Em uma ofensiva direta contra o avanço exponencial dos crimes cibernéticos no Brasil, a Agência Nacional de Telecomunicações (Anatel) publicou novas diretrizes regulatórias que transformam radicalmente o ecossistema de envio de mensagens curtas de texto, os conhecidos SMS. O foco central da determinação é fechar o cerco contra quadrilhas que utilizam serviços legítimos e clandestinos de mensageria para a aplicação de golpes financeiros, clonagem de contas e infecção de aparelhos móveis por softwares maliciosos.
A deliberação, formalizada por meio de acórdão publicado no Diário Oficial da União, impõe às prestadoras de serviços de telecomunicações a obrigatoriedade de barrar o tráfego de mensagens que não atendam a rígidos critérios de autenticação. A medida estabelece uma reestruturação profunda nas mensagens do tipo A2P (sigla em inglês para Application-to-Person), categoria técnica designada para comunicações geradas por sistemas automatizados de empresas, instituições bancárias e plataformas de comércio eletrônico direcionadas a pessoas físicas.
O que é o SMS A2P e como funcionará a nova regulação
Diferente do tráfego comum de mensagens trocadas entre usuários comuns (conhecido no setor como P2P ou Person-to-Person), o envio corporativo massivo A2P é a espinha dorsal de notificações bancárias, confirmações de compras, envio de códigos de autenticação de dois fatores (2FA) e avisos de logística. Tradicionalmente, essas mensagens chegam aos aparelhos celulares por meio dos chamados short codes, que são sequências numéricas reduzidas, normalmente com cinco ou seis dígitos, utilizadas para padronizar e facilitar o recebimento sem expor um número móvel convencional de nove dígitos.
O problema enfrentado pelas autoridades e usuários é que, até então, brechas operacionais e a falta de uma rastreabilidade centralizada permitiam que números curtos fossem compartilhados entre diversas empresas ou até mesmo sublocados de forma opaca por intermediários conhecidos no mercado como agregadores de mensageria. Criminosos se aproveitavam dessa fragmentação para enviar mensagens simulando ser bancos renomados, redes de varejo ou órgãos governamentais, sem que o usuário tivesse qualquer ferramenta ágil para confirmar a autenticidade do remetente.
Com o novo arcabouço normativo estabelecido pela agência reguladora, as empresas emissoras serão expressamente obrigadas a adotar códigos curtos dedicados e padronizados. Isso significa o fim da prática de múltiplos remetentes operando sob o mesmo código numérico. A partir de agora, cada identificador será estritamente vinculado a uma única entidade corporativa registrada.
Diretório Nacional Público de Remetentes: a virada na transparência
A espinha dorsal técnica da decisão da Anatel apoia-se na criação de um Diretório Nacional Público de Remetentes. Essa plataforma funcionará como uma grande base de dados aberta, pública e de consulta totalmente gratuita, centralizando todas as informações sobre as empresas autorizadas a disparar mensagens automáticas no território nacional.
Por meio dessa ferramenta, qualquer cidadão poderá pesquisar o número curto de cinco dígitos que originou uma mensagem suspeita e identificar instantaneamente o Cadastro Nacional da Pessoa Jurídica (CNPJ), a razão social, a marca comercial correspondente e o agregador de telecomunicações responsável por aquele disparo específico. Essa dinâmica tira os golpistas do anonimato tecnológico e transfere para a cadeia produtiva das telecomunicações a responsabilidade de auditar quem trafega em suas redes.
Principais mudanças introduzidas pela Anatel:
- Códigos curtos exclusivos: É proibido o compartilhamento do mesmo número curto de identificação entre mais de uma companhia. Cada marca terá seu código individual.
- Criação de repositório público: Consulta aberta para qualquer usuário conferir a identidade real de quem enviou o SMS.
- Validação de campanhas: Mecanismos de segurança obrigatórios ponta a ponta na cadeia de transmissão para autenticar a legitimidade dos envios antes de chegarem ao destinatário.
- Bloqueio compulsório pelas operadoras: Todo e qualquer envio de SMS A2P que não estiver devidamente registrado no diretório oficial deverá ser sumariamente interceptado e bloqueado pelas prestadoras de telefonia.
- Prazo peremptório: As companhias de telecomunicação, integradores e remetentes têm o prazo improrrogável de 90 dias para adaptar integralmente seus sistemas de autenticação.
O impacto no combate ao ‘smishing’ e à engenharia social
O setor de segurança da informação classifica o golpe disseminado via mensagem de texto como smishing — uma junção das palavras SMS e phishing. Essa modalidade consiste na manipulação psicológica da vítima por meio de engenharia social, na qual alertas falsos de transações financeiras de alto valor, cancelamentos iminentes de contas ou notificações sobre o vencimento fictício de pontos geram pânico ou senso de urgência.
No modelo clássico dessas fraudes, o texto traz um link encurtado que direciona para uma página clonada ou sugere um número de telefone com prefixo comercial (como centrais de atendimento com números 0800 fictícios), induzindo a vítima a entregar senhas, dados cadastrais ou realizar transferências instantâneas via Pix. A aparência profissional dos números curtos sempre conferiu aos criminosos uma camada perigosa de verossimilhança.
Com a implementação da base pública e o bloqueio na origem, a Anatel busca reproduzir no ecossistema de dados a mesma estratégia adotada anteriormente na telefonia de voz com os prefixos 0303 e 0304, limitando as armas de contato abusivo e ilícito disponíveis no mercado cinzento de tecnologia.
Prazos legais, fiscalização e sanções
A deliberação estipula um período de transição de 90 dias a contar da publicação oficial para que as operadoras móveis em operação no país — incluindo os grandes grupos dominantes de mercado e provedores regionais de infraestrutura —, juntamente com os prestadores de serviços de valor adicionado (agregadores), concluam a integração com o diretório público.
Após o término do prazo, qualquer tráfego A2P sem correspondência e certificação nos cadastros centrais será considerado tráfego irregular. As operadoras que falharem no dever de vigilância e permitirem a circulação de campanhas não autenticadas ficarão sujeitas a processos administrativos sancionatórios instaurados pela agência reguladora, que podem resultar em multas pesadas proporcionais ao faturamento das concessionárias e autorizatárias.
Orientações para o usuário enquanto as travas não entram em vigor
Até que todas as operadoras concluam os desenvolvimentos técnicos e ativem as barreiras automáticas de bloqueio, os consumidores devem reforçar as medidas individuais de proteção ao manusear mensagens recebidas no aparelho celular:
- Desconfie de links externos: Instituições financeiras sérias e grandes redes de serviços raramente enviam links diretos solicitando login ou atualização emergencial de cadastro por SMS.
- Não ligue para números fornecidos na mensagem: Se receber um alerta sobre compra suspeita com um número de telefone informado no corpo do texto para cancelamento, não disca para ele. Utilize exclusivamente os canais oficiais localizados no verso do seu cartão bancário ou no aplicativo oficial da instituição.
- Ative os filtros nativos do smartphone: Tanto o sistema operacional Android quanto o iOS da Apple dispõem de ferramentas de proteção antispam nativas que identificam padrões fraudulentos e encaminham mensagens suspeitas para quarentena sem emitir avisos sonoros.
Perguntas Frequentes (FAQ)
1. O que muda para o consumidor comum a partir de agora?
O consumidor comum não precisa fazer nenhum tipo de cadastro ou alteração de plano. A mudança ocorre na infraestrutura das operadoras. A principal vantagem visível será a diminuição drástica de mensagens fraudulentas e a possibilidade de consultar em um site público quem é o dono do número de 5 dígitos que enviou qualquer SMS institucional para o seu telefone.
2. O envio de mensagens entre amigos e familiares (P2P) será afetado?
Não. As novas regras afetam exclusivamente as mensagens automatizadas de massa do tipo A2P, utilizadas por empresas e sistemas corporativos. A comunicação pessoal direta de texto entre celulares de pessoas físicas segue as regras normais já vigentes, sem exigência de código dedicado ou cadastro no diretório público corporativo.
3. O que acontece com a empresa que não registrar seu código curto dentro do prazo de 90 dias?
As companhias que não cadastrarem suas credenciais e seus códigos curtos dedicados no diretório nacional não conseguirão disparar mensagens de SMS para os clientes. As operadoras de telefonia móvel estão legalmente obrigadas a barrar sumariamente o tráfego de qualquer remetente não homologado assim que o prazo de adequação expirar.
Perspectivas futuras para as comunicações digitais
O endurecimento das normas pela Anatel reflete uma tendência global de fortalecimento da soberania e segurança nas redes de telecomunicações. Ao transformar o SMS em um canal verificado, rastreável e auditável, o órgão regulador não apenas protege a integridade financeira e a privacidade dos cidadãos brasileiros, mas também devolve ao próprio formato de mensageria a credibilidade perdida nos últimos anos devido à enxurrada de golpes eletrônicos.
