O celular brasileiro está prestes a ganhar uma camada extra de identificação contra golpes por mensagem. A Anatel determinou que as operadoras bloqueiem SMS corporativos enviados por códigos curtos que não estejam vinculados a empresas cadastradas. A decisão foi publicada em 4 de novembro de 2026 e cria prazos para cadastro público, monitoramento automático e rastreabilidade dos envios.
A notícia interessa a qualquer pessoa que receba código de autenticação, aviso bancário, confirmação de compra ou comunicado de uma empresa por SMS. Também afeta desenvolvedores, equipes de produto e negócios que usam mensagens para login, recuperação de conta e autorização de transações. Segundo o Tecnoblog, a medida integra um novo conjunto de regras para dificultar mensagens falsas que imitam bancos, lojas e serviços públicos.
O bloqueio não será imediato. As operadoras terão de adaptar sistemas, validar remetentes e publicar informações antes que a regra atinja códigos não cadastrados. O processo deve reduzir uma das fragilidades mais exploradas em golpes por SMS: a dificuldade de saber quem realmente enviou a mensagem que aparece na tela.
O que a Anatel decidiu
A decisão se concentra nos chamados SMS A2P, sigla em inglês para mensagens de aplicação para pessoa. É o modelo usado quando uma empresa envia um texto para um consumidor, como um código de uso único, uma confirmação de pedido ou um alerta de segurança. O sistema é diferente de uma conversa comum entre duas pessoas.
Essas mensagens costumam usar códigos curtos, identificadores com poucos dígitos que substituem um número de telefone convencional. O formato é conveniente para o usuário e para as empresas, mas também pode ser explorado por criminosos que tentam fazer uma mensagem falsa parecer legítima. As novas regras vinculam cada identificador a uma pessoa jurídica cadastrada.
Na prática, as operadoras deverão impedir a entrega de SMS corporativos enviados por códigos que não constem no registro. O compartilhamento de um mesmo código poderá ser aceito em situações excepcionais, desde que exista justificativa técnica e que todas as empresas envolvidas apareçam no cadastro. A intenção é tornar mais fácil descobrir quem contratou o envio e quem deve responder por ele.
Como funcionará o cadastro de remetentes
A regra prevê um diretório centralizado e de consulta pública. A gestão poderá ficar a cargo da ABR Telecom, entidade que já participa de sistemas de portabilidade e roaming no país. O cadastro deverá informar a empresa associada a cada código curto utilizado em mensagens corporativas.
Para o consumidor, isso cria uma forma adicional de conferência. Se uma mensagem disser que uma conta foi bloqueada ou que uma compra precisa ser confirmada, será possível consultar o remetente registrado. Essa consulta não transforma toda mensagem cadastrada em comunicação segura, mas oferece um dado que hoje costuma ficar oculto.
O diretório também pode ajudar bancos, lojas, operadoras e plataformas digitais a revisar seus próprios fluxos. Uma empresa que terceiriza o envio terá de saber qual intermediário está autorizado a usar seu identificador, quais registros são mantidos e como uma fraude será investigada. A responsabilidade deixa de ficar apenas no texto recebido pelo cliente.
Os prazos para as operadoras
O cronograma começa na data de publicação do despacho. Em até 60 dias, as operadoras deverão garantir códigos exclusivos por empresa, reforçar políticas internas de segurança e adotar monitoramento automático. Esse prazo poderá ser prorrogado por mais 60 dias quando houver justificativa.
Em até 90 dias, o diretório público deverá estar disponível e os SMS corporativos enviados por códigos curtos não registrados deverão ser bloqueados. Esse prazo poderá ser prorrogado por mais 30 dias. O mesmo período de 90 dias vale para intermediários de mensagens e plataformas usadas em autenticação, recuperação de senhas e autorização de transações.
As operadoras também deverão promover campanhas educativas antes da abertura do cadastro. A medida é importante porque um diretório desconhecido não ajuda muito se o público não souber como consultá-lo ou interpretar seus resultados. A clareza da interface e a divulgação do serviço farão parte da eficácia real da regra.
O que muda para quem recebe SMS
A mudança mais visível será a redução progressiva de mensagens corporativas que usam identificadores sem origem registrada. Um texto de banco, comércio ou serviço digital poderá ser associado a uma empresa que o usuário consegue consultar. Isso melhora a rastreabilidade, especialmente quando várias marcas usam provedores de envio diferentes.
É importante entender o limite da novidade. O cadastro confirma uma associação administrativa, mas não garante que todo conteúdo de uma mensagem seja verdadeiro. Um criminoso ainda pode usar um número comum, induzir a vítima a telefonar para um falso atendimento ou espalhar um link fraudulento por outros canais. A mensagem também pode ser legítima e, ainda assim, levar a uma página comprometida.
Por isso, o usuário deve continuar evitando links de cobrança ou desbloqueio recebidos por SMS. Para confirmar uma operação, é mais seguro abrir o aplicativo oficial, digitar manualmente o endereço conhecido ou usar um telefone obtido em uma fatura e não no texto recebido. O cadastro do remetente deve ser tratado como uma camada de verificação, não como um selo absoluto de autenticidade.
O que fazer com códigos de autenticação
Códigos de autenticação exigem cuidado especial porque são usados para entrar em contas e autorizar mudanças. Empresas que enviam esse tipo de mensagem precisarão observar as novas exigências, mas o usuário ainda deve verificar se o código foi solicitado por ele. Se a mensagem chegar sem uma tentativa de login, não é recomendável compartilhá-la nem seguir instruções adicionais.
Quando houver suporte, aplicativos autenticadores e chaves de segurança podem oferecer proteção mais forte do que o SMS. A troca não é possível em todos os serviços, porém vale ativar métodos adicionais em contas de e-mail, bancos, redes sociais e gerenciadores de senhas. A regra da Anatel ajuda a reduzir golpes de origem falsa, mas não resolve o risco de uma conta já comprometida.
Por que a rastreabilidade é importante
Golpes por SMS dependem da escala. Uma campanha pode enviar milhares de mensagens em pouco tempo, alterar o identificador exibido e usar um texto curto para provocar urgência. Quando a origem é difícil de identificar, o trabalho de investigação fica mais lento e a operadora tem menos elementos para interromper o fluxo.
O monitoramento automático previsto pela Anatel deverá observar volumes anormais, falsificação de remetentes e padrões que indiquem campanha fraudulenta. Os intermediários também terão de verificar a identidade dos contratantes, manter registros dos envios e colaborar com apurações. Isso cria pontos de controle antes que uma mensagem chegue ao aparelho.
Para equipes técnicas, a decisão reforça a necessidade de separar autenticação, comunicação comercial e alertas críticos. Um sistema que depende de SMS deve registrar qual provedor enviou cada mensagem, qual código foi usado e qual evento gerou o disparo. Esses dados ajudam a investigar incidentes e a bloquear uma campanha sem interromper todos os usuários.
O que as novas regras não conseguem impedir
O despacho não elimina o smishing, nome dado ao phishing por SMS. O golpe pode continuar usando números comuns, mensagens encaminhadas, contas falsas em aplicativos e páginas clonadas. Também existem antenas clandestinas capazes de simular redes de telefonia e enviar textos sem passar pelos mesmos sistemas usados por mensagens corporativas convencionais.
Há ainda o risco de falsificação fora do SMS A2P. Um criminoso pode ligar para a vítima, copiar a linguagem de um banco ou usar uma rede social para completar a abordagem. O cadastro dificulta uma técnica específica, mas a engenharia social continuará explorando medo, pressa e confiança em marcas conhecidas.
A própria Anatel deverá acompanhar a execução e receber um relatório sobre os resultados do plano de combate às fraudes. Esse acompanhamento será essencial para saber se os códigos não registrados realmente deixam de circular, se empresas conseguem corrigir erros no cadastro e se o bloqueio causa impacto em mensagens legítimas.
O que empresas e desenvolvedores devem revisar
Empresas que enviam SMS precisam confirmar se cada código curto está associado à razão social correta, revisar contratos com agregadores e preparar um processo para responder a bloqueios indevidos. Também devem documentar quais mensagens são enviadas, em qual momento e com qual finalidade. Essa organização reduz falhas quando um consumidor contesta uma comunicação ou quando uma operadora solicita evidências.
Em sistemas de autenticação, a mensagem deve conter apenas o necessário e nunca pedir senha, código completo ou instalação de aplicativo. Links de pagamento e recuperação de conta precisam seguir políticas internas de segurança e, quando possível, ser substituídos por ações dentro do aplicativo oficial. Quanto menos poder uma mensagem tiver para iniciar uma operação sensível, menor será o impacto de uma falsificação.
O usuário final também pode contribuir denunciando mensagens suspeitas à empresa citada e à operadora. Guardar o texto, o remetente e o horário ajuda na investigação. Não responder, não clicar no link e não fornecer dados continua sendo a primeira barreira.
Uma camada útil, mas não suficiente
A decisão da Anatel coloca a identificação do remetente no centro da segurança dos SMS corporativos. Ao exigir cadastro, monitoramento e bloqueio de códigos não registrados, a agência cria uma barreira técnica contra campanhas que dependem de parecer uma empresa conhecida. Para o Brasil, é uma mudança concreta em um canal usado por bancos, lojas, operadoras e serviços digitais todos os dias.
O resultado dependerá da implementação. O cadastro precisa ser atualizado, consultável e fácil de entender. As operadoras devem bloquear o que for irregular sem prejudicar alertas importantes, e os intermediários precisam manter registros que permitam reconstruir uma campanha. Do lado do usuário, a regra deve ser combinada com hábitos básicos: desconfiar de urgência, abrir o aplicativo oficial e nunca entregar credenciais por mensagem.
O SMS continuará existindo porque funciona mesmo quando o usuário não tem dados móveis ou um aplicativo específico instalado. A nova regulamentação não torna esse canal invulnerável, mas pode tornar mais difícil que uma mensagem falsa esconda sua origem. Essa diferença já melhora a capacidade de decidir antes de clicar.
Fonte principal: Tecnoblog, Anatel decide: operadoras deverão bloquear SMS usado em golpes, publicada em 4 de novembro de 2026.
O cadastro também não substitui as defesas contra técnicas que contornam o SMS corporativo convencional. Em 7 de maio de 2026, o TechCrunch relatou a prisão de suspeitos ligados ao uso de um SMS blaster em Toronto. O equipamento simula uma torre de celular e envia mensagens para aparelhos próximos, um método diferente do SMS A2P tratado pela Anatel. A comparação ajuda a entender o limite da regra brasileira: registrar remetentes corporativos dificulta uma classe de abuso, mas não impede ataques que exploram a própria rede móvel ou a engenharia social.
Fonte complementar: TechCrunch, Police arrest SMS blaster crew that sent malicious messages to thousands across Toronto, publicada em 7 de maio de 2026.
