As operadoras de telefonia móvel terão de bloquear SMS enviados por códigos curtos que não estejam registrados em um novo diretório centralizado, aberto à consulta pública.
A regra da Anatel contra golpes por SMS foi publicada nesta quarta-feira (4) no Diário Oficial da União. O texto dá 90 dias para que o cadastro seja criado.
Segundo a agência, a medida responde ao avanço das fraudes por mensagem de texto, canal usado por bancos, empresas e serviços públicos. Esses golpes causam prejuízo financeiro e abalo emocional às vítimas, além de minar a confiança nos serviços de telecomunicações.
O que muda para as operadoras
As regras constam do Despacho Decisório nº 2/SCD, aprovado por unanimidade pelo Conselho Diretor da Anatel na terça-feira (3), com relatoria do conselheiro Octavio Penna Pieranti. A decisão atende a uma determinação anterior do colegiado, formalizada pelo Acórdão nº 201, de 14 de agosto de 2025, que previa um plano de ação para ampliar a segurança no envio de SMS.
O diretório centralizado de códigos curtos vai mostrar quais pessoas jurídicas respondem pelo envio de mensagens do tipo A2P (Application-to-Person), aquelas disparadas por sistemas e aplicações para os usuários, como códigos de verificação e avisos de cobrança. Nesse modelo, o remetente é identificado por um código curto, geralmente de poucos dígitos, como “29222”, e não por um número de celular convencional. O uso desse serviço ficará restrito a empresas identificadas no cadastro.
Em até 90 dias, as prestadoras do Serviço Móvel Pessoal deverão barrar a entrega de mensagens A2P vindas de códigos que não constem no diretório. Esse prazo pode ser estendido por mais 30 dias, desde que haja justificativa. Há uma exceção para códigos vinculados a agregadores de mensagens de nível 1, que serão considerados cadastrados quando as empresas incluírem as informações no diretório em até três dias do início efetivo de sua utilização. Antes de abrir a consulta ao público, as empresas terão de fazer campanhas educativas explicando como o diretório funciona e como acessá-lo.
Medidas com prazo de 60 dias
Num prazo menor, de 60 dias, prorrogável por igual período mediante justificativa, as operadoras precisam garantir que cada código curto pertença a uma única empresa, o que facilita a identificação da origem dos envios. O compartilhamento fica proibido, salvo exceções justificadas tecnicamente à Anatel; nesses casos, o diretório deverá identificar todos os usuários vinculados ao mesmo código.
No mesmo período, terão de aprovar uma Política Interna de Segurança para SMS, informar à agência o que fazem para bloquear canais não confiáveis e criar um canal setorial para troca de alertas sobre incidentes.
Também será obrigatório monitorar o tráfego A2P com sistemas automatizados, capazes de detectar padrões anômalos, campanhas fraudulentas, credenciais comprometidas e falsificação de identidade, o chamado identity spoofing. O despacho determina ainda o envio de relatórios periódicos ao Grupo Técnico de Suporte à Segurança Pública (GT-Seg), com a evolução do volume de mensagens bloqueadas e outros indicadores de efetividade.
A medida se soma a outra frente regulatória da agência contra golpes: em agosto, a Anatel já havia definido regras para os sistemas anti-spam das operadoras contra ligações abusivas.
Obrigações chegam a toda a cadeia de envio
O despacho não se limita às operadoras. Originadores, agregadores e integradores que usam códigos curtos terão de manter seus dados atualizados no diretório e verificar a identidade de quem os contrata. Também deverão guardar registros que permitam rastrear a origem das mensagens e colaborar, quando acionados, para identificar e interromper campanhas com indícios consistentes de fraude.
Empresas responsáveis por aplicações e plataformas digitais usadas para autenticar usuários, recuperar senhas, confirmar identidade e autorizar transações também entram na regra. Elas terão 90 dias para garantir a autenticidade dos remetentes, preservar a rastreabilidade das comunicações e adotar mecanismos de prevenção e detecção de fraudes. Segundo o texto, essas soluções devem entregar resultados de segurança equivalentes aos exigidos para comunicações digitais críticas por SMS A2P, mas não precisam usar a mesma tecnologia ou arquitetura.
A Anatel também delimita responsabilidades: no caso das plataformas digitais, o cumprimento cabe às empresas que concebem, operam ou controlam as funcionalidades e os mecanismos de segurança. As operadoras não assumem essas obrigações apenas por transportar os dados em suas redes.
A Superintendência Executiva da Anatel acompanhará a implementação, promoverá discussões técnicas com o setor e terá até 180 dias para levar ao Conselho Diretor um relatório com os resultados e, se for o caso, propostas de encaminhamento às autoridades competentes. O colegiado também determinou uma tomada de subsídios para receber contribuições do setor sobre o ecossistema de SMS A2P e outras iniciativas de prevenção a fraudes.
O golpe por SMS já havia levado a Anatel e a Polícia Civil a desmantelar antenas falsas usadas para disparar mensagens fraudulentas em cidades brasileiras.