Sua conclusão está corretíssima: há fortíssimos indícios de que se trata de um golpe.
Embora cartórios de protesto e a Procuradoria Geral do Estado (PGE) sejam instituições reais, a dinâmica descrita é característica de fraudes que utilizam dados públicos para conferir veracidade a cobranças falsas.
Sinais de Alerta (Red Flags)
Falta de Inscrição e Territorialidade: O ICMS é um imposto estadual. Se o contribuinte de MS não opera em SP (não possui inscrição estadual lá, nem realizou operações interestaduais tributadas para aquele estado), não há fato gerador para a cobrança.
Ausência de Notificação Prévia: Débitos de ICMS não "caem" direto no cartório. Antes do protesto, o contribuinte obrigatoriamente recebe notificações da Secretaria da Fazenda (SEFAZ-SP) e, posteriormente, da Dívida Ativa (PGE-SP).
Boletos por Correio/E-mail: Cartórios de Protesto de SP costumam enviar intimações, e não o boleto pronto para pagamento com o layout da dívida. O pagamento geralmente é feito via guia oficial após o devedor se identificar no sistema do cartório.
Anacronismo Cobrar agora um ICMS de 05/2021 (quase 5 anos depois) sem qualquer histórico de fiscalização anterior é uma tática comum para criar urgência sob o medo da prescrição.
Como Validar a Veracidade (Sem Pagar)
Antes de qualquer ação, oriente seu cliente a usar apenas os canais oficiais:
CENPROT-SP: Acesse o site oficial do Cenprot-SP (Central de Protesto do Estado de São Paulo). Consulte o CNPJ do cliente. Se não houver registro lá, o boleto é 100% falso.
Dívida Ativa da PGE-SP: Consulte o CNPJ no portal da Dívida Ativa de São Paulo. Se o débito de ICMS existir, ele aparecerá no sistema do governo.
Verificação do Boleto: Confira os beneficiários finais no momento de simular o pagamento no App do banco (antes de confirmar). Muitas vezes, o nome impresso é o do Cartório, mas o beneficiário real no sistema bancário é um CPF ou uma empresa "fantasma"
O envio de boletos falsos de cartórios é um golpe clássico. Os golpistas usam nomes de tabeliães reais para intimidar a vítima. Como o cliente é do MS e não reconhece a relação jurídica com SP, a recomendação é não pagar e registrar um Boletim de Ocorrência por tentativa de estelionato.
O cliente possui algum certificado digital para que você possa consultar o portal e-CAC da SEFAZ de São Paulo e descartar qualquer "GIA" ou "DIFAL" pendente por lá?