Como detectar um certificado de assinatura eletrônica falso no Brasil

Um certificado de assinatura eletrônica falso se detecta cruzando três verificações: confirmar a assinatura digital e o selo criptográfico dentro do próprio PDF — não apenas o layout da página de certificado anexada —, recalcular o hash do documento e compará-lo ao valor indicado, e validar a transação no portal do prestador em vez de confiar apenas no arquivo recebido por e-mail. O certificado de conclusão que ClickSign, D4Sign, DocuSign ou Adobe Sign geram ao final de uma assinatura eletrônica não é, por si só, prova de nada: é uma alegação que, como qualquer documento de suporte, precisa ser verificada de forma independente antes de sustentar uma decisão de crédito, um contrato de locação ou uma contratação.

Segundo o relatório ACFE 2024 (Report to the Nations), apenas 37% da fraude documental é detectada por meio de controles manuais, com um atraso médio de detecção de 87 dias — um dado que ajuda a explicar por que um certificado com aparência profissional, anexado a um dossiê de financiamento ou a um contrato de aluguel, raramente é questionado por um analista humano, fonte: ACFE, Occupational Fraud 2024: A Report to the Nations.

O que é um certificado de assinatura eletrônica e como ele é falsificado

O certificado de conclusão é o documento que as plataformas de assinatura eletrônica geram automaticamente assim que todas as partes assinam: registra nome e e-mail de cada signatário, o IP a partir do qual assinou, o carimbo de tempo de cada ação e, normalmente, um hash criptográfico que identifica o documento assinado. É esse certificado — mais do que a imagem da assinatura em si — que costuma servir de prova de execução válida no dia a dia de uma mesa de crédito, de uma imobiliária ou de um departamento de RH.

Justamente por ser tão decisivo, virou alvo. Três padrões de fraude se repetem nos dossiês analisados por equipes de compliance e crédito no Brasil:

• Certificado fabricado: o documento nunca foi assinado eletronicamente, ou foi assinado pela pessoa errada. O fraudador monta um certificado convincente a partir de capturas de tela, edição de imagem ou ferramentas de geração por IA, e o anexa a um dossiê de financiamento, contrato de locação ou contrato de trabalho.
• Certificado alterado: um certificado genuíno, de uma transação legítima mas distinta, é editado — nome do signatário, data, IP ou hash do documento são modificados — para corresponder a um documento diferente do que originou o certificado.
• Certificado reutilizado ou reenviado: um certificado autêntico de uma transação passada é reanexado a um documento diferente, apostando que o revisor não vai conferir se o hash indicado corresponde ao arquivo avaliado.

Fabricado, alterado ou reutilizado: como distinguir os três padrões

Cada padrão deixa rastros diferentes e exige uma verificação diferente, resumida na tabela abaixo.

Nos três casos, a premissa é a mesma: o certificado, isolado, prova apenas que foi impresso ou exportado — nunca que corresponde ao documento a que está anexado.

O enquadramento legal no Brasil

No Brasil, a assinatura eletrônica qualificada é regulada pela Medida Provisória 2.200-2/2001, que instituiu a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) e atribuiu presunção de veracidade, nos termos do art. 10, § 1º, aos documentos assinados com certificado digital emitido dentro dessa cadeia — o mesmo peso probatório de uma assinatura manuscrita, salvo prova em contrário. O ITI atua como autoridade certificadora raiz da ICP-Brasil.

A Lei 14.063/2020 definiu três níveis de assinatura eletrônica: a simples, que apenas identifica o signatário e tem valor probatório limitado; a avançada, vinculada ao signatário mesmo sem certificado ICP-Brasil, desde que aceita pelas partes; e a qualificada, com certificado ICP-Brasil, obrigatória em hipóteses específicas como certos registros de imóveis.

Fabricar, alterar ou reutilizar indevidamente um certificado para fazer crer que um documento foi validamente assinado se enquadra, em regra, nos crimes de falsificação de documento do Código Penal. Quando o documento subjacente é particular — contrato de crédito, de locação, de trabalho —, aplica-se em geral o art. 298, reclusão de um a cinco anos e multa. Quando o certificado instrui um ato equiparado a documento público, como um registro em cartório, pode incidir o art. 297, com reclusão de dois a seis anos. Esta informação tem caráter geral e não substitui a orientação de um advogado sobre um caso concreto.

Sinais de alerta visíveis sem ferramentas técnicas

Muitas equipes de crédito, RH e gestão imobiliária identificam um certificado suspeito apenas com uma leitura atenta:

• Ausência de número de referência de transação verificável, ou um número fora do formato habitual do prestador.
• Fontes, espaçamentos ou terminologia diferentes do modelo padrão da ClickSign, D4Sign, DocuSign ou Adobe Sign — sinal de montagem em vez de exportação original.
• IP incoerente com a localização declarada do signatário, ou o mesmo IP repetido para signatários em cidades diferentes.
• Sequência temporal impossível: documento "visualizado" antes de "enviado", ou assinado em segundos após o envio de um contrato extenso.
• Hash do documento omitido ou ilegível, quando o prestador normalmente o exibe de forma destacada.
• CPF ou CNPJ do signatário divergente do restante do dossiê — fácil de conferir, mas ignorado sob pressão de prazo.

Como saber se um certificado de assinatura eletrônica é verdadeiro?

Nunca confiando só no PDF recebido: confira o certificado no portal do próprio prestador pelo número de referência, e verifique se o hash indicado corresponde ao arquivo avaliado.

O que fazer ao suspeitar de um certificado falsificado?

Isolar o documento, não avançar com a decisão associada — crédito, contrato, admissão — e confirmar o certificado pelo canal oficial do prestador, nunca pelo contato anexado ao próprio certificado suspeito.

Verificação técnica e forense do certificado

Além da leitura visual, duas verificações técnicas cobrem a maioria dos casos reais. A primeira é a validação do selo criptográfico interno do PDF: certificados de prestadores qualificados costumam incluir assinatura digital em formato PAdES ou, para XML, XAdES — verificável diretamente no leitor de PDF, independentemente da página de certificado anexada. Qualquer alteração posterior no arquivo invalida esse selo. A segunda é o recálculo do hash: o certificado normalmente registra o valor SHA-256 do documento assinado, e comparar esse valor ao hash real do arquivo detecta de imediato um certificado reutilizado de outra transação, mesmo quando o restante é genuíno.

A terceira via é o Verificador de Conformidade de Assinaturas Digitais do ITI, serviço gratuito que testa se a assinatura digital de um arquivo está em conformidade com a regulamentação da ICP-Brasil, confirmando se o certificado corresponde a uma cadeia de confiança credenciada — e não a uma autoridade inventada. A análise de metadados do próprio PDF do certificado — software de criação, fontes incorporadas, datas incoerentes — segue a mesma lógica forense usada para detectar outras manipulações, como uma assinatura manuscrita copiada e colada de um documento para outro: o certificado deve ser tratado como qualquer arquivo potencialmente alterado, nunca como prova que se valida sozinha.

Certificados gerados por IA: um risco emergente

Os modelos de geração de imagem tornam cada vez mais simples produzir um certificado de conclusão visualmente convincente sem nenhuma transação real por trás — logotipos, tipografia e campos reproduzidos com um nível de detalhe que supera uma montagem manual em editor de imagem. Esse tipo de fabricação não deixa os rastros clássicos de uma edição em PDF, porque nasce diretamente como imagem final, dificultando a identificação por inspeção visual.

A detecção de conteúdo gerado por IA da CheckFile é uma camada de sinais adicional, ativada conforme a configuração do cliente, que complementa os controles estruturais e de metadados existentes em vez de substituí-los. Essa camada foca nos artefatos dos modelos generativos e funciona junto com a verificação de hash e a validação do prestador descritas acima — nunca em substituição a elas. A mesma lógica se estende à detecção de deepfakes e conteúdo sintético aplicada a certificados de assinatura.

Onde essa fraude aparece na prática no Brasil

O certificado falso não é um risco teórico confinado a um setor. Em financiamento e leasing, aparece anexado a contratos de crédito para simular o consentimento de um fiador que nunca assinou — instituições reguladas pelo Bacen, sujeitas às obrigações de comunicação de operações suspeitas ao COAF, tratam essa inconsistência como gatilho de análise mais aprofundada. No mercado imobiliário, surge em contratos de locação em que o certificado de um inquilino anterior é reaproveitado, ou fabricado do zero, para contornar uma verificação de identidade.

Em recursos humanos, um candidato pode apresentar um contrato de trabalho com certificado adulterado para inflar experiência ou justificar um vínculo que nunca existiu. Escritórios de advocacia enfrentam o mesmo risco quando um certificado serve de prova em litígio contratual — daí a importância de verificá-lo tecnicamente antes de juntá-lo a um processo. A solução preventiva de fundo é a mesma nesses contextos: adotar desde a origem uma assinatura eletrônica integrada e verificável, em vez de aceitar certificados soltos anexados a um dossiê por e-mail.

Como a CheckFile complementa os controles existentes

Equipes de compliance, crédito e RH que recebem dezenas de dossiês por semana raramente têm tempo para recalcular manualmente o hash de cada certificado ou consultar o portal de cada prestador. A CheckFile aplica análise estrutural e de metadados a cada certificado submetido, cruzando os campos declarados com o conteúdo real do arquivo, e disponibiliza, conforme a configuração do cliente, uma camada adicional de detecção de conteúdo gerado por IA para os casos mais sofisticados — como complemento aos processos já existentes, nunca como controle único. Veja o nosso guia completo de verificação de documentos, conheça nossa abordagem à segurança e consulte os planos e preços para integrar essa verificação via API.

Perguntas frequentes

Como distinguir um certificado fabricado de um certificado apenas reutilizado?

Um certificado fabricado costuma revelar incoerências de formatação ou terminologia frente ao modelo real do prestador, e o número de referência simplesmente não existe no portal de verificação. Um certificado reutilizado, ao contrário, é inteiramente genuíno — só se detecta comparando o hash indicado no certificado com o hash real do arquivo avaliado.

É possível verificar um certificado da ClickSign ou da D4Sign sem contatar o prestador?

Em parte. Um leitor de PDF como o Adobe Acrobat confirma diretamente se o arquivo contém assinatura digital válida e não alterada, o que já elimina a maioria dos certificados adulterados após a emissão, e o Verificador de Conformidade do ITI confere a conformidade de assinaturas ICP-Brasil. Confirmar que o certificado corresponde a uma transação real, e não foi reaproveitado de outro processo, exige validar o número de referência no portal do prestador.

Uma IA consegue gerar um certificado de assinatura eletrônica crível?

Sim, e é uma tendência crescente: os modelos de geração de imagem reproduzem hoje com precisão o layout, a tipografia e os campos típicos de um certificado de conclusão sem nenhuma transação real por trás. Esse tipo de fabricação exige uma camada de detecção dedicada aos artefatos de geração por IA, complementar às verificações de hash e de selo criptográfico.

O que arrisca quem usa um certificado de assinatura eletrônica falsificado no Brasil?

Usar um certificado fabricado, alterado ou indevidamente reutilizado para fazer crer que um documento foi validamente assinado se enquadra, em regra, no crime de falsificação de documento particular do art. 298 do Código Penal, com reclusão de um a cinco anos e multa, podendo caracterizar o art. 297 — reclusão de dois a seis anos — quando o documento é equiparado a documento público. Esta indicação tem caráter geral e não substitui uma avaliação jurídica do caso concreto.