Golpe do certificado digital: como reconhecer a fraude e se proteger

Marcelo tem uma loja de autopeças em Ribeirão Preto e emite nota fiscal todo dia. Numa terça-feira chegou uma mensagem avisando que o e-CNPJ vencia em 24 horas e que bastava clicar para renovar. O layout parecia o da certificadora. Ele só não caiu no golpe do certificado digital porque a filha, que cuida do financeiro, estranhou o domínio do remetente.

A cena se repete com qualquer tipo de certificado: e-CPF, e-CNPJ, token ou arquivo. Quem pesquisa onde emitir um certificado digital em Ribeirão Preto vê, na mesma tela, postos credenciados e páginas que apenas imitam esses postos. Separar um do outro exige atenção a detalhes que o golpista aposta que ninguém olha. Este texto mostra como a fraude chega, o que fazer na hora e onde conferir a informação oficial.

O que é o golpe do certificado digital e por que ele funciona

O certificado é a identidade eletrônica de uma pessoa ou de uma empresa. Com ele se assina contrato, se emite nota fiscal e se entra em sistemas de órgãos públicos. Quem controla o arquivo e a senha age em nome do titular.

É por isso que o criminoso se interessa tanto. Em vez de invadir um sistema, ele convence o dono a entregar a chave, quase sempre com urgência: vencimento próximo, bloqueio, multa.

Entre os alvos preferidos está quem usa a ferramenta sem entender bem o que ela faz. O MEI que emitiu o e-CNPJ uma vez e esqueceu, o contador sobrecarregado, o profissional liberal que só olha o aviso em vermelho.

Formas mais comuns de fraude e o sinal de cada uma

Os nomes mudam, o roteiro é parecido. A tabela organiza o que mais aparece nos relatos de quem já foi procurado.

Como chega	O que pedem	Sinal de alerta
E-mail de renovação urgente	Clicar no link e pagar um boleto	Domínio do remetente estranho; prazo de horas
Ligação de suporte técnico	Senha do certificado ou acesso remoto ao computador	Certificadora séria nunca pede senha por telefone
WhatsApp com desconto	Foto de documentos e pagamento via Pix	Pix para pessoa física; vídeo por link desconhecido
Site que copia um posto credenciado	Cadastro com dados pessoais e cartão	Endereço com letras trocadas; CNPJ ausente ou que não bate
Aviso de pendência na nota fiscal	Baixar um programa para regularizar	Órgão público não manda executável por mensagem

Nenhuma dessas situações exige resposta no mesmo minuto. O tempo joga a favor de quem recebe a mensagem.

O que fazer diante de uma mensagem suspeita

A ordem importa. Quem segue a sequência dificilmente perde dinheiro ou acesso.

1. Não clique em nada e não responda. Guarde uma captura de tela.
2. Abra o site da certificadora digitando o endereço e confira a validade na área do cliente.
3. Ligue para o posto onde emitiu, pelo telefone do site oficial.
4. Se já clicou ou pagou, troque a senha do certificado e das contas ligadas a ele.
5. Se o arquivo ou o token saiu do seu controle, peça a revogação à certificadora.
6. Registre boletim de ocorrência e guarde o número.

Como funciona a emissão de verdade

O certificado emitido dentro da ICP-Brasil passa por uma autoridade certificadora credenciada e por um posto vinculado a ela. O titular comparece com documentos originais ou faz a validação por videoconferência com um agente de registro identificado.

A senha é definida pelo próprio titular no fim do processo e não fica com a certificadora nem com o posto. Se alguém oferece "resgatar" essa senha, a história já começou errada.

O pagamento também segue um padrão. Boleto ou cartão em nome da empresa, com CNPJ conferível, e nota fiscal. Pix para pessoa física é motivo para parar.

A renovação falsa: o roteiro mais usado

A mensagem de renovação é a porta de entrada mais comum do golpe do certificado digital porque todo certificado tem data para vencer, e o golpista aposta que o titular não lembra qual é. O link leva a uma página clonada, que pede login, senha e às vezes o arquivo.

Há variações. Uma delas avisa que a validação por vídeo precisa ser refeita e marca a chamada num aplicativo estranho. Outra promete desconto por tempo limitado e cobra antes do atendimento.

Quase sempre o detalhe que denuncia a fraude está no endereço: um domínio parecido, com uma letra a mais ou uma terminação diferente. Passar o cursor sobre o botão mostra para onde ele leva.

Senha, arquivo A1 e token: o que nunca sai da sua mão

O certificado do tipo A1 é um arquivo gravado no computador, protegido por senha. O do tipo A3 fica em um token ou cartão. Em ambos os casos, quem tem a mídia e a senha assina como se fosse o titular.

Por isso nenhum suporte legítimo pede o arquivo anexado, a senha por telefone ou o acesso remoto ao computador. O contador que emite notas usa a credencial dentro de um sistema, e isso é diferente de receber a cópia solta.

Quem já compartilhou o arquivo com quem não devia tem um caminho: pedir a revogação. O certificado revogado deixa de valer na hora. É trabalho, mas fecha a porta.

Nota fiscal, gov.br e o falso aviso do fisco

Uma segunda família de fraudes usa o medo da Receita Federal. A mensagem fala em nota rejeitada, pendência no CNPJ ou irregularidade na conta gov.br, e manda baixar um programa para regularizar. O programa é um ladrão de senhas.

Os órgãos públicos se comunicam dentro dos portais oficiais e não enviam executáveis. Dúvida sobre pendência se tira entrando no portal pelo endereço digitado.

Na conta gov.br, vale ativar a verificação em duas etapas e nunca informar a quem liga o código recebido por SMS. O certificado eleva o nível da conta, o que a torna mais valiosa para o criminoso.

Custos, prazos e onde conferir a informação oficial

Os valores variam conforme a certificadora, o tipo (e-CPF ou e-CNPJ, A1 ou A3) e a validade. Promessa de valor muito abaixo do praticado merece desconfiança. O número certo é o que o posto informa, com nota fiscal.

A lista de certificadoras credenciadas é mantida pelo órgão que coordena a ICP-Brasil, e é por ela que se confere se a empresa que cobra existe. As regras de uso em obrigações fiscais estão nos canais da Receita e nos conselhos de cada categoria.

Na prática, o roteiro é curto. Conferir o nome da certificadora na lista oficial, o CNPJ do posto e o domínio do site. Três verificações de minutos que evitam meses de dor de cabeça.

Aviso

Este conteúdo é informativo. Regras, prazos, documentos e valores mudam e devem ser conferidos na certificadora, no posto de atendimento e nas fontes oficiais, como a ICP-Brasil e a Receita Federal. Em caso de fraude consumada, procure a polícia.

Perguntas frequentes sobre golpe do certificado digital

Certificadora liga para avisar que o certificado vai vencer?

Algumas enviam lembrete, sem link de pagamento nem urgência de horas. Confirme a data na área do cliente do site oficial.

Recebi um boleto de renovação. Como sei se é verdadeiro?

Confira o CNPJ do beneficiário no aplicativo do banco e compare com o da certificadora. Se não bater, não pague.

Cliquei no link, mas não digitei nada. Corro risco?

O perigo está no que foi digitado ou baixado. Mesmo assim, rode o antivírus e troque as senhas.

Posso mandar meu certificado A1 para o contador?

Melhor que o contador use a credencial dentro do sistema de emissão, e não a cópia solta.

O que acontece com quem cai no golpe do certificado digital?

Assinaturas, notas e acessos a serviços podem ser feitos em nome da vítima. A revogação imediata limita o estrago.

Revogar o certificado cancela as assinaturas já feitas?

Não. O que foi assinado enquanto ele valia continua válido, por isso a revogação precisa ser rápida.

Resumo

O golpe do certificado digital se apoia em urgência e em imitação: renovação com link falso, ligação pedindo senha, site clonado e falso aviso do fisco. Não clicar, digitar o endereço oficial, conferir CNPJ e domínio, nunca entregar senha ou arquivo, e revogar o certificado assim que houver suspeita.