Golpe de assinatura digital: como reconhecer, reagir e proteger o certificado
No golpe de assinatura digital, revogar o certificado na primeira hora e registrar ocorrência limita o estrago.
Homem de capuz com celular na mão diante do computador
Marta cuida sozinha da papelaria da família num bairro movimentado e emite nota fiscal todo dia pelo computador do balcão. Numa terça à tarde chegou uma mensagem no celular: o certificado dela teria vencido, a emissão de notas seria bloqueada em poucas horas e bastava tocar no link para renovar sem sair da loja. O golpe de assinatura digital costuma começar assim, com pressa e um tom de aviso oficial. Ela só não tocou porque a validade estava anotada na agenda, e ainda faltavam meses.
A assinatura digital em si não é o ponto fraco. O que o golpista ataca é a pessoa: ele quer a senha, o código enviado por SMS ou a autorização que aparece no aplicativo. Quem assina com um certificado em nuvem VIDaaS ou com outro modelo guardado em servidor confirma cada uso pelo celular, e é justamente esse pedido de confirmação que a fraude tenta imitar.
Como o golpe de assinatura digital funciona na prática
O certificado digital funciona como uma identidade eletrônica. O problema nasce quando alguém convence o dono a entregar a chave.
A fraude segue um roteiro parecido em quase todos os relatos. Primeiro vem o contato, por mensagem, ligação ou e-mail, usando nome de certificadora, de órgão público ou de contador. Depois vem a urgência: bloqueio iminente, multa, nota recusada. No final vem o pedido, que pode ser um link para "renovar", uma senha, um código ou a instalação de um programa de acesso remoto.
Com a chave na mão, o criminoso assina em nome da vítima. Ele pode abrir empresa, emitir nota falsa, pedir empréstimo ou alterar dados em serviços públicos.
Tipos de golpe de assinatura digital e sinais de alerta
A tabela reúne as formas mais comuns de contato e o detalhe que denuncia cada uma.
| Como chega | O que pede | Sinal de alerta |
|---|---|---|
| Mensagem de renovação urgente | Tocar em link e digitar a senha do certificado | Prazo de horas e endereço que não é o da certificadora |
| Ligação de falso suporte | Instalar um aplicativo de controle da tela | Ninguém de suporte precisa comandar seu computador para renovar |
| Pedido de código por SMS | Repassar o código que acabou de chegar | O código libera uma assinatura, e quem pede não é você |
| Site clonado de certificadora | Preencher dados e pagar uma taxa | Pagamento por chave aleatória e nenhum atendimento em posto |
O que fazer se você caiu no golpe: passo a passo
A ordem abaixo vale para quem entregou senha, código ou acesso. Agir na primeira hora reduz o estrago.
- Peça a revogação do certificado à certificadora que o emitiu, pelo canal oficial dela, não pelo contato que iniciou a conversa.
- Troque as senhas do certificado e das contas ligadas a ele, como gov.br, e-mail e aplicativo de banco.
- Desinstale qualquer programa de controle remoto que tenha sido pedido e rode uma verificação de segurança no computador.
- Registre boletim de ocorrência, de preferência na delegacia de crimes digitais, guardando prints e números de telefone.
Renovação falsa e o link que chega antes do prazo
A isca mais usada é a renovação. Ela funciona porque todo certificado tem validade e quase ninguém lembra a data exata.
A renovação verdadeira passa por identificação do titular, conferência de documentos e, em muitos casos, atendimento em posto ou por videoconferência. Nenhuma certificadora séria resolve tudo com um clique em link de mensagem.
Quando a dúvida bater, abra o site da certificadora digitando o endereço, ou vá até o posto onde o certificado foi emitido.
Senha, PIN e o pedido de autorização no celular
Nos certificados guardados em token ou cartão, a senha fica com a pessoa e o dispositivo precisa estar conectado. Nos modelos em nuvem, a assinatura é liberada por um aplicativo, com PIN, biometria ou código. Esse formato é prático, mas inverte a atenção: a defesa passa a ser cada notificação que chega.
Um pedido de autorização que aparece sem que você tenha iniciado nada é sinal de que alguém está tentando usar a sua chave. A reação correta é recusar, trocar a senha e avisar a certificadora. Nunca aprove "só para ver o que é".
Também vale manter o sistema atualizado e não repetir a mesma senha em outros serviços.
Documentos assinados sem que você saiba
Há um segundo tipo de golpe de assinatura digital que não pede senha nenhuma. O criminoso envia um documento com aparência inofensiva, como um termo de recebimento ou uma atualização cadastral, e pede a assinatura. No meio do PDF vai uma procuração, um contrato de empréstimo ou uma alteração societária.
A regra aqui é ler antes de assinar, por mais chato que pareça. Confira o nome das partes, o valor e a data. Se o documento chegou por plataforma que você não conhece, peça o envio por outro canal e compare os arquivos.
Profissionais liberais e donos de pequenas empresas são alvos frequentes porque assinam muitos papéis por semana. O cansaço vira uma brecha.
Erros comuns de quem tem e-CPF ou e-CNPJ
O erro mais frequente é deixar a senha anotada num papel colado ao monitor ou salva no mesmo computador do token. Quem acessa a máquina acessa a chave. O mesmo vale para a prática de emprestar o certificado ao funcionário "só para emitir a nota".
Outro deslize é tratar o e-CNPJ como uma senha de sistema qualquer, compartilhada no grupo da empresa. A assinatura feita com ele tem o peso de uma assinatura da pessoa jurídica, e rastrear quem usou fica difícil quando todo mundo tem acesso.
Muita gente também ignora o e-mail da certificadora avisando sobre uso ou emissão. Esse aviso costuma ser o primeiro indício de que algo saiu do controle.
Custos, prazos e onde conferir a informação oficial
Preço de emissão, de renovação e de revogação varia conforme a certificadora, o tipo de certificado e a validade escolhida, e deve ser conferido no posto antes de pagar.
Sobre regras, validade e requisitos de identificação, a referência são a ICP-Brasil e a certificadora emissora. Para serviços públicos, consulte o próprio gov.br e a Receita Federal pelos endereços oficiais, digitados no navegador.
Se houver prejuízo, a conversa com o banco, o cartório ou a Junta Comercial deve ser feita presencialmente ou pelos canais formais. Guarde protocolos. Ninguém de confiança vai resolver isso por mensagem de aplicativo.
Aviso
Este conteúdo é informativo e não substitui orientação de advogado, contador ou da certificadora. Regras, prazos e valores mudam e devem ser conferidos na certificadora emissora e nas fontes oficiais, como ICP-Brasil, Receita Federal e gov.br.
Perguntas frequentes sobre golpe de assinatura digital
A assinatura feita pelo golpista tem validade?
Ela nasce tecnicamente válida, por isso a revogação rápida e o boletim de ocorrência importam.
A certificadora me liga pedindo senha?
Não. Nenhum atendimento legítimo pede senha, PIN ou código recebido por SMS.
Como sei a data de validade do meu certificado?
Ela aparece no gerenciador do certificado no computador, no aplicativo do modelo em nuvem ou no comprovante entregue pelo posto.
Certificado em nuvem é mais vulnerável ao golpe?
Não é mais nem menos. O risco muda de lugar: em vez do token físico, a atenção vai para o celular e para cada autorização aprovada.
Preciso trocar o certificado depois de um golpe?
Em geral sim. Depois da revogação, a emissão de um novo certificado passa pelo processo normal de identificação na certificadora.
Posso autorizar o contador a usar meu e-CNPJ?
O caminho correto é a procuração eletrônica nos sistemas oficiais, não o empréstimo da senha.
Resumo
Um golpe de assinatura digital raramente quebra a tecnologia: ele convence o titular a entregar senha, código ou autorização, ou a assinar sem ler. Desconfie de urgência, confirme tudo pelo canal oficial da certificadora e nunca aprove uma assinatura que você não iniciou. Se o pior acontecer, revogue o certificado e registre a ocorrência na primeira hora.
