A transformação digital consolidou o certificado digital como um dos principais instrumentos de segurança nas relações eletrônicas entre empresas, governo e instituições privadas. Utilizado para assinatura de documentos, emissão de notas fiscais, envio de obrigações tributárias, acesso a sistemas públicos como o e-CAC da Receita Federal e diversas outras operações, ele garante autenticidade, integridade e validade jurídica às transações realizadas no ambiente digital.
Criada para garantir a segurança das transações eletrônicas no país, a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) estabelece uma cadeia de confiança que permite identificar com segurança pessoas físicas e jurídicas no ambiente digital. Por meio dela, certificados digitais são emitidos seguindo padrões técnicos que asseguram a autenticidade da identidade de seus titulares.
Apesar da robustez dessa estrutura, o avanço das fraudes digitais tem criado novos desafios para as organizações. Especialistas explicam que os criminosos não buscam romper a segurança criptográfica dos certificados digitais, mas explorar fatores externos, como engenharia social, roubo de credenciais, comprometimento de dispositivos e falhas nos processos internos de gestão das identidades digitais.
O cenário reforça uma mudança importante na forma como empresas devem tratar seus certificados digitais: eles deixaram de ser apenas ferramentas operacionais e passaram a ser considerados ativos estratégicos de segurança.
Certificado digital é seguro, mas precisa de governança
Para Richard Domingos, diretor executivo da Confirp Contabilidade, é fundamental diferenciar a segurança da tecnologia dos riscos relacionados ao seu uso inadequado. "O certificado digital continua sendo uma das ferramentas mais seguras para identificação eletrônica no Brasil. O problema não está na tecnologia, mas na gestão das credenciais. Quando uma empresa compartilha certificados sem controle, utiliza equipamentos vulneráveis ou não possui políticas claras de acesso, aumenta sua exposição a fraudes", afirma.
Segundo ele, praticamente todas as empresas brasileiras utilizam certificados digitais em suas rotinas administrativas e fiscais. "Independentemente do porte ou do regime tributário, organizações dependem diariamente dessas identidades digitais para cumprir obrigações, acessar sistemas públicos e realizar operações eletrônicas. Por isso, a proteção dessas credenciais precisa receber o mesmo cuidado destinado a outros ativos críticos da empresa."
Na avaliação do executivo, a gestão do certificado digital deve envolver diferentes áreas da organização, incluindo tecnologia, contabilidade, financeiro, jurídico e compliance.
Fraudes exploram pessoas e processos, não a tecnologia
Embora frequentemente sejam associadas a "ataques contra certificados digitais", as ocorrências envolvendo identidades digitais normalmente estão relacionadas ao uso indevido de credenciais válidas. Entre as práticas utilizadas por criminosos estão golpes de phishing, engenharia social, instalação de softwares maliciosos, roubo de senhas e comprometimento dos dispositivos utilizados pelos titulares dos certificados.
Em situações mais sofisticadas, fraudadores também podem tentar obter certificados utilizando documentos falsificados ou informações obtidas ilegalmente. Nesses casos, o objetivo é assumir uma identidade digital legítima para realizar operações em nome da vítima.
"Quando um criminoso consegue utilizar uma credencial válida, ele passa a atuar dentro das permissões associadas àquela identidade digital. Por isso, o controle sobre quem utiliza o certificado, onde ele está armazenado e quais acessos estão autorizados é fundamental", explica Domingos.
Uso indevido de credenciais pode gerar impactos fiscais e jurídicos
Segundo Denis Barroso, sócio do Barroso Advogados Associados, um dos principais desafios está relacionado aos impactos gerados quando uma identidade digital empresarial é utilizada de forma indevida em ambientes eletrônicos.
"Temos observado situações em que credenciais são utilizadas fraudulentamente para acessar sistemas governamentais e realizar atos eletrônicos em nome de empresas. Muitas vezes não existe uma invasão dos sistemas públicos, mas sim a utilização indevida de uma identidade digital obtida por meio de fraude", explica.
De acordo com o especialista, ocorrências desse tipo podem envolver alterações cadastrais, transmissões indevidas de informações fiscais, utilização irregular de procurações eletrônicas e outras operações que posteriormente precisam ser contestadas pelo contribuinte. "Quanto mais tempo uma fraude permanece sem identificação, mais complexo se torna o processo de reconstrução das evidências. Por isso, monitoramento e controle de acessos são fundamentais para reduzir impactos."
Inteligência artificial amplia sofisticação dos golpes digitais
A evolução da inteligência artificial trouxe novos desafios para a segurança das empresas. Ferramentas capazes de gerar textos, imagens, áudios e vídeos realistas passaram a ser utilizadas também por criminosos para aprimorar golpes de engenharia social.
Para Gabriel Capano, CEO da HubCount e especialista em inteligência artificial aplicada aos negócios, a tecnologia amplia tanto as oportunidades quanto os riscos. "Estamos entrando em uma fase em que sistemas de inteligência artificial conseguem interpretar informações, executar tarefas e apoiar decisões. Isso representa um enorme ganho de produtividade, mas também pode ser explorado para automatizar fraudes e tornar ataques mais personalizados."
Segundo ele, criminosos já utilizam IA para criar mensagens fraudulentas mais convincentes, simular comunicações de executivos e acelerar processos de manipulação de vítimas. "O ponto principal é que a inteligência artificial não é o problema. O desafio está na governança sobre como essas ferramentas são utilizadas, quais informações são compartilhadas e quais controles existem dentro das organizações."
Empresas precisam criar regras para uso de IA
A popularização das plataformas de inteligência artificial dentro das empresas também trouxe uma nova preocupação: a proteção das informações estratégicas. Muitas organizações já utilizam essas ferramentas para análise de dados, elaboração de relatórios, automação de processos e apoio às equipes. Entretanto, especialistas alertam que o uso sem políticas internas pode gerar riscos relacionados ao tratamento de informações confidenciais.
"Não significa que qualquer dado inserido em uma ferramenta de IA será automaticamente exposto. O ponto de atenção é compreender como cada plataforma trata as informações, quais são seus controles de segurança e quais dados podem ou não ser compartilhados", afirma Capano.
Segundo ele, empresas devem avaliar contratos, políticas de retenção de dados, controles de acesso e requisitos de conformidade com a Lei Geral de Proteção de Dados (LGPD).
Segurança depende de tecnologia, processos e pessoas
Para Afonso Morais, sócio da Morais e Pardi Advogados, a proteção das organizações depende de uma combinação entre soluções tecnológicas e maturidade dos processos internos. "Ferramentas como proteção de endpoints, monitoramento de ambientes, filtros de segurança e controles avançados ajudam a reduzir riscos, mas tecnologia sozinha não resolve. Muitos incidentes continuam começando por falhas humanas, principalmente relacionadas a phishing e engenharia social."
Entre as boas práticas recomendadas pelo advogado estão:
armazenamento seguro dos certificados digitais;
controle rigoroso de acesso às credenciais;
utilização de autenticação multifator sempre que disponível;
revisão periódica de procurações eletrônicas;
monitoramento de acessos aos sistemas corporativos e governamentais;
atualização dos equipamentos utilizados para autenticação;
treinamento contínuo dos colaboradores;
políticas formais para utilização de inteligência artificial.
Segundo Richard Domingos, o principal desafio é mudar a percepção das empresas sobre o certificado digital. "Muitas organizações ainda enxergam o certificado digital apenas como uma ferramenta necessária para cumprir obrigações. Na prática, ele representa a identidade eletrônica da empresa e precisa ser protegido como um ativo estratégico."
Seguro cibernético passa a complementar estratégias de proteção
Outro movimento crescente entre empresas é a contratação de seguros cibernéticos como parte da gestão de riscos. Segundo Cristina Camillo, especialista da Camillo Seguros, as coberturas evoluíram e passaram a contemplar diferentes impactos relacionados a incidentes digitais. "Hoje existem soluções que podem incluir investigação técnica, recuperação de dados, custos jurídicos, gerenciamento de crises, responsabilidade civil por vazamento de informações e outros prejuízos decorrentes de ataques."
Ela destaca, porém, que a contratação exige análise cuidadosa. "Cada apólice possui condições específicas. A empresa precisa compreender quais riscos estão cobertos, quais controles de segurança são exigidos e quais procedimentos devem ser adotados em caso de incidente."
Gestão de identidades digitais entra na agenda estratégica das empresas
A digitalização dos negócios tornou o certificado digital indispensável para o funcionamento de milhares de empresas brasileiras. A segurança proporcionada pela ICP-Brasil continua sendo uma referência para garantir autenticidade e confiabilidade nas operações eletrônicas.
No entanto, a evolução das fraudes demonstra que a proteção das organizações depende cada vez mais da combinação entre tecnologia, processos internos e comportamento dos usuários. Em um ambiente de negócios cada vez mais conectado, cuidar das identidades digitais, controlar acessos e estabelecer boas práticas de segurança deixou de ser uma responsabilidade exclusiva da área de tecnologia e passou a fazer parte da estratégia de continuidade e proteção das empresas.
Imagem: https://pt.vecteezy.com/foto/74109138-uma-digital-conceito-do-qualidade-garantia-e-certificacao-destacando-desempenho-avaliacao-conformidade-padroes-e-orientado-para-a-tecnologia-melhoria-para-o-negocio-excelencia-e-cliente-satisfacao
