Selfie com documento na mão: o que essa foto prova e o que não prova

Pedir uma selfie segurando o documento virou praxe no Brasil. Marketplace, imobiliária, recrutamento, grupo de compra e venda: em algum momento do cadastro aparece o pedido de uma foto do rosto com o RG ou a CNH na mão, quase sempre por e-mail ou aplicativo de mensagem. O raciocínio parece sólido: se a pessoa aparece na mesma imagem que o documento, ela tem o documento e o rosto bate.

Olhando de perto, essa foto prova bem menos do que aparenta e cobra caro por isso. Ela cria um arquivo reutilizável, não demonstra que havia uma pessoa viva diante da câmera e ainda atrapalha as duas leituras que deveria facilitar, a do rosto e a do documento.

O que vem abaixo interessa a quem desenha um cadastro e ainda pede essa foto, e a quem recebe o pedido e precisa decidir se atende.

O que a foto prova, e o que fica de fora

O que a selfie com documento demonstra é modesto: em algum momento, alguém teve acesso simultâneo àquele documento físico e a uma câmera, e o rosto da imagem se parece, aos olhos de quem confere, com o retrato impresso. É prova de posse de um objeto, mais uma conferência visual feita numa tela pequena.

Repare no que fica de fora. Não fica demonstrado que a pessoa da foto é a titular do documento, apenas que ela se parece com o retrato. Não fica demonstrado quando a foto foi tirada, nem que foi tirada por quem enviou. E o resultado é um arquivo único que reúne, num só lugar, rosto, número do documento, filiação, data de nascimento e assinatura.

Esse arquivo é o problema central, porque é autossuficiente: quem o obtiver tem tudo de que precisa para se apresentar como aquela pessoa no próximo lugar que pedir a mesma foto. Diferente de uma senha, não dá para trocar o rosto nem o número do documento depois de um vazamento. E o pedido é fácil de imitar: uma falsa oferta de emprego é o pretexto perfeito, porque contratação de verdade pede documento mesmo. Não por acaso, o fascículo Golpes: Não se Deixe Enganar, do CERT.br lista oferta de emprego entre os temas de mensagem que devem levantar suspeita imediata, ao lado de encomenda retida e pagamento pendente.

Uma imagem estática não prova presença

O segundo limite costuma passar batido. Uma imagem parada não prova, para quem a recebe, que havia uma pessoa viva diante da câmera: a tela de outro celular exibindo o rosto da vítima, um retrato impresso e uma montagem chegam como o mesmo arquivo. Existe software capaz de procurar os vestígios físicos que denunciam uma reprodução, moiré de tela, granulação de papel, ausência de volume, mas isso é um mecanismo específico, rodando sobre uma captura que o sistema controlou. Quem confere no olho, numa tela pequena, não tem nada disso.

Provar presença é uma disciplina própria, com norma internacional de teste. A ISO/IEC 30107-3:2023 estabelece os princípios e métodos para avaliar e reportar o desempenho de mecanismos de detecção de ataque de apresentação, e delimita o escopo de forma explícita: os ataques tratados por ela acontecem no sensor, no momento da apresentação. Do lado regulatório, a diretriz de identidade digital do NIST, dos Estados Unidos, na publicação SP 800-63A de 2025, exige que a coleta remota de características biométricas implemente detecção de ataque de apresentação atendendo à métrica IAPAR menor que 0,07, para confirmar a presença genuína de um ser humano vivo.

Uma selfie com documento enviada por mensagem não passa por nada disso. Não houve captura sob controle de quem pede, o arquivo pode ter qualquer origem e qualquer idade, e nenhum mecanismo de detecção rodou no momento da apresentação. Ela não é uma versão simplificada de prova de vida, é a ausência de prova de vida, assunto detalhado em como funciona a prova de vida em verificação remota.

O enquadramento combinado piora as duas leituras

Há ainda um custo prático que raramente entra na conta: juntar rosto e documento no mesmo quadro degrada as duas imagens. O braço estendido coloca o rosto longe da câmera, e o documento ocupa parte do enquadramento, então sobram poucos pixels entre os olhos, uma das grandezas que as normas de qualidade de imagem facial medem. Ao mesmo tempo, o documento aparece inclinado, fora do plano focal e com reflexo do flash ou da tela, o que atrapalha a leitura automática dos campos impressos.

Não é impressão subjetiva. Existe norma dedicada a medir isso: a ISO/IEC 29794-5:2025 estabelece requisitos para o software que quantifica o quanto as propriedades de uma imagem facial estão de acordo com as de uma imagem canônica, como as especificadas na ISO/IEC 39794-5. Entre as medidas que essa norma define estão distância entre os olhos, tamanho da cabeça, pose e uniformidade de iluminação, e a foto combinada erra em quase todas de uma vez.

Um arquivo único com rosto e documento é dado demais

Do lado da proteção de dados, a foto combinada colide com o princípio da necessidade da Lei 13.709/2018, a LGPD: o artigo 6º, inciso III, limita o tratamento ao mínimo necessário para a finalidade, com dados pertinentes, proporcionais e não excessivos. E o dado biométrico vinculado a uma pessoa natural é dado pessoal sensível pelo artigo 5º, inciso II, da mesma lei.

A consequência operacional é a que quase ninguém antecipa. Como rosto e documento estão no mesmo arquivo, não há como conceder acesso a um sem entregar o outro, nem apagar um sem apagar o outro. Uma empresa regulada que precise conservar por dez anos as informações coletadas para conhecer o cliente, prazo do artigo 67 da Circular BCB 3.978/2020, acaba carregando junto a imagem do rosto pelo mesmo período, mesmo que a finalidade biométrica tenha se esgotado no dia do cadastro. Mídias separadas permitem relógios de retenção diferentes por tipo de mídia; um arquivo só impõe o prazo mais longo a tudo que estiver dentro dele.

E há o canal. Essa foto quase sempre chega por e-mail ou aplicativo de mensagem, então fica em caixa de entrada, em backup de conversa e no aparelho de quem atendeu, longe de custódia controlada. O desenho oposto, com a mídia indo direto para um armazenamento próprio, está em como receber selfie e documento sem virar depósito de mídia.

O desenho que substitui, e o hábito que a prática ensina

A substituição é conhecida e não exige nada além do que um fluxo de captura guiada já faz. O documento é capturado em uma etapa, com frente e verso enquadrados sozinhos e leitura automática dos campos. A selfie é capturada em outra, com o rosto ocupando o quadro inteiro e prova de vida rodando na captura. A comparação entre o retrato do documento e a selfie acontece no servidor, não no olho de um atendente. E cada mídia é gravada com sua própria referência, seu prazo e seu registro de acesso. Na UNIFOKAL, por exemplo, cada passo do fluxo de identidade é um módulo distinto, com resultado e motivo próprios, o que permite pedir a recaptura de um item sem descartar o restante.

O último argumento é cultural e talvez seja o mais forte. Toda empresa que pede selfie com documento por canal aberto ensina o público a atender esse pedido sem estranhar. O fraudador só precisa repetir o pedido com um pretexto plausível, porque a vítima já foi treinada por empresas legítimas a obedecer. É o mesmo mecanismo da engenharia social contra equipes de atendimento, invertido: agora o alvo é o cliente.

Para quem recebe o pedido, ficam duas perguntas. O pedido chegou por um canal que a empresa reconhece como oficial, e existe um fluxo de verificação no site ou no aplicativo em vez de uma conversa? E, se ainda assim a foto for por mensagem, quanto tempo o arquivo será guardado e quem terá acesso? Empresa séria responde. Golpista muda de assunto.

Fontes citadas

• ISO/IEC 30107-3:2023, detecção de ataque de apresentação em biometria, parte 3: teste e relato
• ISO/IEC 29794-5:2025, qualidade de amostra biométrica, parte 5: imagem facial, e ISO/IEC 39794-5, que especifica a imagem facial canônica
• NIST Special Publication 800-63A, revisão 4, de 2025, seção 3.11.2, requisito de detecção de ataque de apresentação com IAPAR menor que 0,07 na coleta biométrica remota
• Lei 13.709/2018 (LGPD), artigo 5º, inciso II, e artigo 6º, inciso III, disponível no portal do Planalto
• Circular BCB 3.978/2020, artigo 67, prazo mínimo de dez anos para as informações do conhecimento do cliente
• CERT.br, fascículo Golpes: Não se Deixe Enganar, da Cartilha de Segurança para Internet