Conta gov.br: a nova chave mestra e o próximo alvo da fraude

Em maio de 2025, a Polícia Federal deflagrou a Operação Face Off contra um grupo que burlava o reconhecimento facial do gov.br. Segundo a PF, os criminosos simulavam o rosto de outras pessoas para entrar nas contas das vítimas e assumiam “o controle total dos perfis e, consequentemente, dos serviços públicos e de informações pessoais sensíveis”. Foram cumpridos mandados em nove estados.

O caso passou rápido pelo noticiário. Não deveria. Ele mostra, em pequena escala, o problema que vai definir a fraude no Brasil nos próximos anos: o país concentrou a identidade, o dinheiro e a assinatura do cidadão atrás de um único login.

A tese deste artigo é direta. A conta gov.br virou a chave mestra da vida civil e financeira do brasileiro. Quem controla essa conta consegue contratar crédito, assinar documentos com validade jurídica, abrir empresa, consultar a declaração de Imposto de Renda e mexer em benefícios. Isso é um avanço enorme de cidadania digital. E é, ao mesmo tempo, o alvo mais valioso que um fraudador pode ter.

Como fiz no artigo sobre deepfakes e o fim da prova sensorial, separo o que já é fato, o que é tendência e o que é projeção. A distinção importa, porque o tema atrai alarmismo, e alarmismo não protege ninguém.

O que já é fato, e não previsão

A escala é inédita. Em março de 2026, o Ministério da Gestão e da Inovação em Serviços Públicos (MGI) anunciou que o gov.br chegou a 175 milhões de usuários, com mais de 4.600 serviços federais e cerca de 1 bilhão de acessos só em janeiro e fevereiro. As contas nível ouro, que liberam todos os serviços, saltaram de 32 milhões em dezembro de 2022 para 83,4 milhões.

A conta assina. A assinatura gov.br processa cerca de 1,1 milhão de assinaturas por dia. O total já passou de 548 milhões, e só no primeiro semestre de 2026 foram 143,5 milhões. Pela Lei 14.063/2020, trata-se de assinatura eletrônica avançada, aceita em grande parte das interações com o poder público e usada no dia a dia em contratos, procurações e transferência de veículos.

A conta dá crédito. O Crédito do Trabalhador, consignado para empregados com carteira assinada contratado pela Carteira de Trabalho Digital, completou um ano em março de 2026 com R$ 117,1 bilhões em empréstimos, segundo o Ministério do Trabalho e Emprego. O consignado de aposentados e pensionistas, por sua vez, é acompanhado pelo Meu INSS. Os dois passam pela mesma porta de entrada.

A proteção ainda é opcional. Em julho de 2025, o próprio MGI informou que apenas 25% dos titulares de contas ouro usavam a verificação em duas etapas. Na mesma ocasião, a subsecretária de Governo Digital, Luanna Roncaratti, resumiu o ponto: uma conta gov.br é tão importante quanto uma conta bancária.

A fraude já chegou. Além da Face Off, a PF cumpriu em julho de 2025 mandado contra um suspeito de invadir remotamente uma conta gov.br para contratar empréstimo e cartão consignado em nome de um beneficiário do INSS, conforme noticiou o Metrópoles. E o escândalo dos descontos associativos do INSS, revelado pela Operação Sem Desconto em abril de 2025, mostrou o que acontece quando a autorização do cidadão vira formalidade: a CGU entrevistou 1.273 aposentados e pensionistas, e 97,6% disseram não ter autorizado os descontos. O volume sob suspeita chegou a R$ 6,3 bilhões entre 2019 e 2024.

Esse último caso não envolveu invasão do gov.br. Mas ensina a lição central deste artigo: quando um sistema confia numa autorização que ninguém confere, a fraude cresce em silêncio até virar bilionária.

Esse é o ponto de partida. Agora, a direção.

Cinco vetores que vão definir os próximos anos

1. Um login, todas as portas

Antes, o golpista precisava de vários golpes: um para o banco, outro para o INSS, outro para o cartório. Hoje, uma única conta abre quase tudo. Em segurança da informação, isso tem nome: ponto único de falha. Na lógica do crime, tem outro: retorno sobre o investimento.

A consequência é que uma conta ouro tende a valer, no mercado criminoso, muito mais do que uma senha de banco. Ela não dá acesso a um saldo. Dá acesso a uma pessoa inteira.

2. A assinatura que já nasce com cara de verdadeira

Quando alguém assina com o gov.br, o documento nasce com aparência de legitimidade. Uma procuração, uma alteração de contrato social, um termo de transferência de veículo. Se a conta foi tomada, a vítima vai precisar provar que não assinou algo que, tecnicamente, saiu da conta dela.

Isso inverte a lógica a que estamos acostumados nos golpes bancários. Lá, o banco precisa justificar por que deixou passar uma operação fora do padrão. Aqui, a vítima corre o risco de ter de desconstruir uma assinatura com validade legal. Prevejo um aumento expressivo de ações declaratórias de inexistência de negócio jurídico apoiadas exatamente nesse ponto.

3. O crédito plugado na identidade

O consignado é o crédito mais seguro para o banco porque a parcela sai direto da folha ou do benefício. Pela mesma razão, é o mais atraente para o fraudador: ele recebe o dinheiro, e a dívida se paga sozinha, todo mês, com o salário ou a aposentadoria de quem nunca contratou nada.

Com o consignado privado operando pela Carteira de Trabalho Digital, o universo de vítimas possíveis deixou de ser formado só por aposentados. Passou a incluir dezenas de milhões de trabalhadores com carteira assinada.

4. O rosto deixou de ser prova

O nível ouro se apoia em reconhecimento facial comparado com bases oficiais, na leitura da Carteira de Identidade Nacional ou em certificado digital. A Face Off mostrou que a biometria facial pode ser contornada. E, como escrevi no artigo anterior, a tecnologia para imitar um rosto fica mais barata a cada trimestre.

A biometria tem um problema que a senha não tem: não dá para trocar. Um rosto copiado continua sendo o seu rosto pelo resto da vida.

5. A recuperação de conta vira a porta dos fundos

Toda conta precisa de um caminho para ser recuperada quando o titular perde o acesso. Esse caminho é, por definição, menos exigente que o login normal. É ali que a engenharia social vai se concentrar: a falsa prova de vida, o falso servidor do INSS, a falsa central do gov.br pedindo “só o código que chegou no seu celular”. Em setembro de 2026, o INSS voltou a alertar os segurados sobre mensagens falsas de prova de vida. Elas são a ponta visível desse movimento.

Quem paga quando a chave mestra é roubada?

É aqui que o Direito ainda não chegou, e vai ter de chegar.

Há três personagens nessa história: o cidadão; o Estado, que opera a plataforma; e o banco ou a empresa que confiou na autenticação do gov.br para conceder crédito ou aceitar uma assinatura. Hoje, cada processo discute só um pedaço do problema.

O Estado responde de forma objetiva (art. 37, § 6º, da Constituição), e a Justiça Federal já aplica essa regra a plataformas digitais. Em 2022, a 6ª Turma do TRF-3 condenou a União por fraude no Portal do Empreendedor, em que terceiros abriram um MEI com os dados de uma vítima. Para o tribunal, a responsabilidade decorria de oferecer um serviço facilmente suscetível a fraude (AC 5001545-03.2017.4.03.6144). Em fevereiro de 2026, o TRF-3 manteve a condenação do INSS por um consignado fraudulento descontado sem que a autarquia verificasse a autorização expressa do beneficiário, exigida pela Lei 10.820/2003 (AC 0001151-78.2015.4.03.6006).

O banco responde pelo fortuito interno (art. 14 do CDC e Súmula 479 do STJ). A pergunta que vai dominar os processos é se “a operação foi autenticada pelo gov.br” basta como defesa. Na minha leitura, não basta. A autenticação é indício de autoria, não prova absoluta. Se a contratação fugiu do perfil do cliente, o dever de identificar e barrar a operação atípica continua existindo.

E a LGPD vale para o poder público. A ANPD já condenou o INSS, em 2024, por não comunicar aos titulares um incidente de segurança. Quanto mais poderes a conta concentra, maior o dever de quem a guarda, e maior a exposição de quem falhar.

Minha projeção é que, até 2030, teremos ações em que União, INSS e instituições financeiras aparecem juntos no polo passivo, cada um tentando atribuir o prejuízo ao outro. No meio, a vítima, tendo de provar que não foi ela.

O que outros países estão fazendo

A União Europeia aprovou o Regulamento (UE) 2024/1183, que obriga cada Estado-membro a oferecer uma carteira europeia de identidade digital até o fim de 2026. Antes de entrar em uso, essas carteiras precisam passar por avaliação de conformidade e certificação de segurança. O modelo europeu parte do pressuposto de que a identidade digital é infraestrutura crítica.

O Brasil chegou antes na escala, o que é mérito. Mas ainda trata a camada extra de proteção como escolha do usuário.

O que fazer agora, antes que o cenário se consolide

Para você e sua família:

• Ative a verificação em duas etapas no aplicativo gov.br. Ela exige um código gerado no app a cada acesso, mesmo que alguém tenha sua senha.
• Revise os dispositivos autorizados na conta e remova o que não reconhecer.
• Nunca informe código recebido por SMS, e-mail ou aplicativo a quem ligar dizendo ser do INSS, do gov.br ou do banco.
• Consulte com frequência o Meu INSS, a Carteira de Trabalho Digital e o Registrato, do Banco Central, para ver empréstimos e contas em seu nome.
• Faça isso também com os mais velhos da família. Eles são o alvo preferencial.

Para empresas e instituições financeiras:

• Não tratar o selo ouro como prova suficiente para operações de alto valor. Somar camadas próprias de verificação e análise de comportamento.
• Monitorar contratações de consignado fora do padrão do cliente com o mesmo rigor aplicado a qualquer transação atípica.
• Guardar os registros de autenticação: data, dispositivo, endereço IP e nível da conta. Numa disputa judicial, é essa prova que vai pesar.
• Revisar contratos e procurações assinados apenas com gov.br quando envolverem valores altos ou mudança de controle societário.

Para o poder público, três medidas fariam diferença imediata: tornar obrigatória a verificação em duas etapas nas contas ouro, avisar o cidadão a cada assinatura e a cada contratação de crédito feita pela conta, e criar um canal de bloqueio rápido, como já existe para cartões.

Conclusão

O gov.br é uma das maiores conquistas do serviço público brasileiro. Nada neste artigo é argumento contra ele. É argumento para protegê-lo à altura do que ele se tornou.

Durante décadas, o documento mais importante que um brasileiro carregava era o RG na carteira. Hoje é uma senha, um rosto e um celular. Quem perde os três perde muito mais do que dinheiro: perde a capacidade de provar quem é. E um sistema jurídico que ainda pede à vítima que prove o que não fez vai ter de se adaptar depressa.

Se você teve a conta gov.br invadida ou descobriu um empréstimo que não contratou, conheça nosso atendimento em fraude bancária ou me chame no WhatsApp. Para empresas: pardimorais.com.br/empresas.

Referências

• Polícia Federal. Operação Face Off, 13/5/2025, conforme Agência Brasil.
• Ministério da Gestão e da Inovação em Serviços Públicos. GOV.BR alcança a marca de 175 milhões de usuários, março de 2026.
• Correio Braziliense. GOV.BR supera 548 milhões de assinaturas digitais em 2026, 2/7/2026.
• Convergência Digital. GOV.BR: 25% das pessoas da conta Ouro usam verificação em duas etapas, julho de 2025.
• Ministério do Trabalho e Emprego. Crédito do Trabalhador completa um ano com R$ 117,1 bilhões em empréstimos, março de 2026.
• Metrópoles. Consignado forjado: golpista invadiu conta Gov.br e fez empréstimo, julho de 2025.
• Controladoria-Geral da União. Operação Sem Desconto, 23/4/2025, e relatório de auditoria sobre descontos associativos, conforme CartaCapital.
• TRF-3, 6ª Turma, Apelação Cível 5001545-03.2017.4.03.6144, conforme Conjur, 23/5/2022.
• TRF-3, Apelação Cível 0001151-78.2015.4.03.6006, conforme Conjur, 16/2/2026.
• ANPD. Decisão sancionadora contra o INSS, conforme Migalhas, 5/2/2024.
• Constituição Federal, art. 37, § 6º. Lei 14.063/2020, art. 4º. Lei 10.820/2003. Código de Defesa do Consumidor, art. 14. Súmula 479 do STJ. Lei 13.709/2018 (LGPD).
• Regulamento (UE) 2024/1183 (European Digital Identity Framework).

Sobre os autores

Danilo Pardi é advogado e sócio-fundador da Pardi e Morais. Atua em direito digital, proteção de dados e cibersegurança, com foco em prevenção e resposta a fraudes. Pós-graduado em Direito Digital e Compliance pelo IBMEC, especialista em Privacidade e Proteção de Dados pelo Data Privacy Brasil, professor do módulo Legal no MBA em Empreendedorismo Digital da IEBS Business School e membro da ANPPD.

Afonso Morais é advogado (OAB/SP 77.133) e sócio-fundador da Pardi e Morais, formado pela PUC-SP. Há mais de 40 anos atua em direito bancário, recuperação de crédito e litígios financeiros complexos. É criador e apresentador do podcast Falando de Fraudes, com mais de 115 episódios, colunista semanal do portal Diário do País e colaborador do quadro Alerta de Fraudes, do programa Trocando em Miúdos.

A Pardi e Morais é uma boutique jurídica de Alphaville (SP) dedicada a fraudes digitais e golpes financeiros, com atendimento em todo o Brasil.

Este artigo tem caráter informativo e não substitui a análise de um caso concreto. Foto: Filip Szalbot / Unsplash.

Este artigo também está no portal Falando de Fraudes, iniciativa da Pardi e Morais com alertas diários sobre golpes.