Como verificar quando uma foto foi tirada (e identificar uma data falsa)

Resposta rápida: Para verificar a data de uma foto, abra-a em um visualizador de EXIF gratuito e compare os três carimbos de data/hora que o EXIF registra: DateTimeOriginal (quando o obturador disparou), CreateDate, também chamado de DateTimeDigitized (quando o arquivo foi gravado pela primeira vez), e ModifyDate (a última vez que foi salvo). Em uma captura recente e genuína, os três são quase idênticos. Se eles discordam de forma suspeita, ou se o DateTimeOriginal está ausente enquanto o ModifyDate é recente, a data pode ter sido alterada. A hora do GPS, a ordem dos arquivos em uma sequência e as content credentials acrescentam confiança. Use o visualizador de EXIF para ler os carimbos de data/hora e a nossa ferramenta de Forense de Foto para investigar mais a fundo.

Quando a data de uma foto importa para uma reivindicação de seguro, uma disputa jurídica, um prazo de garantia ou uma discussão sobre "quando este dano aconteceu", você não pode simplesmente confiar na data que o arquivo afirma. Datas EXIF são editáveis em segundos com ferramentas gratuitas, então uma data sozinha não é prova. Este guia trata de verificação legítima: como ler os carimbos de data/hora que uma foto carrega, como é um padrão normal versus um padrão adulterado, e como cruzar a data com sinais que são mais difíceis de falsificar. Ele é enquadrado estritamente para detecção, não para alterar nada.

Os três carimbos de data/hora EXIF

O EXIF armazena três campos de data separados, e a relação entre eles é a coisa mais útil que você pode ler.

• DateTimeOriginal deve registrar o momento em que o obturador disparou. Essa é a data de "quando isto foi tirado".
• CreateDate (a tag EXIF DateTimeDigitized) registra quando a imagem foi digitalizada ou gravada em um arquivo pela primeira vez. Em uma câmera digital, esse é o mesmo instante do DateTimeOriginal.
• ModifyDate registra a última vez que o arquivo foi salvo. Qualquer novo salvamento, edição ou exportação o atualiza.

O padrão normal. Uma foto tirada em um telefone ou câmera e nunca editada tem DateTimeOriginal, CreateDate e ModifyDate todos com um ou dois segundos de diferença entre si. Essa concordância apertada é a aparência de uma captura intocada.

Padrões suspeitos. Fique atento a estes:

• DateTimeOriginal ausente, ModifyDate recente. Se a data do obturador sumiu, mas o arquivo foi salvo recentemente, os dados originais da captura podem ter sido removidos, ou o arquivo pode ter sido gerado ou reexportado em vez de capturado.
• ModifyDate anterior ao DateTimeOriginal. Um arquivo não pode logicamente ser salvo antes de ter sido tirado. Isso normalmente significa que um dos campos foi editado manualmente.
• Valores redondos ou idênticos com aparência falsa. Datas definidas exatamente à meia-noite, ou todos os campos forçados ao mesmo dia arbitrário, podem indicar uma edição manual.
• Uma tag Software que nomeia um editor. Se o DateTimeOriginal parece limpo, mas o campo Software diz "Adobe Photoshop" ou uma ferramenta de metadados, as datas passaram por um software que poderia tê-las reescrito.

Leia os três no nosso visualizador de EXIF. Para contexto sobre os campos, veja como ver quando uma foto foi tirada.

Verificações cruzadas além da data EXIF

Como as datas EXIF são editáveis, a verificação mais forte as compara com sinais que um falsificador descuidado dificilmente vai alinhar.

Carimbo de data/hora do GPS. Quando os Serviços de Localização estavam ativados, a câmera também grava um bloco de GPS que inclui a própria data e hora UTC, retiradas do tempo do satélite. Compare a data do GPS com o DateTimeOriginal. Elas devem coincidir (considerando o deslocamento de fuso horário). Se o EXIF diz um dia e a hora do GPS embutida diz outro, um deles foi alterado, e a hora do GPS é a mais difícil de forjar.

Posição do sol e sombras. O comprimento e a direção das sombras codificam a hora do dia e a estação para uma dada localização. Se uma foto afirma ser uma tarde de inverno, mas mostra sombras curtas e verticais consistentes com o meio-dia de verão, a data alegada é inconsistente com a cena. Isso é uma verificação de sanidade, não um relógio preciso, mas pega datas que estão muito erradas.

Fotos vizinhas em uma sequência. Câmeras e telefones atribuem nomes e números de arquivo em ordem (IMG_0412, IMG_0413). Se a foto em questão carrega uma data que quebra a ordem monotônica dos quadros ao seu redor, ou está em uma pasta cujas vizinhas estão todas a meses de distância dela, a data merece ser questionada.

Datas do sistema de arquivos. Os carimbos de data/hora de criação e modificação do sistema operacional no arquivo são fracos (eles são reiniciados ao copiar e baixar), mas uma data do sistema de arquivos anterior ao DateTimeOriginal alegado é uma contradição que merece um segundo olhar.

Por que um carimbo de data/hora gravado na imagem é mais difícil de falsificar

O EXIF fica no cabeçalho do arquivo, separado dos pixels, que é exatamente por que é fácil reescrevê-lo. Um carimbo de data/hora gravado nos pixels no momento da captura é outra história. Para mudá-lo, alguém precisa editar a própria imagem: apagar os dígitos antigos e renderizar novos que correspondam à fonte, à iluminação e à compressão do original. Isso deixa o tipo de vestígio abordado em como saber se uma foto foi editada, e um olhar atento com a Error Level Analysis na ferramenta de Forense de Foto muitas vezes pode revelar o remendo.

É por isso que, para fotos cuja data pode ser contestada depois, a abordagem mais defensável é capturar com a data gravada na imagem no disparo. Você pode adicionar um carimbo de data/hora a uma foto no momento em que a tira, para que a data viva nos pixels e no EXIF ao mesmo tempo. Para saber mais sobre como tribunais e peritos tratam isso, veja as fotos com carimbo de data/hora são prova legal.

Content credentials

As C2PA Content Credentials acrescentam uma camada criptográfica em cima de tudo isso. Um número crescente de câmeras, incluindo modelos recentes de iPhone, pode anexar uma credencial de captura assinada que registra quando e com qual dispositivo a imagem foi feita. Como o manifesto é assinado, alterar a data registrada quebra a assinatura. Arraste o arquivo para contentcredentials.org/verify ou leia como verificar content credentials (C2PA) para ver se uma credencial está presente e intacta. Quando está, é a evidência de data mais forte disponível.

Limites honestos

Nenhum método aqui é uma garantia. Datas EXIF podem ser editadas em segundos, então um conjunto de carimbos de data/hora com aparência limpa prova apenas que ninguém se deu ao trabalho de fazê-los discordar, não que a data é verdadeira. A hora do GPS pode estar ausente se a Localização estava desligada. As content credentials são opcionais e são removidas por muitas plataformas no upload, então sua ausência não prova nada. Uma reexportação por um aplicativo de mensagens pode silenciosamente normalizar as três datas EXIF e apagar exatamente as discrepâncias que você procurava. A abordagem confiável é combinar sinais: leia os três carimbos de data/hora, cruze o GPS e a sequência de fotos, procure vestígios de edição, e busque o arquivo original e suas content credentials com a fonte. Trate um único sinal suspeito como motivo para investigar, não como um veredito, e para qualquer foto cuja data você talvez precise provar depois, grave a data no momento da captura para que a evidência esteja embutida desde o início.