Golpe de assinatura digital: como a empresa e a vítima se protegem

O golpe de assinatura digital acontece de quatro jeitos principais: um link falso que imita uma plataforma de assinatura para roubar dados, um PDF alterado depois de assinado, um contrato feito com dados e fotos de documento vazados e, mais recentemente, uma selfie montada com deepfake. Para se proteger, a empresa precisa juntar várias camadas de prova (token no contato do próprio cliente, selfie com documento, geolocalização, IP e hash do arquivo). Quem descobre um contrato falso no próprio nome deve registrar boletim de ocorrência, pedir à empresa a trilha de auditoria e conferir o CPF no Registrato do Banco Central.

Este texto foi escrito para dois leitores. Um é o dono do provedor, da imobiliária ou do escritório que manda contratos pelo WhatsApp e quer conseguir provar, lá na frente, quem assinou. O outro é a pessoa que abriu o aplicativo do banco ou recebeu uma cobrança e encontrou um contrato que nunca viu. Os dois lados dependem da mesma coisa: evidência boa, guardada direito.

Golpe de assinatura digital: os tipos mais comuns

Nem todo golpe mira a assinatura em si. Alguns usam a assinatura eletrônica só como isca, outros atacam o documento depois de pronto. Separar os tipos ajuda a saber qual defesa usar.

1. Link falso de "assine aqui" por e-mail ou WhatsApp

É o mais comum e o mais barato para o golpista. Chega uma mensagem dizendo que há um contrato, um aditivo ou uma rescisão esperando sua assinatura. O botão leva a uma página que copia o visual de uma plataforma conhecida e pede login do e-mail, senha do banco ou o download de um "visualizador de PDF". Em junho de 2026, a ESET identificou sites falsos em português imitando a Docusign que baixavam um programa malicioso sozinhos, sem clique, e apontou a marca como a mais usada em phishing no Brasil naquele ano, segundo o TecMundo.

O golpe funciona porque a pessoa espera mesmo receber um contrato. O inquilino que está fechando uma locação, o funcionário em admissão e o cliente que acabou de pedir internet estão todos aguardando um link. Uma assinatura legítima nunca pede senha de e-mail nem instalação de programa.

2. PDF adulterado depois de assinado

Aqui o contrato verdadeiro existiu. Depois da assinatura, alguém edita o PDF: troca o valor da multa, o número da conta para depósito ou a data de vencimento, e manda a "versão assinada" para a outra parte ou junta no processo. Num PDF comum, com a imagem da assinatura colada, ninguém percebe a troca a olho nu.

O antídoto é o hash. A plataforma calcula uma espécie de impressão digital do arquivo (o SHA-256 é o padrão mais usado) no momento da assinatura. Mudar uma vírgula gera outro hash. Se o documento apresentado não bate com o registrado, ele foi alterado. O passo a passo está em como verificar a autenticidade de um documento assinado.

3. Contrato assinado com dados vazados

CPF, nome da mãe, endereço, e-mail e telefone de milhões de brasileiros circulam em vazamentos. Com isso, o fraudador preenche um cadastro, cria um e-mail parecido com o da vítima e recebe ele mesmo o link de assinatura. Se a empresa só confere o e-mail informado no próprio cadastro, o golpista assina sem esforço. É o cenário clássico de empréstimo, crediário e linha de celular contratados em nome de outra pessoa.

4. Deepfake e injeção de imagem na selfie

Quando a empresa pede selfie, o golpista sobe um degrau. Usa foto de RG ou CNH roubada, cria um rosto com inteligência artificial ou injeta um vídeo pronto no lugar da câmera do celular, por meio de emulador ou câmera virtual. O relatório Identity Fraud Report 2025-2026 da Sumsub registrou alta de 126% em deepfakes e identidades sintéticas no Brasil em 2025, e o país concentrou cerca de 39% dos deepfakes detectados na América Latina, segundo o Canaltech. O mesmo levantamento aponta que 1 em cada 50 documentos falsificados em 2025 foi gerado por IA.

Isso não torna a selfie inútil. Ela continua barrando o fraudador amador, que é a maioria, e obriga o profissional a investir mais. Só não dá para tratá-la como prova única.

5. O cliente que assinou e depois nega

Do lado da empresa, este é o golpe mais frequente. O cliente do provedor cancela antes do fim da permanência e diz que nunca assinou a multa. O inquilino some com o imóvel devolvido aos pedaços e alega que a vistoria não é dele. A tática é simples: negar a autoria e esperar que a empresa não consiga provar. Como você vai ver adiante, a lei coloca esse ônus em quem apresenta o documento.

6. Alguém de dentro assinando pelo cliente

Pouca gente fala deste, mas ele aparece com frequência em empresas com equipe comercial na rua. O vendedor quer bater meta e "adianta": cadastra o próprio WhatsApp ou um e-mail genérico no lugar do contato do cliente e assina ele mesmo. Às vezes nem é má-fé. O resultado é o mesmo: vários contratos de clientes diferentes assinados do mesmo aparelho e um documento sem valor de prova quando o cliente contestar.

Como saber se um link de assinatura é legítimo

Antes de tocar no botão, gaste trinta segundos nesta conferência. Ela vale para qualquer plataforma, inclusive para a SignSimples.

1. 1Você esperava esse documento? Se não fez negócio com ninguém, desconfie. Se fez, confirme com a empresa por um canal que você já conhece (o telefone do site, não o número que mandou a mensagem).
2. 2Olhe o endereço completo antes de abrir. No celular, segure o dedo sobre o link para ver a URL. O domínio deve ser o da plataforma, escrito certo. Letras trocadas, hífen a mais ou um domínio de encurtador desconhecido são sinal de alerta.
3. 3A página de assinatura nunca pede a senha do seu e-mail, do banco ou do gov.br. Ela pode pedir um código de confirmação que acabou de chegar no seu WhatsApp ou e-mail. São coisas diferentes.
4. 4Assinar não exige baixar nada. Se aparecer um download de "visualizador", "certificado" ou arquivo .exe, .apk ou .zip, feche a página.
5. 5Leia o documento inteiro antes de assinar e confira nome, CPF, valores e datas. Se o seu nome está certo mas o CPF é de outra pessoa, pare.
6. 6Pressa é um sinal. Mensagem dizendo que o contrato "expira em 1 hora" ou que haverá multa se não assinar agora é técnica de pressão.
7. 7Depois de assinar, guarde o PDF final e confira o código de verificação na página oficial da plataforma.

Encontrei um contrato falso assinado em meu nome: o que fazer

Respire e aja na ordem. A pressa em pagar "para não sujar o nome" costuma piorar a situação, porque pagar pode ser lido como reconhecimento da dívida.

1. 1Registre um boletim de ocorrência. A maioria dos estados aceita BO pela delegacia online. Descreva o contrato, a empresa, a data e como você descobriu. Usar dados de outra pessoa para contratar pode configurar estelionato, e a Lei 14.155/2021 criou o § 2º-A do art. 171 do Código Penal, com pena de 4 a 8 anos para a fraude feita por meio eletrônico. Falsificar ou alterar documento particular está no art. 298 do Código Penal.
2. 2Peça à empresa, por escrito, a cópia do contrato e a trilha de auditoria. Você tem direito de ver o que estão cobrando. A trilha mostra para qual e-mail ou telefone o link foi enviado, de que IP e localização veio a assinatura, a selfie usada e o horário de cada etapa. Muitas vezes a fraude aparece ali: um telefone que não é seu, uma cidade onde você nunca esteve, a foto de outra pessoa.
3. 3Conteste formalmente. Envie à empresa a negativa de autoria com o número do BO e peça o cancelamento e a suspensão da cobrança. Guarde o protocolo. Se não houver resposta, registre a reclamação no consumidor.gov.br ou no Procon da sua cidade.
4. 4Confira o seu CPF no Registrato. O Registrato do Banco Central é gratuito e mostra empréstimos e financiamentos registrados no seu CPF, contas abertas em bancos e chaves Pix cadastradas. Se apareceu um contrato falso, pode haver outros.
5. 5Consulte o Serasa e os outros birôs. Veja se o contrato já virou dívida negativada e acompanhe nas semanas seguintes. Se houver negativação indevida, isso entra no pedido de indenização.
6. 6Troque as senhas do e-mail e do WhatsApp e ative a verificação em duas etapas. Se o golpista recebeu o link num e-mail ou número seu, a invasão começou ali.
7. 7Procure o Juizado Especial ou um advogado se a empresa não resolver. Nas causas até 20 salários mínimos, você pode entrar no Juizado sem advogado. Leve o BO, os protocolos e a trilha de auditoria.

Um detalhe que pesa a seu favor: quando você nega a assinatura, a empresa precisa provar que foi você. O Superior Tribunal de Justiça fixou isso no Tema Repetitivo 1061 para contratos bancários, com base no art. 429, II, do Código de Processo Civil. Você não precisa provar que não assinou. Mas uma negativa genérica, sem nenhum indício de fraude, pode perder para uma trilha bem feita, como mostra a próxima seção.

Fraude em assinatura eletrônica: o que os tribunais aceitaram

A base legal é antiga. A MP 2.200-2/2001, no art. 10, § 2º, admite outros meios de comprovar autoria e integridade além do certificado ICP-Brasil, desde que aceitos pelas partes ou por quem recebe o documento. O Código de Processo Civil considera autêntico o documento cuja autoria esteja identificada por qualquer meio legal de certificação, inclusive eletrônico (art. 411, II), e permite todos os meios legais e moralmente legítimos de prova (art. 369). Mais contexto em assinatura eletrônica tem validade jurídica?.

O que importa para quem quer evitar fraude é como os juízes avaliam essas provas na prática. Três decisões ajudam a entender:

• Tema 1061 do STJ (2021). Se o consumidor impugna a assinatura de um contrato bancário, cabe à instituição provar que ela é autêntica. A prova pode ser perícia ou qualquer outro meio legítimo. Na prática, quem apresenta o contrato precisa ter guardado as evidências.
• REsp 2.197.156/SP (STJ, 3ª Turma, março de 2026). Uma aposentada negou um empréstimo consignado feito pelo aplicativo do banco, e o tribunal paulista anulou o contrato por falta de certificado ICP-Brasil. O STJ reformou a decisão: o banco tinha selfie com a CNH, geolocalização compatível com o endereço da cliente e o comprovante de depósito na conta dela. Para a Turma, a concordância com o meio de assinatura pode ser tácita (enviar a selfie, liberar a localização e concluir a contratação), e a negativa posterior sem indício de fraude não anula o negócio. O resumo está no Dizer o Direito.
• REsp 1.495.920/DF (STJ, 3ª Turma, 2018). O tribunal aceitou como título executivo um contrato eletrônico de mútuo assinado digitalmente sem testemunhas, porque a certificação permitia conferir a autenticidade (resumo no Dizer o Direito). Em 2023, a Lei 14.620 levou essa ideia para o § 4º do art. 784 do CPC. O tema completo está em contrato eletrônico como título executivo.

Repare no padrão. Nenhuma dessas decisões se apoiou numa prova só. O banco ganhou porque a selfie, a localização e o dinheiro caindo na conta da própria cliente contavam a mesma história. Quando as evidências se contradizem (selfie de uma pessoa, telefone de outra, IP em outro estado), a balança vira para o lado de quem nega. A conduta depois da assinatura também conta: o cliente que pagou três faturas da internet e usou o roteador emprestado tem mais dificuldade para dizer que não contratou.

Vale um aviso honesto. A jurisprudência sobre selfie e biometria nasceu quase toda em casos de consignado, com bancos de um lado e aposentados do outro. Para uma imobiliária ou um provedor, a lógica é a mesma, mas o juiz vai olhar o seu caso concreto. Quanto mais coerentes as provas, menor a margem para discussão.

Cada camada de prova e o que ela não resolve sozinha

Nenhuma camada é infalível. O que derruba um golpe é o fraudador precisar vencer várias ao mesmo tempo. Esta tabela mostra o papel de cada uma e a brecha que ela deixa:

O certificado ICP-Brasil está na tabela por um motivo: ele é o nível mais alto da diferença entre assinatura eletrônica e digital, mas também tem brecha. Um dono de empresa que entrega o token A3 e a senha ao contador produz assinaturas qualificadas feitas por outra pessoa. E o seu cliente de internet de R$ 99 por mês não tem e-CPF, então exigir um trava a venda.

Como evitar golpe de assinatura digital na sua empresa: autenticação por risco

Pedir selfie para assinar a ciência do novo horário do refeitório irrita o funcionário. Mandar só um link por e-mail para um contrato de locação de R$ 4 mil por mês com fiador é pedir problema. A regra é dosar a autenticação pelo prejuízo que uma fraude causaria. Use esta tabela como ponto de partida e ajuste ao seu caso:

Checklist de configuração e processo

• O link vai sempre para o e-mail ou WhatsApp do cliente que consta no seu cadastro. Nunca para o celular do vendedor, nem para um e-mail genérico da loja.
• Monitore contratos de clientes diferentes assinados do mesmo IP, do mesmo aparelho ou com o mesmo telefone no token. É o sinal mais claro de "adiantamento" pela equipe.
• Confira o CPF do signatário com o do cadastro antes de enviar. Um dígito errado gera um contrato com outra pessoa como parte.
• Configure a autenticação por modelo de documento, e não caso a caso. Assim o vendedor não "esquece" a selfie no contrato que mais precisa dela.
• Ligue a expiração automática do link. Um link de assinatura aberto há três meses é uma porta que ninguém está olhando.
• Guarde o PDF final com a trilha de auditoria, não só o arquivo assinado. Na hora do processo, é a trilha que você vai juntar.
• Em venda presencial, deixe o cliente assinar no celular dele. Se ele assinar no tablet da loja, IP e localização vão provar onde estava a loja, e não quem assinou.
• Treine a equipe para nunca pedir ao cliente que "encaminhe o código" que chegou no WhatsApp. Quem pede código é golpista, e o cliente precisa ouvir isso de você.

Dois exemplos de como isso fica no dia a dia. Uma imobiliária com inquilino em outra cidade manda o contrato com token no WhatsApp e selfie com documento para o inquilino e para o fiador, e compara a CNH enviada com a cópia apresentada na análise de crédito. Um provedor de internet que vende de porta em porta faz o cliente assinar no próprio celular, ainda no portão, e só libera o agendamento da instalação quando o contrato volta com geolocalização compatível com o endereço de instalação.

Onde a SignSimples entra (e onde ela não serve)

A SignSimples faz assinatura eletrônica avançada com evidências, no sentido da Lei 14.063/2020 e do art. 10, § 2º, da MP 2.200-2. Você escolhe as camadas de cada documento: token por e-mail ou WhatsApp, assinatura desenhada na tela e selfie segurando RG ou CNH, com foto da frente e do verso, conferida por inteligência artificial. IP, geolocalização, data e hora de cada etapa e o hash SHA-256 do arquivo entram na trilha de auditoria automaticamente. O PDF final traz código e QR Code para qualquer pessoa conferir em signsimples.com.br/verificar se o arquivo é o mesmo que foi assinado.

Contra cada golpe da lista, o efeito é este. O link falso perde força quando o seu cliente sabe que o código chega no WhatsApp dele e que a página nunca pede senha. O PDF adulterado não passa na verificação do hash. O contrato com dados vazados esbarra no token enviado ao contato que você já tinha cadastrado. A selfie com documento barra a maior parte das tentativas com foto de RG roubado. E o cliente que nega a assinatura encontra do outro lado uma trilha coerente.

Agora os limites, porque eles existem. A conferência por IA compara o rosto com o documento e procura sinais de adulteração, mas um deepfake bem produzido, injetado direto no fluxo da câmera, pode passar por ela, como pode passar pelas soluções de outros fornecedores. Por isso a selfie entra junto com o token, e não no lugar dele. A SignSimples também não emite assinatura qualificada com certificado ICP-Brasil. Para atos que exigem certificado, cartório ou escritura pública, o caminho é outro. Se a dúvida for sobre a assinatura pelo governo, veja se a assinatura gov.br vale para contrato.