacto.

É possível saber que editor online foi usado?

Por vezes. A cadeia de produtor nomeia muitas vezes o serviço ou a sua biblioteca, e o estilo de codificação pode dar pistas. É um indício, não uma certeza, porque os valores podem ser substituídos e os serviços mudam de software.

Uma única revisão significa que o PDF não foi editado?

Não. Muitos editores web reescrevem todo o ficheiro, o que repõe o número de revisões em um. Um produtor inesperado com um identificador novo diz mais do que o número de revisões.

Um PDF sem metadados é suspeito?

É um sinal, não um veredicto. Ferramentas de privacidade, a impressão para PDF e alguns portais removem os metadados. Peça o original ao emitente e compare-o com um documento autêntico conhecido.

Posso verificar o PDF de um cliente numa ferramenta online gratuita?

Apenas com fundamento de licitude e um contrato de subcontratação com o fornecedor. Caso contrário, use ferramentas locais, porque o documento contém dados pessoais.

Para situar este risco na oferta CheckFile, consulte a nossa abordagem de deteção IA e deepfake.