# Documento falso feito com IA: o que muda e o que segue igual Análise · UNIFOKAL · 17 de outubro de 2026 · 7 min de leitura · Antifraude O alerta FIN-2024-Alert004 do FinCEN descreve contas abertas com documentos feitos por IA generativa. O que ficou mais barato para o fraudador, o que continua difícil e onde a análise de imagem deixa de bastar. A IA generativa barateou a falsificação de documento: uma imagem de carteira de identidade ou de habilitação que antes exigia gráfica, papel e habilidade agora sai de uma ferramenta de geração ou de edição de imagem, com foto de rosto que não pertence a ninguém. A resposta curta para quem cuida de verificação de identidade: o que mudou foi o custo da imagem, não o que a imagem consegue provar. Um documento enviado como foto nunca provou sozinho que é autêntico, e a IA só tornou esse limite visível para mais gente. O que continua funcionando são as defesas que não dependem da imagem: a consulta à fonte que emitiu o dado, o rosto vivo comparado ao documento e a coerência do cadastro ao longo do tempo. **Em resumo** - O FinCEN, unidade de inteligência financeira dos Estados Unidos, registrou desde 2023 aumento de comunicações de operações suspeitas sobre mídia sintética em fraudes, que muitas vezes envolvem documento de identidade alterado ou criado, e publicou o alerta FIN-2024-Alert004 em 13 de novembro de 2024. - As contas abertas assim foram usadas, segundo o alerta, para receber e lavar dinheiro de outros golpes e como contas de passagem. - Dígito verificador, seja da zona de leitura mecânica (MRZ) ou do CPF, confere leitura, não autoria: quem gera a imagem calcula o dígito certo. - O próprio alerta aponta onde a fraude se denuncia: incoerência entre documentos e perfil, a tentativa de evitar a verificação ao vivo e o comportamento da conta depois de aberta. ## O que o alerta do FinCEN descreve O FinCEN, órgão do Tesouro americano equivalente ao Conselho de Controle de Atividades Financeiras (Coaf), publicou o FIN-2024-Alert004 a partir da análise das comunicações e dos registros que recebe pela lei americana de sigilo bancário (Bank Secrecy Act), de fontes abertas e de informação das autoridades. O ponto de partida é uma constatação de volume: "Beginning in 2023 and continuing in 2024, FinCEN has observed an increase in suspicious activity reporting by financial institutions describing the suspected use of deepfake media in fraud schemes". O documento vem de outra jurisdição, mas descreve técnica de fraude e prática de detecção, que não dependem da lei local. > For example, some financial institutions have reported that criminals employed GenAI to alter or generate images used for identification documents, such as driver's licenses or passport cards and books. Criminals can create these deepfake images by modifying an authentic source image or creating a synthetic image. > > FinCEN, FIN-2024-Alert004, Creation and Use of Deepfake Fraudulent Identities O alerta separa dois usos: alterar a imagem de um documento verdadeiro e criar a imagem do zero. E acrescenta um terceiro, que na leitura da casa pesa mais para quem confere cadastro, porque, com dado pessoal roubado, a identidade passa na consulta à base: combinar a imagem gerada com dados pessoais roubados ou inteiramente inventados, formando uma [identidade sintética](https://unifokal.com/blog/fraude-de-identidade-sintetica). Segundo o FinCEN, contas abertas desse jeito foram usadas para receber dinheiro de golpes de pagamento autorizado, de crédito e de cartão, e como "funnel accounts", contas que concentram valores para redistribuir. ## O que ficou mais barato, e o que não ficou **o que a IA generativa muda em cada camada da verificação de documento** | Camada | Antes | Com IA generativa | O que continua difícil para o fraudador | |---|---|---|---| | Imagem do documento | Exigia material físico ou edição manual cuidadosa | Gerada ou editada em minutos, sem defeito visual | Nada: a imagem nunca foi prova suficiente | | Dígitos verificadores | Calculáveis por qualquer um | Continuam calculáveis por qualquer um | Nada: conferem leitura, não autoria | | Dado contra a fonte oficial | O dado inventado não existia na base | Continua não existindo | Fazer o dado inventado existir na base do emissor | | Rosto vivo contra a foto do documento | Exigia a pessoa da foto | Exige gerar e injetar um rosto ao vivo coerente | Sustentar o rosto sintético na captura ao vivo | | Comportamento da conta | Revelava a conta de passagem | Continua revelando | Esconder o uso que motivou a fraude | A linha dos dígitos verificadores merece atenção porque é onde mais se confunde verificação com autenticação. A especificação de documentos de viagem da Organização da Aviação Civil Internacional (ICAO), o Doc 9303, diz para que serve o dígito da MRZ. O texto da parte 3, seção 4.9, é direto: "The check digits permit readers to verify that data in the MRZ is correctly interpreted". O cálculo é público (módulo 10 com pesos 7, 3 e 1), e por isso quem monta um documento falso coerente monta também os dígitos certos. O mesmo vale para o dígito do CPF. Na UNIFOKAL, o módulo de [OCR de documento](https://unifokal.com/modulos/cpf-ocr) recalcula o dígito do CPF lido e informa a validade do documento; isso pega erro de leitura e documento vencido, não documento inventado com cuidado, e é por isso que ele não trabalha sozinho num fluxo de abertura. Leia também: [MRZ: o que os dígitos verificadores do padrão ICAO 9303 provam](https://unifokal.com/blog/mrz-digitos-verificadores-icao-9303) ## Onde a fraude se denuncia, segundo o próprio alerta O FinCEN conta que as instituições costumam detectar o documento sintético numa segunda leitura dos documentos de abertura, e que a busca reversa de imagem às vezes mostra que a foto da identidade está numa galeria pública de rostos gerados por IA. Ele lista três indicadores que, "while not conclusive", justificam escrutínio adicional: incoerência entre vários documentos enviados pelo mesmo cliente; incapacidade de comprovar satisfatoriamente a identidade, a renda ou outro aspecto do perfil; e incoerência entre o documento e o resto do perfil. O alerta traz ainda um sinal de comportamento útil para quem desenha fluxo: o fraudador que usa documento gerado pode tentar evitar a verificação ao vivo, alegando "repeated technical glitches" ou pedindo para trocar o canal de comunicação durante a checagem. A leitura da casa é que a falha técnica repetida justamente na etapa do rosto merece o mesmo tratamento de um sinal de risco, e não só de um problema de suporte. > **Atenção** > > Detector de imagem gerada por IA ajuda, mas é uma corrida: cada geração nova de ferramenta pede detector novo. O FinCEN cita metadados e software de detecção como técnicas mais sofisticadas, ao lado das que não dependem da imagem. Fluxo que aposta só no detector fica tão bom quanto a última atualização dele. ## O que fazer no fluxo de abertura Três escolhas tiram o peso da imagem. A primeira é conferir o dado do documento numa fonte que o fraudador não controla, como a base do órgão emissor ou do cadastro oficial, sabendo que o dado roubado passa nessa checagem e que é a etapa seguinte que o barra. A segunda é a selfie com prova de vida comparada à foto do documento, que exige do fraudador sustentar um rosto ao vivo, e não só uma imagem parada. A terceira é monitorar a conta nos primeiros dias, porque o próprio FinCEN lista entre os indicadores pós-abertura as transações rápidas numa conta nova e o saque imediato depois do depósito. No Brasil, o documento público falsificado é crime do art. 297 do Código Penal, e o uso dele, do art. 304, com a mesma pena da falsificação. A IA não muda o tipo penal; muda a escala, e escala se enfrenta com processo. ## Fontes citadas - FinCEN, FIN-2024-Alert004, "FinCEN Alert on Fraud Schemes Involving Deepfake Media Targeting Financial Institutions", 13 de novembro de 2024, no [site do FinCEN](https://www.fincen.gov/sites/default/files/shared/FinCEN-Alert-DeepFakes-Alert508FINAL.pdf) - ICAO, Doc 9303, Machine Readable Travel Documents, oitava edição (2021), parte 3, seção 4.9, PDF oficial arquivado no [Internet Archive](https://web.archive.org/web/2024id_/https://www.icao.int/publications/Documents/9303_p3_cons_en.pdf) - Código Penal, arts. 297 e 304, texto compilado no [Planalto](https://www.planalto.gov.br/ccivil_03/decreto-lei/del2848compilado.htm)