Cómo detectar un certificado de firma electrónica falso

Un certificado de firma electrónica falso se detecta comprobando tres cosas que el propio PDF del certificado nunca prueba por sí solo: si el sello criptográfico incrustado en el documento (el chip PAdES o XAdES) sigue siendo válido, si el hash del documento que figura en el certificado coincide exactamente con el archivo recibido, y si el proveedor de la firma confirma esa transacción en su propio portal de verificación. Ninguna de las tres comprobaciones depende del aspecto visual de la página del certificado, que es precisamente lo único que un fraude de este tipo puede imitar con facilidad.

Según el informe ACFE 2024 (Report to the Nations), solo el 37 % del fraude documental se detecta mediante controles manuales, con un retraso medio de detección de 87 días, una cifra que se explica en buena parte porque un certificado de finalización con membrete de DocuSign o Adobe Sign inspira una confianza que rara vez se verifica de forma independiente, fuente: ACFE, Occupational Fraud 2024: A Report to the Nations.

Qué es un certificado de firma electrónica y cómo se falsifica

Cuando un documento se firma en una plataforma de firma electrónica —DocuSign, Adobe Sign, HelloSign/Dropbox Sign, Signaturit u otras— el sistema genera automáticamente un "certificado de finalización" (certificate of completion): una página o un PDF adjunto que resume quién firmó, cuándo, desde qué dirección IP, con qué método de autenticación y con qué hash de documento. Ese certificado no es el propio contrato firmado, sino la prueba del proceso de firma; el equipo que revisa un expediente de préstamo o un contrato de alquiler suele confiar en él como si fuera autoprobatorio, cuando en realidad es una afirmación más que verificar, igual que cualquier otro documento de apoyo.

Esa confianza es exactamente lo que explota el fraude. En la práctica aparecen tres patrones distintos:

• Certificado fabricado: el documento nunca se firmó electrónicamente —o lo firmó otra persona— y alguien construye un certificado de finalización convincente desde cero, a partir de una captura de pantalla editada o de una plantilla generada con IA, y lo adjunta a un expediente de financiación, un contrato de alquiler o un acuerdo laboral para simular una firma correctamente ejecutada.
• Certificado manipulado: un certificado genuino, procedente de una transacción legítima pero distinta, se edita para cambiar el nombre del firmante, la fecha, la dirección IP o el hash del documento, de modo que parezca corresponder a otro archivo.
• Certificado reutilizado o repetido: un certificado auténtico de una transacción pasada y legítima se adjunta sin modificar a un documento diferente, apostando a que el revisor no comprobará que el hash del certificado coincide con el archivo real que tiene delante.

Los tres patrones comparten un mismo punto ciego: un certificado de finalización es, en esencia, un PDF con texto y un logotipo, y cualquier PDF puede editarse con las mismas herramientas que se usan para retocar una foto o un carné.

Fabricado, manipulado o reutilizado: en qué se diferencian

Los tres patrones exigen habilidades distintas y dejan rastros distintos, lo que condiciona qué método de verificación resulta eficaz en cada caso.

En los dos primeros casos, la edición del archivo suele dejar huellas de metadatos —software usado, fuentes inconsistentes, capas superpuestas— detectables con técnicas forenses habituales. El tercer caso es el más difícil sin verificación cruzada: el certificado es cien por cien auténtico, solo que no pertenece al documento que se está evaluando.

Marco legal en España

En el plano civil, la validez de la firma electrónica y de los servicios de confianza que la sustentan está regulada por el Reglamento eIDAS (UE) n.º 910/2014 y, a nivel nacional, por la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza. Ambas normas otorgan a la firma electrónica cualificada una presunción de fiabilidad, pero esa presunción recae sobre el certificado emitido por un prestador de servicios de confianza cualificado y sobre el sello criptográfico verificable, no sobre una página de resumen en PDF que cualquiera puede reproducir visualmente.

En el plano penal, fabricar, manipular o reutilizar un certificado de firma electrónica para hacer pasar un documento como debidamente firmado encaja en el delito de falsedad documental de los artículos 390 a 395 del Código Penal. El artículo 390 castiga la falsedad cometida por autoridad o funcionario público; el artículo 392 sanciona al particular que falsifica un documento público, oficial o mercantil con pena de seis meses a tres años de prisión y multa de seis a doce meses; el artículo 393 castiga específicamente a quien, sabiendo que un documento es falso, lo presenta o lo usa para perjudicar a otro, aunque no haya participado en su fabricación —un supuesto directamente relevante cuando alguien adjunta a sabiendas un certificado fabricado o reutilizado a un expediente—; y el artículo 395 tipifica la falsedad en documento privado cometida con ánimo de perjudicar a otro, con pena de seis meses a dos años de prisión. Este resumen tiene fines informativos y no constituye asesoramiento jurídico; ante un caso concreto de sospecha de fraude debe consultarse con un abogado especializado en derecho penal económico.

Señales de alerta que un revisor puede comprobar sin herramientas

Antes de recurrir a la verificación técnica, un examen atento del propio certificado suele bastar para levantar sospechas.

• Ausencia del sello digital del proveedor al abrir el PDF: cuando un certificado auténtico se abre en Adobe Acrobat Reader, este debe mostrar un panel de firma válida con el nombre del prestador de servicios de confianza; si ese panel no aparece, el archivo no procede de la plataforma que dice representar.
• Código de seguridad o número de transacción inconsistente: la mayoría de plataformas incluyen un identificador único (por ejemplo, un código de 32 caracteres en DocuSign) al pie del certificado; un código truncado, genérico o que no coincide con el formato habitual del proveedor es sospechoso.
• Dirección IP o ubicación geográfica incoherente con el contexto conocido del firmante: una firma supuestamente realizada desde la oficina del cliente pero con una IP de otro país, sin explicación de teletrabajo o viaje, merece una pregunta directa.
• Fuente tipográfica o maquetación ligeramente distinta del resto de certificados del mismo proveedor: cada plataforma usa una plantilla fija; una desviación en el interlineado, el logotipo o los márgenes puede indicar una recreación manual.
• Marca de tiempo del certificado posterior a la fecha del documento adjunto: un certificado que dice haberse generado antes de que existiera la versión final del contrato es una señal de reutilización o de manipulación de fechas.

¿Cómo sé si un certificado de DocuSign es auténtico?

La forma más fiable es abrir el PDF en un lector compatible con firmas digitales (como Adobe Acrobat Reader) y comprobar que el panel de firmas muestra un sello válido y sin modificaciones desde su generación; complementariamente, el código de seguridad que figura en el certificado puede contrastarse contactando directamente con el remitente o, si el expediente lo permite, con el propio soporte de DocuSign.

¿Puede alguien falsificar un certificado de finalización sin acceso a la cuenta del firmante?

Sí. Fabricar una imitación visual de un certificado no requiere acceso a ninguna cuenta: basta con una captura de pantalla de un certificado real ajeno, un editor de PDF y, cada vez más, un generador de imágenes por IA capaz de recrear el diseño de la plantilla. Lo que esa imitación nunca puede reproducir es el sello criptográfico interno del archivo.

Verificación técnica y forense del certificado

La verificación fiable no se detiene en la lectura visual del certificado; se apoya en tres comprobaciones técnicas independientes entre sí.

Recalcular y comparar el hash del documento. Todo certificado de finalización serio incluye el hash criptográfico (normalmente SHA-256) del documento firmado. Recalcular ese hash a partir del archivo que realmente obra en el expediente y compararlo con el valor impreso en el certificado es la comprobación más directa: si no coinciden, el certificado no corresponde a ese documento, sea porque se manipuló o porque se reutilizó de otra transacción.

Consultar el portal de verificación propio del proveedor. DocuSign, Adobe Sign y la mayoría de plataformas ofrecen una herramienta o API de validación donde se introduce el identificador de la transacción o se sube el PDF para confirmar que el estado, las partes firmantes y el hash coinciden con el registro del proveedor. Esta comprobación es la única que no depende en absoluto del archivo PDF entregado, porque consulta directamente el servidor del emisor.

Validar la cadena de confianza del certificado digital. Cuando la firma se apoya en un certificado cualificado, ese certificado debe encadenarse hasta un prestador de servicios de confianza incluido en la Lista de Confianza de la Unión Europea (EU Trusted List); un certificado emitido por una entidad ajena a esa lista, o cuya cadena de confianza no se puede reconstruir, no ofrece la presunción de fiabilidad que otorga eIDAS.

Análisis forense de metadatos del propio PDF. El software de creación, la fecha real de última modificación, las fuentes incrustadas y la presencia de capas superpuestas en el archivo del certificado son señales forenses que siguen las mismas reglas que la detección de cualquier otro documento retocado; los equipos que ya aplican detección de firmas copiadas y pegadas en documentos escaneados reconocerán la misma lógica: el certificado, igual que una firma manuscrita, deja de tratarse como prueba autoevidente y pasa a tratarse como una afirmación que hay que contrastar.

Certificados falsos generados por IA: un riesgo emergente

La generación de imágenes y PDF por IA ha bajado el listón técnico para fabricar un certificado de finalización convincente: donde antes hacía falta dominar un editor de PDF con cierta soltura, hoy basta con describir la plantilla de un proveedor conocido para obtener un diseño visualmente correcto en segundos. Estos certificados sintéticos no llevan sello criptográfico real —porque no existe ninguna transacción real detrás— pero sí pueden imitar con precisión creciente la tipografía, el logotipo y la disposición de un certificado auténtico, lo que reduce la eficacia de la revisión puramente visual descrita más arriba.

La detección de contenido generado por IA de CheckFile es una capa de señales adicional, desplegada según la configuración del cliente, que complementa los controles estructurales y de metadatos existentes en lugar de sustituirlos. Esa capa se suma a la verificación de hash y a la consulta del portal del proveedor, sin pretender ser la única línea de defensa: la combinación de varias señales independientes sigue siendo la forma más robusta de tratar un certificado de firma electrónica como lo que es, una afirmación verificable y no una prueba automática.

Dónde aparece este fraude en la práctica

El certificado de firma electrónica falso no es un fraude teórico: aparece en los mismos expedientes donde ya se buscan firmas manuscritas falsificadas o sellos manipulados, porque los flujos digitalizados multiplican el volumen de certificados que un equipo revisa sin verificación individual.

En financiación y leasing, un certificado fabricado puede simular que el cliente firmó las condiciones definitivas de un préstamo cuando en realidad se modificaron después. En inmobiliario, un contrato de arrendamiento con un certificado reutilizado de otra transacción puede hacer pasar por firmado un acuerdo que el inquilino nunca aceptó. En recursos humanos, un contrato laboral con certificado manipulado puede alterar la fecha de inicio o las condiciones salariales realmente firmadas. En los despachos de abogados, un certificado falso adjunto a un poder notarial puede comprometer la validez de todo un expediente si no se verifica a tiempo. Los equipos de financiación y leasing, las agencias inmobiliarias, los departamentos de recursos humanos y los despachos de abogados comparten la misma necesidad: no dar por buena la página del certificado sin contrastarla contra el documento real.

Sustituir el ciclo firmar-escanear-enviar por una firma electrónica bien integrada en el flujo de verificación de documentos reduce buena parte de este riesgo en origen, porque asocia cada firma a un certificado verificable desde el primer momento en lugar de introducirlo como un archivo adjunto suelto que hay que auditar después.

Cómo complementa CheckFile los controles existentes

CheckFile no sustituye la verificación oficial del proveedor de firma electrónica ni la validación jurídica de un certificado cualificado: aplica un análisis estructural y de metadatos a cada certificado y documento recibido, comprueba la coherencia entre el hash declarado y el archivo real, y añade señales de detección de contenido generado por IA para los certificados que muestran indicios de fabricación sintética. Este enfoque se integra en nuestra guía completa de verificación de documentos y se apoya en la misma capa de detección de IA que ya se aplica a firmas sintéticas, sellos manipulados y otros documentos de apoyo generados artificialmente, como una señal adicional dentro de un proceso de revisión que sigue exigiendo verificación cruzada con el proveedor original del certificado. La plataforma se integra vía API en los flujos de trabajo existentes: consulte nuestra seguridad y nuestras tarifas para saber cómo encaja en su proceso de revisión de expedientes.

Preguntas frecuentes

¿Un certificado de finalización de DocuSign o Adobe Sign tiene valor legal por sí solo?

Tiene valor como prueba del proceso de firma dentro de la plataforma que lo emitió, pero no sustituye la verificación de que corresponde realmente al documento en cuestión. Un certificado genuino adjuntado a un archivo distinto del que describe conserva su validez formal como certificado, pero no acredita nada sobre el documento al que se ha unido de forma indebida.

¿Cómo se comprueba que un certificado corresponde exactamente al documento firmado?

Recalculando el hash criptográfico del archivo que se tiene en el expediente y comparándolo con el hash que figura impreso en el certificado de finalización. Si los valores no coinciden, el certificado no describe ese documento, con independencia de que el propio certificado sea auténtico o falso.

¿Qué se arriesga por presentar un certificado de firma falso en España?

Presentar o usar a sabiendas un certificado falso para hacer pasar un documento como firmado puede constituir un delito de falsedad documental según los artículos 392, 393 o 395 del Código Penal, con penas que van de seis meses a tres años de prisión y multa, dependiendo de si el documento afectado es público, oficial, mercantil o privado y de si existe ánimo de perjudicar a otro. Este contenido es informativo y no sustituye el asesoramiento de un abogado.

¿La IA generativa puede crear un certificado de firma electrónica falso creíble?

Sí, los generadores de imágenes y documentos actuales pueden reproducir con bastante fidelidad la plantilla visual de un proveedor de firma electrónica conocido. Ese certificado sintético carece de sello criptográfico real porque no existe transacción alguna detrás, lo que sigue permitiendo detectarlo mediante la verificación del hash y la consulta al portal oficial del proveedor.

¿Basta con verificar el diseño del certificado para confiar en él?

No. El diseño es precisamente el elemento más fácil de imitar, mediante captura de pantalla, edición de PDF o generación por IA. La confianza debe apoyarse en comprobaciones que el diseño no puede falsear: el sello criptográfico interno del archivo, el hash del documento y la consulta directa al portal de verificación del proveedor de la firma.