Pipeline forense em camadas detecta PDFs adulterados usando metadados, OCR duplo e pontuação de risco
Pesquisadores franceses (Millet, Valade, Gonnet e Msahli) propõem um pipeline de duas camadas para detectar adulteração de documentos PDF: uma triagem inicial de conformidade de formato e payloads maliciosos, seguida de um motor forense que cruza metadados, sobreposições visuais e consistência entre duas fontes de OCR, agregando tudo em um escore de risco interpretável. O método foi validado em certificados médicos reais de afastamento do trabalho — um tipo de documento comumente alvo de falsificação em fraudes de benefício e licença.
Com ferramentas gratuitas de edição cada vez mais sofisticadas, alterar um PDF — mudar uma data, um valor, uma assinatura — deixou de exigir qualquer habilidade técnica e, na maioria dos casos, não deixa rastro visual perceptível a olho nu. O artigo parte exatamente desse ponto: documentos que servem de prova para liberar pagamento (atestados médicos, comprovantes, declarações) são um vetor de fraude documental que escapa das defesas tradicionais de segurança, porque o arquivo em si não contém malware, apenas conteúdo adulterado.
O pipeline proposto funciona em duas camadas. A primeira é uma triagem de segurança: valida se o PDF está em conformidade com o formato esperado e sinaliza a presença de payloads maliciosos embutidos (JavaScript, objetos executáveis), filtrando arquivos obviamente armados antes de gastar processamento forense neles. A segunda camada é o motor forense propriamente dito, que inspeciona objetos internos do arquivo cruzando três tipos de evidência: metadados (datas de criação/edição, histórico de revisão), sobreposições visuais (elementos inseridos por cima do conteúdo original, como carimbos ou texto reescrito) e consistência entre duas extrações de OCR independentes — uma forma de detectar quando o texto 'visível' não bate com o texto realmente codificado no arquivo, sinal clássico de edição posterior.
Todos esses indicadores são combinados por um motor de pontuação ponderado que produz um escore de risco interpretável, em vez de um veredito binário de caixa-preta — uma escolha de design relevante para quem precisa justificar uma recusa de pagamento ou abrir investigação formal com base no resultado. A validação em certificados médicos reais de afastamento do trabalho é o detalhe que conecta o trabalho a fraude de forma direta: esse tipo de documento é rotineiramente usado em fraudes contra seguradoras, empregadores e sistemas de benefício social, justamente porque historicamente é aceito sem verificação técnica profunda.
Como aplicação prática, o método se encaixa em áreas de antifraude de seguradoras, RH e órgãos de benefício que hoje validam documentos manualmente ou nem validam — a pontuação de risco serve como triagem automática para priorizar qual documento merece revisão humana. A limitação central, não resolvida no artigo, é a generalização: o pipeline foi validado em um tipo específico de documento (certificados médicos), e adulterações mais sofisticadas, feitas por quem conhece o próprio detector, tendem a ser o próximo desafio — um padrão recorrente em sistemas de detecção forense baseados em assinaturas estatísticas.