Assinaturas eletrônicas avançadas no Gov.br: reflexões sobre segurança da informação

Manuela Oliveira[1].

É inegável o crescente uso de assinaturas avançadas no Brasil, o que nos faz voltar os olhares para essa realidade não mais como uma exceção, mas como parte concreta e legítima do cotidiano de cidadãos e instituições.

A assinatura manuscrita, tradicionalmente conhecida por ser a famosa assinatura “em papel”, embora ainda presente, vai perdendo espaço, de forma progressiva, nos atos e negócios jurídicos, em razão do aumento da virtualização das relações e serviços[2]. Nesse cenário, a digitização das formas de manifestação de vontade deixa de ser apenas conveniente para se tornar necessária em um mundo cada vez mais globalizado.

A Confiabilidade e a Acessibilidade

A expansão das assinaturas eletrônicas, em especial das modalidades simples e avançada, suscita questionamentos acerca da segurança fática e jurídica dessas manifestações de vontade a depender do ato ou negócio jurídico, sobretudo quando se considera que a assinatura qualificada ainda é inacessível para grande parte da população, seja por questões técnicas, econômicas ou pela complexidade do seu uso.

Para refletir sobre esse contexto, é necessário analisar os métodos tecnológicos de autenticação utilizados nas assinaturas eletrônicas, bem como compreender os diferentes níveis de força probatória atribuídos a cada uma delas.

De acordo com o art. 4º, da Lei nº 14.063/2020, as assinaturas eletrônicas são classificadas nas modalidades simples, avançada e qualificada[3]. A assinatura simples permite identificar o signatário e associar dados a outros dados em formato eletrônico; já a assinatura avançada utiliza certificados não emitidos pela ICP-Brasil ou outro meio de comprovação da autoria e da integridade de documentos em forma eletrônica – a exemplo do uso de biometria ou autenticação em dois fatores – desde que aceitos pelas partes ou pela entidade que receba o documento; por fim, a assinatura qualificada, que utiliza certificado digital credenciado na Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) e é considerada a assinatura com maior nível de confiabilidade.

A fim de ilustrar as distinções entre os tipos de assinaturas eletrônicas, pode-se mencionar que o preenchimento de um formulário online, por meio de login e senha, configura uma assinatura simples, uma vez que permite a identificação do signatário por meio da combinação de outros dados em formato eletrônico; a assinatura de um contrato de prestação de serviço com autenticação em dois fatores (ex.: via SMS), bem como a validação de identidade mediante reconhecimento facial, caracteriza uma assinatura eletrônica avançada, pois envolve mecanismos adicionais de comprovação de autoria e integridade aceitos pelas partes; e o envio da Declaração de Imposto de Renda por pessoa jurídica à Receita Federal, que exige obrigatoriamente um certificado digital emitido por autoridade certificadora da ICP-Brasil, corresponde à assinatura qualificada, por atender aos requisitos legais específicos definidos na legislação brasileira[4].

A Validade Jurídica e a Força Probatória

A Ministra Nancy Andrighi, em voto paradigmático proferido no Superior Tribunal de Justiça (STJ)[5], destacou que as modalidades de assinaturas eletrônicas coexistem com diferentes níveis de força probatória, a depender do método tecnológico de autenticação adotado pelas partes. Nesse sentido, independentemente da modalidade de assinatura eletrônica utilizada (simples, avançada ou qualificada), todas possuem validade jurídica, observando-se os requisitos da legislação e os princípios da autonomia privada e a liberdade das formas de declaração de vontades entre os particulares[6].

Em fundamentação, a Ministra traz a analogia de que a assinatura eletrônica avançada seria o equivalente à firma reconhecida por semelhança, enquanto a assinatura eletrônica qualificada seria a firma reconhecida por autenticidade, ou seja, ambas são válidas, diferenciando-se apenas no aspecto da força probatória e no grau de dificuldade de eventual impugnação técnica de seus aspectos de integridade e autenticidade[7].

A decisão ressalta também o objetivo da Lei nº 14.063/2020 de possibilitar a ampliação do reconhecimento da validade legal às assinaturas eletrônicas, independentemente do grau de robustez da forma de autenticação adotado entre as partes[8].

Anota-se que esse entendimento representa um marco, uma vez que reconhece a validade do uso de assinaturas avançadas, isto é, aquelas não certificadas pela ICP-Brasil, desde que observadas as garantias mínimas de integridade e autenticidade que possam vincular à real manifestação de vontade das partes[9].

É importante frisar, por outro lado, que quanto mais flexível as garantias exigidas de integridade e, principalmente, autenticidade, maior a fragilidade quanto a força probatória da assinatura[10]. Dessa forma, a adoção de assinaturas eletrônicas, sejam elas simples ou avançadas, deve considerar não somente a validade formal, mas também o contexto, o risco envolvido no caso concreto e a robustez dos meios de comprovação da vontade das partes, uma vez que, em determinadas situações, o uso de assinaturas qualificadas pode ser mais adequado para demonstrar o consentimento mais seguro e rastreável e, consequentemente, reduzir eventuais contendas judiciais.

O Provimento nº 180/2024 do CNJ e a Lista de Serviços Eletrônicos Confiáveis do RTDPJ

Restringindo a análise ao contexto dos serviços extrajudiciais delegados, o art. 208, do Provimento nº 180/2024, do Conselho Nacional de Justiça (CNJ), dispõe que documentos, sejam públicos ou particulares, cuja assinatura seja exigível apenas do apresentante, serão aceitos mediante o uso de assinatura eletrônica avançada ou qualificada[11]. O art. § 2º, do mesmo artigo, estabelece que serão considerados títulos digitalizados com padrões técnicos aqueles que contenham assinatura eletrônica qualificada ou avançada admitida perante os registros públicos[12].

No âmbito do mesmo Provimento, o art. 205 trata sobre a criação da “Lista de Serviços Eletrônicos Confiáveis do Registro de Títulos e Documentos e Civil das Pessoas Jurídicas (RTDPJ)”, a qual descreverá os serviços considerados confiáveis pelo Operador Nacional do RTDPJ (ON-RTDPJ). A lista em questão contempla os serviços de assinatura eletrônica considerados confiáveis, como na ICP-Brasil e na plataforma Gov.br, esta última desde que utilizada em nível prata ou ouro, por meio de certificado digital ou validação biométrica facial[13].

Ressalta-se que o Provimento nº 180/2024 do CNJ adota o entendimento de que as assinaturas eletrônicas realizadas por meio da plataforma Gov.br podem ser consideradas assinaturas avançadas, desde que vinculadas a contas classificadas como prata ou ouro. Nesse sentido, ao consultar a página oficial do Gov.br sobre “Assinatura Eletrônica”, verifica-se que o acesso a esse serviço está restrito aos usuários de nível de conta prata ou ouro, sendo inacessível aos usuários com contas de nível bronze[14].

Além disso, é importante destacar que o que efetivamente caracteriza a assinatura do Gov.br como assinatura avançada não é apenas o nível da conta, mas sim, os mecanismos de autenticação utilizados no momento da assinatura do documento. No caso da plataforma Gov.br, a presença de autenticação em dois fatores, por meio do uso em computador, com envio de SMS antes da assinatura, é o que confere maior comprovação de autoria dentro da plataforma.

O Gov.br como Plataforma de Assinatura Avançada

Diante do cenário das assinaturas por meio da plataforma Gov.br, algumas questões devem ser observadas no tocante à segurança dos meios de autenticação utilizados. Ao atingir o nível prata ou ouro, o usuário passa por um processo inicial de validação com fatores de autenticação mais robustos, como a integração bancária, certificado digital ou biometria facial.

Contudo, esses fatores costumam ser exigidos apenas no momento da elevação do nível da conta, tratando-se da utilização da conta por meio do navegador em computador. Nos acessos subsequentes, o login costuma ser realizado mediante CPF e senha, sem a exigência contínua de autenticações fortes a cada nova operação de entrada.

Em termos práticos, isso significa que a assinatura de documentos pode ser autorizada mediante o envio de código SMS ao celular cadastrado ou código gerado no aplicativo Gov.br (em uso via celular). Embora esse modelo se enquadre formalmente como assinatura avançada, nos termos da Lei nº 14.063/2020, ainda pode representar um modelo vulnerável e suscetível a ataques phishing[15], clonagem de chips (SIM swap)[16] e outras formas de engenharia social.

Caso recente noticiado pela mídia foi sobre a operação “Face Off”, divulgada em maio de 2025, em que ficou demonstrado os desafios nos meios de autenticação da plataforma Gov.br. No caso em questão, a Polícia Federal deflagrou operação com o objetivo de desarticular um esquema criminoso especializado em fraudar contas da referida plataforma. De acordo com a Polícia Federal, o grupo conseguia acesso indevido a contas por meio de uso de técnicas de alteração facial para burlar os sistemas de autenticação por reconhecimento facial, autenticação esta utilizada nas contas de níveis prata e ouro. De acordo com as investigações “[…] os criminosos simulavam traços faciais de terceiros para obter acesso indevido às contas digitais das vítimas, assumindo o controle total dos perfis […]”[17].

Outro episódio, noticiado em dezembro de 2024, apurou a atuação de uma organização criminosa por invadir contas de usuários da plataforma para fazer empréstimos e procurações com os dados pessoais das vítimas, uma vez que no aplicativo é possível acessar documentos como carteira de trabalho, de habilitação, bem como identidade digital[18].

Casos como os noticiados acima demonstram que, ainda que a plataforma Gov.br represente um inegável avanço no que diz respeito à inclusão digital e desburocratização de serviços e operações[19] – aspecto este incontestável -, ainda enfrenta desafios no campo da segurança da informação. No entanto, tais vulnerabilidades devem ser tratadas com o intuito de aperfeiçoar a plataforma, não com o objetivo de deslegitimação da plataforma.

O Gov.br proporciona que documentos sejam assinados com validade jurídica, sem depender de certificado digital, o que amplia o acesso à cidadania e aos serviços de forma geral, especialmente para populações em situação de vulnerabilidade. Portanto, faz-se necessário reconhecer os méritos da integração de serviços digitais, mas, ao mesmo tempo, promover uma análise crítica voltada para o seu aprimoramento técnico.

Considerações finais

A garantia da segurança fática nas assinaturas eletrônicas avançadas, em especial quando realizadas por meio da plataforma Gov.br, nos convida a refletir sobre a robustez dos mecanismos de autenticação atualmente utilizados, ainda mais quando a plataforma integra a Lista de Serviços Eletrônicos Confiáveis do RTDPJ, conforme o Provimento nº 180/2024 do CNJ.

São notórias as contribuições do Gov.br no processo de acessibilidade, inclusão digital e desburocratização do acesso aos serviços públicos, sendo igualmente necessário vincular esses avanços ao fortalecimento da confiabilidade de atos praticados, com o objetivo de preservar a segurança e a integridade das manifestações de vontade.

No tocante à validade jurídica da assinatura eletrônica avançada, embora esta seja expressamente reconhecida na legislação brasileira, é importante a reflexão crítica acerca do compasso entre a segurança jurídica e a segurança fática. Colocar em prática esse equilíbrio não demanda somente soluções técnicas, mas também governança de dados nas plataformas que oferecem esses serviços, além do fortalecimento de ações voltadas à educação e conscientização popular quanto as formas de proteção digital; a partir desse alinhamento sociotécnico torna-se possível concretizar, de forma efetiva, o princípio da autonomia da vontade no ambiente virtualizado.

[1] É pesquisadora no Legal Fronts Institute, bacharel em Direito pela Universidade Federal da Bahia (UFBA), e realiza estudos nas áreas de Proteção de Dados Pessoais, Direito Registral e Notarial e Cidadania. É especialista em Direito Digital, Gestão da Inovação e Propriedade Intelectual pela PUC Minas, possui certificações profissionais em Compliance Anticorrupção (LEC) e em Data Protection Officer (EXIN), e atua como DPO em empresa de tecnologia.

[2] Apesar de ser considerado forma amplamente difundida, esta forma de assinatura apresenta números significativos de casos de falsificação, com destaque para os contratos referentes a abertura de conta corrente e empréstimos financeiros (CAMPOS, Ricardo; GRINGS, Maria. Atos jurídicos e assinatura eletrônica na reforma do Código Civil. Consultor Jurídico, 12 abr. 2024. Disponível em: <https://www.conjur.com.br/2024-abr-12/atos-juridicos-e-assinatura-eletronica-na-reforma-do-codigo-civil>. Acesso em: 18 de maio de 2025).

[3] Art. 4º Para efeitos desta Lei, as assinaturas eletrônicas são classificadas em: I – assinatura eletrônica simples: a) a que permite identificar o seu signatário; b) a que anexa ou associa dados a outros dados em formato eletrônico do signatário; II – assinatura eletrônica avançada: a que utiliza certificados não emitidos pela ICP-Brasil ou outro meio de comprovação da autoria e da integridade de documentos em forma eletrônica, desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento, com as seguintes características: a) está associada ao signatário de maneira unívoca; b) utiliza dados para a criação de assinatura eletrônica cujo signatário pode, com elevado nível de confiança, operar sob o seu controle exclusivo; c) está relacionada aos dados a ela associados de tal modo que qualquer modificação posterior é detectável; III – assinatura eletrônica qualificada: a que utiliza certificado digital, nos termos do § 1º do art. 10 da Medida Provisória nº 2.200-2, de 24 de agosto de 2001.

[4] A Lei de Assinaturas Eletrônicas (Lei nº 14.063/2020) obriga o uso de assinatura eletrônica qualificada “nos atos de transferência e de registro de bens imóveis (art. 5º, § 2º, IV)”. A exigência está alinhada à Nova Lei de Registros Públicos, também conhecida como Lei nº 14.382/2022, tendo em vista que o art. 17, parágrafo único, dispõe que o “o acesso ou o envio de informações aos registros públicos, quando realizados por meio da internet, deverão ser assinados com o uso de assinatura avançada ou qualificada de que trata o art. 4º da Lei nº 14.063, de 23 de setembro de 2020, nos termos estabelecidos pela Corregedoria Nacional de Justiça do Conselho Nacional de Justiça.” (CAMPOS, Ricardo. Parecer assinaturas eletrônicas e registros imobiliários. Disponível em: <https://legalgroundsinstitute.com/blog/parecer-assinaturas-eletronicas-e-registros-imobiliarios/>. Acesso em: 18 de maio de 2025).

[5] Decisão referente ao recurso interposto em ação de busca e apreensão, ajuizada em 14/10/2021, cujo objeto consistia em verificar se seria possível afastar a presunção de veracidade da assinatura eletrônica certificada por entidade privada, pelo simples fato de a certificadora não estar credenciada na Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil). (BRASIL. Superior Tribunal de Justiça. REsp 2.673.550/SP. Relatora: Ministra Nancy Andrighi. Brasília, julgado em 27 setembro de 2024. Disponível em:<https://processo.stj.jus.br/processo/julgamento/eletronico/documento/mediado/?documento_tipo=integra&documento_sequencial=272898917&registro_numero=202402673550&peticao_numero=&publicacao_data=20240927&formato=PDF>. Acesso em: 18 maio 2025)

[6] BRASIL. Superior Tribunal de Justiça. REsp 2.673.550/SP. Relatora: Ministra Nancy Andrighi. Brasília, julgado em 27 setembro de 2024. Disponível em: <https://processo.stj.jus.br/processo/julgamento/eletronico/documento/mediado/?documento_tipo=integra&documento_sequencial=272898917&registro_numero=202402673550&peticao_numero=&publicacao_data=20240927&formato=PDF>. Acesso em: 18 maio 2025.

[7] Ibidem.

[8] Ibidem.

[9] HIGÍDIO, José. STJ valida uso de assinatura eletrônica não certificada pela ICP-Brasil. Disponível em: <https://www.conjur.com.br/2025-fev-12/stj-valida-uso-de-assinatura-eletronica-nao-certificada-pela-icp-brasil/>. Acesso em: 18 de maio de 2025.

[10] KASSAMA, Alexandre; FERREIRA, Erick. Assinatura avançada no registro de imóveis. Coluna Migalhas Notariais e Registrais, 26 de junho de 2023. Disponível em: <https://www.migalhas.com.br/coluna/migalhas-notariais-e-registrais/388825/assinatura-avancada-no-registro-de-imoveis>. Acesso em 04 de junho de 2025.

[11] Art. 208 (…)

II – o documento público ou particular para qual seja exigível a assinatura apenas do apresentante, desde que gerado eletronicamente em PDF/A e assinado por aquele com assinatura eletrônica qualificada ou com assinatura eletrônica avançada admitida perante os serviços notariais e registrais (art. 17, §§ 1º e 2º, da Lei n. 6.015/1973; art. 38, § 2º, da Lei n. 11.977/2009; art. 285, I, deste Código).

[12] Art. 208 (…)

§ 2º Consideram-se títulos digitalizados com padrões técnicos aqueles que forem digitalizados em conformidade com os critérios estabelecidos no art. 5º do Decreto n. 10.278, de 18 de março de 2020, inclusive os que utilizem assinatura eletrônica qualificada ou avançada admitida perante os registros públicos (art. 17, §§ 1º e 2º, da Lei n. 6.015/1973; art. 38, § 2º, da Lei n. 11.977/2009; art. 285, I, deste Código).

[13] Art. 250. A Lista de Serviços Eletrônicos Confiáveis do Registro de Título e Documentos e Civil das Pessoas Jurídicas LSEC-RTDPJ descreverá os serviços considerados confiáveis pelo ON-RTDPJ, e conterá, pelo menos, os serviços de assinatura eletrônica:

I – da ICP-Brasil;

II – da Lista de Serviços Eletrônicos Confiáveis do Registro Civil do Brasil – LSEC-RCPN, instituída pelo artigo 228-F;

III – da Plataforma gov.br, mediante reconhecimento facial ou certificado digital de níveis prata ou ouro;

IV – do Sistema de Autenticação Eletrônica do Registro Civil – idRC, instituída pelo Artigo 228-B;

V – do e-Notariado.

§ 1º LSEC-RTDPJ poderá adotar o sistema de autenticação eletrônica do Registro Civil (IdRC) e aceitar serviços inclusos na Lista de Serviços Eletrônicos Confiáveis do Registro Civil do Brasil (LSEC-RCPN).

§ 2º A LSEC-RTDPJ será mantida, atualizada e publicada pelo ON-RTDPJ.

§ 3º A LSEC-RDPJ será regulamentada mediante Instrução Técnica de Normalização (ITN), expedida pelo ON-RTDPJ, que poderá alterar, incluir e excluir serviços nela previstos, bem como disciplinar a extensão do acesso das assinaturas previstas neste artigo no âmbito do RTD e do RCPJ.

[14] BRASIL. Governo Federal. Assinatura Eletrônica. Governo Digital, [s.d.]. Disponível em: <https://www.gov.br/governodigital/pt-br/identidade/assinatura-eletronica>. Acesso em: 18 de maio de 2025.

[15] Phishing é uma forma de fraude na internet, em que a vítima tipicamente recebe mensagens pedindo para verificar ou confirmar uma conta junto a um banco ou provedor de serviços. (HINTZBERGEN, Jule et al. Fundamentos de Segurança da Informação: com base na ISO 27001 e na ISO 27002. Brasport, 2018, p. 124). Para este tipo de ataque acontecer é necessária a interação entre o atacante e a vítima, em que a vítima pode ser “fisgada” mediante envio de dados por meio de link fraudulento (MONTAGNER, Antonio S.; WESTPHALL, Carla Merkle. Uma breve análise sobre phishing. Revista ComInG-Communications and Innovations Gazette, v. 6, n. 1)

[16] NIC.br. Fuja do SMS: saiba quais autenticadores 2FA são mais seguros. São Paulo: Núcleo de Informação e Coordenação do Ponto BR, 20 abr. 2023. Disponível em: <https://nic.br/noticia/na-midia/fuja-do-sms-saiba-quais-autenticadores-2fa-sao-mais-seguros/>. Acesso em: 18 de maio de 2025.

[17] BRASIL. Secretaria de Comunicação Social. Polícia Federal investiga fraudes em contas vinculadas à plataforma Gov.br. Brasília: Gov.br, 10 maio 2025. Disponível em: <https://www.gov.br/secom/pt-br/assuntos/noticias/2025/05/policia-federal-investiga-fraudes-em-contas-vinculadas-a-plataforma-gov.br>. Acesso em: 18 de maio de 2025.

[18] OLHAR ALERTA. Criminosos invadem contas na plataforma Gov.br para fazer empréstimos e procurações com dados das vítimas. Olhar Alerta, 26 de abril de 2024. Disponível em: <https://www.olharalerta.com.br/noticia/85118/criminosos-invadem-contas-na-plataforma-govbr-para-fazer-emprestimos-e-procuracoes-com-dados-das-vitimas>. Acesso em: 18 de maio 2025.

[19] DE MELO FURTADO, Ulisses; JACINTO, Kleber. E-Gov e sua importância na desburocratização administração pública. Holos, v. 5, p. 63.