Golpe de certificado digital falso: como evitar

Uma mensagem de renovação urgente, um desconto fora do padrão ou um atendimento que pede sua senha pode parecer apenas incômodo. Mas pode ser o início de um golpe de certificado digital falso. Para quem emite nota fiscal, acessa o e-CAC, assina processos ou representa clientes, o risco não é só financeiro: é colocar a identidade oficial da empresa ou do profissional nas mãos de terceiros.

Certificado digital ICP-Brasil não é um cadastro comum. É a identidade oficial no mundo digital. Ele comprova quem assina, registra atos e permite acessar serviços fiscais, jurídicos e corporativos com validade legal. Por isso, criminosos tentam explorar dois pontos: a urgência de quem depende do certificado para trabalhar e a falta de familiaridade com as etapas de emissão e renovação.

A boa notícia é que a maioria das fraudes deixa sinais. Reconhecê-los antes de informar dados, pagar uma cobrança ou instalar um arquivo protege a operação e a reputação de quem está por trás dela.

Como funciona o golpe de certificado digital falso

O golpe pode aparecer de formas diferentes. Em algumas abordagens, a pessoa recebe uma ligação, e-mail, mensagem ou anúncio informando que o certificado venceu, está prestes a vencer ou precisa ser “regularizado”. Em outras, o criminoso oferece emissão imediata, preço muito abaixo do esperado ou promete ignorar etapas obrigatórias de validação de identidade.

Há também a fraude que imita uma empresa de certificação. O contato usa nome parecido, logotipo copiado, perfil recém-criado ou site com endereço visualmente semelhante ao verdadeiro. Depois, pede pagamento, foto de documentos, biometria ou acesso remoto ao computador. O objetivo pode ser vender algo que não existe, capturar dados pessoais ou assumir o controle de um certificado válido.

O ponto central é simples: a emissão de um certificado ICP-Brasil segue regras. Ela exige identificação segura do titular e procedimentos compatíveis com a regulamentação. Não existe atalho legítimo para pular a comprovação de identidade.

Sinais que exigem atenção imediata

Urgência é a ferramenta favorita de quem aplica golpe. “Seu CNPJ será bloqueado hoje”, “sua nota fiscal vai parar em duas horas” ou “pague agora para evitar multa” são frases feitas para impedir que você verifique os fatos. Um certificado vencido pode, de fato, interromper rotinas importantes. Ainda assim, pressão não substitui procedimento.

Desconfie quando o contato chega sem você ter solicitado atendimento e já traz uma cobrança. Também vale atenção quando a empresa não consegue explicar qual certificado está vinculado ao seu CPF ou CNPJ, qual é a data real de vencimento, quem é o titular ou quais etapas serão realizadas.

Outros sinais comuns são pedidos de senha, código de autenticação, PIN, PUK ou arquivo do certificado A1. O A1 é um certificado instalado em arquivo no computador ou servidor. Quem recebe esse arquivo e sua senha pode assinar digitalmente em nome do titular. Trate essas informações como trataria a chave da conta bancária da empresa.

No caso de um A3, certificado armazenado em mídia criptográfica ou em nuvem, o cuidado continua. Um token, cartão, aplicativo autenticador ou aprovação de assinatura nunca deve ser liberado para alguém que você não confirmou por canais oficiais. O SafeID, por exemplo, é um A3 em nuvem que dispensa token físico, mas a proteção da conta e das aprovações permanece indispensável.

O que uma emissão regular nunca deve pedir

Atendimento legítimo pode orientar, conferir informações cadastrais e conduzir a validação de identidade. Isso é diferente de pedir acesso irrestrito ao seu computador, senha de portal governamental ou códigos recebidos por mensagem sem explicar claramente a finalidade.

Nenhuma pessoa precisa conhecer sua senha do certificado para emitir ou renovar um novo certificado. Da mesma forma, não é prudente compartilhar credenciais de e-CAC, sistema da Receita Federal usado para serviços fiscais, ou de portais judiciais. Se houver necessidade de suporte técnico, prefira acompanhar cada ação na tela e entenda o que será instalado ou configurado.

A validação por videoconferência pode ser permitida em situações previstas pelas regras da ICP-Brasil, mas não é um convite para improviso. Há requisitos de biometria, histórico de identificação e modalidade de emissão. Quando o caso exige atendimento presencial, uma autoridade de registro séria explica o motivo e oferece o caminho adequado. Prometer que qualquer situação será resolvida do mesmo jeito, sem avaliação, é sinal de alerta.

Como confirmar se a empresa é autorizada

Antes de pagar ou enviar documentos, confirme se a organização atua na cadeia oficial da ICP-Brasil. A ICP-Brasil é a infraestrutura nacional que estabelece as regras e a validade dos certificados digitais no país. Autoridades de Registro, conhecidas como ARs, fazem a identificação do titular dentro dessa estrutura.

A verificação deve começar pelo cadastro público do Instituto Nacional de Tecnologia da Informação, o ITI. Confira a razão social, o CNPJ, a situação de credenciamento e a vinculação da Autoridade de Registro. Não confie apenas no nome exibido em uma mensagem, em um perfil de rede social ou em uma página patrocinada.

Depois, compare os canais de contato com os divulgados pela própria empresa: domínio do e-mail, telefone, endereço e perfis oficiais. Pequenas alterações em letras, endereços de site ou contas de mensagem são frequentes em tentativas de imitação. Se o contato chegou por WhatsApp, não responda diretamente em caso de dúvida. Procure o canal oficial por conta própria e confirme se aquela conversa é verdadeira.

Credenciamento é prova verificável, não promessa. A AR CERTIFICA VITORIA, por exemplo, consta no registro federal do ITI desde 2019, sob o CNPJ 28.905.207/0001-24, atuando por meio da AC Consulti Brasil. Esse é o padrão que deve orientar sua decisão: verificar o registro antes de entregar dados que representam sua identidade digital.

Se você suspeita de fraude, faça isto agora

Se ainda não enviou dados nem pagou, interrompa o contato. Não clique em novos arquivos, não instale aplicativos indicados pela pessoa e não continue a conversa para “entender melhor”. Golpistas usam esse tempo para criar confiança ou induzir uma autorização.

Se você realizou um pagamento, guarde comprovantes, números usados no contato, capturas de tela e mensagens. Acione seu banco ou instituição de pagamento imediatamente para avaliar as medidas disponíveis. Registre também um boletim de ocorrência com o máximo de evidências possível.

Se compartilhou arquivo A1, senha, PIN, código de autenticação ou permitiu acesso remoto ao computador, a prioridade é conter o acesso. Troque senhas relacionadas, desconecte sessões desconhecidas e procure a Autoridade Certificadora ou Autoridade de Registro responsável para saber se é necessário revogar o certificado. Revogar significa cancelar sua validade antes do vencimento para impedir o uso indevido.

Para escritórios contábeis, a resposta precisa ser ainda mais organizada. Um incidente pode afetar vários CNPJs e comprometer a confiança construída com a carteira. Avise os responsáveis pelos certificados envolvidos, mapeie quais sistemas foram acessados e revise quem tem permissão para usar cada credencial. O nome na linha não é só do cliente. É o seu.

Prevenção que cabe na rotina da empresa

O melhor momento para lidar com a renovação é antes da urgência. Mantenha um controle das datas de vencimento por CPF e CNPJ, principalmente quando há certificados de sócios, procurações, filiais e clientes de contabilidade. Defina quem recebe os avisos, quem aprova pagamentos e quem pode iniciar uma solicitação de certificado.

Também ajuda separar a emissão da instalação. A pessoa responsável pela validação não precisa ter acesso a todos os sistemas internos, e quem opera sistemas fiscais não deve guardar senhas em planilhas abertas ou conversas de aplicativo. A segurança melhora quando cada acesso tem uma finalidade clara.

Treine a equipe para uma regra curta: nenhum pedido urgente é atendido sem confirmação independente. Isso vale para renovação, cobrança, troca de token, instalação de arquivo e suposta atualização cadastral. Dois minutos de conferência podem evitar dias de paralisação, custos e exposição de dados.

A cultura do mínimo diz para clicar rápido e resolver depois. Quem depende de uma identidade digital não pode trabalhar assim. Verifique o credenciamento, confirme o canal, preserve suas credenciais e escolha atendimento que explique cada etapa. Segurança não é burocracia quando uma assinatura pode movimentar a sua empresa. É continuidade.

Dedicação é a nossa assinatura.