Certidão falsa do registo comercial: deteção de fraude KYB

Uma certidão permanente do registo comercial falsificada é hoje um dos instrumentos mais eficazes de fraude KYB em Portugal, porque explora a confiança que muitas equipas de onboarding depositam num PDF bem formatado. Os burlões não precisam de recriar o sistema do Instituto dos Registos e do Notariado (IRN): basta um documento genuíno editado, um código de acesso nunca verificado na fonte, ou uma certidão desatualizada que omite uma insolvência recente. Este artigo é o complemento de deteção de fraude ao nosso guia sobre como verificar uma certidão do registo comercial online, focando-se em como o documento é adulterado e como uma equipa de compliance o identifica antes de aceitar uma contraparte.

Este artigo é fornecido apenas para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulamentar. As referências regulamentares são exatas à data de publicação. Consulte um profissional qualificado para orientação adaptada à sua situação.

O que é uma certidão permanente e porque é central no KYB

A certidão permanente do registo comercial é o documento eletrónico emitido através do IRN, acessível em tempo real via certidaopermanente.pt, que comprova a existência jurídica de uma sociedade portuguesa e reúne os dados essenciais para qualquer processo de conhecimento da contraparte empresarial (Know Your Business). Nela constam a denominação social, o NIPC, a sede social, o objeto social, o capital social, os gerentes ou administradores em funções e a situação jurídica da entidade, incluindo processos de insolvência ou dissolução em curso.

Para uma equipa de compliance que faz onboarding B2B — abrir conta bancária empresarial, aprovar um fornecedor, formalizar um contrato de leasing ou aceitar um novo cliente corporativo — a certidão permanente é frequentemente o primeiro e único documento oficial consultado sobre a estrutura societária da contraparte. Isso torna-a um alvo prioritário de fraude documental precisamente porque a maioria dos processos de onboarding aceita o PDF recebido sem repetir a consulta direta no portal oficial com o código de acesso. Ao contrário de uma fatura, a certidão tem uma particularidade que deveria eliminar a fraude: qualquer pessoa com o código de acesso pode consultá-la em tempo real na fonte. Na prática, é precisamente esse passo que costuma ser ignorado.

Como os burlões falsificam certidões do registo comercial

Quatro padrões de falsificação dominam os casos identificados por equipas de compliance e por alertas institucionais em Portugal.

O primeiro é a edição de um PDF genuíno: o burlão obtém uma certidão real (a sua própria, ou uma de terceiros com dados públicos conhecidos) e altera digitalmente campos específicos — nome dos gerentes, sede social, capital social ou objeto social — mantendo o layout, os logótipos e o código de acesso original impressos no documento. Como o código continua a ser o de uma certidão verdadeira, uma verificação superficial que apenas confirme "existe um código", sem recuperar o conteúdo atual através dele, não deteta a alteração.

O segundo padrão é a fabricação integral de uma certidão a partir de um modelo que imita a formatação do IRN, com um NIPC real de uma empresa existente (frequentemente inativa ou de fachada) mas com dados de gerência ou sede substituídos pelos do burlão. Este esquema é eficaz contra equipas que validam apenas se o NIPC "existe" no Portal das Finanças, sem cruzar o nome dos representantes legais com o registo comercial.

O terceiro padrão, mais subtil, é a apresentação de uma certidão autêntica mas desatualizada, obtida legitimamente há alguns meses, que não reflete uma insolvência, uma penhora ou uma alteração de gerência entretanto registada. Como a certidão permanente é atualizada em tempo real na fonte mas o PDF descarregado é uma fotografia estática desse momento, um documento tecnicamente genuíno pode já não corresponder à realidade registal no dia em que é apresentado à contraparte.

O quarto padrão explora a confusão institucional: o próprio Instituto dos Registos e Notariado alertou publicamente para a existência de sites não oficiais que imitam a tramitação de certidões de registo comercial e cobram valores superiores aos praticados oficialmente, explorando a mesma falta de verificação direta na fonte oficial (IRN, alerta sobre sites e pedidos de pagamento fraudulentos). Casos reportados no Portal da Queixa confirmam reclamações de utilizadores que pensavam pagar ao serviço oficial e foram cobrados por intermediários sem ligação ao IRN.

Esquemas de fraude que a certidão falsificada viabiliza

Uma certidão do registo comercial adulterada raramente é o objetivo final; é o instrumento que permite consumar outra fraude maior. Três esquemas recorrentes envolvem este documento.

Na usurpação de identidade de fornecedor, frequentemente associada à fraude do CEO ou fraude do presidente, o burlão apresenta-se como representante de um fornecedor existente, utilizando uma certidão com gerentes alterados para justificar uma mudança de conta bancária de pagamento. A empresa vítima paga faturas legítimas para uma conta controlada pelo burlão, convencida de que a alteração foi comunicada por um representante legalmente habilitado.

Na subcontratação fictícia, comum em construção e serviços com vários níveis de subempreitada, uma sociedade de fachada com certidão fabricada ou adulterada é interposta na cadeia contratual para faturar serviços nunca prestados, explorando o facto de o contratante principal raramente cruzar a certidão do subcontratado com o registo central do beneficiário efetivo.

No branqueamento de capitais através de sociedades de fachada, uma certidão que oculta a verdadeira estrutura de controlo — administradores testa de ferro, capital social nominal sem atividade real subjacente — permite abrir contas empresariais e movimentar fundos com uma aparência de legitimidade que não resiste a um cruzamento com o registo central do beneficiário efetivo, previsto na Lei n.º 89/2017.

Como as equipas de compliance detetam certidões falsificadas

A deteção eficaz assenta em cruzar o documento recebido com fontes independentes, em vez de avaliar apenas a sua aparência visual.

A verificação mais determinante consiste em introduzir o código de acesso da certidão diretamente no portal oficial de certidaopermanente.pt ou no Portal da Justiça, e não confiar no PDF recebido por email, porque esta consulta recupera sempre a versão atual dos dados registados junto do IRN, tornando irrelevante qualquer edição feita ao ficheiro entregue à contraparte. Um código de acesso que não devolve resultado, que devolve dados de uma empresa diferente da esperada, ou cujo conteúdo diverge do PDF apresentado é um sinal inequívoco de manipulação.

Segue-se o cruzamento do NIPC com o Portal das Finanças, para confirmar que corresponde à mesma entidade e está em situação de atividade regular, e a comparação dos nomes de gerentes ou administradores apresentados com os que constam da certidão consultada na fonte, não do documento recebido. A verificação da data de emissão é igualmente relevante: uma certidão com mais de alguns meses deve ser tratada com reserva, sobretudo quando a contraparte evita fornecer o código de acesso.

A análise de metadados do ficheiro PDF — software de edição, datas de criação e modificação, camadas de texto sobrepostas ao conteúdo original — permite identificar edições posteriores à emissão aparente, especialmente quando o código de acesso não pode ser verificado. Anomalias tipográficas e de layout, como fontes inconsistentes com o padrão do IRN ou espaçamentos irregulares nos campos alterados, complementam esta análise.

O que perguntam as equipas de compliance e onboarding

Em fóruns especializados de compliance é frequente a pergunta sobre até que ponto vale a pena confiar numa certidão permanente recebida por email quando o parceiro comercial nunca chegou a fornecer o código de acesso, apenas o PDF em anexo. A resposta prática é que, sem código verificável na fonte, a certidão deve ser tratada como não confirmada, e a solicitação do código deve ser requisito de onboarding, não uma opção deixada ao critério da contraparte.

Uma segunda questão recorrente, sobretudo entre equipas que gerem fornecedores em cadeias de subcontratação, é como distinguir uma sociedade jovem e legítima, com pouco histórico registal, de uma sociedade de fachada criada para um esquema fraudulento. Aqui a resposta está menos na certidão isolada e mais no cruzamento com o registo central do beneficiário efetivo e com o histórico de depósito de contas: ausência de depósito, capital social mínimo e gerência alterada pouco antes do contacto comercial justificam diligência reforçada, independentemente da idade da empresa.

Enquadramento legal em Portugal

Falsificar ou alterar uma certidão do registo comercial configura o crime de falsificação de documento previsto no artigo 256.º do Código Penal português. Este artigo pune quem fabrica, falsifica ou altera documento, ou usa documento falsificado, com pena de prisão até três anos ou multa, agravada de seis meses a cinco anos quando o documento tem especial valor probatório, como é o caso de um documento autêntico (Diário da República Eletrónico, Código Penal, texto consolidado). Quando a certidão é usada para induzir um parceiro comercial em erro e obter vantagem patrimonial, acresce tipicamente o crime de burla, previsto no artigo 217.º do mesmo código, agravável nos termos do artigo 218.º consoante o valor do prejuízo.

Do lado das entidades sujeitas a obrigações de prevenção do branqueamento de capitais, a Lei n.º 83/2017, de 18 de agosto, impõe deveres de identificação e diligência sobre as contrapartes empresariais, incluindo a verificação da estrutura societária e dos beneficiários efetivos antes de estabelecer qualquer relação de negócio. O artigo 11.º da Lei n.º 83/2017 estabelece o dever de identificação e diligência como obrigação geral das entidades obrigadas, entre as quais instituições financeiras e sociedades de leasing, sob supervisão do Banco de Portugal para o setor financeiro (Diário da República, Lei n.º 83/2017). Uma certidão aceite apenas com base na aparência do PDF, sem verificação direta na fonte, dificilmente satisfaz este dever em caso de fiscalização.

Metodologia de deteção e o papel da análise por IA

Detetar uma certidão do registo comercial falsificada raramente depende de um único sinal isolado; depende de cruzar múltiplas fontes de forma sistemática, algo que a verificação manual dificilmente consegue escalar. Segundo o relatório de referência da indústria, a deteção manual identifica cerca de 37% dos casos de fraude ocupacional, com um atraso mediano de 87 dias até à descoberta (ACFE, Occupational Fraud 2024: A Report to the Nations), um intervalo de tempo que, num contexto de onboarding B2B, é suficiente para que uma fraude do fornecedor ou uma subcontratação fictícia gere prejuízo real antes de ser detetada.

A abordagem da CheckFile combina análise estrutural, verificação de metadados e validação cruzada entre documentos, aplicada a mais de 3.200 tipos de documentos em 32 jurisdições. Esta metodologia permite cruzar automaticamente a certidão apresentada com os dados recuperados via código de acesso e com outras fontes registais, sem depender apenas da leitura visual do PDF submetido. A deteção de sinais de geração por inteligência artificial funciona como camada complementar de deteção, não como substituto do cruzamento direto com o registo comercial: um documento gerado ou editado com ferramentas de IA pode reproduzir de forma convincente o layout do IRN, mas continua a apresentar incoerências estruturais, tipográficas ou de metadados detetáveis por uma análise dedicada.

Este princípio de cruzamento sistemático aplica-se igualmente a outros documentos usados em fraude de financiamento B2B, como as demonstrações financeiras falsas usadas em fraude de financiamento empresarial. Para o processo completo de verificação da certidão, consulte o nosso guia de verificação da certidão do registo comercial online, para uma visão mais alargada do processo KYB, o guia completo de verificação de entidade empresarial, e para os controlos por setor, o guia de verificação documental por setor.

Passe à ação

Uma certidão do registo comercial isolada, por mais autêntica que pareça, nunca deveria ser o único ponto de decisão num onboarding B2B. CheckFile.ai integra a verificação cruzada de certidões permanentes com outras fontes documentais num único fluxo automatizado, aplicável tanto a novas contrapartes como à monitorização contínua de fornecedores ativos. Consulte a segurança e conformidade para o detalhe dos controlos aplicados aos dados registais sensíveis, os planos e preços, e a nossa solução para financiamento e leasing, setor particularmente exposto a este tipo de fraude. Para perceber como os sinais de geração por IA se integram como complemento aos seus controlos existentes, consulte a página dedicada à deteção de conteúdos gerados por IA.

Perguntas frequentes

Como sei se uma certidão permanente que me enviaram é verdadeira?

A forma mais fiável é pedir o código de acesso e consultá-lo diretamente em certidaopermanente.pt ou no Portal da Justiça, em vez de confiar no PDF recebido. Se o código não devolver os mesmos dados do documento apresentado, ou a contraparte recusar fornecê-lo, trate a certidão como não verificada.

Um NIPC válido no Portal das Finanças garante que a certidão é genuína?

Não. Um NIPC pode ser real e pertencer a uma empresa existente, enquanto os dados de gerência, sede ou capital social apresentados na certidão foram alterados. A validade fiscal do NIPC confirma apenas que o número existe, não que o conteúdo do documento apresentado corresponde ao registo comercial atual.

Que pena arrisca quem falsifica uma certidão do registo comercial em Portugal?

Responde por falsificação de documento nos termos do artigo 256.º do Código Penal, com pena de prisão até três anos ou multa, agravada até cinco anos quando o documento tem especial valor probatório. Se a certidão falsificada serviu para induzir um parceiro comercial em erro e obter vantagem patrimonial, pode acrescer o crime de burla.

Uma certidão emitida há poucos meses pode já estar desatualizada?

Sim. A certidão permanente reflete a informação em tempo real apenas quando consultada diretamente na fonte através do código de acesso; o PDF descarregado é uma fotografia estática do momento de emissão. Uma insolvência, penhora ou alteração de gerência registada depois dessa data não aparece no documento já emitido, por isso a consulta direta continua a ser indispensável mesmo perante uma certidão recente.

As equipas de compliance são obrigadas por lei a verificar a certidão do registo comercial das contrapartes?

As entidades obrigadas ao abrigo da Lei n.º 83/2017 têm um dever geral de identificação e diligência sobre as suas contrapartes empresariais antes de estabelecer uma relação de negócio, o que inclui confirmar a estrutura societária e os representantes legais. Aceitar uma certidão sem verificação direta na fonte dificilmente satisfaz este dever em caso de fiscalização pelo Banco de Portugal ou por outro supervisor competente.