O escritório contábil concentra o que um golpista mais quer: certificado digital das empresas atendidas, acesso aos serviços da Receita em nome delas, folha de pagamento com dados de cada funcionário e o e-mail em que os clientes confiam.
O Código de Ética Profissional do Contador (NBC PG 01) põe entre os deveres guardar sigilo sobre o que o profissional souber em razão do exercício da profissão (item 4, c) e veda prejudicar, por culpa ou dolo, interesse confiado à sua responsabilidade (item 5, i). Não há norma do CFC que exija teste de segurança, mas a LGPD vale por inteiro: o escritório trata, em geral como operador, dados dos clientes e dos empregados deles, e a folha e o eSocial podem incluir dado pessoal sensível, como filiação a sindicato e informações de saúde ligadas a afastamentos (art. 5º, II). O operador responde solidariamente quando descumpre a lei ou as instruções do cliente (art. 42, § 1º, I). O risco técnico mais concentrado é o certificado A1: pela descrição oficial do governo, ele é um arquivo, vale por um ano e pode ser instalado em vários computadores por cópia, o que é prático e perigoso quando dezenas de certificados de clientes ficam numa pasta compartilhada. Para os serviços da Receita Federal, existem as Autorizações de Acesso (antiga procuração digital), em que o cliente autoriza o contador a usar serviços específicos em nome dele. O teste verifica onde estão os certificados, quem acessa, se o e-mail pode ser falsificado e o que um invasor alcança a partir de uma estação comprometida.
O que você recebe
- Levantamento de onde estão os certificados digitais dos clientes e de quem consegue copiá-los
- Pentest da rede do escritório, do servidor de arquivos, do backup e do acesso remoto
- Avaliação do e-mail e do domínio: MFA, SPF, DKIM e DMARC
- Teste do portal do cliente e do sistema contábil em nuvem, quando houver
- Simulação de phishing com a equipe, imitando cobranças e avisos falsos, se contratada
- Relatório para os sócios, com plano de correção e reteste
O que cobrimos
Certificados digitais
Arquivos A1 de clientes, senhas, pastas compartilhadas e máquinas onde estão instalados.
Acesso em nome do cliente
Uso do certificado do cliente versus Autorizações de Acesso no portal da Receita.
Rede e arquivos
Servidor, backup, acesso remoto e estações da equipe.
E-mail e pessoas
Domínio falsificável, contas sem MFA e reação a cobranças e avisos falsos.
Indicado para
- Escritórios contábeis com carteira de empresas e folha de pagamento
- Escritórios que guardam certificados A1 de clientes
- BPOs financeiros e de departamento pessoal
- Escritórios em que cliente ou funcionário já foi alvo de golpe por e-mail ou mensagem
Como conduzimos
Inventário
Onde estão certificados, documentos e senhas, e quem acessa cada coisa.
Rede e estações
Teste do servidor, do backup e do acesso remoto, partindo de uma estação comum.
E-mail e domínio
Verificamos se dá para falsificar ou invadir a comunicação do escritório.
Relatório para os sócios
Riscos em linguagem direta, priorizados por impacto e custo de correção.
Reteste
Confirmação das correções.
Perguntas Frequentes
O CFC exige teste de segurança do escritório contábil?
Não há norma do CFC que exija pentest. O Código de Ética (NBC PG 01) impõe o dever de sigilo sobre o que o contador sabe em razão da profissão (item 4, c), e a LGPD exige medidas de segurança aptas a proteger os dados pessoais (art. 46). O teste mostra se essas medidas funcionam.
Guardar o certificado A1 do cliente no escritório é um risco?
É o ponto mais sensível. O A1 é um arquivo, válido por um ano, que pode ser instalado em vários computadores por cópia. Quem copia o arquivo e a senha consegue agir em nome da empresa até o certificado vencer ou ser revogado. O teste verifica se um invasor ou alguém de dentro consegue copiar esses arquivos.
Existe alternativa a usar o certificado do cliente?
Para os serviços da Receita Federal, sim: as Autorizações de Acesso (antiga procuração digital), em que o cliente autoriza o contador a usar serviços específicos ou todos, com conta gov.br prata ou ouro. A autorização só vale depois que o contador confirma e pode ser cancelada a qualquer momento por qualquer das partes.
Que golpes atingem escritórios de contabilidade?
Mensagens que imitam órgãos e entidades da profissão são frequentes. Em setembro de 2026, o CFC alertou para mensagens que imitam o Sistema CFC/CRCs cobrando anuidades atrasadas, com links e boletos. Do lado do cliente, um e-mail falso em nome do escritório, com guia ou boleto adulterado, tem o mesmo efeito.
Quem responde se o dado do cliente vazar pelo escritório?
Pela LGPD, o operador responde solidariamente pelos danos quando descumpre as obrigações da lei ou não segue as instruções lícitas do controlador (art. 42, § 1º, I). O Código de Ética também veda prejudicar, por culpa ou dolo, interesse confiado ao contador (NBC PG 01, item 5, i).
Escritório pequeno precisa disso?
O número de certificados e de dados guardados não depende do tamanho da equipe. O escopo é ajustado ao porte e começa pelos certificados e pelo e-mail, onde está o maior risco.