Alterar o destino é um ato de custódia — e deve ser assinado

O campo «destino» não é um detalhe administrativo

Mudar o destino altera quem pode receber a mercadoria, que rota é legítima, onde termina a responsabilidade do transportador e que interveniente assume a custódia seguinte. Se essa decisão existir apenas num email, numa chamada ou num campo sobrescrito no TMS, uma instrução fraudulenta pode parecer uma atualização normal. A pergunta deixa de ser apenas «qual é o novo endereço?» e passa a ser «quem teve autoridade para redirecionar este lote, com que prova e sob que condições?».

Cada alteração deve produzir um novo ato assinado

Em vez de editar silenciosamente o registo anterior, o sistema deve criar um evento imutável com o identificador do lote, destino anterior, novo destino, motivo, entidade e pessoa requerentes, hora, número de sequência, política de aprovação aplicada e referência criptográfica ao evento precedente. A assinatura digital liga a declaração a uma identidade e permite detetar alterações posteriores; não substitui a verificação da autoridade dessa pessoa para tomar a decisão.

Autenticação forte antes da assinatura

Uma assinatura só é tão fiável quanto o controlo da conta e da chave que a produziu. Uma mudança de destino deve exigir autenticação reforçada proporcional ao risco: pelo menos dois fatores para operações sensíveis, confirmação explícita do conteúdo a assinar e, em cargas de elevado valor ou rotas de alto risco, autenticadores resistentes a phishing e chaves protegidas por hardware. As orientações NIST SP 800-63B distinguem níveis de garantia e exigem dois fatores no AAL2; no AAL3, exigem autenticação resistente a phishing com chave não exportável. Estes níveis são uma referência técnica, não uma obrigação universal para o transporte.

Autenticar não basta: é preciso autorizar

O sistema deve verificar se o signatário representa uma organização autorizada, se a sua função permite alterar aquele lote e se o valor, produto ou corredor exige dupla aprovação. A regra dos quatro olhos pode combinar o expedidor com o proprietário da mercadoria, ou o operador logístico com um contacto previamente registado do cliente. A aceitação pelo novo destinatário deve gerar outro ato assinado, sem apagar a instrução anterior. Revogações, recusas e correções entram como eventos novos.

A blockchain preserva a sequência ligada ao lote

Cada ato pode ser guardado fora da cadeia com controlo de acesso, enquanto o seu hash, identificador, versão e hora ficam ancorados na blockchain. Assim, dados comerciais sensíveis permanecem seletivamente partilhados, mas qualquer auditor autorizado consegue verificar se o documento apresentado é o mesmo que foi assinado e qual evento o antecedeu. A blockchain não prova que o signatário tinha razão nem impede uma credencial comprometida; torna a sequência, as alterações e os conflitos mais difíceis de ocultar.

Um fluxo operacional de sete passos

• Identificar o lote, a unidade de carga, o destino vigente e a versão do plano.
• Receber o pedido apenas por um canal autenticado, nunca por resposta livre a um email.
• Mostrar ao requerente o destino anterior, o novo destino, o motivo e o impacto antes da confirmação.
• Aplicar autenticação reforçada e políticas de autorização ou dupla aprovação.
• Assinar o ato, ligar o hash ao evento anterior e ancorar a prova na blockchain.
• Transmitir a instrução ao transportador e obter aceitação assinada do novo custodiante.
• Comparar a instrução digital com localização, geofence, porta, selo e hora; qualquer divergência abre uma exceção.

A direção europeia já favorece dados autenticados e auditáveis

O Regulamento eFTI cria um quadro para informação eletrónica de transporte de mercadorias. A Comissão Europeia descreve plataformas certificadas, ligações seguras, acesso por parceiros autorizados e partilha seletiva; o resumo EUR-Lex acrescenta acesso autenticado, registos de operações e proteção dos dados contra corrupção e roubo. O eFTI não impõe blockchain nem transforma automaticamente uma mudança de destino num ato de custódia, mas confirma a direção: dados de transporte estruturados, controlados e auditáveis.

A prova digital deve chegar à estrada

A instrução assinada define a intenção legítima; a telemetria verifica a execução. Se o veículo abandona a rota autorizada antes de existir um ato válido, se a porta abre num local incompatível ou se a unidade de carga segue para outro geofence, o sistema deve bloquear a aceitação automática e alertar intervenientes previamente validados. Esta ligação entre decisão e comportamento reduz o intervalo em que um desvio fraudulento pode parecer normal.