Um tribunal de recurso alemão decidiu que um documento alterado digitalmente — fotografado e enviado por e-mail — não constitui, do ponto de vista jurídico, uma falsificação, uma vez que é reconhecível como sendo apenas uma fotografia de um documento, e não um original. Não existe linha de assinatura. Não há qualquer efeito dissuasor penal subjacente. Se o seu programa de conformidade ainda considerar que "parece oficial" como prova de autenticidade, esta decisão deve preocupá-lo mais do que o seu próximo alerta de «zero-day». A seguir: o que o tribunal bávaro decidiu, por que razão esta lacuna vai muito além da Alemanha e onde os seus controlos de verificação de documentos estão silenciosamente a basear-se num suporte jurídico que já não se sustenta. A solução não é jurídica. É arquitetónica.
O que o Tribunal decidiu
O caso em si era banal: uma mulher editou uma carta autêntica de um escritório de advogados, imprimiu-a, fotografou o resultado e enviou a imagem pelo WhatsApp e por e-mail. O Tribunal Regional Superior da Baviera (BayObLG) absolveu-a de ambas as possíveis acusações. Em primeiro lugar, um "documento", nos termos da legislação alemã, requer uma declaração materializada que identifique um emitente e tem valor probatório - a assinatura é fundamental para isso. Sem ela, o tribunal considerou que se tratava apenas de um rascunho não vinculativo com sem valor probatório. Em segundo lugar, o crime de falsificação de dados probatórios também não se aplicava: um ficheiro de imagem que se reconheça claramente como sendo apenas uma fotografia de um documento funciona como prova secundária, não é um transportador de declaração original, pelo que também fica fora do âmbito dessa lei.
Isto não é apenas um problema alemão
O volume e o grau de sofisticação das fraudes já estão a aumentar, independentemente do raciocínio de qualquer tribunal em particular. Inquérito Global da PwC sobre Crime Económico e Fraude A investigação revelou que pouco mais de metade das organizações inquiridas tinha sido vítima de fraude nos dois anos anteriores — a taxa mais elevada nos 20 anos de história do inquérito, com a fraude baseada em plataformas a emergir como uma categoria em rápido crescimento.
Se acrescentarmos a IA generativa, o quadro agrava-se ainda mais. A Gartner prevê que que, até 2026, cerca de 30% de empresas deixarão de confiar em ferramentas autónomas de verificação de identidade utilizadas isoladamente, nomeadamente porque os «deepfakes» gerados por IA conseguem agora contornar as verificações biométricas faciais — e os ataques do tipo «injection» contra estes sistemas aumentaram 200% num único ano.
As agências federais dos EUA chegaram à mesma conclusão do ponto de vista da defesa. Um parecer conjunto da NSA, FBI e CISA explica como as ameaças relacionadas com conteúdos multimédia sintéticos se têm alastrado por todos os setores e recomenda medidas concretas de mitigação para as organizações que já não podem partir do princípio de que os conteúdos multimédia — visuais ou documentais — são o que parecem ser.
Resumindo: uma lacuna jurídica numa jurisdição, aliada a uma corrida global ao armamento no domínio das ferramentas de fabrico, resulta num ponto cego em matéria de conformidade que não tem em conta o local onde a sua entidade está domiciliada.
Como poderá ser a solução
O mecanismo subjacente é bem estabelecido na criptografia, sendo agora cada vez mais aplicado à integridade dos documentos: funções de hash e marcação temporal.
- Crie uma assinatura digital do ficheiro, não do conteúdo. Um hash criptográfico unidirecional reduz qualquer ficheiro — contrato, documento, digitalização, conjunto de dados — a uma impressão digital única. A impressão digital não revela nada sobre o conteúdo do ficheiro; só muda se o próprio ficheiro mudar, mesmo que seja apenas um único byte.
- Fixar a impressão digital externamente. A marcação temporal dessa impressão digital numa blockchain pública (o Bitcoin ou o Ethereum são opções comuns) cria um registo que nenhuma organização — incluindo a que o criou — controla ou pode editar retroativamente. O conteúdo do ficheiro nunca é carregado nem exposto; apenas a impressão digital é fixada, o que mantém a abordagem de conhecimento zero por definição.
- Que possa ser verificado de forma independente, mais tarde, por qualquer pessoa. A qualquer momento posteriormente, ao gerar novamente a impressão digital do ficheiro e compará-la com a impressão digital registada, é possível determinar, com certeza matemática, se o ficheiro corresponde ao que foi selado. A ausência de correspondência significa que o ficheiro não sofreu alterações. Uma discrepância é detetável imediatamente por qualquer pessoa que efetue a verificação — e não apenas pela parte que o selou.
Nada disto impede alguém de editar um ficheiro — só a remoção do seu acesso é que o pode impedir. O que garante é que a edição não pode passar despercebida e não pode ser negada de forma plausível. É essa a conclusão a que o raciocínio do tribunal alemão não conseguiu chegar: um documento fotografado e não assinado não tem qualquer valor probatório intrínseco, mas um ficheiro com um carimbo temporal ancorado externamente e verificável de forma independente constitui exatamente o tipo de prova que o tribunal considerou estar em falta — independentemente da jurisdição em causa.
Argumentos a favor da admissibilidade das provas digitais
Trata-se de um desfasamento entre os controlos e a maturidade, e não de um cenário hipotético - dispõe agora de uma decisão judicial específica, de um inquérito sobre fraude realizado por uma das «Quatro Grandes» e de um aviso conjunto do governo dos EUA, todos apontando na mesma direção. Apresente a questão desta forma ao seu conselho de administração ou comissão de auditoria: o que se pede não é uma nova rubrica orçamental avultada, mas sim uma atualização da política — confiança em documentos por níveis e verificação fora da cadeia normal — que colmate uma lacuna que os vossos controlos existentes nunca foram concebidos para cobrir. O investimento em ferramentas poderá seguir-se assim que a política estiver em vigor e a exposição estiver documentada.
.
Quer ver como funciona, na prática, a verificação independente da integridade?
Experimente gratuitamente – sem qualquer compromisso:
Verificador da verdade para criadores de PI: https://truth-verifier.com/landing
Verificador da verdade para jornalistas: https://truthverifier.news/landing
Entre em contacto connosco para discutir a implementação do Truth Enforcer numa empresa: https://www.connecting-software.com/truth-enforcer-sign-up/
Por Francisco Rodrigues, Gestor de produtos
"Escrevo sobre a forma como as integrações de software se podem adaptar aos ambientes empresariais e responder às exigências específicas do sector. Quero mostrar às empresas o caminho para simplificar processos, eliminar estrangulamentos e garantir a conformidade, capacitando as equipas e os executivos C-suite com as ferramentas certas."