Gestão de certificados digitais exige controle de acessos, proteção de credenciais, segurança dos dispositivos e políticas internas para reduzir riscos fiscais, jurídicos e operacionais
A transformação digital consolidou o certificado digital como um dos principais instrumentos de segurança nas relações eletrônicas entre empresas, governo e instituições privadas. Utilizado para assinatura de documentos, emissão de notas fiscais, envio de obrigações tributárias, acesso a sistemas públicos como o e-CAC da Receita Federal e diversas outras operações, ele garante autenticidade, integridade e validade jurídica às transações realizadas no ambiente digital.
Criada para garantir a segurança das transações eletrônicas no país, a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) estabelece uma cadeia de confiança que permite identificar com segurança pessoas físicas e jurídicas no ambiente digital. Por meio dela, certificados digitais são emitidos seguindo padrões técnicos que asseguram a autenticidade da identidade de seus titulares.
Apesar da robustez dessa estrutura, o avanço das fraudes digitais tem criado novos desafios para as organizações. Especialistas explicam que os criminosos não buscam romper a segurança criptográfica dos certificados digitais, mas explorar fatores externos, como engenharia social, roubo de credenciais, comprometimento de dispositivos e falhas nos processos internos de gestão das identidades digitais.
O cenário reforça uma mudança importante na forma como empresas devem tratar seus certificados digitais: eles deixaram de ser apenas ferramentas operacionais e passaram a ser considerados ativos estratégicos de segurança.
Por que o certificado digital é seguro, mas exige governança?
O certificado digital continua sendo uma ferramenta importante para garantir a identificação eletrônica de pessoas e empresas. Entretanto, a segurança da tecnologia não elimina os riscos relacionados ao uso inadequado das credenciais, ao compartilhamento de acessos e à falta de controles internos.
Para Richard Domingos, diretor executivo da Confirp Contabilidade, é fundamental diferenciar a segurança da tecnologia dos riscos relacionados ao seu uso inadequado.
“O certificado digital continua sendo uma das ferramentas mais seguras para identificação eletrônica no Brasil. O problema não está na tecnologia, mas na gestão das credenciais. Quando uma empresa compartilha certificados sem controle, utiliza equipamentos vulneráveis ou não possui políticas claras de acesso, aumenta sua exposição a fraudes”, afirma.
Segundo ele, praticamente todas as empresas brasileiras utilizam certificados digitais em suas rotinas administrativas e fiscais.
“Independentemente do porte ou do regime tributário, organizações dependem diariamente dessas identidades digitais para cumprir obrigações, acessar sistemas públicos e realizar operações eletrônicas. Por isso, a proteção dessas credenciais precisa receber o mesmo cuidado destinado a outros ativos críticos da empresa.”
Na avaliação do executivo, a gestão do certificado digital deve envolver diferentes áreas da organização, incluindo tecnologia, contabilidade, financeiro, jurídico e compliance.
Como os criminosos utilizam certificados digitais em fraudes?
Embora frequentemente sejam associadas a “ataques contra certificados digitais”, as ocorrências envolvendo identidades digitais normalmente estão relacionadas ao uso indevido de credenciais válidas.
Entre as práticas utilizadas por criminosos estão:
- phishing;
- engenharia social;
- instalação de softwares maliciosos;
- roubo de senhas;
- comprometimento dos dispositivos utilizados pelos titulares dos certificados.
Em situações mais sofisticadas, fraudadores também podem tentar obter certificados utilizando documentos falsificados ou informações obtidas ilegalmente. Nesses casos, o objetivo é assumir uma identidade digital legítima para realizar operações em nome da vítima.
“Quando um criminoso consegue utilizar uma credencial válida, ele passa a atuar dentro das permissões associadas àquela identidade digital. Por isso, o controle sobre quem utiliza o certificado, onde ele está armazenado e quais acessos estão autorizados é fundamental”, explica Domingos.
O uso indevido do certificado digital pode gerar impactos fiscais e jurídicos?
Sim. Uma identidade digital empresarial utilizada de forma indevida pode permitir o acesso a sistemas governamentais e a realização de operações eletrônicas em nome da empresa, criando consequências que vão além da área de tecnologia.
Segundo Denis Barroso, sócio do Barroso Advogados Associados, um dos principais desafios está relacionado aos impactos gerados quando uma identidade digital empresarial é utilizada de forma indevida em ambientes eletrônicos.
“Temos observado situações em que credenciais são utilizadas fraudulentamente para acessar sistemas governamentais e realizar atos eletrônicos em nome de empresas. Muitas vezes não existe uma invasão dos sistemas públicos, mas sim a utilização indevida de uma identidade digital obtida por meio de fraude”, explica.
De acordo com o especialista, ocorrências desse tipo podem envolver alterações cadastrais, transmissões indevidas de informações fiscais, utilização irregular de procurações eletrônicas e outras operações que posteriormente precisam ser contestadas pelo contribuinte.
“Quanto mais tempo uma fraude permanece sem identificação, mais complexo se torna o processo de reconstrução das evidências. Por isso, monitoramento e controle de acessos são fundamentais para reduzir impactos.”
Como a inteligência artificial está aumentando a sofisticação dos golpes digitais?
A evolução da inteligência artificial (IA) trouxe novos desafios para a segurança das empresas. Ferramentas capazes de gerar textos, imagens, áudios e vídeos realistas passaram a ser utilizadas também por criminosos para aprimorar golpes de engenharia social.
Para Gabriel Capano, CEO da HubCount e especialista em inteligência artificial aplicada aos negócios, a tecnologia amplia tanto as oportunidades quanto os riscos.
“Estamos entrando em uma fase em que sistemas de inteligência artificial conseguem interpretar informações, executar tarefas e apoiar decisões. Isso representa um enorme ganho de produtividade, mas também pode ser explorado para automatizar fraudes e tornar ataques mais personalizados.”
Segundo ele, criminosos já utilizam IA para criar mensagens fraudulentas mais convincentes, simular comunicações de executivos e acelerar processos de manipulação de vítimas.
“O ponto principal é que a inteligência artificial não é o problema. O desafio está na governança sobre como essas ferramentas são utilizadas, quais informações são compartilhadas e quais controles existem dentro das organizações.”
Por que as empresas precisam criar regras para o uso de inteligência artificial?
A popularização das plataformas de inteligência artificial dentro das empresas também trouxe uma nova preocupação: a proteção das informações estratégicas.
Muitas organizações já utilizam essas ferramentas para análise de dados, elaboração de relatórios, automação de processos e apoio às equipes. Entretanto, especialistas alertam que o uso sem políticas internas pode gerar riscos relacionados ao tratamento de informações confidenciais.
“Não significa que qualquer dado inserido em uma ferramenta de IA será automaticamente exposto. O ponto de atenção é compreender como cada plataforma trata as informações, quais são seus controles de segurança e quais dados podem ou não ser compartilhados”, afirma Capano.
Segundo ele, empresas devem avaliar:
- contratos com fornecedores de ferramentas de IA;
- políticas de retenção de dados;
- controles de acesso;
- requisitos de conformidade com a Lei Geral de Proteção de Dados (LGPD).
Quais são as boas práticas para proteger certificados digitais?
A segurança das identidades digitais depende da combinação entre tecnologia, processos internos e comportamento dos usuários.
Para Afonso Morais, sócio da Morais e Pardi Advogados, soluções tecnológicas são importantes, mas não eliminam os riscos relacionados às falhas humanas.
“Ferramentas como proteção de endpoints, monitoramento de ambientes, filtros de segurança e controles avançados ajudam a reduzir riscos, mas tecnologia sozinha não resolve. Muitos incidentes continuam começando por falhas humanas, principalmente relacionadas a phishing e engenharia social.”
Entre as boas práticas recomendadas estão:
- armazenar os certificados digitais de forma segura;
- manter controle rigoroso de acesso às credenciais;
- utilizar autenticação multifator sempre que disponível;
- realizar revisão periódica de procurações eletrônicas;
- monitorar acessos aos sistemas corporativos e governamentais;
- manter atualizados os equipamentos utilizados para autenticação;
- promover treinamento contínuo dos colaboradores;
- estabelecer políticas formais para utilização de inteligência artificial.
Segundo Richard Domingos, o principal desafio é mudar a percepção das empresas sobre o certificado digital.
“Muitas organizações ainda enxergam o certificado digital apenas como uma ferramenta necessária para cumprir obrigações. Na prática, ele representa a identidade eletrônica da empresa e precisa ser protegido como um ativo estratégico.”
O seguro cibernético pode ajudar na proteção das empresas?
O seguro cibernético passou a complementar as estratégias de gestão de riscos de algumas empresas. As coberturas evoluíram e podem contemplar diferentes impactos relacionados a incidentes digitais.
Segundo Cristina Camillo, especialista da Camillo Seguros, existem soluções que podem incluir investigação técnica, recuperação de dados, custos jurídicos, gerenciamento de crises, responsabilidade civil por vazamento de informações e outros prejuízos decorrentes de ataques.
Ela destaca, porém, que a contratação exige análise cuidadosa.
“Cada apólice possui condições específicas. A empresa precisa compreender quais riscos estão cobertos, quais controles de segurança são exigidos e quais procedimentos devem ser adotados em caso de incidente.”
Como a gestão de identidades digitais deve ser tratada pelas empresas?
A digitalização dos negócios tornou o certificado digital indispensável para o funcionamento de milhares de empresas brasileiras. A segurança proporcionada pela ICP-Brasil continua sendo uma referência para garantir autenticidade e confiabilidade nas operações eletrônicas.
No entanto, a evolução das fraudes demonstra que a proteção das organizações depende cada vez mais da combinação entre tecnologia, processos internos e comportamento dos usuários.
Em um ambiente de negócios cada vez mais conectado, cuidar das identidades digitais, controlar acessos e estabelecer boas práticas de segurança deixou de ser uma responsabilidade exclusiva da área de tecnologia e passou a fazer parte da estratégia de continuidade e proteção das empresas.
Checklist: como melhorar a segurança do certificado digital da empresa?
As empresas podem começar revisando os seguintes pontos:
- Quem possui acesso aos certificados digitais?
- Onde as credenciais estão armazenadas?
- Os equipamentos utilizados estão protegidos e atualizados?
- As procurações eletrônicas são revisadas periodicamente?
- Os acessos aos sistemas são monitorados?
- Os colaboradores recebem treinamento contra phishing e engenharia social?
- Existem regras internas para utilização de ferramentas de inteligência artificial?
- As áreas de tecnologia, contabilidade, financeiro, jurídico e compliance participam da gestão das identidades digitais?
- A empresa conhece os controles exigidos por eventuais seguros cibernéticos contratados?
A principal mudança, portanto, é tratar o certificado digital não apenas como uma ferramenta necessária para cumprir obrigações, mas como parte da infraestrutura de segurança e da identidade digital da empresa.
