Cartão CNPJ falso: detecção de fraude KYB no onboarding B2B

Um cartão CNPJ ou uma certidão simplificada da junta comercial adulterados são hoje um dos instrumentos mais eficazes de fraude KYB no Brasil, porque exploram a confiança que muitas equipes de onboarding depositam em um PDF bem formatado. Os golpistas não precisam recriar o sistema da Receita Federal ou de uma junta comercial estadual: basta um documento genuíno editado, um CNPJ nunca conferido na fonte, ou uma certidão desatualizada que omite uma recuperação judicial recente. Este artigo complementa nosso guia sobre como verificar uma certidão do registro comercial online, com foco em como o documento é adulterado e como uma equipe de compliance o identifica antes de aceitar uma contraparte.

Este artigo é fornecido apenas para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulatório. As referências regulamentares são exatas à data de publicação. Consulte um profissional qualificado para orientação adaptada à sua situação.

O que são o cartão CNPJ e a certidão simplificada, e por que são centrais no KYB

O cartão CNPJ — formalmente Comprovante de Inscrição e de Situação Cadastral — é emitido gratuitamente pela Receita Federal e comprova a existência de uma pessoa jurídica brasileira, reunindo razão social, natureza jurídica, capital social, atividade econômica (CNAE), endereço e, sobretudo, a situação cadastral: ativa, suspensa, inapta ou baixada. A certidão simplificada, emitida pela junta comercial do estado de registro — JUCESP em São Paulo, JUCERJA no Rio de Janeiro, JUCEMG em Minas Gerais — complementa esse documento com o quadro societário atual: os sócios e administradores habilitados a representar a empresa.

Para uma equipe de compliance que faz onboarding B2B — abrir conta empresarial, aprovar um fornecedor, formalizar um contrato de leasing ou aceitar um novo cliente corporativo — esses dois documentos são frequentemente o único registro oficial consultado sobre a estrutura da contraparte. Isso os torna alvo prioritário de fraude documental precisamente porque a maioria dos processos de onboarding aceita o PDF recebido sem repetir a consulta direta no site da Receita Federal ou da junta comercial. Ao contrário de uma nota fiscal, o cartão CNPJ tem uma particularidade que deveria eliminar a fraude: qualquer pessoa pode consultá-lo gratuitamente em tempo real, só com o número do CNPJ. Na prática, é esse passo que costuma ser ignorado.

Como os golpistas falsificam certidões e cartões CNPJ

Quatro padrões de falsificação dominam os casos identificados por equipes de compliance e por alertas institucionais no Brasil.

O primeiro é a edição de um PDF genuíno: o golpista obtém um cartão CNPJ ou certidão real — a sua própria, ou uma de terceiros com dados públicos conhecidos — e altera digitalmente campos como nome de sócios, endereço ou capital social, mantendo layout, brasões e o CNPJ original impressos no documento. Como o número continua sendo o de uma empresa verdadeira, uma verificação superficial que apenas confirme "o CNPJ existe", sem recuperar o conteúdo atual na Receita Federal, não detecta a alteração.

O segundo padrão é a fabricação integral de um documento a partir de um modelo que imita a formatação da Receita Federal ou da junta comercial, usando um CNPJ real de uma empresa existente — frequentemente inativa ou de fachada — mas com dados de sócios ou endereço substituídos pelos do golpista. Esse esquema é eficaz contra equipes que validam apenas se o CNPJ "existe", sem cruzar o nome dos representantes legais com a certidão da junta comercial.

O terceiro padrão, mais sutil, é a apresentação de um documento autêntico porém desatualizado, obtido há alguns meses, que não reflete uma recuperação judicial, uma baixa cadastral ou uma alteração de sócio-administrador registrada depois. Como a situação cadastral é atualizada em tempo real na fonte, mas o PDF salvo é uma fotografia estática daquele momento, um documento genuíno pode já não corresponder à realidade registrada no dia em que é apresentado à contraparte.

O quarto padrão explora a confusão institucional: a Junta Comercial de Minas Gerais alertou publicamente que a emissão de certidões é feita apenas pelo site oficial da autarquia, sem necessidade de intermediários (JUCEMG, comunicado oficial), alerta equivalente ao de outras juntas estaduais sobre sites não oficiais que cobram por serviços gratuitos ou entregam certidões adulteradas.

Esquemas de fraude que o documento falsificado viabiliza

Um cartão CNPJ ou uma certidão adulterados raramente são o objetivo final; são o instrumento de outra fraude maior. Três esquemas recorrentes envolvem esses documentos.

No golpe do falso fornecedor, também associado à fraude do CEO, o golpista se apresenta como representante de um fornecedor existente, usando um documento com sócios alterados para justificar uma mudança de conta bancária de pagamento. Bancos brasileiros alertam clientes especificamente sobre esse esquema, que ficou mais rápido e mais difícil de reverter com o PIX: a vítima transfere faturas legítimas para uma conta controlada pelo golpista, e o dinheiro sai da conta de destino em minutos (CartaCapital, banco alerta para golpe do falso fornecedor; O Tempo, golpe do falso fornecedor).

Na subcontratação fictícia, comum na construção civil e em cadeias com vários níveis de subempreitada, uma empresa de fachada com certidão fabricada ou adulterada é interposta no contrato para faturar serviços nunca prestados, explorando o fato de o contratante raramente cruzar o CNPJ do subcontratado com o quadro societário real.

Na lavagem de dinheiro por empresas de fachada operadas por laranjas, um cartão CNPJ que oculta a estrutura de controle real — administradores de fachada, capital nominal sem atividade subjacente — permite abrir contas e movimentar fundos com aparência de legitimidade, que não resiste a um cruzamento direto com a Receita Federal e o quadro societário da junta comercial.

Como as equipes de compliance detectam documentos falsificados

A detecção eficaz assenta em cruzar o documento recebido com fontes independentes, em vez de avaliar apenas sua aparência visual.

A verificação mais determinante é consultar o CNPJ diretamente no site da Receita Federal — o Comprovante de Inscrição e de Situação Cadastral — e não confiar no PDF recebido por e-mail, porque essa consulta sempre recupera a versão atual dos dados registrados, tornando irrelevante qualquer edição feita no arquivo entregue à contraparte (Receita Federal, emissão do comprovante de inscrição e situação cadastral). Um CNPJ com situação cadastral "baixada" ou "suspensa", que devolve dados de uma empresa diferente da esperada, ou cujo conteúdo diverge do PDF apresentado, é sinal inequívoco de manipulação.

Segue-se o cruzamento com a certidão simplificada da junta comercial do estado de registro, para confirmar que o quadro societário apresentado corresponde ao sócio ou administrador que efetivamente assina o contrato, e não ao que consta apenas no documento recebido. A data de emissão também importa: um cartão CNPJ ou certidão com mais de alguns meses deve ser tratado com reserva, sobretudo quando a contraparte evita fornecer um documento atualizado.

A análise de metadados do PDF — software de edição, datas de criação e modificação, camadas de texto sobrepostas ao conteúdo original — identifica edições posteriores à emissão aparente, especialmente quando a consulta pública não pode ser reproduzida de imediato. Anomalias tipográficas e de layout, como fontes inconsistentes com o padrão da Receita Federal, complementam essa análise.

O que perguntam as equipes de compliance e onboarding

Em discussões de compliance e finanças corporativas, é comum a dúvida sobre até que ponto vale a pena confiar em um cartão CNPJ recebido por e-mail quando o parceiro nunca permitiu a conferência do documento na hora, apenas enviou o PDF em anexo. A resposta prática é que, sem confirmação direta na Receita Federal, o documento deve ser tratado como não verificado, e a nova emissão deve ser requisito de onboarding, não uma opção deixada ao critério da contraparte.

Uma segunda questão recorrente, sobretudo entre quem gerencia fornecedores em cadeias de subcontratação, é como distinguir uma empresa jovem e legítima, com pouco histórico de registro, de uma empresa de fachada criada para um esquema fraudulento. A resposta está menos no documento isolado e mais no cruzamento com o quadro societário real e o histórico de atividade declarada: CNAE incompatível com o serviço prestado, capital mínimo e troca de sócio-administrador pouco antes do contato comercial justificam diligência reforçada, independentemente da idade da empresa.

Enquadramento legal no Brasil

Falsificar ou alterar um cartão CNPJ ou uma certidão da junta comercial configura falsificação de documento público, prevista no artigo 297 do Código Penal Brasileiro, com pena de reclusão de dois a seis anos e multa, pois ambos são emitidos por órgãos públicos (Decreto-Lei 2.848/1940, Código Penal, texto atualizado). Quando o documento adulterado induz um parceiro comercial em erro para obter vantagem patrimonial, acresce tipicamente o crime de estelionato, previsto no artigo 171 do mesmo código.

Do lado das entidades sujeitas a obrigações de prevenção à lavagem de dinheiro, a Lei 9.613/1998 impõe, em seus artigos 9º, 10 e 11, deveres de identificação de clientes e comunicação de operações suspeitas às pessoas obrigadas — entre elas instituições financeiras e sociedades de arrendamento mercantil — sob supervisão do Banco Central do Brasil (Bacen) e do COAF (Lei 9.613/1998, texto na íntegra). A Circular Bacen 3.978/2020 detalha esse dever ao exigir que a identificação do cliente pessoa jurídica inclua obtenção, verificação e validação da autenticidade dos dados cadastrais, inclusive por comparação com bases públicas e privadas, e a identificação do beneficiário final (Circular Bacen 3.978/2020, texto integral). Um cartão CNPJ aceito só pela aparência do PDF, sem verificação direta na Receita Federal, dificilmente satisfaz esse dever em fiscalização. O tratamento de dados de sócios e administradores no onboarding segue a LGPD (Lei 13.709/2018).

Metodologia de detecção e o papel da análise por IA

Detectar um cartão CNPJ ou uma certidão falsificados raramente depende de um único sinal isolado; depende de cruzar múltiplas fontes de forma sistemática, algo que a verificação manual dificilmente consegue escalar. Segundo o relatório de referência da indústria, a detecção manual identifica cerca de 37% dos casos de fraude ocupacional, com um atraso mediano de 87 dias até a descoberta (ACFE, Occupational Fraud 2024: A Report to the Nations), tempo suficiente, em um onboarding B2B, para que um golpe do falso fornecedor ou uma subcontratação fictícia gere prejuízo real antes de ser detectado — sobretudo quando o pagamento sai via PIX e é praticamente irreversível.

A abordagem da CheckFile combina análise estrutural, verificação de metadados e validação cruzada entre documentos, aplicada a mais de 3.200 tipos de documentos em 32 jurisdições, permitindo cruzar automaticamente o documento apresentado com os dados recuperados diretamente na Receita Federal e na junta comercial, sem depender apenas da leitura visual do PDF submetido. A detecção de sinais de geração por IA funciona como camada complementar, não como substituto do cruzamento direto com a Receita Federal e a junta comercial: um documento gerado ou editado com ferramentas de IA pode reproduzir de forma convincente o layout oficial, mas continua apresentando incoerências estruturais, tipográficas ou de metadados detectáveis por uma análise dedicada.

Esse princípio se aplica igualmente a outros documentos usados em fraude de financiamento B2B, como as demonstrações financeiras falsas usadas em fraude de financiamento empresarial. Veja o guia de verificação da certidão do registro comercial online, o guia completo de verificação de entidade empresarial e o guia de verificação documental por setor.

Passe à ação

Um cartão CNPJ ou uma certidão isolados, por mais autênticos que pareçam, nunca deveriam ser o único ponto de decisão em um onboarding B2B. O CheckFile.ai integra a verificação cruzada desses documentos com outras fontes documentais em um único fluxo automatizado, tanto para novas contrapartes quanto para o monitoramento contínuo de fornecedores ativos. Consulte a segurança e conformidade para o detalhe dos controles sobre dados cadastrais sensíveis, os planos e preços, e nossa solução para financiamento e leasing, setor particularmente exposto a esse tipo de fraude. Para entender como sinais de geração por IA se integram como complemento aos seus controles existentes, consulte a detecção de conteúdo gerado por IA.

Perguntas frequentes

Como sei se um cartão CNPJ que me enviaram é verdadeiro?

A forma mais confiável é emitir você mesmo o comprovante no site da Receita Federal, informando apenas o CNPJ, em vez de confiar no PDF recebido. Se a situação cadastral divergir do documento apresentado, ou a contraparte resistir a fornecer o CNPJ, trate o documento como não verificado.

Um CNPJ ativo na Receita Federal garante que a certidão é genuína?

Não. Um CNPJ pode ser real e pertencer a uma empresa existente, enquanto os dados de sócios, endereço ou capital social no documento foram alterados. A situação cadastral ativa confirma só que o número existe e está regular, não que o conteúdo apresentado corresponde ao quadro societário atual.

Que pena arrisca quem falsifica um cartão CNPJ ou uma certidão da junta comercial no Brasil?

Responde por falsificação de documento público nos termos do artigo 297 do Código Penal Brasileiro, com pena de reclusão de dois a seis anos e multa. Se o documento falsificado serviu para induzir um parceiro comercial em erro e obter vantagem patrimonial, pode acrescer o crime de estelionato, previsto no artigo 171 do mesmo código.

Um documento emitido há poucos meses pode já estar desatualizado?

Sim. A situação cadastral e o quadro societário refletem a informação em tempo real só quando consultados diretamente na Receita Federal ou na junta comercial; o PDF salvo é uma fotografia estática do momento da emissão. Uma recuperação judicial, baixa ou troca de sócio-administrador registrada depois não aparece no documento já emitido, por isso a nova consulta continua indispensável mesmo diante de um documento recente.

As equipes de compliance são obrigadas por lei a verificar o CNPJ das contrapartes?

As pessoas obrigadas pela Lei 9.613/1998 têm dever geral de identificação de clientes pessoa jurídica antes de estabelecer relação de negócio, detalhado pela Circular Bacen 3.978/2020, o que inclui confirmar a situação cadastral e o quadro societário. Aceitar um documento sem verificação direta na Receita Federal ou na junta comercial dificilmente satisfaz esse dever em fiscalização pelo Banco Central ou outro supervisor competente.