Como detetar um certificado de assinatura eletrónica falso

Um certificado de assinatura eletrónica falso deteta-se cruzando três verificações: confirmar a assinatura digital e o selo criptográfico dentro do próprio PDF (não apenas a página de certificado que o acompanha), recalcular o hash do documento e compará-lo com o valor indicado no certificado, e validar o processo diretamente no portal ou na API do prestador de serviços de confiança em vez de confiar apenas no ficheiro recebido por email. Um certificado de conclusão — o documento que a DocuSign, a Adobe Sign ou o Dropbox Sign geram no final de uma assinatura eletrónica — não é, por si só, prova de nada: é uma alegação que, como qualquer outro documento de suporte, tem de ser verificada de forma independente.

Segundo o relatório ACFE 2024 (Report to the Nations), apenas 37% da fraude documental é detetada através de controlos manuais, com um atraso médio de deteção de 87 dias — um valor que ajuda a explicar por que razão um certificado com aspeto profissional, anexado a um dossiê de crédito ou a um contrato de arrendamento, raramente é questionado por um revisor humano, fonte: ACFE, Occupational Fraud 2024: A Report to the Nations.

O que é um certificado de assinatura eletrónica e como é falsificado

O certificado de conclusão (certificate of completion) é o documento que as plataformas de assinatura eletrónica geram automaticamente assim que todas as partes assinam: regista o nome e o email de cada signatário, o endereço IP a partir do qual assinou, o carimbo temporal de cada ação e, normalmente, um hash criptográfico que identifica de forma única o documento assinado. É este certificado — mais do que a imagem da assinatura em si — que serve de prova jurídica de que um contrato foi validamente executado.

Precisamente por ser tão determinante, tornou-se um alvo. Três padrões de fraude repetem-se nos processos analisados por equipas de compliance e de crédito:

• Certificado fabricado: o documento nunca foi de facto assinado eletronicamente, ou foi assinado pela pessoa errada. O fraudador monta um certificado de conclusão com aspeto convincente a partir de capturas de ecrã e edição de imagem, ou recorrendo a ferramentas de geração por IA, e anexa-o a um dossiê de financiamento, a um contrato de arrendamento ou a um contrato de trabalho para simular uma assinatura eletrónica que nunca existiu.
• Certificado alterado: um certificado genuíno, proveniente de uma transação legítima mas totalmente distinta, é editado — o nome do signatário, a data, o endereço IP ou o hash do documento são modificados — para o fazer corresponder a um documento diferente daquele que originou o certificado.
• Certificado reutilizado ou reenviado: um certificado autêntico de uma transação passada é simplesmente reanexado a um documento diferente, apostando em que o revisor não vai confirmar se o hash indicado no certificado corresponde de facto ao ficheiro que tem à sua frente.

Fabricado, alterado ou reutilizado: como distinguir os três padrões

Cada um destes três padrões deixa vestígios diferentes e exige uma verificação diferente. A tabela seguinte resume o método, a dificuldade de deteção a olho nu e o ângulo de verificação mais eficaz para cada caso.

Nos três casos, a hipótese de base é a mesma: o certificado, isolado, prova apenas que foi impresso ou exportado — nunca que corresponde ao documento a que está anexado.

O enquadramento legal em Portugal

Em Portugal, a assinatura eletrónica qualificada é regulada pelo Regulamento eIDAS (UE) n.º 910/2014, que lhe atribui um efeito jurídico equivalente ao da assinatura manuscrita e estabelece o quadro europeu de identificação eletrónica e serviços de confiança. A nível interno, o Decreto-Lei n.º 12/2021, de 9 de fevereiro, assegura a execução do eIDAS na ordem jurídica nacional e consolida o regime aplicável às assinaturas e selos eletrónicos qualificados, incluindo a presunção de autoria e de intenção de assinar que a lei associa a uma assinatura qualificada.

Fabricar, alterar ou reutilizar indevidamente um certificado de assinatura eletrónica para fazer crer que um documento foi validamente assinado enquadra-se, em regra, no crime de falsificação de documento previsto no artigo 256.º do Código Penal: quem, com intenção de causar prejuízo a outra pessoa ou ao Estado, ou de obter para si ou para outrem benefício ilegítimo, fabricar documento falso ou alterar documento genuíno, é punido com pena de prisão até três anos ou pena de multa, agravada até cinco anos nos casos do n.º 2, nomeadamente quando o documento em causa seja equiparado a documento autêntico. Esta informação tem caráter geral e não substitui aconselhamento jurídico especializado sobre um caso concreto.

Sinais de alerta visíveis sem ferramentas técnicas

Antes de recorrer a qualquer verificação técnica, várias equipas de crédito, de RH e de gestão imobiliária conseguem identificar um certificado suspeito apenas com uma leitura atenta:

• Ausência de um número de referência de transação verificável ou um número que não corresponde ao formato habitual do prestador.
• Fontes, espaçamentos ou terminologia ligeiramente diferentes do modelo habitual da DocuSign, Adobe Sign ou de outro prestador — sinal frequente de uma montagem em vez de uma exportação original.
• Endereço IP incoerente com a localização declarada do signatário, ou o mesmo IP repetido para signatários que dizem ter assinado em locais diferentes.
• Sequência temporal impossível: um documento "visualizado" antes de ter sido "enviado", ou assinado em segundos após o envio para um contrato de várias páginas.
• Hash do documento omitido ou ilegível no certificado, quando o prestador em causa normalmente o inclui de forma destacada.
• Ficheiro PDF sem qualquer indicação de assinatura digital válida ao abrir no Adobe Acrobat — um certificado genuíno de um prestador qualificado inclui sempre um selo verificável dentro do próprio ficheiro.

Como sei se um certificado de assinatura eletrónica é verdadeiro?

A forma mais fiável é nunca confiar apenas no PDF recebido: o certificado deve ser confirmado no portal de verificação do próprio prestador, através do número de referência da transação, e o hash do documento indicado deve corresponder ao ficheiro que está efetivamente a ser avaliado.

O que fazer se suspeitar de um certificado falsificado?

Isolar o documento do processo, não avançar com a decisão associada (aprovação de crédito, celebração de contrato) e confirmar o certificado através do canal oficial do prestador antes de qualquer outra ação — nunca através do contacto ou email fornecido junto com o próprio certificado suspeito.

Verificação técnica e forense do certificado

Para além da leitura visual, três verificações técnicas cobrem a maioria dos casos reais. A primeira é a validação do selo criptográfico interno do PDF: os certificados de conclusão gerados por prestadores qualificados incluem normalmente uma assinatura digital em formato PAdES (PDF Advanced Electronic Signatures) ou, para documentos XML, XAdES — visível e verificável diretamente no leitor de PDF, independentemente da página de certificado anexada. Qualquer alteração posterior ao ficheiro, mesmo mínima, invalida esse selo.

A segunda é o recálculo e a comparação do hash: o certificado de conclusão regista normalmente o valor de hash (SHA-256 ou equivalente) do documento assinado; recalcular esse valor a partir do ficheiro real e compará-lo com o valor indicado no certificado detecta de imediato um certificado reutilizado de outra transação, mesmo quando o resto do certificado é inteiramente genuíno.

A terceira é a verificação junto da cadeia de confiança europeia: os prestadores de serviços de confiança qualificados estão listados nas Trusted Lists nacionais consolidadas pela Comissão Europeia, o que permite confirmar que o certificado invocado corresponde a uma entidade efetivamente credenciada ao abrigo do eIDAS, e não a um prestador inventado ou a um serviço não qualificado.

A análise de metadados do próprio PDF do certificado — software de criação, fontes incorporadas, datas de modificação incoerentes com a data declarada — segue a mesma lógica forense usada para detetar outras formas de manipulação documental, como uma assinatura manuscrita copiada e colada de um documento para outro: o certificado deve ser tratado como qualquer outro ficheiro potencialmente alterado, não como uma prova que se valida a si própria.

Certificados gerados por IA: um risco emergente

Os modelos de geração de imagem e de documentos tornam cada vez mais simples produzir um certificado de conclusão visualmente convincente sem que exista nenhuma transação real por trás — logótipos, tipografia e disposição de campos reproduzidos com um rigor que ultrapassa uma montagem manual em editor de imagem. Este tipo de certificado fabricado não deixa necessariamente os vestígios clássicos de uma edição em PDF, porque é gerado diretamente como imagem final, o que o torna mais difícil de identificar apenas por inspeção visual ou por análise de camadas.

A deteção de conteúdo gerado por IA da CheckFile é uma camada de sinais adicional, ativada consoante a configuração do cliente, que complementa os controlos estruturais e de metadados existentes em vez de os substituir. Esta camada foca-se nos artefactos próprios dos modelos generativos — não pretende, sozinha, cobrir a totalidade das técnicas de fabricação possíveis, e funciona em conjunto com a verificação de hash e a validação junto do prestador descritas acima, nunca em substituição delas.

Onde esta fraude aparece na prática

O certificado de assinatura eletrónica falso não é um risco teórico confinado a um setor. Em processos de financiamento e leasing, aparece anexado a contratos de crédito para simular o consentimento de um fiador ou coobrigado que nunca assinou. No imobiliário, surge em contratos de arrendamento em que o certificado de um inquilino anterior é reutilizado, ou fabricado de raiz, para contornar uma verificação de identidade. Em recursos humanos, um candidato ou colaborador pode apresentar um contrato de trabalho com um certificado adulterado para inflacionar a sua experiência ou justificar uma vinculação que nunca foi formalizada. Escritórios de advocacia enfrentam o mesmo risco sempre que um certificado de assinatura serve de prova num litígio contratual — daí a importância de verificar tecnicamente o certificado antes de o juntar a um processo, e não apenas confiar na sua aparência.

Em todos estes contextos, a solução preventiva de fundo é a mesma: adotar desde a origem uma assinatura eletrónica integrada e verificável, em vez de aceitar certificados soltos anexados a um dossiê por email, cuja origem e integridade são muito mais difíceis de confirmar a posteriori.

Como a CheckFile complementa os controlos existentes

As equipas de compliance, crédito e RH que recebem dezenas ou centenas de dossiês por semana raramente têm tempo para recalcular manualmente o hash de cada certificado ou para consultar o portal de cada prestador de assinatura eletrónica. A CheckFile aplica uma análise estrutural e de metadados a cada certificado e documento submetido, cruzando os campos declarados com o conteúdo real do ficheiro, e disponibiliza, consoante a configuração do cliente, uma camada adicional de deteção de conteúdo gerado por IA para os casos de fabricação mais sofisticada. Esta abordagem integra-se no nosso guia completo de verificação de documentos e é pensada como complemento dos processos de verificação já existentes numa equipa — nunca como o único controlo. Para perceber como a nossa deteção de conteúdo gerado por IA se encaixa neste fluxo, veja a página de deteção de deepfakes e conteúdo sintético. Conheça também a nossa abordagem à segurança e consulte os planos e preços para integrar esta verificação via API nos seus fluxos de onboarding e de gestão de contratos.

Perguntas frequentes

Um certificado de assinatura eletrónica tem sempre valor legal em Portugal?

Só quando corresponde a uma assinatura eletrónica efetivamente executada através de um prestador de serviços de confiança qualificado, nos termos do Regulamento eIDAS e do Decreto-Lei n.º 12/2021. Um certificado fabricado, alterado ou reutilizado de outra transação não tem qualquer valor legal, mesmo que visualmente seja idêntico a um certificado genuíno, e o seu uso pode configurar falsificação de documento.

Como distinguir um certificado fabricado de um certificado apenas reutilizado?

Um certificado fabricado costuma revelar pequenas incoerências de formatação, tipografia ou terminologia face ao modelo real do prestador, e o número de referência da transação simplesmente não existe no portal de verificação. Um certificado reutilizado é, pelo contrário, inteiramente genuíno — a única forma fiável de o detetar é comparar o hash do documento indicado no certificado com o hash real do ficheiro em avaliação.

É possível verificar um certificado da DocuSign ou da Adobe Sign sem contactar o prestador?

Em parte. Um leitor de PDF como o Adobe Acrobat permite confirmar diretamente se o ficheiro contém uma assinatura digital válida e não alterada, o que já elimina a maioria dos certificados adulterados após a emissão. Para confirmar que o certificado corresponde de facto a uma transação real e não foi reaproveitado de outro processo, é necessário validar o número de referência no portal oficial do prestador.

Uma IA consegue gerar um certificado de assinatura eletrónica credível?

Sim, e esta é uma tendência crescente: os modelos de geração de imagem e de documentos conseguem hoje reproduzir com rigor o layout, a tipografia e os campos típicos de um certificado de conclusão, sem que exista nenhuma transação real subjacente. Este tipo de fabricação exige uma camada de deteção dedicada aos artefactos de geração por IA, complementar às verificações clássicas de hash e de selo criptográfico.

O que arrisca quem usa um certificado de assinatura eletrónica falsificado em Portugal?

O uso de um certificado fabricado, alterado ou indevidamente reutilizado para fazer crer que um documento foi validamente assinado enquadra-se, em regra, no crime de falsificação de documento do artigo 256.º do Código Penal, punível com pena de prisão até três anos ou multa, podendo a pena de prisão atingir cinco anos nos casos agravados do n.º 2. Esta indicação é de caráter geral e não substitui uma avaliação jurídica do caso concreto.